Uso de Microsoft Active Directory con Autonomous Database

1. Verifique si hay otro esquema de autenticación externo activado en la base de datos y desactívelo.

   Puede continuar con la configuración de CMU-AD además de Kerberos para proporcionar autenticación de Kerberos de CMU-AD para usuarios de Microsoft Active Directory.

   Consulte Kerberos Authentication for CMU with Microsoft Active Directory para obtener más información.

2. Cargue los archivos de configuración de CMU, incluido el archivo de cartera, cwallet.sso y el archivo de configuración de CM U, dsi.ora en el almacén de objetos. Este paso depende del almacén de objetos que utilice.

   El archivo de configuración dsi.ora contiene la información para buscar los servidores de Active Directory.

   Si utiliza el almacén de objetos de Oracle Cloud Infrastructure, consulte Colocación de datos en Object Storage para obtener más información sobre la carga de archivos.

3. Ejecute el procedimiento DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION y transfiera un URI de ubicación con el argumento JSON params. Debe colocar los archivos de configuración cwallet.sso y dsi.ora en la ubicación de Object Storage especificada en el parámetro location_uri.

   Por ejemplo:

   BEGIN
      DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
          type     => 'CMU',
          params   => JSON_OBJECT('location_uri' value 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o',
                                  'credential_name' value 'my_credential_name')
      );
   END;
   /

   Oracle recomienda almacenar los archivos de configuración de CMU en un cubo privado en el almacén de objetos.

   En este ejemplo, namespace-string es el espacio Oracle Cloud Infrastructure Object Storage Namepace, y bucketname es el nombre del cubo. Consulte Descripción de los espacios de nombres de Object Storage para obtener más información.

   credential_name que utiliza en este paso son las credenciales para acceder al almacén de objetos.

   No es necesario crear una credencial para acceder al almacén de objetos de Oracle Cloud Infrastructure si activa las credenciales de entidad de recurso. Consulte Uso de la entidad de recurso para acceder a los Recursos de Oracle Cloud Infrastructure para obtener más información.

   Si location_uri es una URL autenticada previamente o una URL firmada previamente, no es necesario proporcionar credential_name.

   El procedimiento crea un objeto de directorio denominado CMU_WALLET_DIR en la base de datos y copia los archivos de configuración de CMU de la ubicación del almacén de objetos en el objeto de directorio. Este procedimiento también define la propiedad de base de datos CMU_WALLET en el valor 'CMU_WALLET_DIR' y define el valor del parámetro LDAP_DIRECTORY_ACCESS en el valor PASSWORD para activar el acceso desde la instancia de Autonomous Database a Active Directory.

4. Después de activar la autenticación de CMU, elimine los archivos de configuración de CMU, incluida la cartera de base de datos cwallet.sso y el archivo de configuración de CMU dsi.ora del almacén de objetos. Puede utilizar los métodos del almacén de objetos local para eliminar estos archivos o utilizar DBMS_CLOUD.DELETE_OBJECT para suprimir los archivos del almacén de objetos.
5. Cuando los servidores de Active Directory están en un punto final privado, realice pasos de configuración adicionales para proporcionar acceso al punto final privado.
   1. Defina la propiedad de base de datos ROUTE_OUTBOUND_CONNECTIONS en el valor 'PRIVATE_ENDPOINT'.

      Consulte Seguridad mejorada para conexiones salientes con puntos finales privados para obtener más información.

   2. Valide que el archivo de configuración de CMU-AD dsi.ora incluya nombres de host. Cuando ROUTE_OUTBOUND_CONNECTIONS se define en 'PRIVATE_TARGET', las direcciones IP no se pueden especificar en dsi.ora.

1. Active Kerberos en la instancia de Autonomous Database mediante el servidor Kerberos de Microsoft Active Directory.

   Sólo se admiten servidores Kerberos de Microsoft Active Directory para Kerberos al configurar la autenticación de Kerberos con CMU-AD.

   1. Para activar la autenticación de Kerberos para Autonomous Database, debe obtener los archivos del Kerberos de configuración: krb.conf y el archivo v5srvtab de tabla de claves de servicio.

      Para generar estos archivos cuando configura la autenticación de Kerberos con CMU-AD, necesita el nombre de host del servidor. Puede obtener el valor del host del servidor del atributo PUBLIC_DOMAIN_NAME en la columna CLOUD_IDENTITY de V$PDBS. Este valor es diferente del nombre de dominio completo (FQDN) para una base de datos en un punto final privado.

