ウォレット(mTLS)を使用したPythonアプリケーションの接続

ウォレットを使用して、PythonアプリケーションをAutonomous AI Databaseインスタンスに接続できます。

Pythonアプリケーションをウォレット(mTLS)に接続すると、認証および暗号化のセキュリティが強化され、(ユーザー名とパスワードを指定することで)クライアント資格証明を使用してセキュリティが強化されます。

python-oracledbドライバのデフォルトの「シン・モード」は、Oracle AI Databaseに直接接続します。ドライバはオプションで、追加機能のために「Thick mode」の Oracle Clientライブラリを使用できます。Oracle Clientライブラリは、Oracle Instant Clientから、完全なOracle Clientから、またはOracle AI Databaseのインストールから使用できます。

次のステップに従って、ウォレット(mTLS)を使用してPythonアプリケーションをAutonomous AI Databaseインスタンスに接続します:

Pythonおよびpython-oracledbドライバのインストール
セキュリティ資格証明(Oracle Wallet)の取得およびネットワーク接続の有効化

クライアント・セキュリティ資格証明を取得して、Autonomous AI Databaseインスタンスに接続します。

Autonomous AI Databaseインスタンスからウォレット・ファイルをダウンロードして、Autonomous AI Databaseインスタンスへのアクセスに必要なクライアント・セキュリティ資格証明およびネットワーク構成設定を含む圧縮ファイルを取得します。

クライアント・セキュリティ資格証明(wallet.zipファイル)を取得します。
- ADMINユーザー: Oracle Cloud Infrastructure Consoleで、「データベース接続」をクリックします。クライアント資格証明(ウォレット)のダウンロードを参照してください。
- 他のユーザー(非管理者): 自律型AIデータベース・インスタンスの管理者からOracle Walletを取得します。
ノート

ノート:認可されていないデータベース・アクセスを防ぐために、wallet.zipファイルとその内容を保護します。
クライアント資格証明ファイル(wallet.zip)を解凍します。

Wallet (mTLS)を使用したpython-oracledbシン・モードでのPythonアプリケーションの実行

デフォルトでは、python-oracledbはシン・モードを使用して自律型AIデータベース・インスタンスに直接接続します。

シン・モードでは、ウォレットzipの2つのファイルのみが必要です。

tnsnames.ora: アプリケーション接続文字列に使用されるネット・サービス名をデータベース・サービスにマップします。
ewallet.pem: シン・モードでSSL/TLS接続を有効にします。

シン・モードで接続するには:

tnsnames.oraおよびewallet.pemファイルをシステム上の場所に移動します。

たとえば、Linuxでは次のようにします。
```
/opt/OracleCloud/MYDB
```
たとえば、Windowsの場合:
```
C:\opt\OracleCloud\MYDB
```
Pythonアプリケーションで、次の接続パラメータを設定して、Autonomous AI Databaseインスタンスに接続します:
- config_dir: tnsnames.oraを含むディレクトリを指定します。
- dsn: tnsnames.oraファイルから目的のネットワーク別名を指定する場合に使用します。
- password: データベース・ユーザーのパスワードを指定します。
- user: データベース・ユーザーを指定します。
- wallet_location: PEMファイル(ewallet.pem)を含むディレクトリを指定します。
- wallet_password: PEMファイルのパスワード(ewallet.pem)を指定します。このパスワードは、wallet.zipファイルのダウンロード時に設定します。
たとえば、Linuxでは、db2024_lowネットワーク・サービス名を持つoracledb.connectを使用してADMINユーザーとして接続します(サービス名はtnsnames.oraにあります)。
```
connection=oracledb.connect(
     config_dir="/opt/OracleCloud/MYDB",
     user="admin",
     password=password,
     dsn="db2024_low",
     wallet_location="/opt/OracleCloud/MYDB",
     wallet_password=wallet_pw)
```
たとえば、Windowsでは、db2024_lowネットワーク・サービス名を持つoracledb.connectを使用してADMINユーザーとして接続します(サービス名はtnsnames.oraにあります)。
```
connection=oracledb.connect(
     config_dir=r"C:\opt\OracleCloud\MYDB",
     user="admin",
     password=password,
     dsn="db2024_low",
     wallet_location=r"C:\opt\OracleCloud\MYDB",
     wallet_password=wallet_pw)
```
'raw'文字列r"..."を使用すると、バックスラッシュはディレクトリ・セパレータとして扱われます。

