Usa Microsoft Active Directory con Autonomous Database

1. Verificare se un altro schema di autenticazione esterno è abilitato nel database e disabilitarlo.

   È possibile continuare con la configurazione CMU-AD su Kerberos per fornire l'autenticazione Kerberos CMU-AD per gli utenti di Microsoft Active Directory.

   Per ulteriori informazioni, vedere Autenticazione Kerberos per CMU con Microsoft Active Directory.

2. Caricare i file di configurazione CMU, inclusi il file wallet del database, cwallet.sso e il file di configurazione CMU, dsi.ora, nell'area di memorizzazione degli oggetti. Questo passo dipende dall'area di memorizzazione degli oggetti utilizzata.

   Il file di configurazione dsi.ora contiene le informazioni per trovare i server Active Directory.

   Se si utilizza l'area di memorizzazione degli oggetti di Oracle Cloud Infrastructure, vedere Inserimento dei dati nello storage degli oggetti per i dettagli sul caricamento dei file.

3. Eseguire la procedura DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION e passare in un URI di posizione con l'argomento JSON params. È necessario posizionare i file di configurazione cwallet.sso e dsi.ora nella posizione di storage degli oggetti specificata nel parametro location_uri.

   Ad esempio:

   BEGIN
      DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
          type     => 'CMU',
          params   => JSON_OBJECT('location_uri' value 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o',
                                  'credential_name' value 'my_credential_name')
      );
   END;
   /

   Oracle consiglia di memorizzare i file di configurazione CMU in un bucket privato nell'area di memorizzazione degli oggetti.

   In questo esempio, namespace-string è lo spazio di nomi dello storage degli oggetti Oracle Cloud Infrastructure e bucketname è il nome del bucket. Per ulteriori informazioni, vedere Informazioni sugli spazi di nomi dello storage degli oggetti.

   Il credential_name utilizzato in questo passo è costituito dalle credenziali per accedere all'area di memorizzazione degli oggetti.

   La creazione di una credenziale per accedere all'area di memorizzazione degli oggetti di Oracle Cloud Infrastructure non è necessaria se si abilitano le credenziali del principal risorsa. Per ulteriori informazioni, consulta la sezione Usa principal risorsa per accedere alle risorse di Oracle Cloud Infrastructure.

   Se location_uri è un URL preautenticato o un URL pre-firmato, la fornitura di un credential_name non è obbligatoria.

   La procedura crea un oggetto directory denominato CMU_WALLET_DIR nel database e copia i file di configurazione CMU dalla posizione dell'area di memorizzazione degli oggetti all'oggetto directory. Questa procedura imposta inoltre la proprietà di database CMU_WALLET sul valore 'CMU_WALLET_DIR' e imposta il valore del parametro LDAP_DIRECTORY_ACCESS sul valore PASSWORD per abilitare l'accesso dall'istanza di Autonomous Database ad Active Directory.

4. Dopo aver abilitato l'autenticazione CMU, rimuovere i file di configurazione CMU, inclusi il wallet del database cwallet.sso e il file di configurazione CMU dsi.ora dall'area di memorizzazione degli oggetti. È possibile utilizzare i metodi dell'area di memorizzazione degli oggetti locale per rimuovere questi file o utilizzare DBMS_CLOUD.DELETE_OBJECT per eliminare i file dall'area di memorizzazione degli oggetti.
5. Quando i server Active Directory si trovano su un endpoint privato, eseguire ulteriori passi di configurazione per fornire l'accesso all'endpoint privato.
   1. Impostare la proprietà del database ROUTE_OUTBOUND_CONNECTIONS sul valore 'PRIVATE_ENDPOINT'.

      Per ulteriori informazioni, vedere Sicurezza avanzata per le connessioni in uscita con endpoint privati.

   2. Verificare che il file di configurazione CMU-AD dsi.ora includa nomi host. Quando ROUTE_OUTBOUND_CONNECTIONS è impostato su 'PRIVATE_TARGET', gli indirizzi IP non possono essere specificati in dsi.ora.

