Utiliser Microsoft Active Directory avec Autonomous AI Database

1. Vérifiez si un autre modèle d'authentification externe est activé dans votre base de données et désactivez-le.

   Vous pouvez continuer avec la configuration CMU-AD au-dessus de Kerberos pour fournir l'authentification CMU-AD Kerberos aux utilisateurs de Microsoft Active Directory.

   Pour plus d'informations, voir Authentification Kerberos pour CMU avec Microsoft Active Directory.

2. Chargez les fichiers de configuration CMU, y compris le fichier de portefeuille de base de données, cwallet.sso et le fichier de configuration CMU, dsi.ora, dans votre magasin d'objets. Cette étape dépend du magasin d'objets que vous utilisez.

   Le fichier de configuration dsi.ora contient les informations permettant de trouver les serveurs Active Directory.

   Si vous utilisez le magasin d'objets Oracle Cloud Infrastructure, voir Ajout de données dans le stockage d'objets pour plus de détails sur le chargement de fichiers.

3. Exécutez la procédure DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION et transmettez un URI d'emplacement avec l'argument JSON params. Vous devez placer les fichiers de configuration cwallet.sso et dsi.ora dans l'emplacement de stockage d'objets spécifié dans le paramètre location_uri.

   Exemple :

   BEGIN
      DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
          type     => 'CMU',
          params   => JSON_OBJECT('location_uri' value 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o',
                                  'credential_name' value 'my_credential_name')
      );
   END;
   /

   Oracle recommande de stocker les fichiers de configuration CMU dans un seau privé du magasin d'objets.

   Dans cet exemple, namespace-string est l'espace de noms du stockage d'objets pour Oracle Cloud Infrastructure et bucketname est le nom du seau. Pour plus d'informations, voir Présentation des espaces de noms du stockage d'objets.

   La valeur credential_name que vous utilisez dans cette étape correspond aux données d'identification pour accéder au magasin d'objets.

   La création de données d'identification pour accéder au magasin d'objets Oracle Cloud Infrastructure n'est pas requise si vous activez les données d'identification du principal de ressource. Pour plus d'informations, voir Utiliser un principal de ressource pour accéder aux ressources Oracle Cloud Infrastructure.

   Si location_uri est une URL préauthentifiée ou une URL pré-signée, l'indication d'une valeur credential_name n'est pas requise.

   La procédure crée un objet répertoire nommé CMU_WALLET_DIR dans votre base de données et copie les fichiers de configuration CMU de l'emplacement du magasin d'objets vers l'objet répertoire. Cette procédure règle également la propriété de base de données CMU_WALLET à la valeur 'CMU_WALLET_DIR' et règle la valeur du paramètre LDAP_DIRECTORY_ACCESS à la valeur PASSWORD pour permettre l'accès de l'instance de base de données IA autonome à Active Directory.

4. Après avoir activé l'authentification CMU, supprimez les fichiers de configuration CMU, y compris le portefeuille de base de données cwallet.sso et le fichier de configuration CMU dsi.ora du magasin d'objets. Vous pouvez utiliser les méthodes du magasin d'objets local pour supprimer ces fichiers ou utiliser DBMS_CLOUD.DELETE_OBJECT pour supprimer les fichiers du magasin d'objets.
5. Lorsque les serveurs Active Directory se trouvent sur un point d'extrémité privé, effectuez des étapes de configuration supplémentaires pour fournir l'accès au point d'extrémité privé.
   1. Réglez la propriété de base de données ROUTE_OUTBOUND_CONNECTIONS à la valeur 'PRIVATE_ENDPOINT'.

      Pour plus d'informations, voir Sécurité améliorée pour les connexions sortantes à l'aide de points d'extrémité privés.

   2. Vérifiez que le fichier de configuration CMU-AD dsi.ora inclut des noms d'hôte. Lorsque ROUTE_OUTBOUND_CONNECTIONS est réglé à 'PRIVATE_TARGET', les adresses IP ne peuvent pas être spécifiées dans dsi.ora.

1. Activez Kerberos dans votre instance Autonomous AI Database à l'aide du serveur Kerberos de Microsoft Active Directory.

