Création et gestion des utilisateurs sur la base de données Autonomous AI

Vous pouvez stocker les mots de passe utilisateur en toute sécurité dans un coffre externe et les référencer à partir de la base de données, au lieu de les gérer directement dans la base de données.

Lorsqu'un utilisateur s'authentifie à l'aide d'informations d'identification basées sur une clé secrète, la base de données extrait le mot de passe du coffre lors de la connexion, génère des vérificateurs d'authentification et termine le processus d'authentification. Le mot de passe utilisateur n'est jamais stocké dans la base de données.

La base de données Autonomous AI prend en charge les fournisseurs de coffre suivants pour les informations d'identification de clé secrète de coffre :

• Oracle Cloud Infrastructure Vault
• Coffre de clés Azure
• AWS Secrets Manager
• Gestionnaire de clés secrètes GCP

Vous pouvez créer des utilisateurs de base de données sur une base de données Autonomous AI qui s'authentifient à l'aide d'un mot de passe stocké en toute sécurité dans une clé secrète du coffre cloud pris en charge.

La section suivante décrit le provisionnement d'une clé secrète de coffre, la définition d'informations d'identification et la création d'un utilisateur de base de données qui extrait les détails d'authentification de manière sécurisée à partir du coffre :

1. Créez les informations d'identification de clé secrète de coffre :
   Après avoir créé la clé secrète, créez un objet d'informations d'identification de clé secrète de coffre qui stocke les métadonnées requises pour accéder à la clé secrète :

   BEGIN
   DBMS_CLOUD.CREATE_CREDENTIAL(
   credential_name => 'vault_credential_name',
   params => JSON_OBJECT(
   'username' VALUE 'database_username',
   'secret_id' VALUE 'vault_secret_identifier',
   'region' VALUE 'vault_region'
   )
   );
   END;
   /

   • credential_name : indique le nom que vous affectez à l'objet d'informations d'identification dans la base de données. Il s'agit du paramètre auquel vous faites référence lors de la création de l'utilisateur.
   • username : indique le nom utilisateur de base de données associé au mot de passe stocké dans la clé secrète externe.
   • secret_id : indique l'identificateur unique de la clé secrète dans le coffre externe. Pour Oracle Cloud Infrastructure Vault, il s'agit de la clé secrète de coffre OCID. Cette valeur de paramètre varie selon les fournisseurs de coffre.
   • region : indique la base de données dans laquelle la région contient la clé secrète de coffre.

   Selon le fournisseur de coffre, vous devrez peut-être fournir des champs propres au fournisseur équivalents, tels que region, azure_vault_name ou gcp_project_id. Pour plus d'informations, reportez-vous à Utilisation des informations d'identification de clé secrète de coffre.

2. Créez l'utilisateur de base de données :
   Une fois les informations d'identification de clé secrète de coffre créées, créez l'utilisateur de base de données et référencez-les :

   CREATE USER database_username IDENTIFIED BY CREDENTIAL
   "credential_schema"."vault_credential_name";
   GRANT CREATE SESSION TO database_username;

   • database_username : indique le nom du nouvel utilisateur de base de données que vous créez.
   • IDENTIFIED BY CREDENTIAL : indique que l'utilisateur s'authentifiera à l'aide de l'authentification basée sur une clé secrète, en extrayant le mot de passe du coffre au lieu de le stocker localement.
   • credential_schema : indique le schéma auquel appartient l'objet d'informations d'identification.
   • vault_credential_name : indique le nom des informations d'identification pointant vers la clé secrète de coffre que vous avez créée dans la procédure DBMS_CLOUD.CREATE_CREDENTIAL précédente.

   Une fois l'utilisateur créé, la base de données Autonomous AI utilise la clé secrète de coffre référencée lors de l'authentification afin que l'utilisateur se connecte avec le mot de passe stocké dans le gestionnaire de clés secrètes externe.

Cette section traite de la mise à jour du mot de passe d'un utilisateur existant en référençant des informations d'identification de clé secrète de coffre.

Vous pouvez configurer un utilisateur pour qu'il s'authentifie à l'aide d'un mot de passe stocké en toute sécurité dans un coffre externe au lieu d'être défini directement dans la base de données. Il s'agit d'une authentification basée sur une clé secrète. Lorsque vous utilisez cette option, la base de données extrait le mot de passe du coffre lors de l'exécution via un objet d'informations d'identification, plutôt que de stocker ou d'exposer le mot de passe dans des instructions SQL ou des métadonnées.

L'utilisation de l'authentification basée sur une clé secrète améliore la sécurité en éliminant les mots de passe en texte brut des opérations de base de données, ce qui réduit le risque d'exposition accidentelle dans les scripts, les journaux ou les pistes d'audit. Elle simplifie également la rotation des mots de passe et la gestion centralisée des informations d'identification, car les mises à jour peuvent être gérées dans le coffre sans qu'il soit nécessaire de modifier les définitions des utilisateurs de base de données.

L'instruction ALTER USER permet de mettre à jour un utilisateur existant pour qu'il utilise des informations d'identification basées sur un coffre sans supprimer ni recréer le compte. Cela préserve les privilèges et les rôles existants.

GRANT EXECUTE ON vault_credential_name TO user_or_role;

Fournit les étapes de définition du mot de passe ADMIN.

1. Sur la page Détails, dans la liste déroulante Actions supplémentaires, sélectionnez Mot de passe d'administrateur.
2. Dans le panneau Mot de passe de l'administrateur, entrez le nouveau mot et confirmez-Le.
3. Cliquez sur Modifier.

Affiche les étapes permettant de déverrouiller le compte utilisateur ADMIN.

1. Sur la page Détails, dans la liste déroulante Actions supplémentaires, sélectionnez Mot de passe d'administrateur.
2. Dans la page Mot de passe de l'administrateur, entrez le nouveau mot et confirmez-la.
3. Cliquez sur Modifier.