Scénario : Connexion directe à la base de données IoT

Étape 1 : Créer un VCN pour lister la connectivité directe de la base de données à l'hôte de données

Configurez un VCN avec un sous-réseau et une passerelle de service pour accéder à une connexion privée et sécurisée directement à la base de données.

1. Dans votre location Internet of Things, connectez-vous en tant qu'administrateur.
2. Ouvrez le menu de navigation, sélectionnez Service de réseau, puis Réseaux en nuage virtuels.
3. Dans la page de liste Réseaux en nuage virtuels, sélectionnez Créer un VCN.
4. Entrez un nom descriptif pour le VCN. Il ne doit pas nécessairement être unique et ne peut pas être modifié plus tard dans la console, vous pouvez le modifier plus tard avec l'API de domaine d'identité ou l'interface de ligne de commande. Évitez d'entrer des informations confidentielles.
5. Vérifiez le compartiment dans lequel vous voulez créer le VCN, sélectionnez un autre compartiment si nécessaire.
   Note
   
   Votre VCN doit se trouver dans la même région que votre groupe de domaines IoT, votre domaine IoT et toutes les autres ressources IoT. Le nombre maximal de réseaux en nuage virtuels que vous pouvez associer à un groupe de domaines IoT est de 5.
6. Dans la section Blocs IPv4 CIDR, entrez un intervalle d'adresses IP autorisé à accéder à la base de données, par exemple : 10.0.0.0/16

   Pour obtenir la liste complète des paramètres, voir Création d'un réseau VCN.

7. Sélectionnez Créer un réseau VCN.
8. La page des détails du réseau en nuage virtuel s'ouvre et sélectionnez l'onglet Sous-réseaux. Sélectionnez Créer un sous-réseau.

   Pour plus d'informations, voir Création d'un sous-réseau et Aperçu des réseaux en nuage virtuels et des sous-réseaux.

9. Dans la page Créer un sous-réseau :
   1. Entrez un nom convivial pour le sous-réseau. Il ne doit pas nécessairement être unique et ne peut pas être modifié plus tard dans la console, avec l'API du domaine d'identité. Évitez d'entrer des informations confidentielles.
   2. Vérifiez le compartiment dans lequel vous voulez créer le sous-réseau. Sélectionnez un autre compartiment, si nécessaire.
   3. Sélectionnez le type de sous-réseau, Régional. Un sous-réseau régional signifie que le sous-réseau peut contenir des ressources dans n'importe quel domaine de disponibilité de la région.
   4. Entrez un bloc IPv4 CIDR, par exemple 10.0.0.0/16.
   5. Sélectionnez l'accès à Sous-réseau privé pour interdire l'adresse IP publique des instances de ce sous-réseau.
   6. Cochez la case Utiliser les noms d'hôte DNS dans ce sous-réseau.
   7. Entrez le nom du domaine DNS avec le nom de l'étiquette DNS du sous-réseau :

      <subnet_DNS_label>.<VCN_DNS_label>.oraclevcn.com

   8. Pour le compartiment Options DHCP, sélectionnez le compartiment avec vos ressources IoT. Pour Options DHCP, sélectionnez Options DHCP par défaut.
   9. Pour le compartiment de liste de sécurité, sélectionnez le compartiment contenant vos ressources IoT. Sélectionner une liste de sécurité.
   10. Sélectionnez Créer un sous-réseau.
10. La page des détails du réseau en nuage virtuel s'ouvre et sélectionnez l'onglet Passerelles. Sous Passerelles de service, sélectionnez Créer une passerelle de service.

    Pour plus d'informations, voir Étiquettes CIDR de service disponibles dans la page Création d'une passerelle de service.

