Oracle Cloud Infrastructure IAMとAutonomous Databaseとの統合では、データベース・パスワード認証とトークンベース認証の両方がサポートされます。Autonomous DatabaseでIAMユーザーを使用するためのアーキテクチャの詳細は、Oracle Autonomous Databaseに対するIAMユーザーの認証と認可を参照してください。

Autonomous DatabaseでIdentity and Access Management (IAM)認証を使用する前に、次のことを確認する必要があります:

外部アイデンティティ・プロバイダを(IAM)認証および認可から別の外部認証プロバイダに、またはその逆に変更するステップについて説明します。

IAMグループのポリシー・ステートメントを記述して、Oracle Cloud Infrastructureリソース(特にAutonomous Databaseインスタンス)へのIAMユーザー・アクセスを有効にするステップについて説明します。

1. グループを作成し、そのグループにユーザーを追加して、Oracle Cloud Infrastructure Identity and Access Managementの前提条件を実行します。

   たとえば、グループsales_dbusersを作成します。

   詳細は、グループの管理を参照してください。

2. Oracle Cloud Infrastructureリソースへのアクセスを有効にするポリシー・ステートメントを記述します。
   1. Oracle Cloud Infrastructureコンソールで、「アイデンティティとセキュリティ」をクリックします。
   2. 「アイデンティティとセキュリティ」で、「ポリシー」をクリックします。
   3. 書込みポリシーには、「ポリシーの作成」をクリックします。
   4. ポリシーの作成ページで、名前と説明を入力します。
   5. 「ポリシーの作成」ページで、「手動エディタの表示」を選択します。
      
      
   6. ポリシー・ビルダーを使用してポリシーを作成します。

      たとえば、IAMグループDBUsers内のユーザーがテナンシ内のAutonomous Databaseにアクセスできるようにするポリシーを作成するには:

      Allow group DBUsers to use autonomous-database-family in tenancy

      たとえば、DBUsersグループのメンバーがコンパートメントtesting_compartment内のAutonomous Databasesにのみアクセスするように制限するポリシーを作成するには:

      allow group DBUsers to use autonomous-database-family in compartment testing_compartment 

      たとえば、グループのアクセスをコンパートメント内の単一データベースに制限するポリシーを作成するには:

      allow group DBUsers to use autonomous-database-family in compartment testing_compartment where target.database.id = 'ocid1.autonomousdatabase.oc1.iad.aaaabbbbcccc'

      データベースにアクセスするためのIAMポリシーの詳細は、データベース・セキュリティ・ガイドのトークンで認証するユーザーを認可するIAMポリシーの作成を参照してください。

   7. 「作成」をクリックします

      ポリシーの詳細は、ポリシーの管理を参照してください。

IAMユーザーを追加してAutonomous Databaseへのアクセスを許可するには、データベース・グローバル・ユーザーをCREATE USERまたはALTER USER文(IDENTIFIED GLOBALLY AS句を使用)でIAMグループまたはユーザーにマップします。

1. IAMの使用が有効になっているデータベースにADMINユーザーとしてログインします(ADMINユーザーには、このステップに必要なCREATE USERおよびALTER USERシステム権限があります)。
2. CREATE USERまたはALTER USER文を使用してAutonomous Databaseユーザー(スキーマ)間のマッピングを作成し、IAMグループ名を指定してIDENTIFIED GLOBALLY AS句を含めます。

   グローバル・ユーザーをIAMグループにマップするには、次の構文を使用します:

   CREATE USER global_user IDENTIFIED GLOBALLY AS 'IAM_GROUP_NAME=IAM_GROUP_NAME';

   たとえば、db_sales_groupという名前のIAMグループをsales_groupという名前の共有データベース・グローバル・ユーザーにマップするには:

   CREATE USER sales_group IDENTIFIED GLOBALLY AS
        'IAM_GROUP_NAME=db_sales_group';
   

   これにより、共有グローバル・ユーザー・マッピングが作成されます。グローバル・ユーザーsales_groupを使用したマッピングは、IAMグループ内のすべてのユーザーに対して有効です。したがって、db_sales_groupのユーザーは、IAM資格証明を使用してデータベースにログインできます(sales_groupグローバル・ユーザーの共有マッピングを使用)。

   次の例は、非デフォルト・ドメインでこれを実現する方法を示しています。

   CREATE USER shared_sales_schema IDENTIFIED GLOBALLY AS
        'IAM_GROUP_NAME=sales_domain/db_sales_group';

3. 他のIAMグループまたはユーザーの追加のグローバル・ユーザー・マッピングを作成する場合は、各IAMグループまたはユーザーについて次のステップに従います。

オプションで、複数のIAMユーザーが同じ共有グローバル・ユーザーにマップされている場合に、追加のデータベース・ロールおよび権限をIAMユーザーに提供するグローバル・ロールを作成します。

