1. Verificare se nel database è abilitato un altro schema di autenticazione esterno e disabilitarlo.

   È possibile continuare con la configurazione CMU-AD sopra Kerberos per fornire l'autenticazione Kerberos CMU-AD per gli utenti di Microsoft Active Directory.

   Per ulteriori informazioni, vedere Autenticazione Kerberos per CMU con Microsoft Active Directory.

2. Caricare i file di configurazione CMU, inclusi il file wallet del database, cwallet.sso e il file di configurazione CMU, dsi.ora nell'area di memorizzazione degli oggetti. Questo passo dipende dall'area di memorizzazione degli oggetti utilizzata.

   Il file di configurazione dsi.ora contiene le informazioni per trovare i server Active Directory.

   Se si utilizza l'area di memorizzazione degli oggetti Oracle Cloud Infrastructure, vedere Inserimento dei dati nello storage degli oggetti per i dettagli sul caricamento dei file.

3. Eseguire la procedura DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION e passare un URI di posizione con l'argomento JSON params. È necessario inserire i file di configurazione cwallet.sso e dsi.ora nella posizione di storage degli oggetti specificata nel parametro location_uri.

   Ad esempio:

   BEGIN
      DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
          type     => 'CMU',
          params   => JSON_OBJECT('location_uri' value 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o',
                                  'credential_name' value 'my_credential_name')
      );
   END;
   /

   Oracle consiglia di memorizzare i file di configurazione CMU in un bucket privato nell'area di memorizzazione degli oggetti.

   In questo esempio, namespace-string è lo spazio di nomi dello storage degli oggetti Oracle Cloud Infrastructure e bucketname è il nome del bucket. Per ulteriori informazioni, vedere Informazioni sugli spazi di nomi dello storage degli oggetti.

   Il file credential_name utilizzato in questo passo sono le credenziali per accedere all'area di memorizzazione degli oggetti.

   La creazione di una credenziale per accedere all'area di memorizzazione degli oggetti di Oracle Cloud Infrastructure non è necessaria se si abilitano le credenziali del principal risorsa. Per ulteriori informazioni, consulta la sezione relativa all'uso del principal delle risorse per accedere alle risorse di Oracle Cloud Infrastructure.

   Se location_uri è un URL preautenticato o pre-firmato, non è necessario fornire un credential_name.

   La procedura crea un oggetto directory denominato CMU_WALLET_DIR nel database e copia i file di configurazione CMU dalla posizione dell'area di memorizzazione degli oggetti all'oggetto directory. Questa procedura imposta inoltre la proprietà del database CMU_WALLET sul valore 'CMU_WALLET_DIR' e imposta il valore del parametro LDAP_DIRECTORY_ACCESS sul valore PASSWORD per abilitare l'accesso dall'istanza di Autonomous Database ad Active Directory.

4. Dopo aver abilitato l'autenticazione CMU, rimuovere i file di configurazione CMU, inclusi il wallet del database cwallet.sso e il file di configurazione CMU dsi.ora dall'area di memorizzazione degli oggetti. È possibile utilizzare i metodi dell'area di memorizzazione degli oggetti locale per rimuovere questi file oppure utilizzare DBMS_CLOUD.DELETE_OBJECT per eliminare i file dall'area di memorizzazione degli oggetti.
5. Quando i server Active Directory si trovano su un endpoint privato, eseguire ulteriori passi di configurazione per fornire l'accesso all'endpoint privato.
   1. Impostare la proprietà del database ROUTE_OUTBOUND_CONNECTIONS sul valore 'PRIVATE_ENDPOINT'.

      Per ulteriori informazioni, vedere Maggiore sicurezza per le connessioni in uscita con endpoint privati.

   2. Verificare che il file di configurazione CMU-AD dsi.ora includa i nomi host. Quando ROUTE_OUTBOUND_CONNECTIONS è impostato su 'PRIVATE_TARGET', gli indirizzi IP non possono essere specificati in dsi.ora.

