Autonomous DatabaseでARNロール・ベースの認証を使用する場合、長期的なAWS IAMアクセス・キーに基づいて資格証明を作成して保存することなく、AWSリソースに安全にアクセスできます。

たとえば、AWS S3バケットからAutonomous Databaseにデータをロードし、データに対してなんらかの操作を実行してから、変更したデータをS3バケットに書き戻すことができます。S3バケットにアクセスするためのAWSユーザー資格証明がある場合、ARNを使用せずにこれを実行できます。ただし、ロールベースのARNを使用してAutonomous DatabaseからAWSリソースにアクセスすると、次の利点があります:

• Autonomous DatabaseインスタンスからAWSリソースにアクセスする必要がある様々なユーザーまたはスキーマに対して異なるポリシーを使用して、ロールベースのアクセスを作成できます。これにより、ロール別にAWSリソースへのアクセスを制限するポリシーを設定できます。たとえば、ロール別の読取り専用アクセスに制限するポリシーをS3バケットに設定します。

• ARNベースの資格証明は、AWSリソースにアクセスするためにコードで長期的なAWSユーザー資格証明を提供する必要がないため、より優れたセキュリティを提供します。Autonomous Databaseは、AWS Assume Role操作から生成された一時資格証明を管理します。

Autonomous DatabaseでのARNの使用の構成ステップ

Autonomous DatabaseでARNを使用して資格証明を作成する前に、AWSでアカウント管理者は、S3バケットなどのAWSリソースにアクセスできるポリシーを定義する必要があります。デフォルトでは、ARN資格証明サービスはAutonomous Databaseで有効になっていません。ADMINユーザーは、必要なユーザーのARN資格証明を有効にします。これにより、Autonomous DatabaseインスタンスでARN資格証明を作成および使用できるようになります。

AWSでは、役割ARNは指定されたアクセスの識別子であり、AWSコンソールで表示できます。セキュリティを強化するには、AWS管理者がAWSアカウントのロール、ポリシーおよび信頼関係を構成するときに、ロールの信頼関係に外部IDも構成する必要があります。

外部IDは、ロールを引き受けるための追加の保護を提供します。AWS管理者は、Autonomous Databaseインスタンスに基づいて、外部IDを次のいずれかとして構成します:

• コンパートメントOCID

• データベースOCID

• テナンシOCID

AWSでは、リクエストURLに含まれる外部IDで識別される信頼できるユーザーのみがロールを引き受けることができます。リクエストに指定されている外部IDは、ロールの信頼関係で構成されている外部IDと一致します。

ノート

セキュリティには外部IDの設定が必要です。

次の図は、構成ステップの概要を示しています。

図adb_arn_config_steps.epsの説明

AWS管理コンソールまたはAPIを使用して、AWSユーザー、ロール、ポリシーおよび信頼関係を作成します。DBMS_CLOUD.CREATE_CREDENTIALとともに使用して、Autonomous DatabaseでARNパラメータを使用して資格証明を作成する前に、次のステップを実行します。

1. ポリシーを作成します。ポリシーでは、S3バケットなどのAWSリソースにアクセスする権限を指定します。

   詳細は、Amazon S3リソースにアクセスするためのIAMポリシーの作成を参照してください。

2. ロールを作成し、そのロールにポリシーをアタッチします。
   1. AWS管理コンソールにアクセスし、「Identity and Access Management (IAM)」を選択します。
   2. 「ロールの作成」をクリックします。
      
      図arn_aws_create_role_button.pngの説明
   3. 「別のAWSアカウント」を選択します。
      
      図arn_aws_create_role_aws_account.pngの説明
   4. 「アカウントID」を入力します。
      一時的な値として使用します。後でこれをAWSリソースへのアクセスに使用するアカウントIDに置き換えます。
   5. 「オプション」領域で、「外部IDが必要」を選択し、0000などの一時的な外部IDを入力します。後で、この外部IDを有効な値に置き換えます。
   6. 「次の権限」をクリックして、ステップ1で作成したポリシー、またはロールに適用する他のポリシーをアタッチします。
   7. 「次のタグ」をクリックし、必要に応じてロールにタグを適用または作成します。
   8. 「次回レビュー」をクリックし、「ロール名」および「ロール摘要」を追加します。
   9. 「ロールの作成」をクリックします。

   AWSリソースにアクセスするために、ARNパラメータを使用して資格証明オブジェクトを作成するには、ロールのARNをDBMS_CLOUD.CREATE_CREDENTIALとともに使用します。