11. Entrez un nom pour la passerelle de service. Il ne doit pas nécessairement être unique. Évitez d'entrer des informations confidentielles. Sélectionnez le compartiment dans lequel créer la passerelle. Sélectionnez un autre compartiment, si nécessaire.
12. Pour Services, sélectionnez l'option : Tous les <region> services dans Oracle Services Network.
13. Sélectionnez Options avancées, sous Association de table de routage, sélectionnez le compartiment de la table de routage. Utilisez le compartiment pour les ressources IoT associées. Vos ressources IoT peuvent se trouver dans des compartiments différents et doivent se trouver dans la même région.
14. Sélectionnez Créer une passerelle de service.
15. La page des détails des réseaux en nuage virtuels s'ouvre et sélectionnez l'onglet Routage.
16. Sous Tables de routage, sélectionnez la Table de routage par défaut.
17. Sélectionnez l'onglet Règles de routage et sélectionnez Ajouter des règles de routage.
    • Pour Type de cible, sélectionnez Passerelle de service.
    • Pour Service de destination, sélectionnez Tous les services de <région> dans Oracle Services Network.
    • Sélectionnez Compartiment de la passerelle de service cible : Sélectionnez le même compartiment que celui que vous avez sélectionné lors de la création de la passerelle de service à l'étape précédente.
    • Sélectionnez la passerelle de service cible créée à l'étape précédente.
    • Sélectionnez Ajouter des règles de routage.
    Pour plus d'informations, voir Ajouter une règle d'acheminement.
18. La page des détails du réseau en nuage virtuel s'ouvre, sélectionnez l'onglet Sécurité. Sélectionnez Créer un groupe de sécurité de réseau.
    • Entrez un nom et sélectionnez le compartiment que vous avez sélectionné à l'étape précédente.
    • Dans la section Règle, pour la direction, sélectionnez Trafic sortant.
    • Pour Type de destination, sélectionnez CIDR.
    • Dans le champ CIDR de destination, entrez le CIDR de votre environnement, par exemple : 0.0.0.0/0
    • Pour Protocoles IP, sélectionnez Tous les protocoles.
19. Sélectionnez Créer. Pour plus d'informations, voir Groupe de sécurité de réseau.
20. Voir les détails du groupe de sécurité de réseau.
21. Dans la page des détails du réseau en nuage virtuel, copiez l'OCID du VCN ou des réseaux en nuage virtuels. Utilisez cet OCID ou ces OCID de VCN à l'étape suivante.

Étape 2 : Ajoutez l'OCID de votre VCN à votre groupe de domaines IoT

Pour effectuer les étapes suivantes, votre utilisateur doit disposer au moins d'un accès en lecture au VCN ou aux réseaux en nuage virtuels à ajouter au groupe de domaines IoT. Pour confirmer que vous disposez d'un accès en lecture au VCN, voir Obtention des détails d'un VCN pour voir les réseaux en nuage virtuels auxquels vous avez accès.

Allow any-user to {VCN_READ} in compartment <compartment-name> where request.principal.type = 'iotdomain'

Étape 3 : Créer une instance de calcul pour l'accès SSH

La création d'une instance de calcul et d'un réseau en nuage virtuel (VCN) dans Oracle Cloud Infrastructure fournit un accès SSH (Secure Shell) aux ressources de calcul et crée un environnement réseau isolé sécurisé pour votre machine virtuelle. Le VCN détermine le mode d'accès à votre instance, alors que l'instance de calcul est le serveur virtuel auquel vous devez vous connecter.

Vous pouvez créer une instance de calcul pour héberger les applications, en fournissant de la puissance de calcul pour votre charge de travail, et vous ciblez un réseau en nuage virtuel (VCN) pour créer l'instance dans un réseau privé et sécurisé dans le nuage, en contrôlant sa connectivité et son isolement des autres réseaux et de l'Internet public. L'utilisation d'un VCN est essentielle pour la sécurité et la connectivité du réseau, ce qui vous permet de définir des sous-réseaux, des passerelles et des règles pour gérer la façon dont les instances communiquent avec d'autres ressources. Pour plus d'informations, voir Aperçu des réseaux en nuage virtuels et des sous-réseaux et Aperçu du service de calcul.