1. Abilitare Kerberos nell'istanza di Autonomous Database utilizzando il server Kerberos di Microsoft Active Directory.

   Solo i server Kerberos di Microsoft Active Directory sono supportati per Kerberos quando si configura l'autenticazione Kerberos con CMU-AD.

   1. Per abilitare l'autenticazione Kerberos per l'istanza di Autonomous Database, è necessario ottenere i file di configurazione Kerberos: krb.conf e il file della tabella delle chiavi di servizio v5srvtab.

      Per generare questi file quando si configura l'autenticazione Kerberos con CMU-AD è necessario il nome host del server. È possibile ottenere il valore dell'host server dall'attributo PUBLIC_DOMAIN_NAME nella colonna CLOUD_IDENTITY di V$PDBS. Questo valore è diverso dal nome dominio completamente qualificato (FQDN) per un database su un endpoint privato.

      Usare il comando seguente per ottenere il nome host del server:

      SELECT guid ||'/'|| json_value(cloud_identity, '$.PUBLIC_DOMAIN_NAME')
          "KSERVICE/KINSTANCE" FROM v$pdbs;

      È possibile utilizzare un comando come quello riportato di seguito per generare il file della tabella delle chiavi di servizio.

      ktpass -princ ORACLE/DATABASE_SERVER_HOST_NAME.DATABASE_SERVER_HOST_DOMAIN@ACTIVE_DIRECTORY_DEFAULT_DOMAIN
                       -pass ACTIVE_DIRECTORY_PASSWORD 
                       -mapuser DATABASE_SERVER_HOST_NAME 
                       -crypto ALL 
                       -ptype KRB5_NT_PRINCIPAL 
                       -out database.keytab

      Ad esempio:

      ktpass -princ ORACLE/user.example.com@example.com 
                       -pass password -mapuser dbexamplekrb 
                       -crypto ALL -ptype KRB5_NT_PRINCIPAL -out database.keytab

      Per ulteriori informazioni su questi file e sulla procedura necessaria per ottenerli, vedere Configurazione dell'autenticazione Kerberos.

   2. Copiare i file di configurazione Kerberos krb.conf e v5srvtab in un bucket nell'area di memorizzazione degli oggetti.

      Questo passo è diverso a seconda dell'area di memorizzazione degli oggetti utilizzata.

      Se si utilizza l'area di memorizzazione degli oggetti di Oracle Cloud Infrastructure, vedere Inserimento dei dati nello storage degli oggetti per i dettagli sul caricamento dei file.

   3. Eseguire DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION per abilitare l'autenticazione esterna Kerberos.

      Ad esempio:

      BEGIN
         DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
             type     => 'KERBEROS',
             params   => JSON_OBJECT('location_uri' value 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o',
                                     'credential_name' value 'my_credential_name')
         );
      END;
      /

      Nota
      
      Oracle consiglia di memorizzare i file di configurazione Kerberos in un bucket privato nell'area di memorizzazione degli oggetti.

      In questo esempio, namespace-string è lo spazio di nomi dello storage degli oggetti Oracle Cloud Infrastructure e bucketname è il nome del bucket. Per ulteriori informazioni, vedere Informazioni sugli spazi di nomi dello storage degli oggetti.

      Il valore credential_name utilizzato in questo passo è costituito dalle credenziali per l'area di memorizzazione degli oggetti.

      Per ulteriori informazioni, vedere Abilita autenticazione Kerberos su Autonomous Database.

   4. Verificare che Kerberos sia configurato e abilitato.

      SELECT property_value FROM database_properties 
            WHERE property_name='KERBEROS_DIRECTORY';

2. Abilita e configura CMU-AD su Autonomous Database.
   1. Caricare i file di configurazione CMU, inclusi il file wallet del database, cwallet.sso e il file di configurazione CMU, dsi.ora, nell'area di memorizzazione degli oggetti.

      Caricare cwallet.sso in modo che la configurazione CMU-AD disponga delle credenziali per l'istanza di Autonomous Database per connettersi all'account del servizio Active Directory.

