Gli utenti IAM possono connettersi all'istanza di Autonomous Database utilizzando un verificatore password del database IAM o un token IAM.

L'uso del verificatore password del database IAM è simile al processo di autenticazione delle password di Oracle Database. Tuttavia, invece di memorizzare il verificatore password (hash cifrato della password) nel database Oracle, il verificatore viene invece memorizzato come parte del profilo utente IAM Oracle Cloud Infrastructure (OCI).

Il secondo metodo di connessione, l'uso di un token IAM per il database, è più moderno. L'uso dell'accesso basato su token si adatta meglio alle risorse cloud come Autonomous Database. Il token si basa sulla forza che l'endpoint IAM può applicare. Questo può essere l'autenticazione a più fattori, che è più forte dell'uso delle sole password. Un altro vantaggio dell'utilizzo dei token è che il verificatore di password (che è considerato sensibile) non viene mai memorizzato o disponibile in memoria. Quando si utilizzano i token per l'accesso al database è necessaria una connessione TCPS (TLS).

• Connessioni client che utilizzano un verificatore password database IAM
  Dopo aver configurato l'autorizzazione necessaria per l'utente IAM, questo utente può eseguire il login utilizzando l'applicazione client esistente, ad esempio SQL*Plus o SQLcl senza configurazione aggiuntiva.
• Connessioni client che utilizzano un token richiesto da un'applicazione o uno strumento client
  Per l'accesso al token IAM all'Autonomous Database, l'applicazione o lo strumento client richiede un token di database da IAM per l'utente IAM.

È possibile configurare SQL*Plus in modo che utilizzi una password di database IAM.

• L'utente IAM può eseguire il login all'istanza di Autonomous Database utilizzando la seguente sintassi:

  CONNECT user_name@db_connect_string
  Enter password: password

  In questa specifica, user_name è il nome utente IAM. È previsto un limite di 128 byte per il valore domain_name/user_name combinato.

  L'esempio riportato di seguito mostra in che modo l'utente IAM peter_fitch può eseguire il login a un'istanza di Autonomous Database.

  sqlplus /nolog
  connect peter_fitch@db_connect_string
  Enter password: password

  Alcuni caratteri speciali richiedono virgolette doppie intorno a user_name e password. Ad esempio:

  "peter_fitch@example.com"@db_connect_string
  
  "IAM database password"

È possibile configurare una connessione client per SQL*Plus che utilizza un token IAM.

1. Assicurarsi di disporre di un account utente IAM.
2. Contattare un amministratore IAM e un amministratore di Oracle Database per assicurarsi di disporre di un criterio che consenta di accedere al database nel compartimento o nella tenancy e di essere mappati a uno schema globale nel database.
3. Se la tua applicazione o strumento non supporta l'integrazione IAM diretta, scarica, installa e configura l'interfaccia CLI OCI. Vedere Avvio rapido dell'interfaccia della riga di comando OCI. Impostare una chiave API come parte della configurazione dell'interfaccia CLI OCI e selezionare i valori predefiniti.
   1. Impostare l'accesso alla chiave API per l'utente IAM.
   2. Recuperare db-token. Ad esempio:
      • Recupero di un file db-token con un file API-key utilizzando l'interfaccia della riga di comando di Oracle Cloud Infrastructure (OCI):

        oci iam db-token get

      • Recupero di un db-token con un token di sicurezza (o sessione):

        oci iam db-token get --auth security_token

        Se il token di sicurezza è scaduto, verrà visualizzata una finestra in modo che l'utente possa eseguire di nuovo il login a OCI. Questo genera il token di sicurezza per l'utente. L'interfaccia CLI OCI utilizzerà questo token aggiornato per ottenere db-token.

      • Recupero di un token db-token con delega: quando si esegue il login alla cloud shell, il token di delega viene generato e posizionato automaticamente nella directory /etc. Per ottenere questo token, eseguire il comando seguente nella cloud shell:

        oci iam db-token get

      • Recupero di un token di istanza mediante l'interfaccia della riga di comando OCI:

        oci iam db-token get --auth instance_principal

   3. Il client di database può anche essere configurato per recuperare un token di database utilizzando il nome utente IAM e la password del database IAM.

      Per ulteriori informazioni, vedere Connessioni client che utilizzano un token richiesto da un nome utente IAM e una password del database.

   Per ulteriori informazioni, vedere Chiavi e OCID obbligatori.
4. Assicurarsi di utilizzare gli aggiornamenti delle release più recenti per le release client di Oracle Database 19c, 21c o 23ai.
   Questa configurazione funziona solo con i client Oracle Database release 19c, 21c o 23ai.
5. Seguire il processo esistente per scaricare il wallet da Autonomous Database, quindi seguire le istruzioni per configurarlo per l'uso con SQL*Plus.
   1. Verificare che la corrispondenza DN sia abilitata cercando SSL_SERVER_DN_MATCH=ON in sqlnet.ora.
      Nota
      
      La corrispondenza DN parziale o completo è necessaria quando si invia un token dal client del database ad Autonomous Database. Se Autonomous Database utilizza un endpoint privato, è necessario specificare un valore host per il parametro della stringa di connessione. L'uso di un indirizzo IP per il parametro host nella stringa di connessione non funzionerà con la corrispondenza DN e il token IAM non verrà inviato al database.

      Per informazioni sulla configurazione su come impostare il parametro host quando si utilizza un endpoint privato, vedere Esempi di configurazione degli endpoint privati su Autonomous Database.

   2. Configurare il client di database in modo che utilizzi il token IAM aggiungendo TOKEN_AUTH=OCI_TOKEN al file sqlnet.ora. Poiché si utilizzeranno le posizioni predefinite per il file di token del database, non è necessario includere la posizione del token.
   I valori TOKEN_AUTH e TOKEN_LOCATION nelle stringhe di connessione tnsnames.ora hanno la precedenza sulle impostazioni sqlnet.ora per la connessione. Ad esempio, per la stringa di connessione, supponendo che il token si trovi nella posizione predefinita (~/.oci/db-token per Linux):

   (description= 
     (retry_count=20)(retry_delay=3)
     (address=(protocol=tcps)(port=1522)
     (host=example.us-phoenix-1.oraclecloud.com))
     (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
     (security=(ssl_server_dn_match=yes)
     (TOKEN_AUTH=OCI_TOKEN)))
   

connect /@exampledb_high

connect /@(description= 
  (retry_count=20)(retry_delay=3)
  (address=(protocol=tcps)(port=1522)
  (host=example.us-phoenix-1.oraclecloud.com))
  (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
  (security=(ssl_server_cert_dn="CN=example.uscom-east-1.oraclecloud.com, 
     O=Example Corporation, 
     L=Redwood City, ST=California, C=US")
  (TOKEN_AUTH=OCI_TOKEN)))

Dopo che l'utente ADMIN ha abilitato IAM di Oracle Cloud Infrastructure su Autonomous Database, un'applicazione può accedere al database tramite un token di database IAM di Oracle Cloud Infrastructure utilizzando un principal dell'istanza.