1. IAMの使用が有効になっているデータベースにADMINユーザーとしてログインします(ADMINユーザーには、このステップに必要なCREATE USERおよびALTER USERシステム権限があります)。
2. CREATE ROLEまたはALTER ROLE文でAutonomous Databaseロールのデータベース認可を設定し、IAMグループ名を指定してIDENTIFIED GLOBALLY AS句を含めます。

   次の構文を使用して、グローバル・ロールをIAMグループにマップします:

   CREATE ROLE global_role IDENTIFIED GLOBALLY AS
       'IAM_GROUP_NAME=IAM_GROUP_of_WHICH_the_IAM_USER_IS_a_MEMBER';

   たとえば、ExporterGroupという名前のIAMグループをexport_roleという名前の共有データベース・グローバル・ロールにマップするには:

   CREATE ROLE export_role IDENTIFIED GLOBALLY AS
        'IAM_GROUP_NAME=ExporterGroup';
   

   次の例に、デフォルト以外のドメインsales_domainを指定してロールを作成する方法を示します:

   CREATE ROLE export_role IDENTIFIED GLOBALLY AS
        'IAM_GROUP_NAME=sales_domain/ExporterGroup';
   

   sales_domainドメイン内のExporterGroupのすべてのメンバーは、データベースにログインするときにデータベース・グローバル・ロールexport_roleで認可されます。

3. GRANT文を使用して、必要な権限やその他のロールをグローバル・ロールに付与します。

   GRANT CREATE SESSION TO export_role;
   GRANT DWROLE TO export_role;

4. 既存のデータベース・ロールをIAMグループに関連付ける場合は、ALTER ROLE文を使用して、既存のデータベース・ロールを変更してロールをIAMグループにマップします。次の構文を使用して、既存のデータベース・ロールを変更してIAMグループにマップします:

   ALTER ROLE existing_database_role 
      IDENTIFIED GLOBALLY AS 'IAM_GROUP_NAME=IAM_Group_Name';

IAMユーザーを追加し、ユーザー名とパスワードを指定してIAMユーザーがAutonomous Databaseにログインできるようにするには、IAMデータベース・パスワードを作成する必要があります。

データベースADMINユーザーがグローバル・ユーザーおよびグローバル・ロールをIAMユーザーおよびIAMグループにマップした後、ユーザーはOracle Cloud Infrastructure IAM資格証明を使用してAutonomous Databaseインスタンスにログインするか、Oracle Cloud Infrastructure IAMデータベース・トークンを使用してデータベースにアクセスします。

ローカル・データベース・アカウントのユーザー名とパスワード(非グローバル・データベース・ユーザー・アカウント)を使用しても、Autonomous Databaseにログインできます。

データベース・クライアントを使用して、Autonomous DatabaseインスタンスにOracle Cloud Infrastructure IAMユーザーとしてアクセスできます。Oracle Cloud Infrastructure IAM IAMのユーザー名とパスワードの資格証明およびパスワード・ベリファイアを使用するクライアントを使用するには、データベース・クライアントが12c以上である必要があります。

IAMデータベース・パスワードを使用するようにSQL*Plusを構成できます。

• IAMユーザーとして、次の構文を使用してAutonomous Databaseインスタンスにログインします。

  CONNECT user_name@db_connect_string
  Enter password: password

  この指定では、user_nameはIAMユーザー名です。domain_name/user_nameの組合せには128バイトの制限があります。

  次の例に、IAMユーザーpeter_fitchがAutonomous Databaseインスタンスにログインする方法を示します。

  sqlplus /nolog
  connect peter_fitch@db_connect_string
  Enter password: password

  一部の特殊文字では、user_nameおよびpasswordを二重引用符で囲む必要があります。例:

  "peter_fitch@example.com"@db_connect_string
  
  "IAM database password"

IAMトークンを使用するSQL*Plusのクライアント接続を構成できます。

1. IAMユーザー・アカウントがあることを確認します。
2. IAM管理者およびOracle Database管理者に問い合せて、コンパートメントまたはテナンシ内のデータベースにアクセスできるポリシーがあり、データベース内のグローバル・スキーマにマップされていることを確認してください。
3. アプリケーションまたはツールが直接IAM統合をサポートしていない場合は、OCI CLIをダウンロード、インストールおよび構成します。(OCIコマンドライン・インタフェースのクイックスタートを参照。)OCI CLI構成の一部としてAPIキーを設定し、デフォルト値を選択します。
   1. IAMユーザーのAPIキー・アクセスを設定します。
   2. db-tokenを取得します。例:
      • Oracle Cloud Infrastructure (OCI)コマンドライン・インタフェースを使用したAPI-keyでのdb-tokenの取得:

        oci iam db-token get

      • セキュリティ(またはセッション)トークンを使用したdb-tokenの取得:

        oci iam db-token get --auth security_token

        セキュリティ・トークンが期限切れになると、ユーザーがOCIに再度ログインできるようにウィンドウが表示されます。これにより、ユーザーのセキュリティ・トークンが生成されます。OCI CLIでは、このリフレッシュされたトークンを使用してdb-tokenを取得します。