      Il file di configurazione dsi.ora contiene le informazioni per trovare i server Active Directory.

      Questo passo è diverso a seconda dell'area di memorizzazione degli oggetti utilizzata.

      Se si utilizza l'area di memorizzazione degli oggetti di Oracle Cloud Infrastructure, vedere Inserimento dei dati nello storage degli oggetti per i dettagli sul caricamento dei file.

   2. Eseguire la procedura DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION e passare in un URI di posizione con l'argomento JSON params. È necessario posizionare i file di configurazione cwallet.sso e dsi.ora nella posizione di storage degli oggetti specificata nel parametro location_uri.

      Ad esempio:

      BEGIN
         DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
             type     => 'CMU',
             params   => JSON_OBJECT('location_uri' value 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o',
                                     'credential_name' value 'my_credential_name')
         );
      END;
      /

      Oracle consiglia di memorizzare i file di configurazione CMU in un bucket privato nell'area di memorizzazione degli oggetti.

      In questo esempio, namespace-string è lo spazio di nomi dello storage degli oggetti Oracle Cloud Infrastructure e bucketname è il nome del bucket. Per ulteriori informazioni, vedere Informazioni sugli spazi di nomi dello storage degli oggetti.

      Il credential_name utilizzato in questo passo è costituito dalle credenziali per accedere all'area di memorizzazione degli oggetti.

      La creazione di una credenziale per accedere all'area di memorizzazione degli oggetti di Oracle Cloud Infrastructure non è necessaria se si abilitano le credenziali del principal risorsa. Per ulteriori informazioni, consulta la sezione Usa principal risorsa per accedere alle risorse di Oracle Cloud Infrastructure.

      Se location_uri è un URL preautenticato o un URL pre-firmato, la fornitura di un credential_name non è obbligatoria.

      Per ulteriori informazioni, vedere Prerequisiti per la configurazione di CMU con Microsoft Active Directory su Autonomous Database.

   3. Verificare che CMU-AD sia configurato e abilitato.

      SELECT property_value FROM database_properties
            WHERE property_name='CMU_WALLET';

3. Dopo aver completato i passi 1 e 2, verificare che la configurazione dell'autenticazione Kerberos con CMU-AD sia completa.
   1. Eseguire il login all'istanza di Autonomous Database come utente di Active Directory in modo che le informazioni SYS_CONTEXT vengano inserite in USERENV.
   2. Eseguire una query su SYS_CONTEXT USERENV.

      SELECT SYS_CONTEXT('USERENV','AUTHENTICATION_METHOD') FROM DUAL;
      
      SYS_CONTEXT('USERENV','AUTHENTICATION_METHOD')                                 
      --------------------------------------------------------------------------------
      KERBEROS_GLOBAL

   Se l'autenticazione Kerberos è configurata e abilitata senza CMU-AD, questa query restituisce: KERBEROS. Per ulteriori informazioni, vedere Configura autenticazione Kerberos con Autonomous Database.

   Se l'autenticazione CMU-AD è configurata senza Kerberos, questa query restituisce: PASSWORD_GLOBAL. Per ulteriori informazioni, vedere Prerequisiti per la configurazione di CMU con Microsoft Active Directory su Autonomous Database.

Per aggiungere ruoli di Active Directory, mappare i ruoli globali del database ai gruppi di Active Directory con le istruzioni CREATE ROLE o ALTER ROLE e includere la clausola IDENTIFIED GLOBALLY AS.

1. Eseguire il login come utente ADMIN al database configurato per l'utilizzo di Active Directory (l'utente ADMIN dispone dei privilegi di sistema CREATE ROLE e ALTER ROLE necessari per questi passi).
2. Impostare l'autorizzazione del database per i ruoli di Autonomous Database con l'istruzione CREATE ROLE o ALTER ROLE. Includere la clausola IDENTIFIED GLOBALLY AS e specificare il DN di un gruppo Active Directory.

