Connexion à Autonomous Database avec l'authentification Identity and Access Management (IAM)

Les utilisateurs IAM peuvent se connecter à l'instance Autonomous Database à l'aide d'un vérificateur ou d'un jeton IAM de mot de passe de base de données IAM.

L'utilisation du vérificateur de mot de passe de base de données IAM est semblable au processus d'authentification par mot de passe Oracle Database. Toutefois, au lieu que le vérificateur de mot de passe (hachage crypté du mot de passe) soit stocké dans la base de données Oracle, il est stocké dans le profil utilisateur Oracle Cloud Infrastructure (OCI) IAM.

La seconde méthode de connexion, qui consiste à utiliser un jeton IAM pour la base de données, est plus moderne. L'utilisation de l'accès basé sur un jeton convient mieux à des ressources cloud telles qu'Autonomous Database. Le jeton est basé sur la sécurité appliquée par l'adresse IAM. Il peut s'agir d'une authentification à plusieurs facteurs, plus forte que les simples mots de passe. L'utilisation de jetons présente un autre avantage : le vérificateur de mot de passe (considéré comme sensible) n'est jamais stocké ni disponible en mémoire. Une connexion TLS (TCPS) est requise lors de l'utilisation de jetons pour l'accès à la base de données.

• Connexions client qui utilisent un vérificateur de mot de passe de base de données IAM
  Une fois l'autorisation requise pour l'utilisateur IAM configurée, cet utilisateur peut se connecter à l'aide d'une application client existante, telle que SQL*Plus ou SQLcl, sans configuration supplémentaire.
• Connexions client à l'aide d'un jeton demandé par une application ou un instrument client
  Pour l'accès par jeton IAM à Autonomous Database, l'application ou l'outil client demande un jeton de base de donnée à IAM pour l'utilisateur IAM.

Vous pouvez configurer SQL*Plus en vue de l'utilisation d'un mot de passe de base de données IAM.

• En tant qu'utilisateur IAM, connectez-vous à l'instance Autonomous Database à l'aide de la syntaxe suivante :

  CONNECT user_name@db_connect_string
  Enter password: password

  Dans cet exemple, user_name est le nom utilisateur IAM. Il existe une limite de 128 octets pour la combinaison domain_name/user_name.

  L'exemple suivant montre comment l'utilisateur IAM peter_fitch peut Se connecter à un instance Autonomous Database.

  sqlplus /nolog
  connect peter_fitch@db_connect_string
  Enter password: password

  Certains caractères spéciaux requièrent l'utilisation de guillemets autour du nom utilisateur et du mot de passe. Par exemple :

  "peter_fitch@example.com"@db_connect_string
  
  "IAM database password"

Vous pouvez configurer une connexion client pour SQL*Plus en vue de l'utilisation d'un jeton IAM.

1. Assurez-vous que vous disposez d'un compte utilisateur IAM.
2. Vérifiez auprès d'un administrateur IAM et d'un administrateur Oracle Database que vous disposez d'une stratégie vous permettant d'accéder à la base de données dans le compartiment ou dans la location, et que vous avez été mise en correspondance avec un schéma global dans la base de données.
3. Si votre application ou outil ne prend pas en charge l'intégration IAM directe, téléchargez, installez et configurez l'interface de ligne de commande OCI. (Reportez-vous à Démarrage rapide de l'interface de ligne de commande OCI.) Configurez une clé d'API dans le cadre de la configuration de l'interface de ligne de commande OCI et sélectionnez des valeurs par défaut.
   1. Configurez l'accès à la clé d'API de l'utilisateur IAM.
   2. Extrayez la valeur db-token. Par exemple :
      • Extraction d'une valeur db-token avec API-key à l'aide de l'interface de ligne de commande Oracle Cloud Infrastructure (OCI) :

        oci iam db-token get

      • Extraction d'une valeur db-token avec un jeton de sécurité (ou de session) :

        oci iam db-token get --auth security_token

        Si le jeton de sécurité a expiré, une fenêtre apparaît afin que l'utilisateur puisse de nouveau se connecter à OCI. Cela génère le jeton de sécurité de l'utilisateur. L'interface de ligne de commande OCI utilise ce jeton actualisé pour obtenir la valeur db-token.

