Scénario : connexion directe à la base de données IoT

Etape 1 : création d'un VCN pour autoriser la connectivité directe de la base de données à l'hôte de données

Configurez un VCN avec un sous-réseau et une passerelle de service pour accéder directement à la base de données à une connexion privée et sécurisée.

1. Dans votre location Internet of Things, connectez-vous en tant qu'administrateur.
2. Ouvrez le menu de navigation, sélectionnez Fonctions de réseau, puis Réseaux cloud virtuels.
3. Sur la page de liste Réseaux cloud virtuels, sélectionnez Créer un VCN.
4. Saisissez un nom descriptif pour le VCN. Il n'a pas besoin d'être unique et ne peut pas être modifié ultérieurement dans la console. Vous pouvez le modifier ultérieurement à l'aide de l'API ou de la CLI du domaine d'identité. Evitez de saisir des informations confidentielles.
5. Vérifiez le compartiment dans lequel créer le VCN, puis sélectionnez un autre compartiment si nécessaire.
   Remarque
   
   Votre VCN doit se trouver dans la même région que votre groupe de domaines IoT, votre domaine IoT et toutes les autres ressources IoT. Le nombre maximal de réseaux cloud virtuels que vous pouvez associer à un groupe de domaines IoT est de 5.
6. Dans la section Blocs CIDRIPv4 CIDR IPv4, entrez une plage d'adresses IP autorisée à accéder à la base de données, par exemple : 10.0.0.0/16

   Pour obtenir la liste complète des paramètres, reportez-vous à Création d'un VCN.

7. Sélectionnez Créer un VCN.
8. La page de détails Réseau cloud virtuel s'ouvre et sélectionnez l'onglet Sous-réseaux. Sélectionnez Créer un sous-réseau.

   Pour plus d'informations, reportez-vous à Création d'un sous-réseau et à Présentation des réseaux cloud virtuels et des sous-réseaux.

9. Sur la page Créer un sous-réseau, procédez comme suit :
   1. Entrez un nom convivial pour le sous-réseau. Ce nom n'a pas besoin d'être unique et ne peut pas être modifié ultérieurement dans la console. Vous pouvez le modifier ultérieurement à l'aide de l'API de domaine d'identité. Evitez de saisir des informations confidentielles.
   2. Vérifiez le compartiment dans lequel créer le sous-réseau. Sélectionnez un autre compartiment si nécessaire.
   3. Sélectionnez le type de sous-réseau, Régional. Un sous-réseau régional signifie que le sous-réseau peut contenir des ressources dans n'importe quel domaine de disponibilité de la région.
   4. Entrez un bloc CIDRIPv4 CIDR IPv4, par exemple 10.0.0.0/16.
   5. Sélectionnez l'accès au sous-réseau privé afin d'interdire l'adresse IP publique pour les instances de ce sous-réseau.
   6. Cochez la case Utiliser les noms d'hôte DNS dans ce sous-réseau.
   7. Entrez le nom de domaine DNS avec le nom de libellé DNS du sous-réseau :

      <subnet_DNS_label>.<VCN_DNS_label>.oraclevcn.com

   8. Pour le compartiment Options DHCP, sélectionnez le compartiment avec vos ressources IoT. Pour Dhcp Options, sélectionnez les options Dhcp par défaut.
   9. Pour le compartiment de liste de sécurité, sélectionnez le compartiment avec vos ressources IoT. Sélectionnez Liste de sécurité.
   10. Sélectionnez Créer un sous-réseau.
10. La page Détails du réseau cloud virtuel s'ouvre et sélectionnez l'onglet Passerelles. Sous Passerelles de service, sélectionnez Créer une passerelle de service.

    Pour plus d'informations, reportez-vous à Libellés CIDR de service disponibles sur la page Création d'une passerelle de service.

