1. Verifique si hay otro esquema de autenticación externo activado en la base de datos y desactívelo.

   Puede continuar con la configuración de CMU-AD sobre Kerberos para proporcionar autenticación de CMU-AD Kerberos para usuarios de Microsoft Active Directory.

   Consulte Kerberos Authentication for CMU with Microsoft Active Directory para obtener más información.

2. Cargue los archivos de configuración de CMU, incluido el archivo de cartera de la base de datos cwallet.sso, y el archivo de configuración de CMU, dsi.ora, en el almacén de objetos. Este paso depende del almacén de objetos que utilice.

   El archivo de configuración dsi.ora contiene la información para buscar los servidores de Active Directory.

   Si utiliza el almacén de objetos de Oracle Cloud Infrastructure, consulte Colocación de datos en Object Storage para obtener más información sobre la carga de archivos.

3. Run DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION procedure and pass in a location URI with the params JSON argument. Debe colocar los archivos de configuración cwallet.sso y dsi.ora en la ubicación de Object Storage especificada en el parámetro location_uri.

   Por ejemplo:

   BEGIN
      DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
          type     => 'CMU',
          params   => JSON_OBJECT('location_uri' value 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o',
                                  'credential_name' value 'my_credential_name')
      );
   END;
   /

   Oracle recomienda almacenar los archivos de configuración de CMU en un cubo privado del almacén de objetos.

   En este ejemplo, namespace-string es el espacio de nombres de almacenamiento de objetos de Oracle Cloud Infrastructure, y bucketname es el nombre del cubo. Consulte Descripción de los espacios de nombres de Object Storage para obtener más información.

   El valor credential_name que utiliza en este paso son las credenciales para acceder al almacén de objetos.

   La creación de una credencial para acceder al almacén de objetos de Oracle Cloud Infrastructure no es necesaria si activa las credenciales de la entidad de recurso. Consulte Uso de la principal de recurso para acceder a los recursos de Oracle Cloud Infrastructure para obtener más información.

   Si location_uri es una URL autenticada previamente o una URL firmada previamente, no es necesario proporcionar el valor credential_name.

   El procedimiento crea un objeto de directorio denominado CMU_WALLET_DIR en la base de datos y copia los archivos de configuración de CMU de la ubicación del almacén de objetos en el objeto de directorio. Con este procedimiento también se define la propiedad de base de datos CMU_WALLET en el valor 'CMU_WALLET_DIR' y el valor del parámetro LDAP_DIRECTORY_ACCESS en el valor PASSWORD para permitir el acceso de la instancia de Autonomous Database a Active Directory.

4. Después de activar la autenticación de CMU, suprima los archivos de configuración de CMU, incluida la cartera de base de datos cwallet.sso y el archivo de configuración de CMU dsi.ora del almacén de objetos. Puede utilizar los métodos del almacén de objetos local para eliminar estos archivos o utilizar DBMS_CLOUD.DELETE_OBJECT para suprimir los archivos del almacén de objetos.
5. Cuando los servidores de Active Directory están en un punto final privado, realice pasos de configuración adicionales para proporcionar acceso al punto final privado.
   1. Defina la propiedad de la base de datos ROUTE_OUTBOUND_CONNECTIONS en el valor 'PRIVATE_ENDPOINT'.

      Consulte Seguridad mejorada para conexiones de salida con puntos finales privados para obtener más información.

   2. Valide que el archivo de configuración de CMU-AD dsi.ora incluya nombres de host. Cuando ROUTE_OUTBOUND_CONNECTIONS se define en 'PRIVATE_TARGET', las direcciones IP no se pueden especificar en dsi.ora.

1. Active Kerberos en la instancia de Autonomous Database mediante el servidor Kerberos de Microsoft Active Directory.

   Solo se admiten servidores Kerberos de Microsoft Active Directory para Kerberos cuando configura la autenticación de Kerberos con CMU-AD.

   1. Para activar la autenticación de Kerberos para Autonomous Database, debe obtener los archivos de configuración de Kerberos: krb.conf y el archivo de tabla de claves de servicio v5srvtab.

      Para generar estos archivos al configurar la autenticación de Kerberos con CMU-AD, necesita el nombre de host del servidor. Puede obtener el valor del host del servidor del atributo PUBLIC_DOMAIN_NAME en la columna CLOUD_IDENTITY de V$PDBS. Este valor es diferente del nombre de dominio completo (FQDN) para una base de datos en un punto final privado.

