Utiliser l'authentification multifacteur avec la base de données Autonomous AI

Un canal de notification est le mécanisme utilisé pour transmettre des questions d'authentification à plusieurs facteurs aux utilisateurs, tels que les approbations Push ou les mots de passe à usage unique, dans les flux d'authentification à plusieurs facteurs (AMF) de connexion (LOGON) et d'authentification à plusieurs facteurs de jeton d'accès SQL. Les canaux pris en charge comprennent les applications de messagerie, de SMS, de Slack et d'authentificateur, et chaque canal nécessite des attributs de configuration spécifiques, par exemple des détails SMTP pour la remise de courriels ou une configuration d'espace de travail Slack pour Slack, afin de s'assurer que les messages sont distribués de manière sécurisée et fiable à l'utilisateur prévu.

Avant de configurer les canaux de notification, assurez-vous que vous avez configuré les informations d'identification requises pour les canaux que vous prévoyez d'utiliser. Notez que certains canaux s'appliquent uniquement à l'authentification à plusieurs facteurs LOGON, par exemple OMA et Duo, tandis que d'autres s'appliquent uniquement à l'authentification à plusieurs jetons d'accès SQL, par exemple OMA, Slack et email. Par conséquent, configurez uniquement ce dont vous avez besoin pour le flux d'authentification à plusieurs facteurs choisi.

Le tableau suivant récapitule les canaux de notification d'authentification à plusieurs facteurs disponibles et indique le type d'authentification à plusieurs facteurs pris en charge par chaque canal (authentification à plusieurs facteurs et/ou authentification à plusieurs facteurs par jeton d'accès SQL), ainsi que la méthode de notification correspondante (livraison ou approbation Push OTP).

Utilisez la procédure DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION pour définir les canaux de notification utilisés pour transmettre les messages d'authentification à plusieurs facteurs (par exemple, les questions de vérification par jeton d'accès SQL). Dans cette procédure, vous indiquez le type de canal (courriel, Slack ou authentificateur, par exemple) et fournissez les attributs ou références d'informations d'identification propres au canal requis pour une distribution sécurisée et fiable. Etant donné que chaque canal a des exigences différentes, les valeurs d'attribut que vous fournissez dépendent du canal que vous configurez. Reportez-vous aux exemples suivants pour connaître les entrées attendues par canal.

Notification par courriel

Configurez l'objet d'informations d'identification par courriel et les paramètres de notification SMTP afin qu'Oracle puisse envoyer des courriels liés à l'authentification à plusieurs facteurs. Ceci est requis pour la configuration de la connexion à l'authentification à plusieurs facteurs (OMA et Duo), y compris les courriels d'enregistrement d'appareil ; sans cela, les utilisateurs ne recevront pas les notifications d'enregistrement requises. Le courriel n'est pas un deuxième facteur pris en charge pour la connexion à l'authentification à plusieurs facteurs : la distribution des mots de passe à usage unique par courriel n'est prise en charge que pour l'authentification à plusieurs facteurs par jeton d'accès SQL.

Pour configurer un fournisseur de messagerie personnalisé pour l'envoi de jetons d'accès à l'authentification à plusieurs facteurs, vous devez créer des informations d'identification de fournisseur de messagerie dans la base de données à l'aide de la procédure DBMS_CLOUD.CREATE_CREDENTIAL. Par exemple :

BEGIN
   DBMS_CLOUD.CREATE_CREDENTIAL(
       credential_name => 'EMAIL_CRED_01',
       username        => '<username>',
       password        => '<password>'
   );
END;
/

Accordez à la base de données le droit de se connecter à votre hôte SMTP pour envoyer des courriels en mettant à jour la liste de contrôle d'accès (ACL). Par exemple :

BEGIN
  DBMS_NETWORK_ACL_ADMIN.APPEND_HOST_ACE(
    host        => 'smtp.email.us-ashburn-1.oci.oraclecloud.com',
    lower_port  => 587,
    upper_port  => 587,
    ace         => xs$ace_type(
                     privilege_list  => xs$name_list('SMTP'),
                     principal_name  => 'ADMIN',
                     principal_type  => xs_acl.ptype_db
                   )
  );
END;
/

Définissez les paramètres du canal de courriel pour la distribution des jetons d'accès à l'authentification à plusieurs facteurs à l'aide des informations d'identification que vous avez créées. Par exemple :

BEGIN
  DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION(
    notification_type => 'EMAIL',
    attributes       => JSON_OBJECT(
      'credential_name'                 VALUE 'EMAIL_CRED_01',
      'smtp_host'                       VALUE 'smtp.email.us-ashburn-1.oci.oraclecloud.com',
      'smtp_port'                       VALUE 465,
      'sender'                          VALUE 'mfa_alerts@example.com',
      'sender_email_display_name'       VALUE 'DB MFA ALERTS'
    )
  );
END;
/

Notification Slack

Créez des informations d'identification pour stocker en toute sécurité les détails d'authentification de votre intégration Slack. Par exemple :

BEGIN
  DBMS_CLOUD.CREATE_CREDENTIAL(
    credential_name => 'SLACK_CRED',
    username        => 'username',
    password        => '<password>'
  );
END;
/

Autorisez la base de données à se connecter à l'adresse d'API de Slack en mettant à jour la liste de contrôle d'accès pour les appels HTTPS sortants. Par exemple :

