L'accesso cross-tenancy a un'istanza DBaaS di Oracle Cloud Infrastructure (OCI) è simile a uno scenario a tenancy singolo, ad eccezione del fatto che le informazioni sulla tenancy sono necessarie per i mapping e le richieste di token e che un criterio è necessario in entrambe le tenancy per consentire l'accesso alle risorse del database tra tenancy.

La figura riportata di seguito illustra il processo per un accesso cross-tenancy a un'istanza DBaaS OCI.

Figura 3-1 Accesso cross-tenancy a un'istanza DBaaS OCI

Descrizione della "Figura 3-1 Accesso cross-tenancy a un'istanza DBaaS OCI"

Il processo cross-tenancy è il seguente:

1. Il criterio è necessario in entrambe le tenancy per approvare e ammettere l'accesso tra tenancy.
2. Il principal IAM (utente o applicazione) richiede un token DB per una risorsa cross-tenancy.
3. Viene restituito il file db-token che viene utilizzato per accedere al database in una tenancy diversa
4. Il database eseguirà una query di gruppo cross-tenancy per i gruppi dell'utente e mapperà il principal allo schema globale e ai ruoli globali facoltativi.

È necessario eseguire la sottoscrizione della tenancy utente alle stesse aree in cui si trovano i database. Ad esempio, se i database nella tenancy del database si trovano nelle aree PHX e IAD, è necessario eseguire la sottoscrizione della tenancy utente a queste aree. Questa non è l'area di origine, ma solo le aree sottoscritte aggiuntive nella tenancy utente.

È necessario creare criteri sia nella tenancy utente che nella tenancy delle risorse del database per consentire l'accesso al database cross-tenancy.

• Configurazione della tenancy utente di origine
  Per consentire l'accesso cross-tenancy nella tenancy utente, sono necessari due criteri.
• Configurazione della tenancy della risorsa di database di destinazione
  La tenancy del database avrà bisogno di criteri corrispondenti per abilitare l'accesso agli utenti dalla tenancy dell'utente e consentire ai propri database di eseguire query sulle informazioni dei gruppi nella tenancy dell'utente
• Esempi di criteri per l'accesso cross-tenancy
  Gli esempi includono l'uso di una clausola WHERE per perfezionare la configurazione cross-tenancy e altri metodi per eseguire questo tipo di configurazione.

Quando si esegue questo tipo di mapping, è necessario aggiungere l'OCID della tenancy alle informazioni di mapping in modo che il database sappia che si tratta di accesso cross-tenancy.

• Per utilizzare l'istruzione CREATE USER per eseguire il mapping, effettuare le operazioni riportate di seguito.
  Gli esempi riportati di seguito mostrano il mapping esclusivo e condiviso dello schema con principal e gruppi nei domini predefiniti e non predefiniti. Quando si utilizzano i domini predefiniti, non è necessario includere un nome di dominio.

  CREATE USER schema1 IDENTIFIED GLOBALLY 
  AS 'IAM_PRINCIPAL_NAME=ocid1.tenancy.OCID:example_domain/peter.fitch@oracle.com';
  
  CREATE USER schema2 IDENTIFIED GLOBALLY 
  AS 'IAM_PRINCIPAL_NAME=ocid1.tenancy.OCID:peter.fitch@oracle.com';
  
  CREATE USER qa_db_user_group IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.OCID:example_domain/xt_db_users';
  
  CREATE USER qa_sales_user_group IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.OCID:sales_users';
  
  CREATE USER xt_ip_user IDENTIFIED GLOBALLY 
  AS 'IAM_PRINCIPAL_OCID=ocid1.instance.region1.sea.OCID';
  GRANT CREATE SESSION TO xt_ip_user;
  
  CREATE USER xt_iam_dg IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.region1.OCID:sales_principals';
  GRANT CREATE SESSION TO xt_iam_dg;

• Per utilizzare l'istruzione CREATE ROLE per eseguire il mapping, effettuare le operazioni riportate di seguito.
  Gli esempi riportati di seguito mostrano il mapping dei ruoli globali con gruppi nei domini predefiniti e non predefiniti. Quando si utilizzano i domini predefiniti, non è necessario includere un nome di dominio.

  CREATE ROLE globalrole1 IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.abcdef:example_domain/xt_db_users';
  
  CREATE ROLE globalrole2 IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.abcdef:sales_users';

È possibile configurare direttamente alcuni client di database.

La tenancy del database deve essere identificata nella stringa di connessione o in sqlnet.ora se il client è configurato per ottenere direttamente il token di accesso da IAM OCI. Consultare la documentazione specifica del client per i valori dei parametri specifici (JDBC-thin, ODP.NET-core, gestito).

È necessario aggiungere il parametro --scope al comando dell'interfaccia della riga di comando di Oracle Cloud Infrastructure (OCI) per ottenere un valore db-token per una richiesta cross-tenancy. Se il database a cui si sta accedendo si trova in un'area diversa dall'area di origine della tenancy dell'utente, è necessario aggiungere l'area anche al comando CLI OCI utilizzando il parametro --region.

Per ulteriori informazioni sull'utilizzo dei parametri opzionali del comando oci get, vedere Parametri opzionali.

Puoi applicarlo all'intera tenancy o applicarlo a un compartimento o a un database nella tenancy. Quando si applica l'ambito per il compartimento o il database tra tenancy, non è necessario aggiungere anche le informazioni sulla tenancy perché gli OCID del compartimento e del database sono univoci in OCI.

Alcuni clienti possono richiedere i token direttamente da MSEI. Fare riferimento alla documentazione relativa all'impostazione dei parametri per ottenere i token di accesso MSEI OAuth2.