データベース・ツールMCPサーバー

データベース・ツールのMCPサーバー・ポリシーは、次によって異なります。

• MCPサーバー・ランタイムID
• データベース・ツール接続ランタイムID
• データベース認証方式
• ポリシー・スコープ(リソースまたはコンパートメント)

次の図は、データベース・ツールMCPサーバーが構成済のランタイム・アイデンティティを使用してOCIリソースにアクセスする方法を示しています。ランタイム・アイデンティティ構成に応じて、OCIリソース・アクセスは、認証されたユーザー・アイデンティティ(On-Behalf-Ofトークン)またはMCPサーバー・リソース・プリンシパルを使用して実行されます。

必要なIAM権限

IAMポリシーでは、次の構文が使用されます:

Allow <subject> to <verb> <resource-type> in <location> where <conditions>

IAMポリシーは、MCPサーバー・リソースおよび関連するOCIサービスにアクセスできるユーザー、グループまたはリソース・プリンシパルを定義します。次の表に、Database Tools MCP Serverに必要なIAM権限を示します。

ランタイム・アイデンティティ・モデル

必要なポリシーは、ランタイム・アイデンティティ構成によって異なります。

• MCPサーバー・ランタイムID

  リソースへのアクセス時にMCPサーバーが使用するアイデンティティを決定します。

  • Authenticated_Principal: ログイン・ユーザーIDを使用してリクエストが実行されます。

  • Resource_Principal: MCPサーバー・アイデンティティを使用して実行されるリクエスト。

• 接続ランタイムID

  データベース・アクセスに使用するアイデンティティを決定します。

  • Authenticated_Principal: データベース・アクセスでは、ユーザー・アイデンティティが使用されます。

  • Resource_Principal: データベース・アクセスでは、データベース・ツール接続リソース・アイデンティティが使用されます。

• 認証のタイプ

  • トークン: IAMトークンベース認証を使用します。

  • パスワード: データベース・ユーザー名およびパスワード認証を使用します。

• ポリシーの有効範囲

  ポリシーは、リソース・レベルまたはコンパートメント・レベルのいずれかで適用できます。

  • リソース: 特定のリソースへのアクセスを制限します。

  • コンパートメント: コンパートメント内のすべての一致するリソースへのアクセスを許可します。

ポリシー設定

デプロイメント・モデルと一致する構成を選択します。

オプション1

• MCPサーバー・ランタイムID: AUTHENTICATED_PRINCIPAL
• 接続ランタイムID: AUTHENTICATED_PRINCIPAL
• 認証タイプ: TOKEN

Resource-Scopeポリシー・ステートメント

allow any-user to use database-tools-db-connect-obo in tenancy
where request.principal.id = '<mcp-server-ocid>'

allow group '<domain_name>/<group_name>' to use database-tools-mcp-servers-invocation
in compartment <compartment_name> where target.resource.id = '<mcp-server-ocid>'

allow group '<domain_name>/<group_name>' to use database-connections
in compartment <compartment_name> where target.database.id = '<database-ocid>'

allow group '<domain_name>/<group_name>' to use database-tools-connections
in compartment <compartment_name> where target.resource.id = '<connection-ocid>'

オプション: シークレットまたはキー・ストアが使用されている場合にのみ必要です。

allow group '<domain_name>/<group_name>' to read secret-bundles in compartment <compartment_name> 
where target.secret.id = '<secret-ocid>'

Compartment-Scopeポリシー・ステートメント

allow any-user to use database-tools-db-connect-obo in tenancy
where all {request.principal.type = 'databasetoolsmcpserver', 
request.principal.compartment.id = '<compartment-ocid>'}

allow group '<domain_name>/<group_name>' to use database-tools-mcp-servers-invocation
in compartment <compartment_name>

allow group '<domain_name>/<group_name>' to use database-connections
in compartment <compartment_name>

allow group '<domain_name>/<group_name>' to use database-tools-connections
in compartment <compartment_name>

