Configurer automatiquement le contrôle d'accès basé sur les rôles à l'aide d'un script

Vous pouvez exécuter le script dans Cloud Shell pour générer rapidement des fichiers de connexions IAM. Ce processus d'automatisation réduit considérablement le temps nécessaire à l'exécution de la configuration RBAC détaillée. Une fois qu'un administrateur a généré le fichier Connexions, il peut être partagé dans toute l'organisation pour autoriser la connexion à la base de données à partir des modules complémentaires de feuille de calcul.

La section suivante explique comment :

Générer un fichier Connexions à l'aide d'un script
Télécharger le fichier Connexions
Autoriser l'accès pour les utilisateurs de domaine

Prérequis

Pour utiliser le script de configuration RBAC, vous devez disposer des éléments suivants :

Un compte d'administrateur dans Oracle Cloud Infrastructure
Un domaine IAM
Instance et schéma Autonomous AI Database

Générer un fichier de connexions à l'aide d'un script

Remarques :

Bien que le script effectue automatiquement les tâches de configuration, il s'agit d'un script interactif, qui nécessite des entrées utilisateur pour continuer.

Connectez-vous à la console Oracle Cloud Infrastructure, si vous n'êtes pas déjà connecté, et procédez comme suit.

Dans l'icône Outils de développement située en regard de la région, ouvrez Cloud Shell et exécutez le fichier de script dans la fenêtre de terminal.
```
adb-create-cred.sh
```
Le script détermine si votre compte cloud Oracle dispose d'une clé d'API et d'une empreinte existantes. S'il est introuvable, le script crée une paire de clés pour vous.
```
You have an existing API Key and Fingerprint! Do you want to try to reuse them? (y/n): y
```
Appuyez sur y pour réutiliser les touches existantes. Le script crée vos informations d'identification natives dans les fichiers SQL et JSON. Pour générer une nouvelle paire de clés d'API, appuyez sur n.
Le script permet de générer un profil AI pour votre base de données.
```
Proceed to generate the AI Profile script? (y/n): n
```
Dans cet exemple, appuyez sur n pour continuer sans profil AI.
Générez des connexions IAM pour les compléments de feuille de calcul.
```
Proceed to generate the Spreadsheet add-ins IAM connection? (y/n): y
```
Appuyez sur y pour continuer.
Sélectionnez le domaine avec les utilisateurs que vous voulez autoriser à se connecter à l'instance de base de données. Saisissez le numéro correspondant dans les domaines disponibles.
```
Select a domain (1-3):
```
Ce script crée les locataires suivants :
- Attribut personnalisé utilisateur nommé RBAC Compléments de feuille de calcul
- Application intégrée au domaine nommée Compléments de feuille de calcul
- Une réclamation personnalisée JWT
Le script génère également un script PL/SQL, create_jwt_profile.sql, contenant les informations de profil JWT.

Remarques :

Vous pouvez réutiliser un attribut utilisateur et une réclamation personnalisée existants ou en créer de nouveaux à l'aide du script. Si une application intégrée existe déjà, vous pouvez en créer une nouvelle, mais toutes les anciennes connexions utilisées par l'application ne sont plus valides.
Exécutez le script d'informations d'identification pour le schéma requis dans votre base de données Autonomous AI.
```
Proceed to run the Credential Scripts on your Autonomous Database? (y/n): y
```
Appuyez sur y pour continuer.

Sélectionnez le compartiment et la base de données où réside le schéma.

Select the number pertaining to your Compartment:
...
Select the number pertaining to your Autonomous Database:

Vous pouvez utiliser un portefeuille cloud existant ou en créer un, si nécessaire. Si le script détecte un portefeuille cloud existant, il vous demande si vous souhaitez le réutiliser.
```
You have an existing Wallet File for [DB_NAME]. Do you want to reuse it? (y/n):
```
Si aucun portefeuille n'existe, vous pouvez en configurer un nouveau.
Indiquez les informations d'identification et de connexion du schéma pour lequel vous souhaitez autoriser la connexion RBAC.
```
Enter Autonomous Database username (ADMIN):
Enter Autonomous Database password:
```
Le script exécute le fichier SQL contenant les informations de profil JWT créées précédemment et génère un fichier Connexions IAM au format JSON dans votre dossier de base.
```
Spreadsheet connection file: [$HOME/iam_connection_[DB_NAME]_[schema].json] created.
```
Remarques :

Vous pouvez copier le nom du fichier Connections en excluant la partie $HOME/ et utiliser le même nom lors du téléchargement du fichier. Si le script est toujours en cours d'exécution, l'utilisation de Ctrl + C pour copier peut arrêter ou interrompre le script de manière forcée.
Enfin, le script vous invite à répéter les étapes et à créer un fichier Connexions pour une autre base de données ou à quitter le script. Par conséquent, vous pouvez configurer l'accès des utilisateurs de domaine pour plusieurs schémas.

Télécharger le fichier de connexions

Dans la fenêtre Cloud Shell, cliquez sur l'icône d'engrenage pour ouvrir le menu Cloud Shell et cliquez sur Télécharger.
Vous pouvez coller le même nom de fichier copié précédemment ou indiquer un nouveau nom pour le fichier Connexions au format JSON.
Cliquez sur Télécharger dans la fenêtre de message pour télécharger le fichier Connexions.

Vous pouvez utiliser le fichier Connexions dans Compléments de feuille de calcul pour vous connecter à votre base de données et la partager avec d'autres utilisateurs.

Autoriser l'accès pour les utilisateurs de domaine

Connectez-vous à la console Oracle Cloud Infrastructure, si vous n'êtes pas déjà connecté, et procédez comme suit.

Cliquez sur le menu latéral, accédez à Identité et sécurité et sélectionnez Domaines.
Sous Nom, cliquez sur le domaine pour lequel vous avez créé le fichier Connexions, par exemple Valeur par défaut.
Accédez à l'onglet Gestion des utilisateurs et cliquez sur le nom utilisateur pour lequel vous souhaitez autoriser l'accès.
Cliquez sur Modifier l'utilisateur pour modifier les informations utilisateur.
Faites défiler la page jusqu'à la section Autres informations. Dans le champ Compléments de feuille de calcul RBAC, entrez SQL Developer.
Cliquez sur Enregistrer les modifications pour ajouter le rôle à l'utilisateur.

A partir d'ORDS 26.2, les rôles ORDS sont désactivés par défaut. Pour utiliser un rôle ORDS, vous devez l'activer. Exemple :

BEGIN
    ords.set_property(
      p_key   => 'security.jwt.profile.allowed.roles',
      p_value => 'SQL Developer'
    );
    COMMIT;
  END;
/

Pour plus d'informations sur les rôles utilisateur ORDS, reportez-vous à A propos des rôles utilisateur Oracle REST Data Services.

Configuration automatique du contrôle d'accès basé sur les rôles à l'aide d'un script