      • Extraction d'une valeur db-token avec un jeton de délégation : lorsque vous vous connectez à Cloud Shell, le jeton de délégation est automatiquement généré et placé dans le répertoire /etc. Pour obtenir ce jeton, exécutez la commande suivante dans le cloud shell :

        oci iam db-token get

      • Extraction d'un jeton d'instance à l'aide de l'interface de ligne de commande OCI :

        oci iam db-token get --auth instance_principal

   3. The database client can also be configured to retrieve a database token using the IAM username and IAM database password.

      Pour plus d'informations, reportez-vous à Connexions client utilisant un jeton demandé par le nom utilisateur et le mot de passe des bases de données IAM.

   Pour plus d'informations, reportez-vous à Clés et OCID requis.
4. Vérifiez que vous utilisez les dernières mises à jour de la version du client Oracle Database 19c, 21c ou 23ai.
   Cette configuration fonctionne uniquement avec le client Oracle Database version 19c, 21c ou 23ai.
5. Suivez le processus existant pour télécharger le portefeuille à partir d'Autonomous Database. Ensuite, suivez les instructions permettant d'en configurer l'utilisation avec SQL*Plus.
   1. Recherchez SSL_SERVER_DN_MATCH=ON dans sqlnet.ora pour vérifier que la correspondance de nom distinctif est activée.
      Remarque
      
      Une correspondance de nom distinctif partielle ou complète est requise lors de l'envoi d'un jeton à partir du client de base de données vers Autonomous Database. Si Autonomous Database utilise une adresse privée, vous devez indiquer une valeur d'hôte pour le paramètre de chaîne de connexion. L'utilisation d'une adresse IP pour le paramètre d'hôte dans la chaîne de connexion ne fonctionnera pas avec la correspondance de nom distinctif et le jeton IAM ne sera pas envoyé à la base de données.

      Pour plus d'informations sur la définition du paramètre d'hôte lors de l'utilisation d'une adresse privée, reportez-vous à Exemples de configuration d'adresses privées sur Autonomous Database.

   2. Ajoutez TOKEN_AUTH=OCI_TOKEN au fichier sqlnet.ora pour configurer le client de base de données de sorte qu'il utilise le jeton IAM. Etant donné que vous utiliserez les emplacements par défaut pour le fichier de jeton de base de données, vous n'avez pas besoin d'inclure d'emplacement de jeton.
   Les valeurs TOKEN_AUTH et TOKEN_LOCATION des chaînes de connexion tnsnames.ora sont prioritaires sur les paramètres sqlnet.ora de la connexion. Par exemple, pour la chaîne de connexion, en supposant que le jeton se trouve à l'emplacement par défaut (~/.oci/db-token pour Linux) :

   (description= 
     (retry_count=20)(retry_delay=3)
     (address=(protocol=tcps)(port=1522)
     (host=example.us-phoenix-1.oraclecloud.com))
     (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
     (security=(ssl_server_dn_match=yes)
     (TOKEN_AUTH=OCI_TOKEN)))
   

connect /@exampledb_high

connect /@(description= 
  (retry_count=20)(retry_delay=3)
  (address=(protocol=tcps)(port=1522)
  (host=example.us-phoenix-1.oraclecloud.com))
  (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
  (security=(ssl_server_cert_dn="CN=example.uscom-east-1.oraclecloud.com, 
     O=Example Corporation, 
     L=Redwood City, ST=California, C=US")
  (TOKEN_AUTH=OCI_TOKEN)))

Une fois que l'utilisateur ADMIN a activé Oracle Cloud Infrastructure IAM sur Autonomous Database, une application peut accéder à la base de données via un jeton de base de données Oracle Cloud Infrastructure IAM à l'aide d'un principal d'instance.