   詳細は、IAMユーザーに権限を委任するロールの作成を参照してください。

3. ロールの信頼関係を指定します。
   1. 「ロール」リストの「ロール名」で、作成したロールを選択します。
   2. 選択したロールのロール・サマリー・ページで、「信頼関係」タブを選択します。
      
      図arn_aws_create_role_aws_trust.pngの説明
   3. 信頼関係で、「信頼関係の編集」をクリックします。
      
      図arn_aws_create_role_aws_trust_set.pngの説明
   4. 信頼関係を編集して、プリンシパル・パラメータAWSを指定します。

      このAWSユーザーARNは、CLOUD_INTEGRATIONSビューで使用できます。詳細は、Amazon ARNを使用するためのAutonomous Databaseの前提条件の実行を参照してください。

   5. 信頼関係を編集して外部IDを指定します。

      Autonomous DatabaseでAWS ARN資格証明をDBMS_CLOUD.CREATE_CREDENTIALで作成する場合、またはDBMS_CLOUD_ADMIN.ENABLE_PRINCIPAL_AUTHでAWS ARNを有効にする場合、デフォルトではexternal_id_typeパラメータ値はdatabase_ocidです。オプションで、external_id_type値を、サポートされている値のdatabase_ocid、compartment_ocidまたはtenant_ocidのいずれかに設定できます。

      データベースOCIDを外部IDとして使用する場合、ポリシーの信頼関係では、OCIDで指定されたAutonomous Databaseインスタンスのみが信頼されます。コンパートメントOCIDを使用する場合、ポリシーの信頼関係はコンパートメント内のすべてのAutonomous Databaseインスタンスを信頼し、同じロールARNを使用して、指定されたコンパートメント内の任意のAutonomous DatabaseにAWSリソースへのアクセス権を付与できます。同様に、テナンシOCIDを使用する場合は、同じロールARNを使用して、指定されたテナンシ内の任意のAutonomous DatabaseにAWSリソースへのアクセス権を付与できます。

      以前はステップ2で、信頼関係の外部IDを一時値0000に設定していました。

      AWSでは、次のいずれかと一致するように信頼関係の外部ID値を構成します。

      • external_id_typeタイプがdatabase_ocidの場合、AWSでは、ロールの信頼関係の外部IDをデータベースOCIDとして構成します。

        データベースOCIDは、次の問合せを実行して使用できます。

        SELECT cloud_identity FROM v$pdbs;

        詳細は、テナンシ詳細の取得を参照してください。

      • external_id_typeタイプがcompartment_ocidの場合、AWSでは、ロールの信頼関係の外部IDをコンパートメントOCIDとして構成します。

        コンパートメントOCIDは、Oracle Cloud Infrastructure Consoleの「コンパートメントの詳細」ページで使用できます。「コンパートメントの詳細」ページを見つけるには、Oracle Cloud Infrastructureの左側のナビゲーション・メニューから「アイデンティティとセキュリティ」をクリックし、「コンパートメント」を選択します。コンパートメントIDを表示するには、Autonomous Databaseインスタンスを含むコンパートメントを選択します。

      • external_id_typeタイプがtenant_ocidの場合、AWSでは、ロールの信頼関係の外部IDをテナンシOCIDとして構成します。

        テナンシOCIDは、Oracle Cloud Infrastructure Consoleの「テナンシ詳細」ページで使用できます。テナンシの詳細ページを見つけるには、Oracle Cloud Infrastructureの左側のナビゲーション・メニューから「ガバナンスと管理」をクリックし、「テナンシ詳細」を選択します。「テナンシ情報」タブには、テナンシOCIDが表示されます。

      • ExternalIDの値を設定する場合、デフォルトではOCID値は大文字である必要があります。OCIDを小文字で指定する場合は、信頼関係を編集するときに、JSONでStringEqualsではなくStringEqualsIgnoreCaseという条件を設定します。

      
      図arn_aws_create_role_aws_trust_final.pngの説明

   詳細は、IAMロールでの信頼ポリシーの使用方法およびAWSリソースへのアクセス権をサード・パーティに付与する際の外部IDの使用方法を参照してください。

ARNパラメータでDBMS_CLOUD.CREATE_CREDENTIALを持つAWSリソースを使用する前に、ADMINユーザーはAutonomous DatabaseインスタンスでARNを有効にする必要があります。