   Seuls les serveurs Kerberos Microsoft Active Directory sont pris en charge pour Kerberos lorsque vous configurez l'authentification Kerberos avec CMU-AD.

   1. Pour activer l'authentification Kerberos pour votre base de données d'intelligence artificielle autonome, vous devez obtenir les fichiers de configuration Kerberos : krb.conf et le fichier de table de clés de service v5srvtab.

      Pour générer ces fichiers lorsque vous configurez l'authentification Kerberos avec CMU-AD, vous avez besoin du nom d'hôte du serveur. Vous pouvez obtenir la valeur de l'hôte du serveur à partir de l'attribut PUBLIC_DOMAIN_NAME dans la colonne CLOUD_IDENTITY de V$PDBS. Cette valeur est différente du nom de domaine complet (FQDN) pour une base de données sur un point d'extrémité privé.

      Utilisez la commande suivante pour obtenir le nom d'hôte du serveur :

      SELECT guid ||'/'|| json_value(cloud_identity, '$.PUBLIC_DOMAIN_NAME')
          "KSERVICE/KINSTANCE" FROM v$pdbs;

      Vous pouvez utiliser une commande telle que la suivante pour générer le fichier de table de clés de service :

      ktpass -princ ORACLE/DATABASE_SERVER_HOST_NAME.DATABASE_SERVER_HOST_DOMAIN@ACTIVE_DIRECTORY_DEFAULT_DOMAIN
                       -pass ACTIVE_DIRECTORY_PASSWORD 
                       -mapuser DATABASE_SERVER_HOST_NAME 
                       -crypto ALL 
                       -ptype KRB5_NT_PRINCIPAL 
                       -out database.keytab

      Exemple :

      ktpass -princ ORACLE/user.example.com@example.com 
                       -pass password -mapuser dbexamplekrb 
                       -crypto ALL -ptype KRB5_NT_PRINCIPAL -out database.keytab

      Pour plus d'informations sur ces fichiers et les étapes requises pour les obtenir, voir Configuration de l'authentification Kerberos.

   2. Copiez les fichiers de configuration Kerberos krb.conf et v5srvtab dans un seau du magasin d'objets.

      Cette étape diffère selon le magasin d'objets que vous utilisez.

      Si vous utilisez le magasin d'objets Oracle Cloud Infrastructure, voir Ajout de données dans le stockage d'objets pour plus de détails sur le chargement de fichiers.

   3. Exécutez DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION pour activer l'authentification externe Kerberos.

      Exemple :

      BEGIN
         DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
             type     => 'KERBEROS',
             params   => JSON_OBJECT('location_uri' value 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o',
                                     'credential_name' value 'my_credential_name')
         );
      END;
      /

      Note
      
      Oracle recommande de stocker les fichiers de configuration Kerberos dans un seau privé du magasin d'objets.

      Dans cet exemple, namespace-string est l'espace de noms du stockage d'objets pour Oracle Cloud Infrastructure et bucketname est le nom du seau. Pour plus d'informations, voir Présentation des espaces de noms du stockage d'objets.

      La valeur credential_name que vous utilisez dans cette étape correspond aux données d'identification pour le magasin d'objets.

      Pour plus d'informations, voir Activer l'authentification Kerberos sur une base de données d'IA autonome.

   4. Vérifiez que Kerberos est configuré et activé.

      SELECT property_value FROM database_properties 
            WHERE property_name='KERBEROS_DIRECTORY';

2. Activer et configurer CMU-AD pour Autonomous AI Database.
   1. Chargez les fichiers de configuration CMU, y compris le fichier de portefeuille de base de données, cwallet.sso et le fichier de configuration CMU, dsi.ora, dans votre magasin d'objets.

      Vous chargez cwallet.sso pour que la configuration CMU-AD dispose des données d'identification permettant à l'instance de base de données IA autonome de se connecter au compte de service Active Directory.

      Le fichier de configuration dsi.ora contient les informations permettant de trouver les serveurs Active Directory.

      Cette étape diffère selon le magasin d'objets que vous utilisez.

