Se connecter à une base de données autonome avec l'authentification IAM (Identity and Access Management)

Les utilisateurs du service IAM peuvent se connecter à l'instance Autonomous AI Database à l'aide d'un vérificateur de mot de passe de base de données IAM ou d'un jeton IAM.

L'utilisation du vérificateur de mot de passe de base de données GIA est similaire au processus d'authentification par mot de passe d'Oracle Database. Toutefois, au lieu que le vérificateur de mot de passe (hachage chiffré du mot de passe) soit stocké dans la base de données Oracle, il est plutôt stocké dans le cadre du profil d'utilisateur IAM d'Oracle Cloud Infrastructure (OCI).

La seconde méthode de connexion, l'utilisation d'un jeton GIA pour la base de données, est plus moderne. L'utilisation de l'accès basé sur un jeton est plus adaptée aux ressources en nuage comme la base de données autonome d'IA. Le jeton est basé sur la force que le point d'extrémité GIA peut appliquer. Il peut s'agir d'une authentification multifacteur, qui est plus forte que l'utilisation de mots de passe seuls. Un autre avantage de l'utilisation de jetons est que le vérificateur de mot de passe (qui est considéré comme sensible) n'est jamais stocké ni disponible en mémoire. Une connexion TCPS (TLS) est requise lors de l'utilisation de jetons pour l'accès à la base de données.

• Connexions au client qui utilisent un vérificateur de mot de passe de base de données IAM
  Après avoir configuré l'autorisation nécessaire pour l'utilisateur IAM, cet utilisateur peut se connecter à l'aide d'une application client existante, telle que SQL*Plus ou SQLcl, sans configuration supplémentaire.
• Connexions du client qui utilisent un jeton demandé par une application client ou un outil
  Pour l'accès du jeton IAM à la base de données IA autonome, l'application client ou l'outil demande un jeton de base de données à partir du service IAM pour l'utilisateur IAM.

Vous pouvez configurer SQL*Plus pour l'utilisation d'un mot de passe de base de données GIA.

• En tant qu'utilisateur IAM, connectez-vous à l'instance Autonomous AI Database à l'aide de la syntaxe suivante :

  CONNECT user_name@db_connect_string
  Enter password: password

  Dans cette spécification, user_name est le nom d'utilisateur GIA. La combinaison de domain_name/user_name est limitée à 128 octets.

  L'exemple suivant montre comment l'utilisateur IAM peter_fitch peut se connecter à une instance de base de données du service d'intelligence artificielle autonome.

  sqlplus /nolog
  connect peter_fitch@db_connect_string
  Enter password: password

  Certains caractères spéciaux nécessitent des guillemets autour de user_name et password. Exemple :

  "peter_fitch@example.com"@db_connect_string
  
  "IAM database password"

Vous pouvez configurer une connexion de client pour SQL*Plus utilisant un jeton GIA.

1. Assurez-vous de disposer d'un compte d'utilisateur GIA.
2. Vérifiez auprès d'un administrateur IAM et d'un administrateur Oracle Database que vous disposez d'une politique vous permettant d'accéder à la base de données dans le compartiment ou votre location et que vous êtes mappé à un schéma global de la base de données.
3. Si votre application ou votre outil ne prend pas en charge l'intégration GIA directe, téléchargez, installez et configurez l'interface de ligne de commande OCI. (Voir Démarrage rapide avec l'interface de ligne de commande OCI.) Configurez une clé d'API dans le cadre de la configuration de l'interface de ligne de commande OCI et sélectionnez les valeurs par défaut.
   1. Configurez l'accès à la clé d'API pour l'utilisateur GIA.
   2. Extrayez db-token. Exemple :
      • Extraction de db-token avec API-key à l'aide de l'interface de ligne de commande d'Oracle Cloud Infrastructure (OCI) :

        oci iam db-token get

      • Extraction de db-token avec un jeton de sécurité (ou de session) :

        oci iam db-token get --auth security_token

        Si le jeton de sécurité a expiré, une fenêtre s'affiche pour que l'utilisateur puisse se reconnecter à OCI. Cela génère le jeton de sécurité pour l'utilisateur. L'interface de ligne de commande OCI utilisera ce jeton actualisé pour obtenir db-token.

