Usa autenticazione a più fattori con Autonomous AI Database

Un canale di notifica è il meccanismo utilizzato per fornire richieste di verifica MFA agli utenti, ad esempio approvazioni push o OTP, in entrambi i flussi MFA del tempo di login (LOGON) e MFA del token di accesso SQL. I canali supportati includono applicazioni di posta elettronica, SMS, Slack e autenticatore e ogni canale richiede attributi di configurazione specifici, ad esempio dettagli SMTP per la consegna della posta elettronica o una configurazione dell'area di lavoro Slack per Slack, per garantire che i messaggi vengano consegnati in modo sicuro e affidabile all'utente previsto.

Prima di configurare i canali di notifica, assicurarsi di aver impostato le credenziali necessarie per i canali che si prevede di utilizzare. Si noti che alcuni canali si applicano solo a LOGON MFA, ad esempio OMA e Duo, mentre altri si applicano solo a SQL Access Token MFA, ad esempio OMA, Slack ed e-mail, quindi configura solo ciò di cui hai bisogno per il flusso MFA scelto.

La tabella seguente riassume i canali di notifica MFA disponibili e mostra quale tipo di MFA supporta ciascun canale (accesso MFA e/o token di accesso SQL MFA), insieme al metodo di notifica corrispondente (consegna OTP o approvazione push).

Utilizzare la procedura DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION per definire i canali di notifica utilizzati per consegnare i messaggi MFA, ad esempio le richieste di verifica del token di accesso SQL. In questa procedura è possibile specificare il tipo di canale, ad esempio e-mail, Slack o un autenticatore e fornire gli attributi o i riferimenti alle credenziali specifici del canale necessari per una consegna sicura e affidabile. Poiché ogni canale ha requisiti diversi, i valori degli attributi forniti dipendono dal canale configurato; vedere gli esempi seguenti per gli input previsti per canale.

Notifica di posta elettronica

Configurare l'oggetto delle credenziali e-mail e le impostazioni di notifica SMTP in modo che Oracle possa inviare e-mail correlate all'autenticazione MFA. Questo è richiesto per l'impostazione del login MFA (OMA e Duo), incluse le e-mail di registrazione del dispositivo; senza di esso, gli utenti non riceveranno le notifiche di registrazione richieste. L'e-mail non è un secondo fattore supportato per l'accesso MFA. La consegna OTP e-mail è supportata solo per l'autenticazione MFA del token di accesso SQL.

Per configurare un provider di posta elettronica personalizzato per l'invio di token di accesso MFA, è necessario creare una credenziale del provider di posta elettronica nel database utilizzando la procedura DBMS_CLOUD.CREATE_CREDENTIAL. Ad esempio:

BEGIN
   DBMS_CLOUD.CREATE_CREDENTIAL(
       credential_name => 'EMAIL_CRED_01',
       username        => '<username>',
       password        => '<password>'
   );
END;
/

Concedere al database l'autorizzazione per connettersi all'host SMTP per l'invio di messaggi di posta elettronica aggiornando la lista di controllo dell'accesso (ACL). Ad esempio:

BEGIN
  DBMS_NETWORK_ACL_ADMIN.APPEND_HOST_ACE(
    host        => 'smtp.email.us-ashburn-1.oci.oraclecloud.com',
    lower_port  => 587,
    upper_port  => 587,
    ace         => xs$ace_type(
                     privilege_list  => xs$name_list('SMTP'),
                     principal_name  => 'ADMIN',
                     principal_type  => xs_acl.ptype_db
                   )
  );
END;
/

Definire le impostazioni per il canale e-mail per la consegna dei token di accesso MFA utilizzando le credenziali create. Ad esempio:

BEGIN
  DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION(
    notification_type => 'EMAIL',
    attributes       => JSON_OBJECT(
      'credential_name'                 VALUE 'EMAIL_CRED_01',
      'smtp_host'                       VALUE 'smtp.email.us-ashburn-1.oci.oraclecloud.com',
      'smtp_port'                       VALUE 465,
      'sender'                          VALUE 'mfa_alerts@example.com',
      'sender_email_display_name'       VALUE 'DB MFA ALERTS'
    )
  );
END;
/

Notifica Slack

Creare una credenziale per memorizzare in modo sicuro i dettagli di autenticazione per l'integrazione Slack. Ad esempio:

BEGIN
  DBMS_CLOUD.CREATE_CREDENTIAL(
    credential_name => 'SLACK_CRED',
    username        => 'username',
    password        => '<password>'
  );
END;
/

Consente al database di connettersi all'endpoint API di Slack aggiornando la lista di controllo dell'accesso (ACL) per le chiamate HTTPS in uscita. Ad esempio:

BEGIN
  DBMS_NETWORK_ACL_ADMIN.APPEND_HOST_ACE (
    host           => 'slack.com',
    lower_port     => 443,
    upper_port     => 443,
    ace            => xs$ace_type(
                        privilege_list  => xs$name_list('http'),
                        principal_name  => 'ADMIN',
                        principal_type  => xs_acl.ptype_db
                      )
  );
END;
/

Configurare il canale Slack per la consegna del token MFA facendo riferimento alle credenziali create. Ad esempio:

BEGIN
  DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION(
    notification_type => 'SLACK',
    attributes        => JSON_OBJECT(
      'credential_name' VALUE 'SLACK_CRED'
    )
  );
END;
/

Notifica di Oracle Mobile Authenticator (OMA)

Creare una credenziale per memorizzare in modo sicuro l'ID client OMA e il segreto client. Ad esempio:

BEGIN
  DBMS_CLOUD.CREATE_CREDENTIAL(
    credential_name => 'OMA_CRED',
    username        => '<username>',
    password        => '<password>'
  );
END;
/

Definire il canale di notifica OMA e associarlo alla credenziale e all'endpoint API OMA creati. Ad esempio:

BEGIN
  DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION(
    notification_type => 'OMA',
    attributes        => JSON_OBJECT(
      'credential_name' VALUE 'OMA_CRED',
      'api_endpoint'    VALUE 'https://idcs-c*****************60.identity.oraclecloud.com'
    )
  );
END;
/

Notifica DUO Cisco

Creare una credenziale per memorizzare in modo sicuro la chiave di integrazione DUO e la chiave segreta. Ad esempio:

BEGIN
  DBMS_CLOUD.CREATE_CREDENTIAL(
    credential_name => 'DUO_CRED',
    username        => '<integrationkey>',
    password        => '<secretkey>'
  );
END;
/

Impostare il canale di notifica DUO associandolo alla credenziale creata e specificando l'endpoint API DUO.

BEGIN
  DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION(
    notification_type => 'DUO',
    attributes        => JSON_OBJECT(
      'credential_name' VALUE 'DUO_CRED',
      'api_endpoint'    VALUE 'api-855fd6a0.duosecurity.com'
    )
  );
END;
/

Dopo aver configurato il canale di notifica, il passo successivo consiste nel registrare un utente di database esistente per l'autenticazione MFA. Durante la registrazione, impostare il tipo MFA su MFA tempo di login o MFA token di accesso SQL. Facoltativamente, è possibile specificare il canale di notifica. Se non viene fornito, l'e-mail viene utilizzata per impostazione predefinita. Tuttavia, per l'autenticazione MFA di tipo login, è necessario specificare OMA o Duo come canale. Facoltativamente, è anche possibile impostare attributi token personalizzati per personalizzare il funzionamento del token di accesso SQL per l'utente.

Per riferimento, vedere DBMS_MFA_ADMIN.REGISTER_USER.

Per eseguire istruzioni SQL in una sessione protetta dall'autenticazione del token di accesso SQL, è necessario convalidare la sessione utilizzando un passcode monouso fornito tramite il canale di notifica configurato e l'utente deve disporre del privilegio richiesto in DBMS_MFA.

L'uso di attributi token sia globali che a livello di utente consente di bilanciare l'applicazione centralizzata della sicurezza con la flessibilità necessaria per soddisfare le esigenze di accesso individuali.

Imposta attributi token di accesso SQL globali

Utilizzare la procedura DBMS_MFA_ADMIN.SET_GLOBAL_TOKEN_ATTRIBUTES per configurare gli attributi del token di accesso SQL predefinito globale. Questa procedura imposta un set globale di valori degli attributi del token (fornito come JSON) che il database applica automaticamente ogni volta che viene emesso un token di accesso SQL per gli utenti registrati per l'autenticazione MFA del token di accesso SQL. È inoltre possibile impostare attributi token specifici dell'utente per sostituire questi valori predefiniti globali quando necessario.

BEGIN
  DBMS_MFA_ADMIN.SET_GLOBAL_TOKEN_ATTRIBUTES(
    attributes => '{
      "duration_min": 60,
      "scope": "session",
      "idle_timeout_min": 15,
      "read_only": false
    }'
  );
END;
/

Imposta gli attributi del token globale per tutti gli utenti registrati per l'autenticazione MFA del token di accesso SQL, ad esempio durata del token, ambito, timeout di inattività e accesso in sola lettura. Questi attributi globali fungono da impostazioni predefinite e vengono applicati automaticamente a tutti gli utenti abilitati per l'autenticazione MFA del token di accesso SQL, a meno che non vengano definiti attributi specifici dell'utente per sostituirli.

Per ulteriori informazioni, vedere SET_GLOBAL_TOKEN_ATTRIBUTES Procedure.

Impostare gli attributi token sia per l'accesso che per il token di accesso SQL