      Si vous utilisez le magasin d'objets Oracle Cloud Infrastructure, voir Ajout de données dans le stockage d'objets pour plus de détails sur le chargement de fichiers.

   2. Exécutez la procédure DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION et transmettez un URI d'emplacement avec l'argument JSON params. Vous devez placer les fichiers de configuration cwallet.sso et dsi.ora dans l'emplacement de stockage d'objets spécifié dans le paramètre location_uri.

      Exemple :

      BEGIN
         DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
             type     => 'CMU',
             params   => JSON_OBJECT('location_uri' value 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o',
                                     'credential_name' value 'my_credential_name')
         );
      END;
      /

      Oracle recommande de stocker les fichiers de configuration CMU dans un seau privé du magasin d'objets.

      Dans cet exemple, namespace-string est l'espace de noms du stockage d'objets pour Oracle Cloud Infrastructure et bucketname est le nom du seau. Pour plus d'informations, voir Présentation des espaces de noms du stockage d'objets.

      La valeur credential_name que vous utilisez dans cette étape correspond aux données d'identification pour accéder au magasin d'objets.

      La création de données d'identification pour accéder au magasin d'objets Oracle Cloud Infrastructure n'est pas requise si vous activez les données d'identification du principal de ressource. Pour plus d'informations, voir Utiliser un principal de ressource pour accéder aux ressources Oracle Cloud Infrastructure.

      Si location_uri est une URL préauthentifiée ou une URL pré-signée, l'indication d'une valeur credential_name n'est pas requise.

      Pour plus d'informations, voir Préalables pour configurer CMU avec Microsoft Active Directory dans Autonomous AI Database.

   3. Vérifiez que CMU-AD est configuré et activé.

      SELECT property_value FROM database_properties
            WHERE property_name='CMU_WALLET';

3. Après avoir terminé les étapes 1 et 2, vérifiez que la configuration de l'authentification Kerberos avec CMU-AD est terminée.
   1. Connectez-vous à l'instance Autonomous AI Database en tant qu'utilisateur Active Directory de sorte que les informations SYS_CONTEXT soient alimentées dans USERENV.
   2. Interrogez SYS_CONTEXT USERENV.

      SELECT SYS_CONTEXT('USERENV','AUTHENTICATION_METHOD') FROM DUAL;
      
      SYS_CONTEXT('USERENV','AUTHENTICATION_METHOD')                                 
      --------------------------------------------------------------------------------
      KERBEROS_GLOBAL

   Lorsque l'authentification Kerberos est configurée et activée sans CMU-AD, cette interrogation retourne : KERBEROS. Pour plus d'informations, voir Configurer l'authentification Kerberos avec une base de données d'IA autonome.

   Lorsque l'authentification CMU-AD est configurée sans Kerberos, cette interrogation retourne : PASSWORD_GLOBAL. Pour plus d'informations, voir Préalables pour configurer CMU avec Microsoft Active Directory dans Autonomous AI Database.

Pour ajouter des rôles Active Directory, mappez les rôles de base de données globaux à des groupes Active Directory à l'aide d'énoncés CREATE ROLE ou ALTER ROLE (en incluant la clause IDENTIFIED GLOBALLY AS).

1. Connectez-vous en tant qu'utilisateur ADMIN à la base de données configurée pour utiliser Active Directory (l'utilisateur ADMIN dispose des privilèges système CREATE ROLE et ALTER ROLE dont vous avez besoin pour ces étapes).
2. Définissez l'autorisation de base de données pour les rôles de base de données du service d'intelligence artificielle autonome avec l'énoncé CREATE ROLE ou ALTER ROLE. Inclure la clause IDENTIFIED GLOBALLY AS et spécifier le nom distinctif d'un groupe Active Directory.

   Utilisez la syntaxe suivante pour mapper un groupe d'utilisateurs Active Directory à un rôle de base de données global :

   CREATE ROLE global_role IDENTIFIED GLOBALLY AS 
        'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

   Exemple :

   CREATE ROLE widget_sales_role IDENTIFIED GLOBALLY AS
        'CN=widget_sales_group,OU=sales,DC=production,DC=example,DC=com';

   Dans cet exemple, tous les membres de widget_sales_group disposent des autorisations du rôle de base de données widget_sales_role lorsqu'ils se connectent à la base de données.