      Utilice el siguiente comando para obtener el nombre de host del servidor:

      SELECT guid ||'/'|| json_value(cloud_identity, '$.PUBLIC_DOMAIN_NAME')
          "KSERVICE/KINSTANCE" FROM v$pdbs;

      Puede utilizar un comando como el siguiente para generar el archivo de tabla de claves de servicio:

      ktpass -princ ORACLE/DATABASE_SERVER_HOST_NAME.DATABASE_SERVER_HOST_DOMAIN@ACTIVE_DIRECTORY_DEFAULT_DOMAIN
                       -pass ACTIVE_DIRECTORY_PASSWORD 
                       -mapuser DATABASE_SERVER_HOST_NAME 
                       -crypto ALL 
                       -ptype KRB5_NT_PRINCIPAL 
                       -out database.keytab

      Por ejemplo:

      ktpass -princ ORACLE/user.example.com@example.com 
                       -pass password -mapuser dbexamplekrb 
                       -crypto ALL -ptype KRB5_NT_PRINCIPAL -out database.keytab

      Para más información sobre estos archivos y los pasos necesarios para obtenerlos, consulte Configuring Kerberos Authentication.

   2. Copie los archivos de configuración de Kerberos krb.conf y v5srvtab en un cubo del almacén de objetos.

      Este paso difiere según el almacén de objetos que utilice.

      Si utiliza el almacén de objetos de Oracle Cloud Infrastructure, consulte Colocación de datos en Object Storage para obtener más información sobre la carga de archivos.

   3. Ejecute DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION para activar la autenticación externa de Kerberos.

      Por ejemplo:

      BEGIN
         DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
             type     => 'KERBEROS',
             params   => JSON_OBJECT('location_uri' value 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o',
                                     'credential_name' value 'my_credential_name')
         );
      END;
      /

      Nota
      
      Oracle recomienda almacenar los archivos de configuración de Kerberos en un cubo privado en el almacén de objetos.

      En este ejemplo, namespace-string es el espacio Oracle Cloud Infrastructure Object Storage Namepace, y bucketname es el nombre del cubo. Consulte Descripción de los espacios de nombres de Object Storage para obtener más información.

      credential_name que utiliza en este paso son las credenciales para el almacén de objetos.

      Consulte Activación de la autenticación de Kerberos en Autonomous Database para obtener más información.

   4. Confirme que Kerberos esté configurado y activado.

      SELECT property_value FROM database_properties 
            WHERE property_name='KERBEROS_DIRECTORY';

2. Activar y configurar CMU-AD en Autonomous Database.
   1. Cargue los archivos de configuración de CMU, incluido el archivo de cartera, cwallet.sso y el archivo de configuración de CM U, dsi.ora en el almacén de objetos.

      Cargue cwallet.sso para que la configuración de CMU-AD tenga las credenciales para que la instancia de Autonomous Database se conecte a la cuenta de servicio de Active Directory.

      El archivo de configuración dsi.ora contiene la información para buscar los servidores de Active Directory.

      Este paso difiere según el almacén de objetos que utilice.

      Si utiliza el almacén de objetos de Oracle Cloud Infrastructure, consulte Colocación de datos en Object Storage para obtener más información sobre la carga de archivos.

   2. Ejecute el procedimiento DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION y transfiera un URI de ubicación con el argumento JSON params. Debe colocar los archivos de configuración cwallet.sso y dsi.ora en la ubicación de Object Storage especificada en el parámetro location_uri.

      Por ejemplo:

      BEGIN
         DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
             type     => 'CMU',
             params   => JSON_OBJECT('location_uri' value 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o',
                                     'credential_name' value 'my_credential_name')
         );
      END;
      /

      Oracle recomienda almacenar los archivos de configuración de CMU en un cubo privado en el almacén de objetos.

      En este ejemplo, namespace-string es el espacio Oracle Cloud Infrastructure Object Storage Namepace, y bucketname es el nombre del cubo. Consulte Descripción de los espacios de nombres de Object Storage para obtener más información.

      credential_name que utiliza en este paso son las credenciales para acceder al almacén de objetos.

      No es necesario crear una credencial para acceder al almacén de objetos de Oracle Cloud Infrastructure si activa las credenciales de entidad de recurso. Consulte Uso de la entidad de recurso para acceder a los Recursos de Oracle Cloud Infrastructure para obtener más información.

      Si location_uri es una URL autenticada previamente o una URL firmada previamente, no es necesario proporcionar credential_name.

      Consulte Requisitos previos para configurar CMU con Microsoft Active Directory en Autonomous Database para obtener más información.

   3. Confirme que CMU-AD esté configurado y activado.

      SELECT property_value FROM database_properties
            WHERE property_name='CMU_WALLET';

3. Después de completar los pasos 1 y 2, verifique que se haya completado la configuración de la autenticación de Kerberos con CMU-AD.
   1. Conéctese a la instancia de Autonomous Database como usuario de Active Directory para que la información de SYS_CONTEXT se rellene en USERENV.
   2. Consulte SYS_CONTEXT USERENV.