オプション: シークレットまたはキー・ストアが使用されている場合にのみ必要です。

allow group '<domain_name>/<group_name>' to read secret-bundles 
in compartment <compartment_name>

オプション2

Resource-Scopeポリシー・ステートメント

allow group 'domain_name'/'group_name' to use database-tools-mcp-servers-invocation
in compartment <compartment_name> where target.resource.id = '<mcp-server-ocid>'

allow group 'domain_name'/'group_name' to use database-tools-connections in 
compartment <compartment_name> where target.resource.id = '<connection-ocid>'

オプション: パスワード資格証明がVaultに格納されている場合は必須です。

allow group 'domain_name'/'group_name' to read secret-bundles in compartment <compartment_name> 
where any { 
target.secret.id = '<secret-ocid-1>', 
target.secret.id = '<secret-ocid-2>' }

Compartment-Scopeポリシー・ステートメント

allow group '<domain_name>/<group_name>' to use database-tools-mcp-servers-invocation
in compartment <compartment_name>

allow group '<domain_name>/<group_name>' to use database-tools-connections
in compartment <compartment_name>

オプション: パスワード資格証明がVaultに格納されている場合は必須です。

allow group '<domain_name>/<group_name>' to read secret-bundles in compartment <compartment_name>

オプション3

• MCPサーバー・ランタイムID: AUTHENTICATED_PRINCIPAL
• 接続ランタイムID: RESOURCE_PRINCIPAL
• 認証タイプ: TOKEN

Resource-Scopeポリシー・ステートメント

allow any-user to use database-tools-db-connect-obo in tenancy
where request.principal.id = '<mcp-server-ocid>'

allow group '<domain_name>/<group_name>' to use database-tools-mcp-servers-invocation
in compartment <compartment_name> where target.resource.id = '<mcp-server-ocid>'

allow group '<domain_name>/<group_name>' to use database-connections
in compartment <compartment_name> where target.database.id = '<database-ocid>'

allow group '<domain_name>/<group_name>' to use database-tools-connections
in compartment <compartment_name> where target.resource.id = '<connection-ocid>'

オプション: 非同期リクエスト、Vaultアクセスまたはオブジェクト・ストレージにのみ必要です。

--Work Requests
allow group '<domain_name>/<group_name>' to use database-tools-runtime-work-requests
in compartment <compartment_name>
where target.resource.created-by-principal-id = request.principal.id

--Vault Secrets
allow any-user to read secret-bundles in compartment <compartment_name> 
where all {
  request.principal.id = '<connection-ocid>',
  target.secret.id = '<secret-ocid>'}

--Object Storage
allow any-user to use buckets in compartment <compartment_name>
where all {
  request.principal.id = '<connection-ocid>',
  target.bucket.name = '<bucket-name>'}

allow any-user to manage objects in compartment <compartment_name>
where all {
  request.principal.id = '<connection-ocid>',
  target.bucket.name = '<bucket-name>'}

Compartment-Scopeポリシー・ステートメント

allow any-user to use database-tools-db-connect-obo in tenancy 
where request.principal.id = '<mcp-server-ocid>'

allow group '<domain_name>/<group_name>' to use 
database-tools-mcp-servers-invocation in compartment <compartment_name>

allow group '<domain_name>/<group_name>' to use 
database-connections in compartment <compartment_name>

allow group '<domain_name>/<group_name>' to use 
database-tools-connections in compartment <compartment_name>

オプション: 非同期リクエスト、Vaultアクセスまたはオブジェクト・ストレージにのみ必要です。

--Work Requests
allow group '<domain_name>/<group_name>' to use 
database-tools-runtime-work-requests in compartment <compartment_name>

--Vault Secrets
allow any-user to read secret-bundles in compartment <compartment_name> 
where request.principal.id = '<connection-ocid>'