3. Utilisez des énoncés GRANT pour accorder les privilèges requis ou d'autres rôles au rôle global.

   Exemple :

   GRANT CREATE SESSION TO WIDGET_SALES_ROLE;
   GRANT DWROLE TO WIDGET_SALES_ROLE;

   DWROLE est un rôle prédéfini disposant de privilèges communs. Voir Gérer les privilèges d'utilisateur sur une base de données autonome avec intelligence artificielle - Connexion à un outil client pour plus d'informations sur la définition des privilèges communs pour les utilisateurs d'une base de données autonome avec intelligence artificielle.

4. Pour associer un rôle de base de données existant à un groupe Active Directory, utilisez l'énoncé ALTER ROLE pour modifier le rôle de base de données existant afin de mapper ce rôle à un groupe Active Directory.

   Utilisez la syntaxe suivante pour modifier un rôle de base de données existant afin de le mapper à un groupe Active Directory :

   ALTER ROLE existing_database_role 
      IDENTIFIED GLOBALLY AS 'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

5. Pour créer des mappages de rôles globaux supplémentaires pour d'autres groupes Active Directory, suivez ces étapes pour chaque groupe Active Directory.

Pour ajouter des utilisateurs Active Directory pour accéder à une base de données, mappez des utilisateurs globaux de base de données à des groupes Active Directory ou à des utilisateurs avec des énoncés CREATE USER ou ALTER USER (avec la clause IDENTIFIED GLOBALLY AS).

1. Connectez-vous en tant qu'utilisateur ADMIN à la base de données configurée pour utiliser Active Directory (l'utilisateur ADMIN dispose des privilèges système CREATE USER et ALTER USER requis pour ces étapes).
2. Définissez l'autorisation de base de données pour les utilisateurs de base de données autonome avec des énoncés CREATE USER ou ALTER USER et incluez la clause IDENTIFIED GLOBALLY AS, en spécifiant le nom distinctif d'un utilisateur ou d'un groupe Active Directory.

   Utilisez la syntaxe suivante pour mapper un utilisateur Active Directory à un utilisateur de base de données global :

   CREATE USER global_user IDENTIFIED GLOBALLY AS 'DN_of_an_AD_USER';

   Utilisez la syntaxe suivante pour mapper un groupe Active Directory à un utilisateur de base de données global :

   CREATE USER global_user IDENTIFIED GLOBALLY AS
       'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

   Par exemple, pour mapper un groupe Active Directory nommé widget_sales_group dans l'unité organisationnelle sales du domaine production.example.com à un utilisateur de base de données global partagé nommé WIDGET_SALES :

   CREATE USER widget_sales IDENTIFIED GLOBALLY AS
        'CN=widget_sales_group,OU=sales,DC=production,DC=example,DC=com';
   

   Un mappage d'utilisateur global partagé est créé. Ce mappage, avec l'utilisateur global widget_sales, est en vigueur pour tous les utilisateurs du groupe Active Directory. Ainsi, tout membre de widget_sales_group peut se connecter à la base de données à l'aide de ses données d'identification Active Directory (au moyen du mappage partagé de l'utilisateur global widget_sales).

3. Si vous voulez que les utilisateurs d'Active Directory utilisent un utilisateur de base de données existant, possèdent son schéma et ses données existantes, utilisez ALTER USER pour modifier un utilisateur de base de données existant afin de le mapper à un groupe ou à un utilisateur Active Directory.

   • Utilisez la syntaxe suivante pour modifier un utilisateur de base de données existant afin de le mapper à un utilisateur Active Directory :

     ALTER USER existing_database_user IDENTIFIED GLOBALLY AS 'DN_of_an_AD_USER';

   • Utilisez la syntaxe suivante pour modifier un utilisateur de base de données existant afin de le mapper à un groupe Active Directory :

     ALTER USER existing_database_user 
          IDENTIFIED GLOBALLY AS 'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

4. Pour créer des mappages d'utilisateurs globaux supplémentaires pour d'autres groupes Active Directory, suivez ces étapes pour chaque groupe ou utilisateur Active Directory.