Étape 4 : Créer un groupe dynamique de domaine d'identité

Étape 5 : Créer un hôte bastion

Étape 6 : Ajouter votre groupe dynamique de domaines d'identité OCI au domaine IoT

Si l'accès aux données pour le domaine IoT est déjà configuré, utilisez la commande oci iot domain get pour confirmer les détails de connexion à une base de données pour un domaine IoT existant. Pour plus d'informations, voir Obtention des détails d'un domaine IoT.

Vous pouvez également utiliser cette commande oci iot domain configure-direct-data-access et les paramètres requis pour configurer l'accès d'un domaine IoT pour vous connecter directement à la base de données.

Remplacez l'OCID de la location par l'OCID de la location IoT pour votre environnement et remplacez-le par le nom du groupe d'identités par le groupe dynamique d'identités, conformément à ces directives.

Pour le paramètre <identity-group-name>, vous pouvez référencer le groupe d'identités des utilisateurs ou le groupe dynamique d'identités. Dans cet exemple, le groupe dynamique configuré à l'étape précédente est référencé :

oci iot domain configure-direct-data-access --iot-domain-id <iot-domain-OCID> --db-allow-listed-identity-group-names '["<tenancy-OCID>:<identity-group-name>"]'

Si <identity-domain-name> ne se trouve pas dans le domaine d'identité par défaut, vous devez spécifier <identity-domain-name>. Par exemple : <tenancy-OCID>:<identity-domain-name>/<identity-group-name>

oci iot domain configure-direct-data-access --iot-domain-id <iot-domain-OCID> --db-allow-listed-identity-group-names '["<tenancy-OCID>:<identity-domain-name>/<identity-group-name>"]'

Étape 7 : Extraire le jeton db du service d'identité à l'aide de la portée db-token-scope pour se connecter à la base de données

L'utilisateur ou l'application s'exécutant sur la ou les machines virtuelles, qui se trouvent dans le VCN sur liste d'autorisation, peut extraire db-token du service d'identité IAM à l'aide de db-token-scope à l'aide du principal d'instance.

Utilisez cette commande : oci iam db-token get --scope --auth instance_principal

oci iam db-token get --scope <urn:oracle:db::id::<database-compartment-OCID> --auth instance_principal

iam db-token get --auth instance_principal --scope urn:oracle:db::id::<database-compartment-OCID>

Private key written at /home/opc/.oci/db-token/oci_db_key.pem
db-token written at: /home/opc/.oci/db-token/token
db-token is valid until 2025-08-30 21:09:45

Étape 8 : Utilisation d'une chaîne de connexion TLS d'URL JDBC pour le pilote léger JDBC sans portefeuille pour la connexion à la base de données

L'utilisateur ou l'application peut établir une connexion à l'hôte de données à l'aide de db-connection-string et du jeton OCI pour interroger les données du domaine IoT.

Le db-token extrait est ensuite utilisé par le client de base de données, par exemple : SQL*Plus, SQLcl ou un pilote JDBC pour authentifier la connexion à une base de données Oracle configurée pour l'authentification par jeton IAM.

Lors de la connexion à la base de données, l'application JDBC fournit un jeton à la base de données. La base de données vérifie le jeton avec une clé publique qu'elle demande au service d'authentification et extrait les informations d'appartenance au groupe d'utilisateurs correspondant pour rechercher le schéma de base de données et les mappages de rôle afin de terminer l'autorisation de l'utilisateur à la base de données.

./sql /@"jdbc:oracle:thin:@tcps:adb.<region>.oraclecloud.com:<port>/<database-host-name>.adb.<region>.oraclecloud.com?TOKEN_AUTH=OCI_TOKEN"

En outre, l'application envoie un en-tête signé, qui prouve qu'elle possède une clé privée qui est appariée à une clé publique intégrée dans le jeton. Si le jeton et la signature sont valides et qu'il existe un mappage entre l'utilisateur IAM et un utilisateur de base de données, l'accès à la base de données est accordé à l'application JDBC.

Pour plus d'informations sur l'utilisation de SQLcl, voir la documentation sur Oracle SQLcl.

Vous pouvez maintenant interroger les données du domaine IoT directement dans la base de données.