Vous pouvez configurer Oracle Autonomous Database pour qu'il utilise le protocole d'authentification réseau Kerberos afin d'authentifier les utilisateurs de base de données. Kerberos est un protocole d'authentification réseau robuste. Il utilise la cryptographie à clé secrète pour activer l'authentification forte en fournissant l'authentification utilisateur-serveur.

• La prise en charge de Kerberos par Oracle Autonomous Database offre les avantages de l'accès avec connexion unique et de l'authentification centralisée des utilisateurs Oracle. Kerberos est un système d'authentification de tiers sécurisé, qui repose sur des clés secrètes partagées. Il suppose que le tiers est sécurisé et offre des fonctions d'accès avec connexion unique, un stockage centralisé des mots de passe, l'authentification des liens de base de données et renforce la sécurité des ordinateurs. Cela est effectué via un serveur d'authentification Kerberos.

• Le système Kerberos repose sur le concept de ticket. Un ticket est un ensemble d'informations électroniques qui identifient un utilisateur ou un service. Un ticket vous identifie, ainsi que vos privilèges d'accès réseau.

• Dans l'authentification Kerberos, vous envoyez de manière transparente une demande de ticket à un centre de distribution de clés (KDC). Le centre de distribution de clés vous authentifie et vous accorde un ticket pour accéder à la base de données.

Donne un aperçu de l'authentification Kerberos.

SELECT json_value(cloud_identity, '$.PUBLIC_DOMAIN_NAME') "KINSTANCE" FROM v$pdbs;

SELECT SYS_CONTEXT('USERENV', 'KERBEROS_SERVICE_NAME') FROM DUAL;

Affiche les étapes d'activation de l'authentification Kerberos sur votre instance Autonomous Database.

1. Copiez les fichiers de configuration Kerberos krb.conf et v5srvtab dans un bucket de la banque d'objets.

   Si vous utilisez la banque d'objets Oracle Cloud Infrastructure, reportez-vous à Stockage de données dans Object Storage pour plus d'informations sur le téléchargement de fichiers.

2. Exécutez la procédure DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION et transmettez un URI d'emplacement avec l'argument JSON params. Vous devez placer les fichiers de configuration krb.conf et v5srvtab à l'emplacement Object Storage indiqué dans le paramètre location_uri.

   Par exemple :

   BEGIN
      DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
          type     => 'KERBEROS',
          params   => JSON_OBJECT(
                  'location_uri' value 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o',
                  'credential_name' value 'my_credential_name'));
   END;
   /

   Remarque
   
   Oracle recommande de stocker les fichiers de configuration Kerberos dans un bucket privé dans votre banque d'objets.

   Dans cet exemple, namespace-string est l'espace de noms d'objet Oracle Cloud Infrastructure et bucketname est le nom du bucket. Pour plus d'informations, reportez-vous à Présentation des espaces de noms Object Storage.

   Le fichier credential_name que vous utilisez dans cette étape correspond aux informations d'identification de la banque d'objets.

   La création d'informations d'identification pour accéder à la banque d'objets Oracle Cloud Infrastructure n'est pas requise si vous activez les informations d'identification de principal de ressource. Pour plus d'informations, reportez-vous à Utilisation du principal de ressource pour accéder à des ressources Oracle Cloud Infrastructure.

   Si location_uri est une URL pré-authentifiée, il n'est pas nécessaire de fournir une valeur credential_name.

   Cela crée un objet de répertoire nommé KERBEROS_DIR dans votre base de données et utilise les informations d'identification pour télécharger les fichiers de configuration Kerberos de l'emplacement de la banque d'objets vers l'objet de répertoire.

   Vous pouvez spécifier le paramètre params kerberos_service_name pour spécifier un nom de service Kerberos. Par exemple :

   BEGIN
      DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
          type     => 'KERBEROS',
          params   => JSON_OBJECT(
                  'location_uri' value 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o',
                  'credential_name' value 'my_credential_name'
                  'kerberos_service_name' value 'oracle' ));
   END;
   /

3. Après avoir activé l'authentification Kerberos, enlevez les fichiers de configuration krb.conf et v5srvtab de la banque d'objets. Vous pouvez utiliser les méthodes de la banque d'objets locale pour enlever ces fichiers, ou utiliser DBMS_CLOUD.DELETE_OBJECT pour les supprimer de la banque d'objets.

Affiche les étapes de désactivation de l'authentification Kerberos pour votre instance Autonomous Database.

1. Exécutez la procédure DBMS_CLOUD_ADMIN.DISABLE_EXTERNAL_AUTHENTICATION pour désactiver l'authentification Kerberos. Pour exécuter la procédure, vous devez être connecté en tant qu'utilisateur ADMIN ou disposer du privilège EXECUTE sur DBMS_CLOUD_ADMIN.

   BEGIN   
      DBMS_CLOUD_ADMIN.DISABLE_EXTERNAL_AUTHENTICATION;
   END;
   /

   Cela désactive l'authentification Kerberos (ou tout modèle d'authentification externe spécifié) pour Oracle Autonomous Database.

   Pour plus d'informations, reportez-vous à Procédure DISABLE_EXTERNAL_AUTHENTICATION.

Fournit des notes sur l'utilisation de l'authentification Kerberos pour Autonomous Database.