   Usare la sintassi seguente per mappare un gruppo di utenti di directory a un ruolo globale di database:

   CREATE ROLE global_role IDENTIFIED GLOBALLY AS 
        'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

   Ad esempio:

   CREATE ROLE widget_sales_role IDENTIFIED GLOBALLY AS
        'CN=widget_sales_group,OU=sales,DC=production,DC=example,DC=com';

   In questo esempio tutti i membri di widget_sales_group sono autorizzati con il ruolo di database widget_sales_role quando eseguono il login al database.

3. Utilizzare le istruzioni GRANT per concedere i privilegi richiesti o altri ruoli al ruolo globale.

   Ad esempio:

   GRANT CREATE SESSION TO WIDGET_SALES_ROLE;
   GRANT DWROLE TO WIDGET_SALES_ROLE;

   DWROLE è un ruolo predefinito per il quale sono stati definiti privilegi comuni. Per informazioni sull'impostazione dei privilegi comuni per gli utenti di Autonomous Database, vedere Gestisci privilegi utente su Autonomous Database - Connessione con uno strumento client.

4. Se si desidera creare un ruolo di database esistente da associare a un gruppo Active Directory, utilizzare l'istruzione ALTER ROLE per modificare il ruolo di database esistente per mappare il ruolo a un gruppo Active Directory.

   Utilizzare la sintassi seguente per modificare un ruolo di database esistente per mapparlo a un gruppo Active Directory:

   ALTER ROLE existing_database_role 
      IDENTIFIED GLOBALLY AS 'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

5. Se si desidera creare mapping di ruoli globali aggiuntivi per altri gruppi di Active Directory, attenersi alla procedura riportata di seguito per ogni gruppo di Active Directory.

Per aggiungere utenti di Active Directory per accedere a un database, mappare gli utenti globali del database ai gruppi o agli utenti di Active Directory con istruzioni CREATE USER o ALTER USER (con clausola IDENTIFIED GLOBALLY AS).

1. Eseguire il login come utente ADMIN al database configurato per l'utilizzo di Active Directory (l'utente ADMIN dispone dei privilegi di sistema CREATE USER e ALTER USER necessari per questi passi).
2. Impostare l'autorizzazione del database per gli utenti di Autonomous Database con istruzioni CREATE USER o ALTER USER e includere la clausola IDENTIFIED GLOBALLY AS, specificando il DN di un utente o di un gruppo Active Directory.

   Usare la sintassi seguente per mappare un utente di directory a un utente globale del database:

   CREATE USER global_user IDENTIFIED GLOBALLY AS 'DN_of_an_AD_USER';

   Usare la sintassi seguente per mappare un gruppo di directory a un utente globale del database:

   CREATE USER global_user IDENTIFIED GLOBALLY AS
       'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

   Ad esempio, per mappare un gruppo di directory denominato widget_sales_group nell'unità organizzativa sales del dominio production.example.com a un utente globale del database condiviso denominato WIDGET_SALES:

   CREATE USER widget_sales IDENTIFIED GLOBALLY AS
        'CN=widget_sales_group,OU=sales,DC=production,DC=example,DC=com';
   

   In questo modo viene creato un mapping utente globale condiviso. Il mapping, con l'utente globale widget_sales, è valido per tutti gli utenti del gruppo Active Directory. Pertanto, chiunque si trovi in widget_sales_group può eseguire il login al database utilizzando le proprie credenziali Active Directory (attraverso il mapping condiviso dell'utente globale widget_sales).

3. Se si desidera che gli utenti di Active Directory utilizzino un utente di database esistente, posseggano il proprio schema e posseggano i dati esistenti, utilizzare ALTER USER per modificare un utente di database esistente per mappare l'utente a un gruppo o a un utente di Active Directory.