      SELECT SYS_CONTEXT('USERENV','AUTHENTICATION_METHOD') FROM DUAL;
      
      SYS_CONTEXT('USERENV','AUTHENTICATION_METHOD')                                 
      --------------------------------------------------------------------------------
      KERBEROS_GLOBAL

   Cuando se configura y se activa la autenticación de Kerberos sin CMU-AD, esta consulta devuelve: KERBEROS. Consulte Configuración de la autenticación de Kerberos con Autonomous Database para obtener más información.

   Cuando tiene la autenticación CMU-AD configurada sin Kerberos, esta consulta devuelve: PASSWORD_GLOBAL. Consulte Requisitos previos para configurar CMU con Microsoft Active Directory en Autonomous Database para obtener más información.

Para agregar roles de Active Directory, asigne los roles globales de la base de datos a los grupos de Active Directory con sentencias CREATE ROLE o ALTER ROLE (e incluya la cláusula IDENTIFIED GLOBALLY AS).

1. Conéctese como usuario ADMIN a la base de datos configurada para utilizar Active Directory (el usuario ADMIN tiene los privilegios del sistema CREATE ROLE y ALTER ROLE que necesita para estos pasos).
2. Defina la autorización de base de datos para los roles de Autonomous Database con la sentencia CREATE ROLE o ALTER ROLE. Incluya la cláusula IDENTIFIED GLOBALLY AS y especifique el DN de un grupo de los Active Directory.

   Utilice la siguiente sintaxis para asignar un grupo de usuarios de directorio a un rol global de base de datos:

   CREATE ROLE global_role IDENTIFIED GLOBALLY AS 
        'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

   Por ejemplo:

   CREATE ROLE widget_sales_role IDENTIFIED GLOBALLY AS
        'CN=widget_sales_group,OU=sales,DC=production,DC=example,DC=com';

   En este ejemplo, todos los miembros de widget_sales_group están autorizados con el rol de base de datos widget_sales_role cuando se conectan a la base de datos.

3. Utilice las sentencias GRANT para otorgar los privilegios necesarios u otros roles al rol global.

   Por ejemplo:

   GRANT CREATE SESSION TO WIDGET_SALES_ROLE;
   GRANT DWROLE TO WIDGET_SALES_ROLE;

   DWROLE es un rol predefinido que tiene privilegios comunes definidos. Consulte Gestión de privilegios de usuario en Autonomous Database - Conexión con una herramienta de cliente para obtener información sobre la definición de privilegios comunes para los usuarios de Autonomous Database.

4. Si desea hacer que un rol de base de datos existente se asocie a un grupo de Active Directory, utilice la sentencia ALTER ROLE para modificar el rol de base de datos existente para asignarlo a un grupo de Active Directory.

   Utilice la siguiente sintaxis para modificar un rol de base de datos existente para asignarlo a un grupo de Active Directory:

   ALTER ROLE existing_database_role 
      IDENTIFIED GLOBALLY AS 'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

5. Si desea crear asignaciones de rol global adicionales para otros grupos de Active Directory, siga estos pasos para cada grupo de Active Directory.

Para agregar usuarios de la instancia de Active Directory para acceder a una base de Datos, asigne usuarios globales a grupos o usuarios de la instancia de Active Directory con sentencias CREATE USER o ALTER USER (con el cláusula IDENTIFIED GLOBALLY AS).

1. Conéctese como usuario ADMIN a la base de datos configurada para utilizar Active Directory (el usuario ADMIN tiene los privilegios del sistema CREATE USER y ALTER USER necesarios para estos pasos).
2. Defina la autorización de base de datos para los usuarios de Autonomous Database con sentencias CREATE USER o ALTER USER e incluya la cláusula IDENTIFIED GLOBALLY AS, especificando el DN de un usuario o un grupo de Active Directory.

   Utilice la siguiente sintaxis para asignar un usuario de directorio a un usuario global de base de datos:

   CREATE USER global_user IDENTIFIED GLOBALLY AS 'DN_of_an_AD_USER';

   Utilice la siguiente sintaxis para asignar un grupo de directorio a un usuario global de base de datos:

   CREATE USER global_user IDENTIFIED GLOBALLY AS
       'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

   Por ejemplo, para asignar un grupo de directorio denominado widget_sales_group en la unidad de organización sales del dominio production.example.com a un usuario global de base de datos compartida denominado WIDGET_SALES:

   CREATE USER widget_sales IDENTIFIED GLOBALLY AS
        'CN=widget_sales_group,OU=sales,DC=production,DC=example,DC=com';
   

   De este modo se crea una asignación de usuario global compartida. La asignación, con el usuario global widget_sales, es efectiva para todos los usuarios del grupo de Active Directory. Por lo tanto, cualquier usuario de widget_sales_group puede conectarse a la base de datos utilizando las credenciales de Active Directory (mediante la asignación compartida del usuario global widget_sales).