      • Extraction de db-token avec un jeton de délégation : Lorsque vous vous connectez à Cloud Shell, le jeton de délégation est généré automatiquement et placé dans le répertoire /etc. Pour obtenir ce jeton, exécutez la commande suivante dans l'interpréteur de commandes en nuage :

        oci iam db-token get

      • Extraction d'un jeton d'instance à l'aide de l'interface de ligne de commande OCI :

        oci iam db-token get --auth instance_principal

   3. Le client de base de données peut également être configuré pour extraire un jeton de base de données à l'aide du nom d'utilisateur IAM et du mot de passe de base de données IAM.

      Pour plus d'informations, voir Connexions de client qui utilisent un jeton demandé par un nom d'utilisateur IAM et un mot de passe de base de données.

   Pour plus d'informations, voir Clés et OCID requis.
4. Assurez-vous d'utiliser les dernières mises à jour de la version 19c, 21c ou 26ai du client Oracle Database.
   Cette configuration ne fonctionne qu'avec le client Oracle Database version 19c, 21c ou 26ai.
5. Suivez le processus existant pour télécharger le portefeuille à partir de la base de données autonome avec intelligence artificielle, puis suivez les instructions pour le configurer et l'utiliser avec SQL*Plus.
   1. Vérifiez que la mise en correspondance de nom distinctif est activée en recherchant SSL_SERVER_DN_MATCH=ON dans sqlnet.ora.
      Note
      
      Une mise en correspondance partielle ou complète du nom distinctif est requise lors de l'envoi d'un jeton du client de base de données vers la base de données IA autonome. Si la base de données autonome avec intelligence artificielle utilise un point d'extrémité privé, vous devez spécifier une valeur d'hôte pour le paramètre de chaîne de connexion. L'utilisation d'une adresse IP pour le paramètre hôte dans la chaîne de connexion ne fonctionnera pas avec la correspondance de nom distinctif et le jeton IAM ne sera pas envoyé à la base de données.

      Voir Exemples de configuration de points d'extrémité privés sur Autonomous Database pour des informations de configuration sur la façon de définir le paramètre d'hôte lors de l'utilisation d'un point d'extrémité privé.

   2. Configurez le client de base de données pour l'utilisation du jeton GIA en ajoutant TOKEN_AUTH=OCI_TOKEN au fichier sqlnet.ora. Comme vous utiliserez l'emplacement par défaut pour le fichier de jeton de base de données, vous n'avez pas besoin d'inclure l'emplacement du jeton.
   Les valeurs TOKEN_AUTH et TOKEN_LOCATION des chaînes de connexion dans tnsnames.ora ont priorité sur les paramètres de sqlnet.ora pour la connexion. Par exemple, pour la chaîne de connexion, en supposant que le jeton se trouve dans l'emplacement par défaut (~/.oci/db-token pour Linux) :

   (description= 
     (retry_count=20)(retry_delay=3)
     (address=(protocol=tcps)(port=1522)
     (host=example.us-phoenix-1.oraclecloud.com))
     (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
     (security=(ssl_server_dn_match=yes)
     (TOKEN_AUTH=OCI_TOKEN)))
   

connect /@exampledb_high

connect /@(description= 
  (retry_count=20)(retry_delay=3)
  (address=(protocol=tcps)(port=1522)
  (host=example.us-phoenix-1.oraclecloud.com))
  (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
  (security=(ssl_server_cert_dn="CN=example.uscom-east-1.oraclecloud.com, 
     O=Example Corporation, 
     L=Redwood City, ST=California, C=US")
  (TOKEN_AUTH=OCI_TOKEN)))

Une fois que l'utilisateur ADMIN a activé le service IAM pour Oracle Cloud Infrastructure sur Autonomous AI Database, une application peut accéder à la base de données au moyen d'un jeton de base de données IAM pour Oracle Cloud Infrastructure à l'aide d'un principal d'instance.