Configurer manuellement le contrôle d'accès basé sur les rôle (RAP)

• créer des attributs personnalisés pour les utilisateurs,
• Affecter un rôle personnalisé
• Créer un domaine Application intégrée
• Définir la déclaration personnalisée
  • créer une application intégrée de domaine d'identité,
  • Créer une nouvelle réclamation pour le jeton JWT
• Activer la connexion IAM pour le schéma de base de données Autonomous AI
• Créer un fichier de connexion

1. Cliquez sur le menu latéral et accédez à Identité et sécurité, puis sélectionnez Domaines. Sous Nom, cliquez sur le domaine Par défaut.
2. Accédez à l'onglet Gestion des schémas et sélectionnez Attributs utilisateur.
   
   
   Description de l'image rbac-user-attributes.png
   
   
3. Cliquez sur Ajouter un attribut et indiquez les informations suivantes :
   • Nom d'affichage : ORDS RBAC
   • Nom :rbac_ords
   • Description :Contrôle d'accès basé sur les rôles pour ORDS
   • Type de données : tableau de chaînes :

   Vous pouvez laisser les autres champs à leur état par défaut.

   
   
   
   Description de l'image role-based-add-attributes-dialog.png
   
   

   Cliquez sur Ajouter. Vous avez ajouté l'attribut personnalisé.

4. Recherchez l'attribut que vous venez d'ajouter en saisissant Personnalisé dans le champ de recherche. Vous pouvez afficher l'attribut ORDS RBAC dans la liste.
   
   
   Description de l'illustration rbac-filter.png ci-après
   
   

   Cliquez sur Modifier un attribut.

5. Copiez et notez la valeur de FQN (Nom complet qualifié).
   
   
   Description de l'illustration rbac-fqn.png ci-après
   
   

   Dans cet exemple, le FQN est urn:ietf:params:scim:schemas:idcs:extension:custom:User:rbac_ords.

1. Accédez à : Identité → Domaines → Valeur par défaut. Cliquez sur l'onglet Gestion des utilisateurs et sélectionnez votre nom utilisateur dans la liste des utilisateurs affichée.
   
   
   
   Description de l'illustration rbac-edit-user.png ci-après
   
   

   Cliquez sur Modifier l'utilisateur. Faites défiler la page vers le bas jusqu'au champ Autres informations et entrez SQL Developer, SODA Developer sous ORDS RBAC.

   Pour plus d'informations sur les rôles ORDS, reportez-vous à ce chapitre sur A propos des rôles utilisateur Oracle REST Data Services.

   
   
   
   Description de l'image rbac-other-information-field.png
   
   

   Une fois les rôles ajoutés, cliquez sur Enregistrer les modifications.

1. Accédez à : Identité → Domaines → Valeur par défaut.
2. Cliquez sur l'onglet Applications intégrées et sélectionnez Ajouter une application.
3. Cliquez sur Application confidentielle et sélectionnez Lancer le workflow.
   • Entrez le nom de l'application : Application intégrée de domaine d'identité
   • Entrer la description : Il s'agit d'une application intégrée au domaine.

   Cliquez sur Soumettre.

4. Sur la page Application intégrée de domaine d'identité, sélectionnez l'onglet Configuration OAuth.
5. Cliquez sur Modifier la configuration OAuth dans Configuration du serveur de ressources. Dans la boîte de dialogue Modifier la configuration OAuth, indiquez les champs suivants :
   • Sous Configuration du client, sélectionnez la valeur par défautConfigurer cette application comme client maintenant.
   • Sous Autorisation, sélectionnez Informations d'identification client. Conservez l'état par défaut des autres configurations.
   • Sélectionnez Ajouter des rôles d'application.
     
     
     
     Description de l'image rbac-edit-oauth-config-identity-domain.png
     
     
   • Dans la boîte de dialogue Ajouter des rôles d'application, cliquez sur Administrateur de domaine d'identité, puis sélectionnez Ajouter.
     