1. Abilitare Kerberos nell'istanza di Autonomous Database utilizzando il server Kerberos Microsoft Active Directory.

   Solo i server Kerberos Microsoft Active Directory sono supportati per Kerberos quando si configura l'autenticazione Kerberos con CMU-AD.

   1. Per abilitare l'autenticazione Kerberos per Autonomous Database, è necessario ottenere i file di configurazione Kerberos: krb.conf e il file della tabella delle chiavi di servizio v5srvtab.

      Per generare questi file quando si configura l'autenticazione Kerberos con CMU-AD è necessario il nome host del server. È possibile ottenere il valore dell'host del server dall'attributo PUBLIC_DOMAIN_NAME nella colonna CLOUD_IDENTITY di V$PDBS. Questo valore è diverso dal nome dominio completamente qualificato (FQDN) per un database in un endpoint privato.

      Usare il comando seguente per ottenere il nome host del server:

      SELECT guid ||'/'|| json_value(cloud_identity, '$.PUBLIC_DOMAIN_NAME')
          "KSERVICE/KINSTANCE" FROM v$pdbs;

      È possibile utilizzare un comando simile al seguente per generare il file della tabella delle chiavi di servizio:

      ktpass -princ ORACLE/DATABASE_SERVER_HOST_NAME.DATABASE_SERVER_HOST_DOMAIN@ACTIVE_DIRECTORY_DEFAULT_DOMAIN
                       -pass ACTIVE_DIRECTORY_PASSWORD 
                       -mapuser DATABASE_SERVER_HOST_NAME 
                       -crypto ALL 
                       -ptype KRB5_NT_PRINCIPAL 
                       -out database.keytab

      Ad esempio:

      ktpass -princ ORACLE/user.example.com@example.com 
                       -pass password -mapuser dbexamplekrb 
                       -crypto ALL -ptype KRB5_NT_PRINCIPAL -out database.keytab

      Per ulteriori informazioni su questi file e sui passi necessari per ottenerli, vedere Configurazione dell'autenticazione Kerberos.

   2. Copiare i file di configurazione Kerberos krb.conf e v5srvtab in un bucket nell'area di memorizzazione degli oggetti.

      Questo passo varia a seconda dell'area di memorizzazione degli oggetti utilizzata.

      Se si utilizza l'area di memorizzazione degli oggetti Oracle Cloud Infrastructure, vedere Inserimento dei dati nello storage degli oggetti per i dettagli sul caricamento dei file.

   3. Eseguire DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION per abilitare l'autenticazione esterna Kerberos.

      Ad esempio:

      BEGIN
         DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
             type     => 'KERBEROS',
             params   => JSON_OBJECT('location_uri' value 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o',
                                     'credential_name' value 'my_credential_name')
         );
      END;
      /

      Nota
      
      Oracle consiglia di memorizzare i file di configurazione Kerberos in un bucket privato nell'area di memorizzazione degli oggetti.

      In questo esempio, namespace-string è lo spazio di nomi dello storage degli oggetti Oracle Cloud Infrastructure e bucketname è il nome del bucket. Per ulteriori informazioni, vedere Informazioni sugli spazi di nomi dello storage degli oggetti.

      Il valore credential_name utilizzato in questo passo sono le credenziali per l'area di memorizzazione degli oggetti.

      Per ulteriori informazioni, vedere Abilita autenticazione Kerberos su Autonomous Database.

   4. Verificare che Kerberos sia configurato e abilitato.

      SELECT property_value FROM database_properties 
            WHERE property_name='KERBEROS_DIRECTORY';

2. Abilita e configura CMU-AD su Autonomous Database.
   1. Caricare i file di configurazione CMU, inclusi il file wallet del database, cwallet.sso e il file di configurazione CMU, dsi.ora nell'area di memorizzazione degli oggetti.

      Caricare il file cwallet.sso in modo che la configurazione CMU-AD disponga delle credenziali per l'istanza di Autonomous Database per connettersi all'account del servizio Active Directory.