BEGIN
  DBMS_NETWORK_ACL_ADMIN.APPEND_HOST_ACE (
    host           => 'slack.com',
    lower_port     => 443,
    upper_port     => 443,
    ace            => xs$ace_type(
                        privilege_list  => xs$name_list('http'),
                        principal_name  => 'ADMIN',
                        principal_type  => xs_acl.ptype_db
                      )
  );
END;
/

Configurez le canal Slack pour la distribution de jetons d'authentification à plusieurs facteurs en référençant les informations d'identification que vous avez créées. Par exemple :

BEGIN
  DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION(
    notification_type => 'SLACK',
    attributes        => JSON_OBJECT(
      'credential_name' VALUE 'SLACK_CRED'
    )
  );
END;
/

Notification Oracle Mobile Authenticator (OMA)

Créez des informations d'identification pour stocker en toute sécurité l'ID client OMA et la clé secrète client. Par exemple :

BEGIN
  DBMS_CLOUD.CREATE_CREDENTIAL(
    credential_name => 'OMA_CRED',
    username        => '<username>',
    password        => '<password>'
  );
END;
/

Définissez le canal de notification OMA et associez-le aux informations d'identification et à l'adresse d'API OMA que vous avez créées. Par exemple :

BEGIN
  DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION(
    notification_type => 'OMA',
    attributes        => JSON_OBJECT(
      'credential_name' VALUE 'OMA_CRED',
      'api_endpoint'    VALUE 'https://idcs-c*****************60.identity.oraclecloud.com'
    )
  );
END;
/

Notification Cisco DUO

Créez des informations d'identification pour stocker en toute sécurité la clé d'intégration et la clé secrète DUO. Par exemple :

BEGIN
  DBMS_CLOUD.CREATE_CREDENTIAL(
    credential_name => 'DUO_CRED',
    username        => '<integrationkey>',
    password        => '<secretkey>'
  );
END;
/

Configurez le canal de notification DUO en l'associant aux informations d'identification créées et en indiquant l'adresse d'API DUO.

BEGIN
  DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION(
    notification_type => 'DUO',
    attributes        => JSON_OBJECT(
      'credential_name' VALUE 'DUO_CRED',
      'api_endpoint'    VALUE 'api-855fd6a0.duosecurity.com'
    )
  );
END;
/

Une fois le canal de notification configuré, l'étape suivante consiste à inscrire un utilisateur de base de données existant pour l'authentification à plusieurs facteurs. Lors de l'inscription, définissez le type d'authentification à plusieurs facteurs sur Authentification à plusieurs facteurs lors de la connexion ou Authentification à plusieurs facteurs par jeton d'accès SQL. Vous pouvez éventuellement indiquer le canal de notification. S'il n'est pas fourni, le courriel est utilisé par défaut. Toutefois, pour l'authentification à plusieurs facteurs de type connexion, vous devez indiquer OMA ou Duo comme canal. Vous pouvez également définir des attributs de jeton personnalisés pour personnaliser le comportement du jeton d'accès SQL pour l'utilisateur.

Pour plus d'informations, reportez-vous à DBMS_MFA_ADMIN.REGISTER_USER.

Pour exécuter des instructions SQL dans une session protégée par l'authentification par jeton d'accès SQL, vous devez valider votre session à l'aide d'un code secret à usage unique fourni via le canal de notification configuré. L'utilisateur doit disposer du privilège requis sur DBMS_MFA.

L'utilisation d'attributs de jeton globaux et de niveau utilisateur permet d'équilibrer l'application centralisée de la sécurité avec la flexibilité nécessaire pour répondre aux besoins d'accès individuels.

Définir des attributs globaux de jeton d'accès SQL

Utilisez la procédure DBMS_MFA_ADMIN.SET_GLOBAL_TOKEN_ATTRIBUTES pour configurer les attributs globaux de jeton d'accès SQL par défaut. Cette procédure définit un ensemble global de valeurs d'attribut de jeton (fournies en tant que JSON) que la base de données applique automatiquement chaque fois qu'un jeton d'accès SQL est émis pour les utilisateurs inscrits pour l'authentification à plusieurs facteurs de jeton d'accès SQL. Vous pouvez également définir des attributs de jeton propres à l'utilisateur pour remplacer ces valeurs par défaut globales si nécessaire.

BEGIN
  DBMS_MFA_ADMIN.SET_GLOBAL_TOKEN_ATTRIBUTES(
    attributes => '{
      "duration_min": 60,
      "scope": "session",
      "idle_timeout_min": 15,
      "read_only": false
    }'
  );
END;
/

Définit des attributs de jeton globaux pour tous les utilisateurs inscrits pour l'authentification multifacteur de jeton d'accès SQL, tels que la durée du jeton, la portée, le délai d'inactivité et l'accès en lecture seule. Ces attributs globaux servent de paramètres par défaut et sont automatiquement appliqués à chaque utilisateur activé pour l'authentification à plusieurs facteurs par jeton d'accès SQL, sauf si des attributs propres à l'utilisateur sont définis pour les remplacer.

Pour plus d'informations, reportez-vous à Procédure SET_GLOBAL_TOKEN_ATTRIBUTES.

Définir les attributs de jeton pour la connexion et le jeton d'accès SQL