Utilisation du principal de service Azure pour accéder aux ressources Azure

Activez l'authentification de principal de service Azure pour permettre à Autonomous AI Database d'accéder aux services Azure sans fournir d'informations d'identification à long terme.

1. Obtenez votre ID de locataire Microsoft Azure Active Directory.

   Pour plus d'informations, reportez-vous à Recherche de l'ID de locataire Azure Active Directory.

2. Activez le principal de service Azure avec DBMS_CLOUD_ADMIN.ENABLE_PRINCIPAL_AUTH.

   Par exemple :

   BEGIN
       DBMS_CLOUD_ADMIN.ENABLE_PRINCIPAL_AUTH(
           provider => 'AZURE',
           username => 'adb_user',
           params   => JSON_OBJECT('azure_tenantid' value 'azure_tenantID'));
   END;
   /

   Cela permet l'authentification du principal de service Azure et crée une application Azure sur Autonomous AI Database.

   Pour que l'utilisateur indiqué dispose de privilèges permettant d'activer le principal de service Azure pour d'autres utilisateurs, définissez le paramètre params grant_option sur TRUE.

   Par exemple :

   BEGIN
       DBMS_CLOUD_ADMIN.ENABLE_PRINCIPAL_AUTH(
           provider => 'AZURE',
           username => 'adb_user',
           params   => JSON_OBJECT('grant_option' value TRUE, 
                                   'azure_tenantid' value 'azure_tenantID'));
   END;
   /

   Une fois cette commande exécutée, adb_user peut activer le principal de service Azure pour un autre utilisateur. Par exemple, si vous connectez-vous en tant que adb_user, vous pouvez exécuter la commande suivante :

   BEGIN
       DBMS_CLOUD_ADMIN.ENABLE_PRINCIPAL_AUTH(
           provider => 'AZURE',
           username => 'adb_user2');
   END;
   /

Pour accéder aux ressources Azure à partir d'Autonomous AI Database avec l'authentification de principal de service Azure, vous devez consentir à l'application Azure et affecter des rôles pour autoriser l'accès à vos ressources Azure.

1. Sur la requête Autonomous AI Database CLOUD_INTEGRATIONS.

   Par exemple :

   SELECT param_name, param_value FROM CLOUD_INTEGRATIONS;
   
   PARAM_NAME        PARAM_VALUE
   --------------- ------------------------------------------------------------------------------------------------------------------------------------------
   azure_tenantid    29981886-6fb3-44e3-82ab-d870b0e8e7eb
   azure_consent_url https://login.microsoftonline.com/f8cdef31-91255a/oauth2/v2.0/authorize?client_id=d66f1b5-1250d5445c0b&response_type=code&scope=User.read
   azure_app_name    ADBS_APP_OCID1.AUTONOMOUSDATABASE.REGION1.SEA.ANZWKLJSZLYNB3AAWLYL3JVC4ICEXLB3ZG6WTCX735JSSY2NRHOBU4DZOOVA

   La vue CLOUD_INTEGRATIONS est disponible pour l'utilisateur ADMIN ou pour un utilisateur doté du rôle DWROLE.

2. Dans un navigateur, ouvrez l'URL de consentement Azure, indiquée par le paramètre azure_consent_url.

   Par exemple, copiez et entrez l'URL dans votre navigateur :

   https://login.microsoftonline.com/f8cdef31-91255a/oauth2/v2.0/authorize?client_id=d66f1b5-1250d5445c0b&response_type=code&scope=User.read

   La page Droits d'accès demandés s'ouvre et affiche une demande de consentement, semblable à la suivante :

   
   Description de l'illustration azure_consent.png
3. Pour donner votre consentement, cliquez sur Accepter.
4. Dans la console Microsoft Azure, affectez les rôles à accorder pour autoriser l'accès aux ressources Azure spécifiées.

   Par exemple, si vous voulez accéder à Azure Blob Storage à partir d'Autonomous AI Database, affectez des rôles afin que l'application Azure (le principal de service) ait accès à Azure Blob Storage.

   Remarque
   
   Pour utiliser le stockage BLOB Azure, vous avez besoin d'un compte de stockage Azure. Si vous n'avez pas de compte de stockage Azure, créez un compte de stockage. Pour plus d'informations, reportez-vous à Créer un compte de stockage.
   1. Sur la console Microsoft Azure, sous Services Azure, sélectionnez Comptes de stockage.
   2. Sous Comptes de stockage, cliquez sur le compte de stockage auquel accorder l'accès au principal de service.
   3. Sur la gauche, cliquez sur Contrôle d'accès (IAM).
   4. Dans la zone supérieure, cliquez sur + Ajouter → Ajouter une affectation de rôle.
   5. Dans la zone de recherche, saisissez du texte pour restreindre la liste des rôles que vous voyez. Par exemple, entrez Blob de stockage pour afficher les rôles disponibles qui contiennent Blob de stockage.
   6. Sélectionnez un ou plusieurs rôles appropriés pour l'accès que vous voulez accorder. Par exemple, sélectionnez Contributeur de données BLOB de stockage.
   7. Cliquez sur Suivant.
   8. Dans Ajouter une affectation de rôle, sous Membres, cliquez sur + Sélectionner des membres.
   9. Sous Sélectionner des membres, dans le champ de sélection, entrez l'élément azure_app_name répertorié à l'étape 1 (colonne param_value de la vue CLOUD_INTEGRATIONS).
   10. Sélectionnez l'application.

       Par exemple, cliquez sur ADBS_APP_OCID1.AUTONOMOUSDATABASE.REGION1.SEA.ANZWKLJSZLYNB3AAWLYL3JVC4ICEXLB3ZG6WTCX735JSSY2NRHOBU4DZOOVA.

   11. Cliquez sur Sélectionner.
   12. Cliquez sur Vérifier + affecter.
5. Cliquez à nouveau sur Vérifier + Affecter.

   Après avoir affecté un rôle, vous devez attendre, car la propagation des affectations de rôle dans Azure peut prendre jusqu'à cinq minutes.

Lorsque vous effectuez des appels DBMS_CLOUD pour accéder aux ressources Azure et que vous indiquez le nom des informations d'identification AZURE$PA, l'authentification côté Azure se produit à l'aide du principal de service Azure.

SELECT * FROM DBMS_CLOUD.LIST_OBJECTS('AZURE$PA', 'https://treedata.blob.core.windows.net/treetypes/');

OBJECT_NAME BYTES CHECKSUM                 CREATED              LAST_MODIFIED        
----------- ----- ------------------------ -------------------- -------------------- 
trees.txt      58 aCB1qMOPVobDLCXG+2fcvg== 2022-04-07T23:03:01Z 2022-04-07T23:03:01Z

Pour désactiver l'accès aux ressources Azure à partir de la base de données Autonomous AI avec le principal de service Azure, utilisez DBMS_CLOUD_ADMIN.DISABLE_PRINCIPAL_AUTH.

BEGIN
    DBMS_CLOUD_ADMIN.DISABLE_PRINCIPAL_AUTH(
        provider => 'AZURE',
        username => 'adb_user');
END;
/

Remarques concernant l'utilisation du principal de service Azure.

• Clonage d'une instance de base de données Autonomous AI avec le principal de service Azure : lorsque vous clonez une instance avec le principal de service Azure activé, la configuration du principal de service Azure n'est pas transférée vers le clone. Effectuez les étapes permettant d'activer le principal de service Azure sur le clone si vous voulez activer le principal de service Azure sur une instance clonée.