      Utilice el siguiente comando para obtener el nombre de host del servidor:

      SELECT guid ||'/'|| json_value(cloud_identity, '$.PUBLIC_DOMAIN_NAME')
          "KSERVICE/KINSTANCE" FROM v$pdbs;

      Puede utilizar un comando como el siguiente para generar el archivo de tabla de claves de servicio:

      ktpass -princ ORACLE/DATABASE_SERVER_HOST_NAME.DATABASE_SERVER_HOST_DOMAIN@ACTIVE_DIRECTORY_DEFAULT_DOMAIN
                       -pass ACTIVE_DIRECTORY_PASSWORD 
                       -mapuser DATABASE_SERVER_HOST_NAME 
                       -crypto ALL 
                       -ptype KRB5_NT_PRINCIPAL 
                       -out database.keytab

      Por ejemplo:

      ktpass -princ ORACLE/user.example.com@example.com 
                       -pass password -mapuser dbexamplekrb 
                       -crypto ALL -ptype KRB5_NT_PRINCIPAL -out database.keytab

      Para obtener más información sobre estos archivos y los pasos necesarios para obtenerlos, consulte Configuración de la autenticación de Kerberos.

   2. Copie los archivos de configuración de Kerberos krb.conf y v5srvtab en un cubo del almacén de objetos.

      Este paso varía según el almacén de objetos que utilice.

      Si utiliza el almacén de objetos de Oracle Cloud Infrastructure, consulte Colocación de datos en Object Storage para obtener más información sobre la carga de archivos.

   3. Ejecute DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION para activar la autenticación externa de Kerberos.

      Por ejemplo:

      BEGIN
         DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
             type     => 'KERBEROS',
             params   => JSON_OBJECT('location_uri' value 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o',
                                     'credential_name' value 'my_credential_name')
         );
      END;
      /

      Nota
      
      Oracle recomienda almacenar los archivos de configuración de Kerberos en un cubo privado del almacén de objetos.

      En este ejemplo, namespace-string es el espacio de nombres de almacenamiento de objetos de Oracle Cloud Infrastructure, y bucketname es el nombre del cubo. Consulte Descripción de los espacios de nombres de Object Storage para obtener más información.

      El valor credential_name que utiliza en este paso son las credenciales del almacén de objetos.

      Consulte Activación de la autenticación de Kerberos en Autonomous Database para obtener más información.

   4. Confirme que Kerberos esté configurado y activado.

      SELECT property_value FROM database_properties 
            WHERE property_name='KERBEROS_DIRECTORY';

2. Active y configure CMU-AD en Autonomous Database.
   1. Cargue los archivos de configuración de CMU, incluido el archivo de cartera de la base de datos cwallet.sso, y el archivo de configuración de CMU, dsi.ora, en el almacén de objetos.

      Cargue cwallet.sso para que la configuración de CMU-AD tenga las credenciales para que la instancia de Autonomous Database se conecte a la cuenta de servicio de Active Directory.

      El archivo de configuración dsi.ora contiene la información para buscar los servidores de Active Directory.

      Este paso varía según el almacén de objetos que utilice.

      Si utiliza el almacén de objetos de Oracle Cloud Infrastructure, consulte Colocación de datos en Object Storage para obtener más información sobre la carga de archivos.

   2. Ejecutar el procedimiento DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION y transferir un URI de ubicación con el argumento JSON params. Debe colocar los archivos de configuración cwallet.sso y dsi.ora en la ubicación de Object Storage especificada en el parámetro location_uri.

      Por ejemplo:

      BEGIN
         DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
             type     => 'CMU',
             params   => JSON_OBJECT('location_uri' value 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o',
                                     'credential_name' value 'my_credential_name')
         );
      END;
      /

      Oracle recomienda almacenar los archivos de configuración de CMU en un cubo privado del almacén de objetos.

      En este ejemplo, namespace-string es el espacio de nombres de almacenamiento de objetos de Oracle Cloud Infrastructure, y bucketname es el nombre del cubo. Consulte Descripción de los espacios de nombres de Object Storage para obtener más información.

      El valor credential_name que utiliza en este paso son las credenciales para acceder al almacén de objetos.

      La creación de una credencial para acceder al almacén de objetos de Oracle Cloud Infrastructure no es necesaria si activa las credenciales de la entidad de recurso. Consulte Uso de la principal de recurso para acceder a los recursos de Oracle Cloud Infrastructure para obtener más información.

      Si location_uri es una URL autenticada previamente o una URL firmada previamente, no es necesario proporcionar el valor credential_name.

      Consulte Requisitos para configurar la CMU con Microsoft Active Directory en Autonomous Database para obtener más información.

   3. Confirme que CMU-AD esté configurado y activado.

      SELECT property_value FROM database_properties
            WHERE property_name='CMU_WALLET';

3. Después de completar los pasos 1 y 2, verifique que la configuración de la autenticación de Kerberos con CMU-AD esté completa.
   1. Conéctese a la instancia de Autonomous Database como usuario de Active Directory para que la información de SYS_CONTEXT se rellene en USERENV.
   2. Consulte SYS_CONTEXT USERENV.