11. Entrez le nom de la passerelle de service. Il ne doit pas nécessairement être unique. Evitez de saisir des informations confidentielles. Sélectionnez le compartiment où créer la passerelle. Sélectionnez un autre compartiment si nécessaire.
12. Pour Services, sélectionnez l'option Tous les services <region> dans Oracle Services Network.
13. Sélectionnez Options avancées, sous Association de table de routage, sélectionnez le compartiment de la table de routage. Utilisez le compartiment pour les ressources IoT associées. Les ressources IoT peuvent se trouver dans des compartiments différents et doivent se trouver dans la même région.
14. Sélectionnez Créer une plate-forme de services.
15. La page de détails des réseaux cloud virtuels s'ouvre et sélectionnez l'onglet Routage.
16. Sous Tables de routage, sélectionnez la table de routage par défaut.
17. Sélectionnez l'onglet Règles de routage, puis Ajouter des règles de routage.
    • Pour Type de cible, sélectionnez Passerelle de service.
    • Pour Service de destination, sélectionnez Tous les services <region> dans Oracle Services Network.
    • Sélectionnez Compartiment de passerelle de service cible : sélectionnez le même compartiment que celui que vous avez sélectionné lors de la création de la passerelle de service à l'étape précédente.
    • Sélectionnez la passerelle de service cible créée à l'étape précédente.
    • Sélectionnez Ajouter des règles de routage.
    Pour plus d'informations, voir Ajouter une règle de routage.
18. La page Détails du réseau cloud virtuel s'ouvre, puis sélectionnez l'onglet Sécurité. Sélectionnez Créer un groupe de sécurité réseau.
    • Entrez un nom, sélectionnez le compartiment que vous avez sélectionné à l'étape précédente.
    • Dans la section Règle, pour la direction, sélectionnez Sortie.
    • Pour le type de destination, sélectionnez CIDR.
    • Dans le champ CIDR de destination, entrez le CIDR de votre environnement, par exemple : 0.0.0.0/0
    • Pour Protocoles IP, sélectionnez Tous les protocoles.
19. Choisissez Créer. Pour plus d'informations, reportez-vous à Groupe de sécurité réseau.
20. Affichez les détails du groupe de sécurité réseau.
21. On the Virtual cloud network details page, copy the OCID for the VCN or VCNs. Utilisez cet OCID ou ces OCID de VCN à l'étape suivante.

Etape 2 : ajout de votre OCID VCN au groupe de domaines IoT

Pour effectuer les étapes suivantes, votre utilisateur doit disposer au moins d'un accès en lecture au VCN ou aux réseaux cloud virtuels à ajouter au groupe de domaines IoT. Pour vérifier si vous disposez d'un accès en lecture au VCN, reportez-vous à Obtention des détails d'un VCN pour visualiser les réseaux cloud virtuels auxquels vous avez accès.

Allow any-user to {VCN_READ} in compartment <compartment-name> where request.principal.type = 'iotdomain'

Etape 3 : création d'une instance de calcul pour l'accès SSH

La création d'une instance de calcul et d'un réseau cloud virtuel (VCN) dans Oracle Cloud Infrastructure fournit un accès SSH (Secure Shell) aux ressources de calcul et crée un environnement réseau isolé sécurisé pour votre machine virtuelle. Le VCN détermine le mode d'accès à votre instance, tandis que l'instance de calcul est le serveur virtuel auquel vous devez vous connecter.

Vous pouvez créer une instance de calcul pour héberger les applications, en fournissant une puissance de calcul pour votre charge de travail, et vous ciblez un réseau cloud virtuel (VCN) pour créer l'instance dans un réseau privé sécurisé dans le cloud, en contrôlant sa connectivité et son isolement par rapport aux autres réseaux et au réseau Internet public. L'utilisation d'un VCN est essentielle pour la sécurité et la connectivité du réseau, ce qui vous permet de définir des sous-réseaux, des passerelles et des règles pour gérer la façon dont les instances communiquent avec d'autres ressources. Pour plus d'informations, reportez-vous aux sections Présentation des réseaux cloud virtuels et des sous-réseaux et Présentation du service Compute.