1. Autonomous DatabaseインスタンスでARN資格証明の使用を有効にします。

   BEGIN
       DBMS_CLOUD_ADMIN.ENABLE_PRINCIPAL_AUTH(
           username => 'adb_user',
           params => JSON_OBJECT( 
                   'aws_role_arn' value 'arn:aws:iam::123456:role/AWS_ROLE_ARN'));
   END;
   /
   

   指定したユーザーに、他のユーザーのARN資格証明を有効にする権限を付与する場合は、paramsパラメータgrant_optionをTRUEに設定します。

   たとえば:

   BEGIN
   DBMS_CLOUD_ADMIN.ENABLE_PRINCIPAL_AUTH(
        username => 'adb_user',
        params => JSON_OBJECT(
                        'aws_role_arn' value 'arn:aws:iam::123456:role/AWS_ROLE_ARN',
                        'grant_option' value TRUE ));
   END;
   /

   このコマンドを実行した後、adb_userには、他のユーザーのARN資格証明を有効にする権限があります。

   たとえば、adb_userとして接続する場合は、次のコマンドを実行できます。

   BEGIN
       DBMS_CLOUD_ADMIN.ENABLE_PRINCIPAL_AUTH(
           username => 'adb_user2'); 
   END;
   /
   

   詳細は、ENABLE_PRINCIPAL_AUTHプロシージャを参照してください。

2. CLOUD_INTEGRATIONSビューを問い合せて、OracleのAWSユーザーARNを取得します。

   SELECT param_value FROM CLOUD_INTEGRATIONS
           WHERE param_name = 'aws_user_arn';
   
   PARAM_VALUE
   --------------------------------------------  
   arn:aws:iam::account-ID:user/username

   ビューCLOUD_INTEGRATIONSは、ADMINユーザーまたはDWROLE権限を持つユーザーが使用できます。

   AWS管理者は、AWSロールとAWSシステムのロールおよびポリシーとの信頼関係を構成するときに、aws_user_arn値を使用します。この値を指定すると、AWS側でDBMS_CLOUDがAWSリソースにアクセスする権限が付与されます。

Autonomous DatabaseインスタンスでARNの使用を有効にし、ARNがAWS管理者によって構成された後、Autonomous DatabaseでARNパラメータを使用して資格証明オブジェクトを作成できます。

1. ARN値を指定するために、プロシージャDBMS_CLOUD.CREATE_CREDENTIALとparamsパラメータを使用して資格証明を作成します。たとえば:

   BEGIN
     DBMS_CLOUD.CREATE_CREDENTIAL(
       credential_name => 'DEF_CRED_ARN',
       params =>
           JSON_OBJECT('aws_role_arn' value 'arn:aws:iam::123456:role/AWS_ROLE_ARN',                                            
                       'external_id_type' value 'database_ocid')
     );
   END;
   /

   この操作により、資格証明が暗号化された形式でデータベースに作成されます。資格証明には任意の名前を使用できます。

   パラメータの詳細は、「CREATE_CREDENTIALプロシージャ」を参照してください。

2. DBMS_CLOUDプロシージャを使用して、ARN資格証明を使用してAmazonリソースにアクセスします。

   たとえば、DBMS_CLOUD.LIST_OBJECTSを使用します。

   SELECT object_name FROM DBMS_CLOUD.LIST_OBJECTS(
              credential_name => 'DEF_CRED_ARN',
              location_uri    => 'https://my-bucket.s3.us-west-2.amazonaws.com/');

Autonomous Databaseで使用するARN資格証明は、一時的なロール・ベースの資格証明を使用してAutonomous DatabaseからAWSリソースにアクセスできるAWSトークン・サービスと連携します。

1. ARNベースの資格証明を更新して新しいARN値を指定するには、DBMS_CLOUD.UPDATE_CREDENTIALを使用します。

   BEGIN
     DBMS_CLOUD.UPDATE_CREDENTIAL(
        credential_name => 'DEF_CRED_ARN',
        attribute => 'aws_role_arn',
        value => 'new_ARN_value'); 
   END;
   /

   これにより、aws_role_arn属性が、DEF_CRED_ARNという名前の資格証明の新しい値new_ARN_valueに更新されます。

2. DBMS_CLOUD.UPDATE_CREDENTIALを使用して、ARNベースの資格証明を更新し、属性のexternal_id_type値を更新します。

   BEGIN
     DBMS_CLOUD.UPDATE_CREDENTIAL(
        credential_name => 'DEF_CRED_ARN',
        attribute => 'external_id_type',
        value => 'compartment_ocid'); 
   END;
   /

   これにより、external_id_type属性値が値compartment_ocidに更新されます。