この例に示すように、wallet_locationとconfig_dirは同じディレクトリに設定されます(ディレクトリにはtnsnames.oraとewallet.pemが含まれます)。これらのファイルに同じディレクトリを指定する必要はありません。

ファイアウォールの内側にある場合は、接続記述子でHTTPS_PROXYを使用するか、接続属性を設定することで、プロキシを介してTLS/SSL接続をトンネリングできます。正常に接続できるかどうかは、特定のプロキシ構成によって決まります。Oracleでは、パフォーマンスに影響する可能性があるため、本番環境でプロキシを使用することはお薦めしません。

シン・モードでは、https_proxyおよびhttp_proxy_portパラメータを追加してプロキシを指定できます。

たとえば、Linuxでは次のようにします:

connection=oracledb.connect(
     config_dir="/opt/OracleCloud/MYDB",
     user="admin",
     password=password,
     dsn="db2024_low",
     wallet_location="/opt/OracleCloud/MYDB",
     wallet_password=wallet_pw,
     https_proxy='myproxy.example.com',
     https_proxy_port=80)

たとえば、Windowsでは次のように指定します。

connection=oracledb.connect(
     config_dir=r"C:\opt\OracleCloud\MYDB",
     user="admin",
     password=password,
     dsn="db2024_low",
     wallet_location=r"C:\opt\OracleCloud\MYDB",
     wallet_password=wallet_pw,
     https_proxy='myproxy.example.com',
     https_proxy_port=80)

Wallet (mTLS)を使用したpython-oracledb ThickモードでのPythonアプリケーションの実行

デフォルトでは、python-oracledbはOracle AI Databaseに直接接続されるThinモードで実行されます。追加のpython-oracledb機能は、ドライバがThickモードで実行されている場合に使用できます。

ノート

ノート: Thickモードでは、Pythonを実行する場所にOracle Clientライブラリがインストールされている必要があります。また、Pythonコードでoracledb.init_oracle_client()をコールする必要があります。

Thickモードでは、ウォレットzipファイルの次の3つのファイルが必要です。

tnsnames.ora: アプリケーション接続文字列に使用されるネット・サービス名を含み、文字列をデータベース・サービスにマッピングします。
sqlnet.ora: SQL*Netクライアント側の構成を指定します。
cwallet.sso: 自動オープンSSOウォレットが含まれます。

厚いモードで接続するには:

ファイルtnsnames.ora、sqlnet.oraおよびcwallet.ssoをシステムに配置します。

次の2つのオプションのいずれかを使用して、これらのファイルをシステムに配置します。
- Instant Clientを使用している場合は、Instant Clientディレクトリの下にnetwork/adminサブディレクトリ階層にファイルを移動します。たとえば、アーキテクチャやクライアント・システム、Instant Clientをインストールしたところによっては、次のようなディレクトリの場所にファイルが存在する必要があります。
```
/home/myuser/instantclient_19_21/network/admin
```
  または
```
/usr/lib/oracle/19.21/client64/lib/network/admin
```
  たとえば、Linuxで完全なOracle Clientを使用している場合は、ファイルを$ORACLE_HOME/network/adminに移動します。
- または、アクセス可能な任意のディレクトリにファイルを移動します。
  
  たとえば、Linuxでは、ファイルを/opt/OracleCloud/MYDBディレクトリに移動し、sqlnet.oraを編集して、ウォレットの場所ディレクトリをcwallet.ssoファイルを含むディレクトリに変更します。
  