Etape 4 : création d'un groupe dynamique de domaine d'identité

Etape 5 : création d'un bastion

Etape 6 : ajout du groupe dynamique de domaine d'identité OCI au domaine IoT

Si l'accès aux données pour le domaine IoT est déjà configuré, utilisez la commande oci iot domain get pour confirmer les détails de connexion à la base de données pour un domaine IoT existant. Pour plus d'informations, reportez-vous à Obtention des détails d'un domaine IoT.

Vous pouvez également utiliser cette commande oci iot domain configure-direct-data-access et les paramètres requis pour configurer l'accès d'un domaine IoT afin de vous connecter directement à la base de données.

Remplacez l'OCID de location par l'OCID de location IoT de votre environnement et remplacez-le par le nom du groupe d'identités par le groupe dynamique d'identités, conformément aux instructions ci-après.

Pour le paramètre <identity-group-name>, vous pouvez faire référence au groupe d'identités des utilisateurs ou au groupe dynamique d'identités. Dans cet exemple, le groupe dynamique configuré à l'étape précédente est référencé :

oci iot domain configure-direct-data-access --iot-domain-id <iot-domain-OCID> --db-allow-listed-identity-group-names '["<tenancy-OCID>:<identity-group-name>"]'

Si l'élément <identity-domain-name> ne se trouve pas dans le domaine d'identité par défaut, vous devez indiquer l'élément <identity-domain-name>. Par exemple : <tenancy-OCID>:<identity-domain-name>/<identity-group-name>

oci iot domain configure-direct-data-access --iot-domain-id <iot-domain-OCID> --db-allow-listed-identity-group-names '["<tenancy-OCID>:<identity-domain-name>/<identity-group-name>"]'

Etape 7 : extraction du jeton de base de données à partir du service d'identité à l'aide de la portée de jeton de base de données pour la connexion à la base de données

L'utilisateur ou l'application s'exécutant sur la ou les machines virtuelles, qui se trouvent dans le VCN sur liste d'autorisation, peuvent extraire db-token du service d'identité IAM à l'aide de db-token-scope à l'aide du principal d'instance.

Utilisez la commande suivante : oci iam db-token get --scope --auth instance_principal

oci iam db-token get --scope <urn:oracle:db::id::<database-compartment-OCID> --auth instance_principal

iam db-token get --auth instance_principal --scope urn:oracle:db::id::<database-compartment-OCID>

Private key written at /home/opc/.oci/db-token/oci_db_key.pem
db-token written at: /home/opc/.oci/db-token/token
db-token is valid until 2025-08-30 21:09:45

Etape 8 : Utilisation d'une chaîne de connexion TLS URL JDBC pour le pilote léger JDBC sans portefeuille pour la connexion à la base de données

L'utilisateur ou l'application peut établir une connexion à l'hôte de données à l'aide de db-connection-string et du jeton OCI pour interroger les données de domaine IoT.

Le fichier db-token extrait est ensuite utilisé par le client de base de données, par exemple : SQL*Plus, SQLcl ou un pilote JDBC pour authentifier la connexion à une base de données Oracle configurée pour l'authentification par jeton IAM.

Lors de la connexion à la base de données, l'application JDBC fournit un jeton à celle-ci. La base de données vérifie le jeton à l'aide d'une clé publique qu'elle demande au service d'authentification et extrait les informations d'appartenance au groupe d'utilisateurs correspondant pour rechercher les mappages de schéma et de rôle de base de données afin de terminer l'autorisation utilisateur sur la base de données.

./sql /@"jdbc:oracle:thin:@tcps:adb.<region>.oraclecloud.com:<port>/<database-host-name>.adb.<region>.oraclecloud.com?TOKEN_AUTH=OCI_TOKEN"

En outre, l'application envoie un en-tête signé, ce qui prouve qu'elle possède une clé privée associée à une clé publique intégrée au jeton. Si le jeton et la signature sont valides et qu'il existe une correspondance entre l'utilisateur IAM et un utilisateur de base de données, l'accès à la base de données est accordé à l'application JDBC.

Pour plus d'informations sur l'utilisation de SQLcl, reportez-vous à la documentation Oracle SQLcl.

Vous pouvez maintenant interroger les données de domaine IoT directement dans la base de données.