--Object Storage
allow any-user to use buckets in compartment <compartment_name> 
where request.principal.id = '<connection-ocid>'

allow any-user to manage objects in compartment <compartment_name> 
where request.principal.id = '<connection-ocid>'

オプション4

• MCPサーバー・ランタイムID: RESOURCE_PRINCIPAL
• 接続ランタイムID: RESOURCE_PRINCIPAL
• 認証タイプ: PASSWORD

Resource-Scopeポリシー・ステートメント

allow group '<domain_name>/<group_name>' to use database-tools-mcp-servers-invocation
in compartment <compartment_name> where target.resource.id = '<mcp-server-ocid>'

allow any-user to use database-tools-connections in compartment <compartment_name>
where all {
  request.principal.id = '<mcp-server-ocid>',
  target.resource.id = '<connection-ocid>'
}

オプション: 非同期リクエスト、Vaultシークレットまたはオブジェクト・ストレージにのみ必要です。

--Work Requests
allow any-user to use database-tools-runtime-work-requests
in compartment <compartment_name>
where all {
  request.principal.id = '<mcp-server-ocid>',
  target.resource.created-by-principal-id = request.principal.id
}

--Vault Secrets
allow any-user to read secret-bundles in compartment <compartment_name>
where all {
  request.principal.id = '<connection-ocid>',
  target.secret.id = '<secret-ocid-1>'
}

allow any-user to read secret-bundles in compartment <compartment_name>
where all {
  request.principal.id = '<connection-ocid>',
  target.secret.id = '<secret-ocid-2>'
}

--Object Storage
allow any-user to use buckets in compartment <compartment_name>
where all {
  request.principal.id = '<connection-ocid>',
  target.bucket.name = '<bucket-name>'
}

allow any-user to manage objects in compartment <compartment_name>
where all {
  request.principal.id = '<connection-ocid>',
  target.bucket.name = '<bucket-name>'
}

Compartment-Scopeポリシー・ステートメント

allow group '<domain_name>/<group_name>' to use database-tools-mcp-servers-invocation
in compartment <compartment_name>

allow any-user to use database-tools-connections in compartment <compartment_name>
where request.principal.id = '<mcp-server-ocid>'

オプション: 非同期リクエスト、Vaultシークレットまたはオブジェクト・ストレージにのみ必要です。

--Work Requests
allow any-user to use database-tools-runtime-work-requests in compartment <compartment_name>
where request.principal.id = '<mcp-server-ocid>'

--Vault Secrets
allow any-user to read secret-bundles in compartment <compartment_name>
where request.principal.id = '<connection-ocid>'

--Object Storage
allow any-user to use buckets in compartment <compartment_name>
where request.principal.id = '<connection-ocid>'

allow any-user to manage objects in compartment <compartment_name>
where request.principal.id = '<connection-ocid>'

サービス固有の変数

これらのサービス固有の変数をIAMポリシー条件で使用して、特定のリソース(特定のVaultシークレットやオブジェクト・ストレージ・バケットなど)へのアクセスを制限します。

この項では、管理者がデータベース・ツールのMCPサーバー、ツールセットおよび接続を管理するために必要なIAMポリシーおよびアイデンティティ・ドメイン・ロールについて説明します。

デフォルト・ドメイン

MCPサーバーを管理するには、ユーザーは、次に示すポリシーが付与されているデフォルト・アイデンティティ・ドメインのIAMグループに属している必要があります。

<group_name>および<compartment>を値に置き換えます。

アイデンティティ・ドメイン

特定のアイデンティティ・ドメイン内のユーザーの場合、次の表に必要なポリシー・ステートメントを示します。

アイデンティティ・ドメインのロール

MCPサーバーのMCPクライアントを管理するには、アイデンティティ・ドメインのユーザーには、アプリケーション管理者またはIdentity Domain Administratorロールが必要です。

管理者ロールへのユーザーの割当ての詳細は、ロールへのユーザーの割当てを参照してください。