Uso de la autenticación multifactor con una base de datos de IA autónoma

Un canal de notificación es el mecanismo que se utiliza para entregar desafíos de MFA a los usuarios, como aprobaciones push u OTP, tanto en los flujos de MFA de tiempo de conexión (LOGON) como en los flujos de MFA de token de acceso SQL. Los canales soportados incluyen correo electrónico, SMS, Slack y aplicaciones de autenticador, y cada canal requiere atributos de configuración específicos, por ejemplo, detalles SMTP para la entrega de correo electrónico o una configuración de espacio de trabajo de Slack para Slack, para garantizar que los mensajes se entreguen de forma segura y fiable al usuario deseado.

Antes de configurar los canales de notificación, asegúrese de haber configurado las credenciales necesarias para los canales que planea utilizar. Tenga en cuenta que algunos canales solo se aplican a LOGON MFA, por ejemplo, OMA y Duo, mientras que otros solo se aplican a SQL Access Token MFA, por ejemplo, OMA, Slack y correo electrónico, por lo que configure solo lo que necesita para el flujo de MFA elegido.

La siguiente tabla resume los canales de notificación de MFA disponibles y muestra qué tipo de MFA admite cada canal (conexión de MFA y/o MFA de token de acceso SQL), junto con el método de notificación correspondiente (entrega OTP o aprobación push).

Utilice el procedimiento DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION para definir los canales de notificación utilizados para entregar mensajes de MFA (por ejemplo, comprobaciones de token de acceso SQL). En este procedimiento, especifique el tipo de canal, como correo electrónico, Slack o un autenticador, y proporcione los atributos específicos del canal o las referencias de credenciales necesarias para una entrega segura y fiable. Debido a que cada canal tiene requisitos diferentes, los valores de atributo que proporcione dependen del canal que configure; consulte los siguientes ejemplos para conocer las entradas esperadas por canal.

Notificación por correo electrónico

Configure los valores de objeto de credencial de correo electrónico y notificación SMTP para que Oracle pueda enviar correos electrónicos relacionados con MFA. Esto es necesario para la configuración de inicio de sesión de MFA (OMA y Duo), incluidos los correos electrónicos de registro de dispositivos; sin él, los usuarios no recibirán las notificaciones de registro requeridas. El correo electrónico no es un segundo factor soportado para el inicio de sesión de MFA: la entrega de OTP de correo electrónico solo está soportada para la MFA del token de acceso SQL.

Para configurar un proveedor de correo electrónico personalizado para enviar tokens de acceso de MFA, debe crear una credencial de proveedor de correo electrónico en la base de datos mediante el procedimiento DBMS_CLOUD.CREATE_CREDENTIAL. Por ejemplo:

BEGIN
   DBMS_CLOUD.CREATE_CREDENTIAL(
       credential_name => 'EMAIL_CRED_01',
       username        => '<username>',
       password        => '<password>'
   );
END;
/

Otorgue permiso a la base de datos para conectarse al host SMTP para enviar correos electrónicos mediante la actualización de la lista de control de acceso (ACL). Por ejemplo:

BEGIN
  DBMS_NETWORK_ACL_ADMIN.APPEND_HOST_ACE(
    host        => 'smtp.email.us-ashburn-1.oci.oraclecloud.com',
    lower_port  => 587,
    upper_port  => 587,
    ace         => xs$ace_type(
                     privilege_list  => xs$name_list('SMTP'),
                     principal_name  => 'ADMIN',
                     principal_type  => xs_acl.ptype_db
                   )
  );
END;
/

Defina la configuración para que el canal de correo electrónico entregue tokens de acceso de MFA mediante las credenciales que creó. Por ejemplo:

BEGIN
  DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION(
    notification_type => 'EMAIL',
    attributes       => JSON_OBJECT(
      'credential_name'                 VALUE 'EMAIL_CRED_01',
      'smtp_host'                       VALUE 'smtp.email.us-ashburn-1.oci.oraclecloud.com',
      'smtp_port'                       VALUE 465,
      'sender'                          VALUE 'mfa_alerts@example.com',
      'sender_email_display_name'       VALUE 'DB MFA ALERTS'
    )
  );
END;
/

Notificación de Slack

Cree una credencial para almacenar de forma segura los detalles de autenticación para la integración de Slack. Por ejemplo:

BEGIN
  DBMS_CLOUD.CREATE_CREDENTIAL(
    credential_name => 'SLACK_CRED',
    username        => 'username',
    password        => '<password>'
  );
END;
/

Permita que la base de datos se conecte al punto final de API de Slack actualizando la lista de control de acceso (ACL) para las llamadas HTTPS salientes. Por ejemplo:

BEGIN
  DBMS_NETWORK_ACL_ADMIN.APPEND_HOST_ACE (
    host           => 'slack.com',
    lower_port     => 443,
    upper_port     => 443,
    ace            => xs$ace_type(
                        privilege_list  => xs$name_list('http'),
                        principal_name  => 'ADMIN',
                        principal_type  => xs_acl.ptype_db
                      )
  );
END;
/

Configure el canal de Slack para la entrega de tokens de MFA haciendo referencia a la credencial que ha creado. Por ejemplo:

BEGIN
  DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION(
    notification_type => 'SLACK',
    attributes        => JSON_OBJECT(
      'credential_name' VALUE 'SLACK_CRED'
    )
  );
END;
/

Notificación de Oracle Mobile Authenticator (OMA)

Cree una credencial para almacenar de forma segura el ID de cliente de OMA y el secreto de cliente. Por ejemplo:

BEGIN
  DBMS_CLOUD.CREATE_CREDENTIAL(
    credential_name => 'OMA_CRED',
    username        => '<username>',
    password        => '<password>'
  );
END;
/

Defina el canal de notificación de OMA y asócielo a la credencial y al punto final de la API de OMA que ha creado. Por ejemplo:

BEGIN
  DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION(
    notification_type => 'OMA',
    attributes        => JSON_OBJECT(
      'credential_name' VALUE 'OMA_CRED',
      'api_endpoint'    VALUE 'https://idcs-c*****************60.identity.oraclecloud.com'
    )
  );
END;
/

Notificación de DUO de Cisco

Cree una credencial para almacenar de forma segura la clave de integración y la clave secreta de DUO. Por ejemplo:

BEGIN
  DBMS_CLOUD.CREATE_CREDENTIAL(
    credential_name => 'DUO_CRED',
    username        => '<integrationkey>',
    password        => '<secretkey>'
  );
END;
/

Configure el canal de notificación de DUO asociándolo a la credencial creada y especificando el punto final de API de DUO.

BEGIN
  DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION(
    notification_type => 'DUO',
    attributes        => JSON_OBJECT(
      'credential_name' VALUE 'DUO_CRED',
      'api_endpoint'    VALUE 'api-855fd6a0.duosecurity.com'
    )
  );
END;
/

Después de configurar el canal de notificación, el siguiente paso es registrar un usuario de base de datos existente para MFA. Al registrarse, defina el tipo de MFA en MFA de tiempo de conexión o MFA de token de acceso SQL. Opcionalmente, puede especificar el canal de notificación; si no se proporciona, el correo electrónico se utiliza por defecto. Sin embargo, para la MFA de tipo inicio de sesión, debe especificar OMA o Duo como canal. Opcionalmente, también puede definir atributos de token personalizados para personalizar el comportamiento del token de acceso SQL para el usuario.

Consulte DBMS_MFA_ADMIN.REGISTER_USER como referencia.

Para ejecutar sentencias SQL en una sesión protegida por autenticación de token de acceso SQL, debe validar la sesión mediante un código de acceso de un solo uso entregado a través del canal de notificación configurado y el usuario debe tener el privilegio necesario en DBMS_MFA.

El uso de atributos de token globales y de nivel de usuario ayuda a equilibrar la aplicación de seguridad centralizada con la flexibilidad necesaria para satisfacer las necesidades de acceso individuales.

Definir atributos globales de token de acceso SQL

Utilice el procedimiento DBMS_MFA_ADMIN.SET_GLOBAL_TOKEN_ATTRIBUTES para configurar los atributos del token de acceso SQL por defecto global. Este procedimiento define un juego global de valores de atributo de token (proporcionado como JSON) que la base de datos aplica automáticamente cada vez que se emite un token de acceso SQL para los usuarios registrados para la MFA del token de acceso SQL. También puede definir atributos de token específicos del usuario para sustituir estos valores por defecto globales cuando sea necesario.

BEGIN
  DBMS_MFA_ADMIN.SET_GLOBAL_TOKEN_ATTRIBUTES(
    attributes => '{
      "duration_min": 60,
      "scope": "session",
      "idle_timeout_min": 15,
      "read_only": false
    }'
  );
END;
/

Esto define los atributos de token globales para todos los usuarios registrados para la MFA del token de acceso SQL, como la duración del token, el ámbito, el timeout de inactividad y el acceso de solo lectura. Estos atributos globales sirven como valores por defecto y se aplican automáticamente a todos los usuarios activados para la MFA del token de acceso SQL, a menos que se definan atributos específicos del usuario para sustituirlos.

Consulte SET_GLOBAL_TOKEN_ATTRIBUTES Procedure para obtener más información.

Definir atributos de token para el inicio de sesión y el token de acceso SQL