      Il file di configurazione dsi.ora contiene le informazioni per trovare i server Active Directory.

      Questo passo varia a seconda dell'area di memorizzazione degli oggetti utilizzata.

      Se si utilizza l'area di memorizzazione degli oggetti Oracle Cloud Infrastructure, vedere Inserimento dei dati nello storage degli oggetti per i dettagli sul caricamento dei file.

   2. Eseguire la procedura DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION e passare un URI di posizione con l'argomento JSON params. È necessario inserire i file di configurazione cwallet.sso e dsi.ora nella posizione di storage degli oggetti specificata nel parametro location_uri.

      Ad esempio:

      BEGIN
         DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
             type     => 'CMU',
             params   => JSON_OBJECT('location_uri' value 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o',
                                     'credential_name' value 'my_credential_name')
         );
      END;
      /

      Oracle consiglia di memorizzare i file di configurazione CMU in un bucket privato nell'area di memorizzazione degli oggetti.

      In questo esempio, namespace-string è lo spazio di nomi dello storage degli oggetti Oracle Cloud Infrastructure e bucketname è il nome del bucket. Per ulteriori informazioni, vedere Informazioni sugli spazi di nomi dello storage degli oggetti.

      Il file credential_name utilizzato in questo passo sono le credenziali per accedere all'area di memorizzazione degli oggetti.

      La creazione di una credenziale per accedere all'area di memorizzazione degli oggetti di Oracle Cloud Infrastructure non è necessaria se si abilitano le credenziali del principal risorsa. Per ulteriori informazioni, consulta la sezione relativa all'uso del principal delle risorse per accedere alle risorse di Oracle Cloud Infrastructure.

      Se location_uri è un URL preautenticato o pre-firmato, non è necessario fornire un credential_name.

      Per ulteriori informazioni, vedere Prerequisiti per la configurazione di CMU con Microsoft Active Directory su Autonomous Database.

   3. Verificare che CMU-AD sia configurato e abilitato.

      SELECT property_value FROM database_properties
            WHERE property_name='CMU_WALLET';

3. Dopo aver completato i passi 1 e 2, verificare che la configurazione dell'autenticazione Kerberos con CMU-AD sia stata completata.
   1. Eseguire il login all'istanza di Autonomous Database come utente Active Directory in modo che le informazioni SYS_CONTEXT vengano popolate nel file USERENV.
   2. Eseguire una query sul SYS_CONTEXT USERENV.

      SELECT SYS_CONTEXT('USERENV','AUTHENTICATION_METHOD') FROM DUAL;
      
      SYS_CONTEXT('USERENV','AUTHENTICATION_METHOD')                                 
      --------------------------------------------------------------------------------
      KERBEROS_GLOBAL

   Quando l'autenticazione Kerberos è configurata e abilitata senza CMU-AD, questa query restituisce: KERBEROS. Per ulteriori informazioni, vedere Configura autenticazione Kerberos con Autonomous Database.

   Quando l'autenticazione CMU-AD è configurata senza Kerberos, questa query restituisce: PASSWORD_GLOBAL. Per ulteriori informazioni, vedere Prerequisiti per la configurazione di CMU con Microsoft Active Directory su Autonomous Database.

Per aggiungere ruoli Active Directory, mappare i ruoli globali del database ai gruppi Active Directory con le istruzioni CREATE ROLE o ALTER ROLE e includere la clausola IDENTIFIED GLOBALLY AS.

1. Eseguire il login come utente ADMIN al database configurato per l'utilizzo di Active Directory (l'utente ADMIN dispone dei privilegi di sistema CREATE ROLE e ALTER ROLE necessari per questi passi).
2. Impostare l'autorizzazione del database per i ruoli di Autonomous Database con l'istruzione CREATE ROLE o ALTER ROLE. Includere la clausola IDENTIFIED GLOBALLY AS e specificare il DN di un gruppo Active Directory.

