Connettersi ad Autonomous Database con autenticazione IAM (Identity and Access Management)

Gli utenti IAM possono connettersi all'istanza di Autonomous Database utilizzando un verificatore di password del database IAM o un token IAM.

L'uso del verificatore delle password del database IAM è simile al processo di autenticazione delle password di Oracle Database. Tuttavia, invece che il verificatore delle password (hash crittografato della password) memorizzato nel database Oracle, il verificatore viene invece memorizzato come parte del profilo utente IAM di Oracle Cloud Infrastructure (OCI).

Il secondo metodo di connessione, l'uso di un token IAM per il database, è più moderno. L'uso dell'accesso basato su token è la soluzione migliore per le risorse cloud come Autonomous Database. Il token si basa sull'efficacia che l'endpoint IAM può applicare. Questo può essere l'autenticazione a più fattori, che è più forte dell'uso delle password da solo. Un altro vantaggio dell'utilizzo dei token è che il verificatore delle password (che è considerato sensibile) non viene mai memorizzato o disponibile in memoria. È necessaria una connessione TCPS (TLS) quando si utilizzano i token per l'accesso al database.

• Connessioni client che utilizzano un verificatore password database IAM
  Dopo aver configurato l'autorizzazione necessaria per l'utente IAM, questo utente può eseguire il login utilizzando un'applicazione client esistente, ad esempio SQL*Plus o SQLcl senza ulteriori configurazioni.
• Connessioni client che utilizzano un token richiesto da un'applicazione o uno strumento client
  Per l'accesso al token IAM ad Autonomous Database, l'applicazione o lo strumento client richiede un token di database da IAM per l'utente IAM.

È possibile configurare SQL*Plus in modo che utilizzi una password del database IAM.

• In qualità di utente IAM, eseguire il login all'istanza di Autonomous Database utilizzando la sintassi seguente:

  CONNECT user_name@db_connect_string
  Enter password: password

  In questa specifica, user_name è il nome utente IAM. Esiste un limite di 128 byte per il domain_name/user_name combinato.

  L'esempio riportato di seguito mostra come l'utente IAM peter_fitch può eseguire il login a un'istanza di Autonomous Database.

  sqlplus /nolog
  connect peter_fitch@db_connect_string
  Enter password: password

  Alcuni caratteri speciali richiederanno virgolette doppie intorno a user_name e password. Ad esempio:

  "peter_fitch@example.com"@db_connect_string
  
  "IAM database password"

È possibile configurare una connessione client per SQL*Plus che utilizza un token IAM.

1. Assicurarsi di disporre di un account utente IAM.
2. Contattare un amministratore IAM e un amministratore Oracle Database per assicurarsi di disporre di un criterio che consenta di accedere al database nel compartimento o nella tenancy e di essere mappati a uno schema globale nel database.
3. Se la tua applicazione o strumento non supporta l'integrazione diretta IAM, scarica, installa e configura l'interfaccia CLI OCI. Vedere Avvio rapido dell'interfaccia a riga di comando OCI. Impostare una chiave API come parte della configurazione dell'interfaccia CLI OCI e selezionare i valori predefiniti.
   1. Impostare l'accesso alla chiave API per l'utente IAM.
   2. Recuperare il valore db-token. Ad esempio:
      • Recupero di un db-token con un API-key mediante l'interfaccia della riga di comando di Oracle Cloud Infrastructure (OCI):

        oci iam db-token get

      • Recupero di un db-token con un token di sicurezza (o di sessione):

        oci iam db-token get --auth security_token

        Se il token di sicurezza è scaduto, verrà visualizzata una finestra in modo che l'utente possa eseguire di nuovo il login a OCI. Questo genera il token di sicurezza per l'utente. L'interfaccia CLI OCI utilizzerà questo token aggiornato per ottenere il token db-token.

      • Recupero di un db-token con un token di delega: quando si esegue il login a cloud shell, il token di delega viene generato e posizionato automaticamente nella directory /etc. Per ottenere questo token, eseguire il comando seguente in cloud shell:

        oci iam db-token get

      • Recupero di un token di istanza mediante l'interfaccia della riga di comando OCI:

        oci iam db-token get --auth instance_principal

   3. Il client di database può anche essere configurato per recuperare un token di database utilizzando il nome utente IAM e la password del database IAM.

      Per ulteriori informazioni, vedere Connessioni client che utilizzano un token richiesto da un nome utente e una password database IAM.

   Per ulteriori informazioni, vedere Chiavi e OCID obbligatori.
4. Assicurarsi di utilizzare gli aggiornamenti della release più recenti per le release client di Oracle Database 19c, 21c o 23ai.
   Questa configurazione funziona solo con il client Oracle Database release 19c, 21c o 23ai.
5. Seguire il processo esistente per scaricare il wallet da Autonomous Database, quindi seguire le istruzioni per la configurazione per l'uso con SQL*Plus.
   1. Verificare che la corrispondenza DN sia abilitata cercando SSL_SERVER_DN_MATCH=ON in sqlnet.ora.
      Nota
      
      Quando si invia un token dal client di database ad Autonomous Database, è necessaria una corrispondenza DN parziale o completa. Se Autonomous Database utilizza un endpoint privato, è necessario specificare un valore host per il parametro della stringa di connessione. L'uso di un indirizzo IP per il parametro host nella stringa di connessione non funzionerà con la corrispondenza DN e il token IAM non verrà inviato al database.

      Per informazioni sulla configurazione di come impostare il parametro host quando si utilizza un endpoint privato, vedere Esempi di configurazione degli endpoint privati in Autonomous Database.

   2. Configurare il client di database per utilizzare il token IAM aggiungendo TOKEN_AUTH=OCI_TOKEN al file sqlnet.ora. Poiché verranno utilizzate le posizioni predefinite per il file di token del database, non è necessario includere la posizione del token.
   I valori TOKEN_AUTH e TOKEN_LOCATION nelle stringhe di connessione tnsnames.ora hanno la precedenza sulle impostazioni sqlnet.ora per tale connessione. Ad esempio, per la stringa di connessione, supponendo che il token si trovi nella posizione predefinita (~/.oci/db-token per Linux):

   (description= 
     (retry_count=20)(retry_delay=3)
     (address=(protocol=tcps)(port=1522)
     (host=example.us-phoenix-1.oraclecloud.com))
     (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
     (security=(ssl_server_dn_match=yes)
     (TOKEN_AUTH=OCI_TOKEN)))
   

connect /@exampledb_high

connect /@(description= 
  (retry_count=20)(retry_delay=3)
  (address=(protocol=tcps)(port=1522)
  (host=example.us-phoenix-1.oraclecloud.com))
  (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
  (security=(ssl_server_cert_dn="CN=example.uscom-east-1.oraclecloud.com, 
     O=Example Corporation, 
     L=Redwood City, ST=California, C=US")
  (TOKEN_AUTH=OCI_TOKEN)))

Dopo che l'utente ADMIN ha abilitato Oracle Cloud Infrastructure IAM su Autonomous Database, un'applicazione può accedere al database tramite un token di database IAM Oracle Cloud Infrastructure utilizzando un principal dell'istanza.