      SELECT SYS_CONTEXT('USERENV','AUTHENTICATION_METHOD') FROM DUAL;
      
      SYS_CONTEXT('USERENV','AUTHENTICATION_METHOD')                                 
      --------------------------------------------------------------------------------
      KERBEROS_GLOBAL

   Cuando tiene la autenticación de Kerberos configurada y activada sin CMU-AD, esta consulta devuelve: KERBEROS. Consulte Configuración de la autenticación de Kerberos con Autonomous Database para obtener más información.

   Cuando tiene la autenticación CMU-AD configurada sin Kerberos, esta consulta devuelve: PASSWORD_GLOBAL. Consulte Requisitos para configurar la CMU con Microsoft Active Directory en Autonomous Database para obtener más información.

Para agregar roles de Active Directory, asigne los roles globales de la base de datos a los grupos de Active Directory con sentencias CREATE ROLE o ALTER ROLE (e incluya la cláusula IDENTIFIED GLOBALLY AS).

1. Conéctese como usuario ADMIN a la base de datos configurada para utilizar Active Directory (el usuario ADMIN tiene los privilegios del sistema CREATE ROLE y ALTER ROLE que necesita para estos pasos).
2. Defina la autorización de base de datos para los roles de Autonomous Database con la sentencia CREATE ROLE o ALTER ROLE. Incluya la cláusula IDENTIFIED GLOBALLY AS y especifique el DN de un grupo de Active Directory.

   Utilice la siguiente sintaxis para asignar un grupo de usuarios de directorio a un rol global de base de datos:

   CREATE ROLE global_role IDENTIFIED GLOBALLY AS 
        'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

   Por ejemplo:

   CREATE ROLE widget_sales_role IDENTIFIED GLOBALLY AS
        'CN=widget_sales_group,OU=sales,DC=production,DC=example,DC=com';

   En este ejemplo, todos los miembros de widget_sales_group están autorizados con el rol de base de datos widget_sales_role cuando se conectan a la base de datos.

3. Utilice las sentencias GRANT para otorgar los privilegios necesarios u otros roles al rol global.

   Por ejemplo:

   GRANT CREATE SESSION TO WIDGET_SALES_ROLE;
   GRANT DWROLE TO WIDGET_SALES_ROLE;

   DWROLE es un rol predefinido que tiene privilegios comunes definidos. Consulte Gestión de privilegios de usuario en Autonomous Database: Conexión con una herramienta de cliente para obtener información sobre la definición de privilegios comunes para los usuarios de Autonomous Database.

4. Si desea hacer que un rol de base de datos existente se asocie a un grupo de Active Directory, utilice la sentencia ALTER ROLE para modificar el rol de base de datos existente para asignarlo a un grupo de Active Directory.

   Utilice la siguiente sintaxis para modificar un rol de base de datos existente para asignarlo a un grupo de Active Directory:

   ALTER ROLE existing_database_role 
      IDENTIFIED GLOBALLY AS 'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

5. Si desea crear asignaciones de rol global adicionales para otros grupos de Active Directory, siga estos pasos para cada grupo de Active Directory.

Para agregar usuarios de Active Directory para acceder a una base de datos, asigne usuarios globales de base de datos a grupos o usuarios de Active Directory con sentencias CREATE USER o ALTER USER (con la cláusula IDENTIFIED GLOBALLY AS).

1. Conéctese como usuario ADMIN a la base de datos configurada para utilizar Active Directory (el usuario ADMIN tiene los privilegios del sistema CREATE USER y ALTER USER necesarios para estos pasos).
2. Defina la autorización de base de datos para los usuarios de Autonomous Database con sentencias CREATE USER o ALTER USER e incluya la cláusula IDENTIFIED GLOBALLY AS, especificando el DN de un usuario o un grupo de Active Directory.

   Utilice la siguiente sintaxis para asignar un usuario de directorio a un usuario global de base de datos:

   CREATE USER global_user IDENTIFIED GLOBALLY AS 'DN_of_an_AD_USER';

   Utilice la siguiente sintaxis para asignar un grupo de directorio a un usuario global de base de datos:

   CREATE USER global_user IDENTIFIED GLOBALLY AS
       'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

   Por ejemplo, para asignar un grupo de directorio denominado widget_sales_group en la unidad de organización sales del dominio production.example.com a un usuario global de base de datos compartida denominado WIDGET_SALES:

   CREATE USER widget_sales IDENTIFIED GLOBALLY AS
        'CN=widget_sales_group,OU=sales,DC=production,DC=example,DC=com';
   

   De este modo se crea una asignación de usuario global compartida. La asignación, con el usuario global widget_sales, es efectiva para todos los usuarios del grupo de Active Directory. Por lo tanto, cualquier usuario de widget_sales_group puede conectarse a la base de datos utilizando las credenciales de Active Directory (mediante la asignación compartida del usuario global widget_sales).