3. Si desea que los usuarios de Active Directory utilicen un usuario de base de datos existente, posean su esquema y posean sus datos existentes, utilice ALTER USER para modificar un usuario de base de datos existente para asignar el usuario a un grupo o usuario de Active Directory.

   • Utilice la siguiente sintaxis para modificar un usuario de base de datos existente para asignarlo a un usuario de Active Directory:

     ALTER USER existing_database_user IDENTIFIED GLOBALLY AS 'DN_of_an_AD_USER';

   • Utilice la siguiente sintaxis para modificar un usuario de base de datos existente para asignarlo a un grupo de Active Directory:

     ALTER USER existing_database_user 
          IDENTIFIED GLOBALLY AS 'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

4. Si desea crear asignaciones de usuario global adicionales para otros grupos o usuarios de Active Directory, siga estos pasos para cada grupo o usuario de Active Directory.

Después de que el usuario ADMIN haya completado los pasos para configurar CMU de Active Directory y haya creado roles globales y usuarios globales, los usuarios se conectarán a la base de datos con su nombre del usuario y contraseña de la aplicación Active Directory.

1. Para conectarse a la base de datos mediante un nombre del usuario y una contraseña deActive Directory, conéctese de la siguiente manera:

   CONNECT "AD_DOMAIN\AD_USERNAME"/AD_USER_PASSWORD@TNS_ALIAS_OF_THE_AUTONOMOUS_DATABASE;

   Por ejemplo:

   CONNECT "production\pfitch"/password@adbname_medium;

   Debe incluir comillas dobles cuando se incluya el dominio de Active Directory junto con el nombre de usuario, como en este ejemplo: "production\pfitch".

   En este ejemplo, el nombre de usuario de Active Directory es pfitch en el dominio production. El usuario de Active Directory es miembro del grupo widget_sales_group que se identifica por su DN 'CN=widget_sales_group,OU=sales,DC=production,DC=example,DC=com'.

Cuando el usuario se conecte a la base de datos con su nombre del usuario y contraseña deActive Directory, puede verificar y auditar la actividad del usuario.

CONNECT "production\pfitch"/password@exampleadb_medium;

SHOW USER;

USER is "WIDGET_SALES"

SELECT SYS_CONTEXT('USERENV', 'ENTERPRISE_IDENTITY') FROM DUAL;

SQL> SELECT SYS_CONTEXT('USERENV', 'ENTERPRISE_IDENTITY') FROM DUAL;

SYS_CONTEXT('USERENV','ENTERPRISE_IDENTITY')
----------------------------------------------------------------------
cn=Peter Fitch,ou=sales,dc=production,dc=examplecorp,dc=com

SELECT SYS_CONTEXT('USERENV', 'AUTHENTICATED_IDENTITY') FROM DUAL;

SQL> SELECT SYS_CONTEXT('USERENV', 'AUTHENTICATED_IDENTITY') FROM DUAL;

SYS_CONTEXT('USERENV','AUTHENTICATED_IDENTITY')
----------------------------------------------------------------------
production\pfitch

Para eliminar usuarios y roles de Active Directory de instancias de Autonomous Databases, utilice comandos de base de datos estándar. Esto no elimina los usuarios o los grupos relacionados de Active Directory asignados desde los roles o los usuarios de base de datos borrados.

1. Conéctese a la base de datos configurada para utilizar Active Directory como usuario al que se le ha otorgado el privilegio del sistema DROP USER o DROP ROLE.
2. Borre los usuarios globales o los roles globales asignados a grupos o usuarios de Active Directory con la sentencia DROP USER o DROP ROLE.
   Consulte Eliminación de usuarios en Autonomous Database para obtener más información.

Describe los pasos para eliminar la configuración de CMU de Autonomous Database (y desactivar el acceso de LDAP de Autonomous Database a Active Directory).

1. Conéctese a Autonomous Database como usuario ADMIN.
2. Utilice DBMS_CLOUD_ADMIN.DISABLE_EXTERNAL_AUTHENTICATION para desactivar la autenticación de CMU.
   Nota
   
   Para ejecutar este procedimiento, debe estar conectado como usuario ADMIN o tener el privilegio EXECUTE en DBMS_CLOUD_ADMIN.

   Por ejemplo:

   BEGIN   
      DBMS_CLOUD_ADMIN.DISABLE_EXTERNAL_AUTHENTICATION;
   END;
   /

   Esto desactiva la autenticación de CMU en la instancia de Autonomous Database.