Documentation sur Oracle Cloud Infrastructure

Accès d'urgence pour SaaS sur Autonomous AI Database

Autonomous AI Database prend en charge l'accès d'urgence pour les fournisseurs SaaS. L'accès Break Glass permet à une équipe d'opérations SaaS, lorsqu'elle est explicitement autorisée par un client SaaS, d'accéder à la base de données d'un client pour effectuer des opérations critiques ou d'urgence.

  • À propos de l'accès d'urgence à la base de données d'IA autonome
    L'accès d'urgence à la base de données d'IA autonome prend en charge les fournisseurs SaaS, où l'organisation SaaS définit des procédures pour permettre à un membre de l'équipe des opérations SaaS d'accéder à la base de données d'un client lorsqu'il y est explicitement autorisé par le client.
  • Activer l'accès d'accès d'urgence
    Après l'autorisation d'accéder à une base de données avec SAAS_ADMIN est approuvée au moyen de procédures définies par votre organisation, utilisez l'interface de ligne de commande ou l'API de base de données d'intelligence artificielle autonome pour activer l'utilisateur SAAS_ADMIN.
  • Désactiver l'accès d'accès d'urgence
    Utilisez l'interface de ligne de commande ou l'API de base de données de l'IA autonome pour désactiver l'accès d'utilisateur SAAS_ADMIN.
  • Notes pour l'accès d'urgence
    Fournit des notes pour l'accès d'urgence.

Rubrique parent : Sécurité

À propos de l'accès d'urgence à une base de données autonome sur l'IA

L'accès Break Glass à Autonomous AI Database prend en charge les fournisseurs SaaS, où l'organisation SaaS définit des procédures pour permettre à un membre de l'équipe des opérations SaaS d'accéder à la base de données d'un client lorsqu'il y a une autorisation explicite du client.

Exemple de cas d'utilisation d'accès d'urgence avec Example.com

Prenons l'exemple d'un fournisseur SaaS nommé example.com qui utilise Autonomous AI Database pour son produit. Dans les opérations habituelles, le fournisseur SaaS, example.com, crée une instance de base de données d'intelligence artificielle autonome pour chaque client SaaS. Dans ce modèle, un client SaaS, par exemple un client nommé Scott, est un utilisateur final pour le produit example.com (et un client SaaS dont les données sont stockées dans une instance de base de données d'intelligence artificielle autonome). Le fournisseur example.com crée et stocke toutes les données de Scott dans une instance de base de données Autonomous AI Database et le client, Scott, n'a pas d'accès direct à la base de données.

Ce modèle SaaS est résumé comme suit :

  • Le client Oracle qui crée des instances de base de données autonome avec intelligence artificielle est l'organisation SaaS ( example.com).

  • Le fournisseur SaaS est example.com.

  • Le client SaaS est Scott.

Si et quand un problème se produit en ce qui concerne la performance de l'application, ou s'il y a un autre problème critique nécessitant un dépannage par l'équipe des opérations SaaS, le client Scott peut accorder l'accès afin que l'équipe des opérations puisse accéder à la base de données de Scott pour le dépannage. L'équipe des opérations SaaS n'est autorisée à établir un accès direct à l'instance Autonomous AI Database de Scott qu'au moyen d'un processus d'approbation défini par SaaS (c'est-à-dire après que example.com a reçu l'autorisation de son client, Scott).

Accès d'urgence et base de données Autonomous AI Database SAAS_ADMIN - Utilisateur

Lorsqu'un utilisateur SaaS appelle l'API d'urgence sur l'instance de base de données d'intelligence artificielle autonome d'un client, cela active l'utilisateur SAAS_ADMIN. L'équipe des opérations SaaS peut ensuite accéder à l'instance à l'aide de l'utilisateur SAAS_ADMIN avec un jeu de rôles spécifié, pendant une durée limitée.

Par défaut, l'utilisateur SAAS_ADMIN est verrouillé. À l'aide d'un processus d'approbation défini par l'organisation SaaS, l'utilisateur SAAS_ADMIN peut être activé pour autoriser l'accès à une instance de base de données d'intelligence artificielle autonome. Le nom de la vitre de sécurité provient d'alarmes d'incendie manuelles qui obligent leurs utilisateurs à casser une petite vitre de fenêtre avant d'activer l'alarme (la vitre doit être cassée pour empêcher l'alarme d'être déclenchée par erreur). De même, l'utilisateur SAAS_ADMIN n'accède normalement pas à la base de données et l'accès nécessite un processus d'approbation prédéfini.