     
     
     Description de l'image rbac-edit-app-roles.png
     
     
   • Une fois les rôles d'application ajoutés, cliquez sur Soumettre.
   • Activez l'application.
     Remarque
     
     Veillez à noter l'ID client et la clé secrète client dans la section Informations générales de l'application intégrée.

     
     

     
     Description de l'image rbac-client-secret.png

     
     

• Client ID : 123a1234e1234567aa12345a1abcdefg1
• Client Secret : idcscs-12a1a123-a123-1234-1234-e1a05aabc123
• Domain URL: https://idcs-a123ab1ab12a4bb99a9aa9ab99aabbb9.identity.oraclecloud.com:443

export ACCESS_TOKEN=$(curl -s -i -u"123a1234e1234567aa12345a1abcdefg1: idcscs-12a1a123-a123-1234-1234-e1a05aabc123" -H "Content-Type: application/x-www-form-urlencoded;charset=UTF-8" --request POST https://idcs-a123ab1ab12a4bb99a9aa9ab99aabbb9.identity.oraclecloud.com:443/oauth2/v1/token -d "grant_type=client_credentials&scope=urn:opc:idm:__myscopes__" |
          tail -n +1 | grep -o '"access_token":"[^"]*' | cut -d'"'
        -f4)
 

echo $ACCESS_TOKEN

urn:ietf:params:scim:schemas:idcs:extension:custom:User:rbac_ords

urn:ietf:params:scim:schemas:idcs:extension:custom:User.rbac_ords

curl -i -X POST (DOMAIN URL)/admin/v1/CustomClaims -H"Cache-Control: no-cache" -H"Accept:application/json" -H"Content-Type:application/json" -H"Authorization: Bearer $ACCESS_TOKEN" -d '{
    "schemas": [
        "urn:ietf:params:scim:schemas:oracle:idcs:CustomClaim"
    ],
    "name": "(ROLE CLAIM NAME)",
    "value": "$user.(MODIFIED FQN).*",     
    "expression": true,
    "mode": "always",
    "tokenType": "AT",
    "allScopes": false,
    "scopes": [
    "ssaddin/rbac"
  ]
}'

1. Dans l'onglet Navigator de la feuille de calcul SQL, sélectionnez ORDS_METADATA dans la liste déroulante Schema.
2. Sélectionnez Packages dans la liste déroulante Type d'objet.
3. Saisissez ORDS_SECURITY dans le champ de recherche. La fonction de recherche extrait toutes les entrées qui commencent par ORDS_SECURITY.
4. Développez le package ORDS_SECURITY.
   
   
   
   Description de l'image run-package.png
   
   
5. Cliquez avec le bouton droit de la souris sur CREATE_JWT_PROFILE et cliquez sur RUN. La boîte de dialogue RUN CODE s'ouvre.
   Dans la boîte de dialogue Run Code…, indiquez les valeurs de champ suivantes :

   • P_ISSUER- https://identity.oraclecloud.com/. Ce champ doit être une valeur non NULL et doit être rempli à l'aide d'une seule virgule.
   • P_AUDIENCE-ssaddin/. Ce champ doit être une valeur non NULL.
   • P_JWK_URL : ajoutez l'URL DOMAIN à la fin avec /admin/v1/SigningCert/jwk. Il doit s'agir d'une valeur non NULL commençant par https :// et identifier la clé de vérification publique fournie par le serveur d'autorisation au format de clé Web JSON (JWK).

     Vous pouvez afficher l'URL de domaine dans l'onglet Informations sur le domaine présent dans le menu Domaines du menu de navigation Identité et sécurité de la console OCI.

   • P_DESCRIPTION : entrez la description de ce profil. Par exemple, "RBAC JWT Demo confluence".
   • P_ALLOWED_AGE-"0"
   • P_ALLOWED_SKEW-"0"
   • P_ROLE_CLAIM_NAME- "ssaddin.role"

   Cliquez sur Insérer un code dans la feuille de calcul.

   
   
   
   Description de l'illustration rbac-run-code.png ci-après
   
   

   Exécutez la procédure.

   
   
   
   Description de l'illustration rbac-run-code-command.png ci-après
   
   

   La procédure PL/SQL terminée s'affiche dans le panneau de sortie.