Une fois que l'utilisateur ADMIN a terminé les étapes de configuration CMU Active Directory et créé des rôles globaux et des utilisateurs globaux, les utilisateurs se connectent à la base de données à l'aide de leur nom d'utilisateur et de leur mot de passe Active Directory.

1. Pour vous connecter à la base de données à l'aide d'un nom d'utilisateur et d'un mot de passe Active Directory, connectez-vous comme suit :

   CONNECT "AD_DOMAIN\AD_USERNAME"/AD_USER_PASSWORD@TNS_ALIAS_OF_THE_AUTONOMOUS_DATABASE;

   Exemple :

   CONNECT "production\pfitch"/password@adbname_medium;

   Vous devez inclure des guillemets doubles lorsque le domaine Active Directory est indiqué avec le nom d'utilisateur, comme dans l'exemple suivant : "production\pfitch".

   Dans cet exemple, le nom d'utilisateur Active Directory est pfitch dans le domaine production. L'utilisateur Active Directory est membre du groupe widget_sales_group, identifié par son nom distinctif 'CN=widget_sales_group,OU=sales,DC=production,DC=example,DC=com'.

Lorsque les utilisateurs se connectent à la base de données à l'aide de leur nom d'utilisateur et de leur mot de passe Active Directory, vous pouvez vérifier et vérifier l'activité des utilisateurs.

CONNECT "production\pfitch"/password@exampleadb_medium;

SHOW USER;

USER is "WIDGET_SALES"

SELECT SYS_CONTEXT('USERENV', 'ENTERPRISE_IDENTITY') FROM DUAL;

SQL> SELECT SYS_CONTEXT('USERENV', 'ENTERPRISE_IDENTITY') FROM DUAL;

SYS_CONTEXT('USERENV','ENTERPRISE_IDENTITY')
----------------------------------------------------------------------
cn=Peter Fitch,ou=sales,dc=production,dc=examplecorp,dc=com

SELECT SYS_CONTEXT('USERENV', 'AUTHENTICATED_IDENTITY') FROM DUAL;

SQL> SELECT SYS_CONTEXT('USERENV', 'AUTHENTICATED_IDENTITY') FROM DUAL;

SYS_CONTEXT('USERENV','AUTHENTICATED_IDENTITY')
----------------------------------------------------------------------
production\pfitch

Pour supprimer des utilisateurs et des rôles Active Directory des bases de données d'intelligence artificielle autonomes, utilisez les commandes de base de données standard. Les utilisateurs ou les groupes Active Directory associés mappés à partir des utilisateurs ou des rôles de base de données, ne sont pas supprimés.

1. Connectez-vous à la base de données configurée pour utiliser Active Directory en tant qu'utilisateur disposant du privilège système DROP USER ou DROP ROLE.
2. Supprimez les utilisateurs ou les rôles globaux mappés aux groupes ou aux utilisateurs Active Directory à l'aide de l'énoncé DROP USER ou DROP ROLE.
   Pour plus d'informations, voir Supprimer des utilisateurs de la base de données autonome sur l'IA.

Décrit les étapes pour supprimer la configuration CMU de votre base de données d'IA autonome (et désactiver l'accès LDAP de votre base de données d'IA autonome à Active Directory).

1. Connectez-vous à la base de données IA autonome en tant qu'utilisateur ADMIN.
2. Utilisez DBMS_CLOUD_ADMIN.DISABLE_EXTERNAL_AUTHENTICATION pour désactiver l'authentification CMU.
   Note
   
   Pour exécuter cette procédure, vous devez être connecté en tant qu'utilisateur ADMIN ou disposer du privilège EXECUTE sur DBMS_CLOUD_ADMIN.

   Exemple :

   BEGIN   
      DBMS_CLOUD_ADMIN.DISABLE_EXTERNAL_AUTHENTICATION;
   END;
   /

   Désactive l'authentification CMU sur votre instance de base de données autonome avec intelligence artificielle.