3. Si desea que los usuarios de Active Directory utilicen un usuario de base de datos existente, posean su esquema y posean sus datos existentes, utilice ALTER USER para modificar un usuario de base de datos existente para asignar el usuario a un grupo o usuario de Active Directory.

   • Utilice la siguiente sintaxis para modificar un usuario de base de datos existente para asignarlo a un usuario de Active Directory:

     ALTER USER existing_database_user IDENTIFIED GLOBALLY AS 'DN_of_an_AD_USER';

   • Utilice la siguiente sintaxis para modificar un usuario de base de datos existente para asignarlo a un grupo de Active Directory:

     ALTER USER existing_database_user 
          IDENTIFIED GLOBALLY AS 'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

4. Si desea crear asignaciones de usuario global adicionales para otros grupos o usuarios de Active Directory, siga estos pasos para cada grupo o usuario de Active Directory.

Después de que el usuario ADMIN haya completado los pasos de configuración de CMU con Active Directory y creado roles globales y usuarios globales, los usuarios se conectan a la base de datos con su nombre de usuario y contraseña de Active Directory.

1. Para conectarse a la base de datos mediante un nombre de usuario y una contraseña de Active Directory, conéctese de la siguiente manera:

   CONNECT "AD_DOMAIN\AD_USERNAME"/AD_USER_PASSWORD@TNS_ALIAS_OF_THE_AUTONOMOUS_DATABASE;

   Por ejemplo:

   CONNECT "production\pfitch"/password@adbname_medium;

   Debe incluir comillas dobles cuando se incluya el dominio de Active Directory junto con el nombre de usuario, como en este ejemplo: "production\pfitch".

   En este ejemplo, el nombre de usuario de Active Directory es pfitch en el dominio production. El usuario de Active Directory es miembro del grupo widget_sales_group que se identifica por su DN 'CN=widget_sales_group,OU=sales,DC=production,DC=example,DC=com'.

Cuando los usuarios se conectan a la base de datos con su nombre de usuario y contraseña de Active Directory, puede verificar y auditar la actividad del usuario.

CONNECT "production\pfitch"/password@exampleadb_medium;

SHOW USER;

USER is "WIDGET_SALES"

SELECT SYS_CONTEXT('USERENV', 'ENTERPRISE_IDENTITY') FROM DUAL;

SQL> SELECT SYS_CONTEXT('USERENV', 'ENTERPRISE_IDENTITY') FROM DUAL;

SYS_CONTEXT('USERENV','ENTERPRISE_IDENTITY')
----------------------------------------------------------------------
cn=Peter Fitch,ou=sales,dc=production,dc=examplecorp,dc=com

SELECT SYS_CONTEXT('USERENV', 'AUTHENTICATED_IDENTITY') FROM DUAL;

SQL> SELECT SYS_CONTEXT('USERENV', 'AUTHENTICATED_IDENTITY') FROM DUAL;

SYS_CONTEXT('USERENV','AUTHENTICATED_IDENTITY')
----------------------------------------------------------------------
production\pfitch

Para eliminar usuarios y roles de Active Directory de Autonomous Database, utilice comandos de base de datos estándar. Esto no elimina los usuarios o los grupos relacionados de Active Directory asignados desde los roles o los usuarios de base de datos borrados.

1. Conéctese a la base de datos configurada para utilizar Active Directory como usuario al que se le ha otorgado el privilegio del sistema DROP USER o DROP ROLE.
2. Borre los usuarios globales o los roles globales asignados a grupos o usuarios de Active Directory con la sentencia DROP USER o DROP ROLE.
   Consulte Supresión de usuarios en Autonomous Database para obtener más información.

Descripción de los pasos para eliminar la configuración de CMU de Autonomous Database (y desactivar el acceso LDAP desde Autonomous Database a Active Directory).

1. Conéctese a la instancia de Autonomous Database como usuario ADMIN.
2. Utilice DBMS_CLOUD_ADMIN.DISABLE_EXTERNAL_AUTHENTICATION para desactivar la autenticación de CMU.
   Nota
   
   Para ejecutar este procedimiento, debe estar conectado como usuario ADMIN o tener el privilegio EXECUTE en DBMS_CLOUD_ADMIN.

   Por ejemplo:

   BEGIN   
      DBMS_CLOUD_ADMIN.DISABLE_EXTERNAL_AUTHENTICATION;
   END;
   /

   Esto desactiva la autenticación CMU en la instancia de Autonomous Database.