Selon le type d'accès accordé, lorsqu'il est activé, l'utilisateur SAAS_ADMIN peut accéder à la base de données pour enquêter sur des problèmes ou pour apporter des modifications associées à une urgence ou à un autre événement inhabituel. À l'expiration de l'accès d'urgence ou lorsque l'accès est explicitement désactivé, le mot de passe/les clés secrètes du compte SAAS_ADMIN sont immédiatement pivotés et l'accès de l'utilisateur SAAS_ADMIN est révoqué. Toutes les actions effectuées par l'utilisateur SAAS_ADMIN sont vérifiées.

L'utilisateur SAAS_ADMIN est activé avec l'un des trois types d'accès suivants :

  • read-only : Fournit un accès en lecture seule à l'instance. Il s'agit du type d'accès par défaut et inclut les rôles par défaut : CREATE SESSION, SELECT ANY TABLE, SELECT ANY DICTIONARY, SELECT_CATALOG_ROLE.
  • read/write : Fournit un accès en lecture/écriture à l'instance. Les rôles par défaut pour ce type sont : CREATE SESSION, SELECT ANY TABLE, SELECT ANY DICTIONARY, SELECT_CATALOG_ROLE, INSERT ANY TABLE et UPDATE ANY TABLE.
  • admin : Fournit un accès administrateur à l'instance. Les rôles par défaut pour ce type sont : CREATE SESSION et PDB_DBA.

API Break Glass

L'utilisateur SAAS_ADMIN est activé et désactivé uniquement au moyen de l'interface de ligne de commande ou à l'aide des API REST de base de données d'intelligence artificielle autonome.

Pour plus d'informations sur l'utilisation des API REST et sur les demandes de signature, voir API REST et Données d'identification de sécurité.

Pour plus d'informations sur les trousses SDK, voir Trousses SDK et interface de ligne de commande.

Utilisez ces API pour les opérations d'accès d'urgence :

Activer l'accès à Break Glass

Une fois l'autorisation d'accéder à une base de données avec SAAS_ADMIN approuvée au moyen de procédures définies par votre organisation, utilisez l'interface de ligne de commande ou l'API de base de données de l'IA autonome pour activer l'utilisateur SAAS_ADMIN.

Vous devez disposer du privilège de gestion de base de données autonome pour activer l'utilisateur SAAS_ADMIN.

Avant d'activer l'utilisateur SAAS_ADMIN pour accéder à une base de données, vous devez obtenir des valeurs pour les paramètres requis.

Paramètre Description
isEnabled

Spécifie une valeur booléenne. Utilisez TRUE pour l'activer.

password

Spécifie le mot de passe de l'utilisateur SAAS_ADMIN. Si vous spécifiez secretId, vous ne pouvez pas spécifier password.

Le mot de passe que vous fournissez en tant que paramètre doit être conforme aux exigences de mot de passe de la base de données d'intelligence artificielle autonome. Pour plus d'informations, voir À propos des mots de passe d'utilisateur sur Autonomous AI Database.

secretId

Spécifie la valeur de l'OCID de la clé secrète Oracle Cloud Infrastructure Vault d'une clé secrète. Si vous spécifiez password, vous ne pouvez pas spécifier secretId. Voir Aperçu du service de chambre forte pour plus d'informations.

Le mot de passe que vous fournissez en tant que clé secrète dans Oracle Cloud Infrastructure Vault doit être conforme aux exigences de mot de passe de la base de données Autonomous AI Database. Pour plus d'informations, voir À propos des mots de passe d'utilisateur sur Autonomous AI Database.

secretVersionNumber

Spécifie le numéro de version de la clé secrète spécifiée avec secretId. Ce paramètre est facultatif. La valeur par défaut est d'utiliser la dernière version de clé secrète. Ce paramètre s'applique uniquement lorsque secretId est également spécifié.

accessType

L'un des éléments suivants : read-only, read/write ou admin. La valeur par défaut est read-only.

duration

Spécifie la durée en heures, comprise entre 1 heure et 24 heures. La valeur par défaut est 1 heure.

Pour activer l'utilisateur SAAS_ADMIN sur une instance de base de données du service d'intelligence artificielle autonome, vous devez définir l'accès requis à l'aide des énoncés de politique de gestion des identités et des accès OCI écrits par un administrateur.