   Utilizzare la sintassi seguente per mappare un gruppo di utenti di directory a un ruolo globale del database:

   CREATE ROLE global_role IDENTIFIED GLOBALLY AS 
        'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

   Ad esempio:

   CREATE ROLE widget_sales_role IDENTIFIED GLOBALLY AS
        'CN=widget_sales_group,OU=sales,DC=production,DC=example,DC=com';

   In questo esempio tutti i membri di widget_sales_group sono autorizzati con il ruolo di database widget_sales_role quando eseguono il login al database.

3. Utilizzare le istruzioni GRANT per concedere i privilegi o altri ruoli richiesti al ruolo globale.

   Ad esempio:

   GRANT CREATE SESSION TO WIDGET_SALES_ROLE;
   GRANT DWROLE TO WIDGET_SALES_ROLE;

   DWROLE è un ruolo predefinito con privilegi comuni definiti. Per informazioni sull'impostazione dei privilegi comuni per gli utenti di Autonomous Database, vedere Gestisci privilegi utente su Autonomous Database - Connessione con uno strumento client.

4. Se si desidera associare un ruolo di database esistente a un gruppo Active Directory, utilizzare l'istruzione ALTER ROLE per modificare il ruolo di database esistente per mappare il ruolo a un gruppo Active Directory.

   Utilizzare la seguente sintassi per modificare un ruolo di database esistente per mapparlo a un gruppo Active Directory:

   ALTER ROLE existing_database_role 
      IDENTIFIED GLOBALLY AS 'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

5. Se si desidera creare mapping di ruoli globali aggiuntivi per altri gruppi Active Directory, attenersi alla procedura riportata di seguito per ogni gruppo Active Directory.

Per aggiungere utenti di Active Directory per accedere a un database, mappare gli utenti globali del database ai gruppi o agli utenti di Active Directory con istruzioni CREATE USER o ALTER USER (con clausola IDENTIFIED GLOBALLY AS).

1. Eseguire il login come utente ADMIN al database configurato per l'utilizzo di Active Directory (l'utente ADMIN dispone dei privilegi di sistema CREATE USER e ALTER USER necessari per questi passi).
2. Impostare l'autorizzazione del database per gli utenti di Autonomous Database con le istruzioni CREATE USER o ALTER USER e includere la clausola IDENTIFIED GLOBALLY AS, specificando il DN di un utente o di un gruppo Active Directory.

   Utilizzare la sintassi seguente per mappare un utente di directory a un utente globale del database:

   CREATE USER global_user IDENTIFIED GLOBALLY AS 'DN_of_an_AD_USER';

   Utilizzare la sintassi seguente per mappare un gruppo di directory a un utente globale del database:

   CREATE USER global_user IDENTIFIED GLOBALLY AS
       'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

   Ad esempio, per mappare un gruppo di directory denominato widget_sales_group nell'unità organizzativa sales del dominio production.example.com a un utente globale del database condiviso denominato WIDGET_SALES:

   CREATE USER widget_sales IDENTIFIED GLOBALLY AS
        'CN=widget_sales_group,OU=sales,DC=production,DC=example,DC=com';
   

   Questo crea un mapping utenti globale condiviso. Il mapping, con l'utente globale widget_sales, è valido per tutti gli utenti del gruppo Active Directory. Pertanto, chiunque nel file widget_sales_group può eseguire il login al database utilizzando le proprie credenziali Active Directory (attraverso il mapping condiviso dell'utente globale widget_sales).

3. Se si desidera che gli utenti di Active Directory utilizzino un utente di database esistente, ne possiedano lo schema e possiedano i dati esistenti, utilizzare ALTER USER per modificare un utente di database esistente per mappare l'utente a un gruppo o a un utente di Active Directory.