   • Utilizzare la sintassi seguente per modificare un utente di database esistente per mapparlo a un utente di Active Directory:

     ALTER USER existing_database_user IDENTIFIED GLOBALLY AS 'DN_of_an_AD_USER';

   • Utilizzare la sintassi seguente per modificare un utente di database esistente per mapparlo a un gruppo Active Directory:

     ALTER USER existing_database_user 
          IDENTIFIED GLOBALLY AS 'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

4. Se si desidera creare mapping utente globali aggiuntivi per altri gruppi o utenti di Active Directory, attenersi alla procedura riportata di seguito per ogni gruppo o utente di Active Directory.

Dopo che l'utente ADMIN ha completato i passi di configurazione di Active Directory CMU e creato ruoli globali e utenti globali, gli utenti eseguono il login al database utilizzando il nome utente e la password di Active Directory.

1. Per eseguire il login al database utilizzando un nome utente e una password di Active Directory, connettersi come indicato di seguito.

   CONNECT "AD_DOMAIN\AD_USERNAME"/AD_USER_PASSWORD@TNS_ALIAS_OF_THE_AUTONOMOUS_DATABASE;

   Ad esempio:

   CONNECT "production\pfitch"/password@adbname_medium;

   È necessario includere le virgolette doppie quando il dominio di Active Directory è incluso insieme al nome utente, come nell'esempio seguente: "production\pfitch".

   In questo esempio, il nome utente di Active Directory è pfitch nel dominio production. L'utente di Active Directory è un membro del gruppo widget_sales_group identificato dal relativo DN 'CN=widget_sales_group,OU=sales,DC=production,DC=example,DC=com'.

Quando gli utenti eseguono il login al database utilizzando il nome utente e la password di Active Directory, è possibile verificare e controllare l'attività dell'utente.

CONNECT "production\pfitch"/password@exampleadb_medium;

SHOW USER;

USER is "WIDGET_SALES"

SELECT SYS_CONTEXT('USERENV', 'ENTERPRISE_IDENTITY') FROM DUAL;

SQL> SELECT SYS_CONTEXT('USERENV', 'ENTERPRISE_IDENTITY') FROM DUAL;

SYS_CONTEXT('USERENV','ENTERPRISE_IDENTITY')
----------------------------------------------------------------------
cn=Peter Fitch,ou=sales,dc=production,dc=examplecorp,dc=com

SELECT SYS_CONTEXT('USERENV', 'AUTHENTICATED_IDENTITY') FROM DUAL;

SQL> SELECT SYS_CONTEXT('USERENV', 'AUTHENTICATED_IDENTITY') FROM DUAL;

SYS_CONTEXT('USERENV','AUTHENTICATED_IDENTITY')
----------------------------------------------------------------------
production\pfitch

Per rimuovere utenti e ruoli di Active Directory dai database autonomi, utilizzare i comandi di database standard. Ciò non rimuove gli utenti o i gruppi di Active Directory correlati mappati dagli utenti o dai ruoli del database eliminati.

1. Eseguire il login al database configurato per utilizzare Active Directory come utente a cui è stato concesso il privilegio di sistema DROP USER o DROP ROLE.
2. Eliminare gli utenti globali o i ruoli globali mappati ai gruppi o agli utenti di Active Directory con l'istruzione DROP USER o DROP ROLE.
   Per ulteriori informazioni, vedere Rimuovi utenti in Autonomous Database.

Descrive i passi per rimuovere la configurazione CMU da Autonomous Database e disabilitare l'accesso LDAP da Autonomous Database ad Active Directory.

1. Connettersi ad Autonomous Database come utente ADMIN.
2. Utilizzare DBMS_CLOUD_ADMIN.DISABLE_EXTERNAL_AUTHENTICATION per disabilitare l'autenticazione CMU.
   Nota
   
   Per eseguire questa procedura, è necessario aver eseguito il login come utente ADMIN o disporre del privilegio EXECUTE su DBMS_CLOUD_ADMIN.

   Ad esempio:

   BEGIN   
      DBMS_CLOUD_ADMIN.DISABLE_EXTERNAL_AUTHENTICATION;
   END;
   /

   In questo modo, l'autenticazione CMU viene disabilitata nell'istanza di Autonomous Database.