データベース・ツールを使用するためのベスト・プラクティス

データベース接続は、特定のユーザーまたは定義されたユーザー・グループにデータベースへのアクセス権を付与する場合に役立つ機能です。これらの接続を分離するには、次の例に示すように、ポリシーを使用してユーザーのロールに基づいて特定の接続へのアクセス権を付与します:

レポートに使用されるAutonomous Data Warehouseの場合は、ReportingDataAccessという名前の共有データベース接続を作成します。この接続を、Data Scientistsというグループ内の特定のエンド・ユーザーのセットに割り当てます。このグループのユーザーは、データベース接続の詳細にアクセスできるようになりましたが、この接続のみの使用と、接続でデータベースへのアクセスに使用されている、ユーザーによって継承されたロールおよび権限に限定されます。

データ・ウェアハウスへの管理者接続を作成し、DatabaseAdministratorsというグループを使用してその接続に別のユーザー・セットを割り当てることもできます。コンパートメントとポリシーを使用すると、次のようにこれらの接続へのアクセスを分離できます:

データ・サイエンティスト・グループ:

1. Reportingというコンパートメントを作成します。
2. このコンパートメントにDataScientistsというグループを作成します。
3. ReportingコンパートメントにReportingDataAccessというデータベース接続を作成します。
4. Reportingコンパートメント内の接続へのアクセス権をDataScientistsグループに付与するポリシーを作成します:

   • Allow group DataScientists to read database-tools-family in compartment Reporting

   • Allow group DataScientists to use database-tools-connections in compartment Reporting

データベース管理者グループ:

1. DBAというコンパートメントを作成します。
2. このコンパートメントにDatabaseAdministratorsというグループを作成します。
3. DBAコンパートメントにDatabaseAdminというデータベース接続を作成します。
4. DBAコンパートメント内の接続へのアクセス権をそのグループに付与するポリシーを作成します:

   • Allow group DatabaseAdministrators to read database-tools-family in compartment DBA

   • Allow group DatabaseAdministrators to use database-tools-connections in compartment DBA

これらのグループおよびコンパートメント固有のデータベース接続は、どのユーザーがどのデータベースにアクセスできるかを特定し、それらのユーザーが持つアクセス権を判別するのに役立ちます。

プライベート・エンドポイントを使用しているAutonomous Databaseへのデータベース接続を作成する場合は、データベース・ツールからそのデータベースへのアクセスを提供するネットワーク・セキュリティ・グループを作成します。ネットワーク・セキュリティ・グループの作成時に、使用できるIPまたはCIDRブロック、およびポートまたはポート範囲を制限する特定のアクセス・ルールを定義します。

SQLワークシートの場合

OCIコンソールでデータベース・ツールSQLワークシートからのアクセスを提供するために必要なネットワーク・セキュリティ・グループ・ルールの最小セットを構成するには:

1. 「プライベート・エンドポイントの詳細」ページで、「プライベート・エンドポイントの情報」セクションの「逆接続ソースIP」フィールドを特定します。IPアドレスは2つあります。
2. ネットワーク・セキュリティ・グループを編集し、TCP/IPを使用して宛先ポート1522へのアクセス権を持つ2つのIPアドレス用のルールを追加します。たとえば、2つのIPアドレス10.0.1.6および10.0.1.8の場合、2つのルールには、TCP/IPを使用して宛先ポート1522にアクセスできるCIDRブロック10.0.1.6/32および10.0.1.8/32が含まれます。

SQLclおよび要塞の場合

OCIコンソールで要塞を使用してデータベース・ツールSQLclからのアクセスを提供するために必要なネットワーク・セキュリティ・グループ・ルールの最小セットを構成するには:

1. 「要塞の詳細」ページの「プライベート・エンドポイントIPアドレス」フィールドで、プライベート・エンドポイントIPアドレス項目を特定します。1つのIPアドレスのみが表示されます。
2. ネットワーク・セキュリティ・グループを編集し、TCP/IPを使用して宛先ポート1522にアクセスできるこのIPアドレス用のルールを追加します。たとえば、IPアドレス10.0.1.9の場合、ルールには、TCP/IPを使用して宛先ポート1522にアクセスできるCIDRブロック10.0.1.7/32が含まれます。

これらのルールにより、データベース・ツールは、これらの特定のIPアドレスからネットワーク・セキュリティ・グループを介して選択したAutonomous Databaseのみに対して、SQLclを使用した要塞アクセスおよびOCIコンソールでのSQLワークシート・アクセス用のポート1522でのみアクセスできます。

関連するアイデンティティ・リソースとの接続の更新

接続が更新されると、ターゲット・データベースまたはスキーマが変更される場合があります。アイデンティティがアタッチされている場合、データベース・ツール・サービスは、新しいターゲット・スキーマおよびデータベースにアイデンティティ・リソースを再作成します。このプロセスは、前のスキーマおよびデータベースに孤立した資格証明を残す場合があります。必要に応じて、資格証明を関連するシノニムまたは権限とともに手動で削除する必要があります。

アイデンティティのリフレッシュに失敗した場合の通知の設定

アイデンティティを使用してクリティカル・タスクを実行している場合は、リフレッシュ操作が失敗した場合に通知を受け取ります。リフレッシュ操作が失敗すると、リソース・プリンシパル・トークンは使用できなくなり、これにより、関連付けられた資格証明がOCI Identity and Access Managementによって認証されなくなります。OCIモニタリングを使用して、リフレッシュ操作が失敗したときに通知を送信するアラームを作成します。アイデンティティの表示および監視を参照してください。

資格証明操作の監査

アイデンティティが作成または更新されると、リソース・プリンシパル・トークンおよび秘密キーの詳細が、対応するデータベース資格証明オブジェクトの生成または変更に使用されます。Oracle Databaseの構成済監査設定によっては、この情報が監査ログに記録される場合があります。「監査の概要」を参照してください。