La politique suivante est requise :

Allow group Group_Name to manage autonomous-databases in compartment Compartment_Name

Pour plus d'informations, voir Politiques IAM pour Autonomous AI Database et Introduction aux politiques.

Rubriques

Rubrique parent : Accès d'urgence pour SaaS sur Autonomous AI Database

Activer l'accès Break Glass avec un mot de passe

Utilisez l'interface de ligne de commande ou l'API de base de données de l'IA autonome pour activer SAAS_ADMIN avec un mot de passe.

  1. Utilisez l'API ou l'interface de ligne de commande et spécifiez une valeur pour le mot de passe afin d'activer SAAS_ADMIN avec une valeur password.

    Exemple :

    POST https://dbaas-api.svc.ad3.us-phoenix-1/20160918/autonomousDatabases/ocid1.autonomousdatabase.oc1.phx.uniqueId/actions/configureSaasAdminUser

{  "isEnabled": true,
   "password": password,
   "accessType": "READ_ONLY",
   "duration": 17
}

    Pour plus d'informations, voir configureSaasAdminUser.

  2. Vérifiez que l'utilisateur SAAS_ADMIN est activé.
    POST https://dbaas-api.svc.ad3.us-phoenix-1/20160918/autonomousDatabases/ocid1.autonomousdatabase.oc1.phx.uniqueId/actions/getSaasAdminUserStatus

{    "isEnabled": true,
     "accessType": "READ_ONLY",
     "timeSaasAdminUserEnabled": "2023-11-23T01:59:07.032Z"
}

    Cette réponse montre que l'utilisateur SAAS_ADMIN est activé et que le type d'accès est READ_ONLY. L'horodatage indique l'heure à laquelle SAAS_ADMIN a été activé (l'heure est en UTC).

    Pour plus d'informations, voir getSaasAdminUserStatus.

Activer l'accès Break Glass avec une clé secrète de chambre forte

Utilisez l'interface de ligne de commande ou l'API de base de données du service d'intelligence artificielle autonome pour activer SAAS_ADMIN avec secretId, lorsque la clé secrète est stockée dans Oracle Cloud Infrastructure Vault.

Lorsque vous spécifiez secretId, pour que la base de données autonome avec intelligence artificielle atteigne la clé secrète dans Oracle Cloud Infrastructure Vault, les conditions suivantes doivent s'appliquer :

  • La clé secrète doit être à l'état current ou previous.

  • Vous devez disposer de la politique de groupe d'utilisateurs appropriée qui permet à READ d'accéder à la clé secrète spécifique d'un compartiment donné. Exemple : 

    Allow userGroup1 to read secret-bundles in compartment training

Pour activer SAAS_ADMIN avec une clé secrète secretId stockée dans Oracle Cloud Infrastructure Vault :

  1. Utilisez l'API ou l'interface de ligne de commande et spécifiez une valeur d'OCID pour secretId.

    Exemple :

    POST https://dbaas-api.svc.ad3.us-phoenix-1/20160918/autonomousDatabases/ocid1.autonomousdatabase.oc1.phx.uniqueId/actions/configureSaasAdminUser

{  "isEnabled": true,
   "secretId": "ocid1.key.co1.ap-mumbai-1.example..aaaaaaaauq5ok5nq3bf2vwetkpqsoa",
   "accessType": "READ_ONLY",
   "duration": 20
}

    La spécification d'une version de clé secrète est facultative. Si vous spécifiez une version de clé secrète dans l'appel d'API avec secretVersionNumber, la version de clé secrète spécifiée est utilisée. Si vous ne spécifiez pas de version de clé secrète, l'appel utilise la dernière version de clé secrète.

    Pour plus d'informations, voir configureSaasAdminUser.

  2. Vérifiez que l'utilisateur SAAS_ADMIN est activé.

    Exemple :

    POST https://dbaas-api.svc.ad3.us-phoenix-1/20160918/autonomousDatabases/ocid1.autonomousdatabase.oc1.phx.uniqueId/actions/getSaasAdminUserStatus

{    "isEnabled": true,
     "accessType": "READ_ONLY",
     "timeSaasAdminUserEnabled": "2023-11-23T01:59:07.032Z"
}

    Cette réponse montre que l'utilisateur SAAS_ADMIN est activé et que le type d'accès est READ_ONLY. L'horodatage indique l'heure à laquelle l'utilisateur a été activé (l'heure est UTC).