      • 委任トークンを使用したdb-tokenの取得: クラウド・シェルにログインすると、委任トークンが自動的に生成され、/etcディレクトリに配置されます。このトークンを取得するには、クラウド・シェルで次のコマンドを実行します:

        oci iam db-token get

      • OCIコマンドライン・インタフェースを使用したインスタンス・トークンの取得:

        oci iam db-token get --auth instance_principal

   3. データベース・クライアントは、IAMユーザー名およびIAMデータベース・パスワードを使用してデータベース・トークンを取得するように構成することもできます。

      詳細は、「IAMユーザー名およびデータベース・パスワードによってリクエストされたトークンを使用するクライアント接続」を参照してください。

   詳細は、必要なキーとOCIDを参照してください。
4. Oracle Databaseクライアント・リリース19cおよび21cの最新リリース更新を使用していることを確認します。
   この構成は、Oracle Databaseクライアント・リリース19cまたは21cでのみ機能します。
5. 既存のプロセスに従ってAutonomous Databaseからウォレットをダウンロードし、SQL*Plusで使用するためにウォレットを構成する手順に従います。
   1. sqlnet.oraでSSL_SERVER_DN_MATCH=ONを検索して、DN一致が有効であることを確認します。
   2. TOKEN_AUTH=OCI_TOKENをsqlnet.oraファイルに追加して、IAMトークンを使用するようにデータベース・クライアントを構成します。データベース・トークン・ファイルのデフォルトの場所を使用するため、トークンの場所を含める必要はありません。
   tnsnames.ora接続文字列のTOKEN_AUTHおよびTOKEN_LOCATION値は、その接続のsqlnet.ora設定より優先されます。たとえば、接続文字列の場合、トークンがデフォルトの場所(Linuxの場合は~/.oci/db-token)にあるとします:

   (description= 
     (retry_count=20)(retry_delay=3)
     (address=(protocol=tcps)(port=1522)
     (host=example.us-phoenix-1.oraclecloud.com))
     (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
     (security=(ssl_server_cert_dn="CN=example.uscom-east-1.oraclecloud.com, 
        OU=Oracle BMCS US, O=Example Corporation, 
        L=Redwood City, ST=California, C=US")
     (TOKEN_AUTH=OCI_TOKEN)))
   

connect /@exampledb_high

connect /@(description= 
  (retry_count=20)(retry_delay=3)
  (address=(protocol=tcps)(port=1522)
  (host=example.us-phoenix-1.oraclecloud.com))
  (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
  (security=(ssl_server_cert_dn="CN=example.uscom-east-1.oraclecloud.com, 
     OU=Oracle BMCS US, O=Example Corporation, 
     L=Redwood City, ST=California, C=US")
  (TOKEN_AUTH=OCI_TOKEN)))

ADMINユーザーがAutonomous DatabaseでOracle Cloud Infrastructure IAMを有効にすると、アプリケーションはインスタンス・プリンシパルを使用してOracle Cloud Infrastructure IAMデータベース・トークンを通じてデータベースにアクセスできます。

プロキシ認証により、IAMユーザーは、アプリケーションのメンテナンスなどのタスクのためにデータベース・スキーマにプロキシできます。

プロキシ認証は、通常、実際のユーザーを認証し、アプリケーションを管理するためにスキーマ権限およびロールを持つデータベース・スキーマの使用を認可するために使用されます。アプリケーション・スキーマ・パスワードの共有などの代替方法は、安全性が低いと考えられ、実際にどのユーザーがアクションを実行したかを監査できません。

ユース・ケースとしては、アプリケーション・データベース管理者である名前付きIAMユーザーが資格証明を使用して認証し、データベース・スキーマ・ユーザー(hrappなど)にプロキシするような環境が考えられます。この認証により、IAM管理者は、アプリケーションのメンテナンスを実行するためにhrapp権限およびロールをユーザーhrappとして使用でき、認証にはIAM資格証明を使用できます。アプリケーション・データベース管理者は、データベースにサインインし、アプリケーション・スキーマにプロキシしてこのスキーマを管理できます。

パスワード認証とトークン認証の両方の方法にプロキシ認証を構成できます。

CONNECT peterfitch[hrapp]@connect_string
Enter password: password

CONNECT [hrapp]/@connect_string

データベース・リンクを使用すると、Oracle Cloud Infrastructureユーザーとして、あるAutonomous Databaseインスタンスから別のインスタンスに接続できます。

Autonomous DatabaseのIAM外部認証ユーザー・アクセスを無効にするステップについて説明します。

ALTER SYSTEM RESET IDENTITY_PROVIDER_TYPE SCOPE=BOTH;

IAM認証が有効になっているAutonomous Databaseツールを使用するためのノートを提供します。