  たとえば、Linuxでは、次のようにsqlnet.oraを編集します。
```
WALLET_LOCATION = (SOURCE = (METHOD=file) (METHOD_DATA = (DIRECTORY="/opt/OracleCloud/MYDB")))
SSL_SERVER_DN_MATCH=yes
```
  構成ファイルがデフォルトの場所にない場合、アプリケーションは、コールoracledb.init_oracle_client()のconfig_dirパラメータを使用するか、TNS_ADMIN環境変数を設定して、その場所を示す必要があります。
ノート

ノート:これらの設定はどちらも必要ありません。すべての構成ファイルをnetwork/adminディレクトリに配置する場合は、sqlnet.oraを編集する必要はありません。
Pythonアプリケーションで、次の初期化パラメータおよび接続パラメータを設定して、Autonomous AI Databaseインスタンスに接続します:
- config_dir: 構成ファイルを配置するときに、構成ディレクトリを指定します。これは、構成ファイルがインスタント・クライアント構成ディレクトリnetwork/adminの外部のディレクトリに配置されている場合にのみ必要です。
- dsn: tnsnames.oraファイルから目的のネットワーク別名を指定します。
- password: データベース・ユーザーのパスワードを指定します。
- user: データベース・ユーザーを指定します。
構成ファイルを配置する最初のケースでは、dsnパラメータをtnsnames.oraから目的のネットワーク別名に設定して、データベース資格証明を使用してAutonomous AI Databaseインスタンスに接続します。

たとえば、oracledb.init_oracle_clientを使用してADMINユーザーとして接続し、db2024_lowネットワーク・サービス名(サービス名はtnsnames.oraにあります)で接続するには、次のようにします。
```
oracledb.init_oracle_client()
   connection=oracledb.connect(
       user="admin",
       password=password,
       dsn="db2024_low")
```
構成ファイルがインスタント・クライアント構成ディレクトリの外部のディレクトリにある場合は、oracledb.init_oracle_clientをコールするときにconfig_dirパラメータを設定します。

たとえば、Linuxでは、db2024_lowネットワーク・サービス名を使用してADMINユーザーとして接続します。
```
oracledb.init_oracle_client(config_dir="/opt/OracleCloud/MYDB")
   connection=oracledb.connect(
      user="admin",
      password=password,
      dsn="db2024_low")
```
たとえば、Windowsでは、db2024_lowネットワーク・サービス名を使用してADMINユーザーとして接続します。
```
oracledb.init_oracle_client(config_dir=r"C:\opt\OracleCloud\MYDB")
   connection=oracledb.connect(
      user="admin",
      password=password,
      dsn="db2024_low")
```
'raw'文字列r"..."を使用すると、バックスラッシュはディレクトリ・セパレータとして扱われます。

Thickモードでは、sqlnet.oraファイルを編集して行を追加することで、プロキシを指定できます。

SQLNET.USE_HTTPS_PROXY=on

また、tnsnames.oraを編集し、使用する予定のサービス名の接続記述子アドレス・リストにHTTPS_PROXYプロキシ名およびHTTPS_PROXY_PORTポートを追加します。

たとえば:

mydb_high=(description=
(address=(https_proxy=myproxy.example.com)
(https_proxy_port=80)
(protocol=tcps)(port=1522)(host=...)

Thickモードの詳細は、python-oracledb Thickモードの有効化を参照してください。

Oracle Cloud Infrastructureドキュメント

ウォレット(mTLS)を使用したPythonアプリケーションの接続

セキュリティ資格証明(Oracle Wallet)の取得およびネットワーク接続の有効化

Wallet (mTLS)を使用したpython-oracledbシン・モードでのPythonアプリケーションの実行

Wallet (mTLS)を使用したpython-oracledb ThickモードでのPythonアプリケーションの実行