   • Utilizzare la seguente sintassi per modificare un utente di database esistente per mapparlo a un utente di Active Directory:

     ALTER USER existing_database_user IDENTIFIED GLOBALLY AS 'DN_of_an_AD_USER';

   • Utilizzare la seguente sintassi per modificare un utente di database esistente per mapparlo a un gruppo Active Directory:

     ALTER USER existing_database_user 
          IDENTIFIED GLOBALLY AS 'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

4. Se si desidera creare mapping utente globali aggiuntivi per altri gruppi o utenti di Active Directory, attenersi alla procedura riportata di seguito per ogni gruppo o utente di Active Directory.

Dopo che l'utente ADMIN ha completato i passi di configurazione di CMU Active Directory e ha creato ruoli globali e utenti globali, gli utenti eseguono il login al database utilizzando il nome utente e la password di Active Directory.

1. Per eseguire il login al database utilizzando un nome utente e una password di Active Directory, connettersi come indicato di seguito.

   CONNECT "AD_DOMAIN\AD_USERNAME"/AD_USER_PASSWORD@TNS_ALIAS_OF_THE_AUTONOMOUS_DATABASE;

   Ad esempio:

   CONNECT "production\pfitch"/password@adbname_medium;

   È necessario includere le virgolette doppie quando il dominio Active Directory viene incluso insieme al nome utente, come nell'esempio seguente: "production\pfitch".

   In questo esempio, il nome utente di Active Directory è pfitch nel dominio production. L'utente Active Directory è un membro del gruppo widget_sales_group identificato dal relativo DN 'CN=widget_sales_group,OU=sales,DC=production,DC=example,DC=com'.

Quando gli utenti eseguono il login al database utilizzando il nome utente e la password di Active Directory, è possibile verificare e controllare l'attività dell'utente.

CONNECT "production\pfitch"/password@exampleadb_medium;

SHOW USER;

USER is "WIDGET_SALES"

SELECT SYS_CONTEXT('USERENV', 'ENTERPRISE_IDENTITY') FROM DUAL;

SQL> SELECT SYS_CONTEXT('USERENV', 'ENTERPRISE_IDENTITY') FROM DUAL;

SYS_CONTEXT('USERENV','ENTERPRISE_IDENTITY')
----------------------------------------------------------------------
cn=Peter Fitch,ou=sales,dc=production,dc=examplecorp,dc=com

SELECT SYS_CONTEXT('USERENV', 'AUTHENTICATED_IDENTITY') FROM DUAL;

SQL> SELECT SYS_CONTEXT('USERENV', 'AUTHENTICATED_IDENTITY') FROM DUAL;

SYS_CONTEXT('USERENV','AUTHENTICATED_IDENTITY')
----------------------------------------------------------------------
production\pfitch

Per rimuovere utenti e ruoli di Active Directory da Autonomous Database, utilizzare i comandi di database standard. Questa operazione non rimuove gli utenti o i gruppi correlati di Active Directory mappati dagli utenti o dai ruoli del database eliminati.

1. Eseguire il login al database configurato per utilizzare Active Directory come utente a cui è stato concesso il privilegio di sistema DROP USER o DROP ROLE.
2. Eliminare gli utenti globali o i ruoli globali mappati ai gruppi o agli utenti di Active Directory con l'istruzione DROP USER o DROP ROLE.
   Per ulteriori informazioni, vedere Rimuovi utenti su Autonomous Database.

Descrive i passi per rimuovere la configurazione CMU da Autonomous Database (e disabilitare l'accesso LDAP da Autonomous Database ad Active Directory).

1. Connettersi ad Autonomous Database come utente ADMIN.
2. Utilizzare DBMS_CLOUD_ADMIN.DISABLE_EXTERNAL_AUTHENTICATION per disabilitare l'autenticazione CMU.
   Nota
   
   Per eseguire questa procedura, è necessario eseguire il login come utente ADMIN o disporre del privilegio EXECUTE su DBMS_CLOUD_ADMIN.

   Ad esempio:

   BEGIN   
      DBMS_CLOUD_ADMIN.DISABLE_EXTERNAL_AUTHENTICATION;
   END;
   /

   Questa operazione disabilita l'autenticazione CMU nell'istanza di Autonomous Database.