    Pour plus d'informations, voir getSaasAdminUserStatus.

Désactiver l'accès à Break Glass

Utilisez l'interface de ligne de commande ou l'API de base de données de l'IA autonome pour désactiver l'accès d'utilisateur SAAS_ADMIN.

Par défaut, l'accès expire après une heure si le paramètre duration n'est pas défini lorsque SAAS_ADMIN est activé. Si le paramètre duration est défini lorsque SAAS_ADMIN est activé, l'accès expire après le nombre d'heures duration spécifié. Au lieu de laisser l'accès expirer en fonction du délai d'expiration par défaut ou de la durée que vous spécifiez, vous pouvez utiliser configureSaasAdminUser pour désactiver explicitement l'accès d'utilisateur SAAS_ADMIN.

Pour désactiver l'utilisateur SAAS_ADMIN sur une instance de base de données du service d'intelligence artificielle autonome, vous devez définir l'accès requis à l'aide des énoncés de politique de gestion des identités et des accès OCI écrits par un administrateur.

La politique suivante est requise :

Allow group Group_Name to manage autonomous-databases in compartment Compartment_Name

Pour plus d'informations, voir Politiques IAM pour Autonomous AI Database et Introduction aux politiques.

  1. Désactivez l'accès d'utilisateur SAAS_ADMIN.

    Exemple :

    POST https://dbaas-api.svc.ad3.us-phoenix-1/20160918/autonomousDatabases/ocid1.autonomousdatabase.oc1.phx.uniqueId/actions/configureSaasAdminUser
{
  "isEnabled": false
}

    Pour plus d'informations, voir API configureSaasAdminUser.

  2. Vérifiez que l'utilisateur SAAS_ADMIN est désactivé.

    Exemple :

    POST https://dbaas-api.svc.ad3.us-phoenix-1/20160918/autonomousDatabases/ocid1.autonomousdatabase.oc1.phx.uniqueId/actions/getSaasAdminUserStatus

{    "isEnabled": false
}

    Cette réponse indique que l'utilisateur SAAS_ADMIN est désactivé.

    Pour plus d'informations, voir getSaasAdminUserStatus.

Lorsque vous désactivez l'utilisateur SAAS_ADMIN, l'accès à la base de données est révoqué et la base de données d'intelligence artificielle autonome fait pivoter le mot de passe ou la clé secrète utilisée pour accéder à la base de données.

Notes pour l'accès Break Glass

Fournit des notes pour l'accès au vitrage.

Notes pour l'accès au vitrage :

  • La valeur duration que vous spécifiez lorsque vous activez SAAS_ADMIN s'applique jusqu'à l'expiration de l'heure spécifiée ou jusqu'à ce que vous désactivez explicitement l'utilisateur SAAS_ADMIN. Vous ne pouvez pas modifier cette valeur après avoir activé l'utilisateur SAAS_ADMIN.

  • La base de données d'IA autonome de type Toujours gratuit ne prend pas en charge l'accès avec l'utilisateur SAAS_ADMIN.

  • La vue DBA_CLOUD_CONFIG fournit des informations sur l'utilisateur SAAS_ADMIN.

    Par exemple, utilisez l'interrogation suivante pour obtenir des informations sur le statut de l'utilisateur SAAS_ADMIN : 

    SELECT PARAM_VALUE FROM DBA_CLOUD_CONFIG WHERE
             param_name ='saas_admin_access' order by 1;

    La présence d'une valeur pour auth_revoker signifie que l'accès a été révoqué et affiche l'utilisateur qui a révoqué l'accès.

    auth_end affiche une heure planned. Après la révocation de l'autorisation, si l'autorisation a expiré à la fin de l'heure duration spécifiée lorsque l'utilisateur SAAS_ADMIN a été activé, l'heure planned sera la même que l'heure actual. Si les heures planned et actual sont différentes, cela signifie que l'autorisation SAAS_ADMIN a été révoquée avant l'expiration de duration.

    Par exemple, si SAAS_ADMIN est activé pour une durée de 2 heures et qu'après 1 heure, l'accès est désactivé en appelant l'API configureSaasAdminUser pour désactiver l'utilisateur SAAS_ADMIN, les heures auth_end planned et actual seront différentes.

    Si cette interrogation n'affiche aucune rangée, l'utilisateur SAAS_ADMIN n'existe pas. Il a peut-être été créé et supprimé ou il n'a jamais été créé.