Cenário: Estabelecendo Conexão Diretamente com o Banco de Dados IoT

Etapa 1: Criar uma VCN para Listar Permissões de Conectividade Direta do Banco de Dados ao Host de Dados

Configure uma VCN com uma sub-rede e um gateway de serviço para acessar uma conexão privada e segura diretamente com o banco de dados.

1. Na sua tenancy do Internet of Things, faça log-in como administrador.
2. Abra o menu de navegação, selecione Rede e, em seguida, selecione Redes Virtuais em Nuvem.
3. Na página de lista Redes Virtuais na Nuvem, selecione Criar VCN.
4. Informe um nome descritivo para a VCN. Não precisa ser exclusivo e não pode ser alterado posteriormente na Console; você pode alterá-lo posteriormente com a API ou a CLI do domínio de Identidades. Evite digitar informações confidenciais.
5. Verifique o compartimento no qual você deseja criar a VCN e selecione outro compartimento, se necessário.
   Observação
   
   Sua VCN deve estar na mesma região do grupo de domínios IoT, do domínio IoT e de quaisquer outros recursos IoT. O número máximo de VCNs que você pode associar a um grupo de domínios IoT é 5.
6. Na seção Blocos IPv4 CIDR, informe uma faixa de IPs que tenha permissão para acessar o banco de dados, por exemplo: 10.0.0.0/16

   Para obter uma lista completa de definições, consulte Criando uma VCN.

7. Selecione Create a VCN.
8. A página de detalhes Rede Virtual na Nuvem é aberta e selecione a guia Sub-redes. Selecione Criar Sub-rede.

   Para obter mais informações, consulte Criando uma Sub-rede e Visão Geral de VCNs e Sub-redes.

9. Na página Create a Subnet:
   1. Informe um nome amigável para a sub-rede. Não precisa ser exclusivo e não pode ser alterado posteriormente na Console; você pode alterá-lo posteriormente com a API do domínio de Identidades. Evite digitar informações confidenciais.
   2. Verifique o compartimento no qual você deseja criar a sub-rede. Selecione outro compartimento, se necessário.
   3. Selecione o tipo de sub-rede, Regional. Uma sub-rede regional significa que a sub-rede pode conter recursos em qualquer domínio de disponibilidade da região.
   4. Informe um Bloco IPv4 CIDR, por exemplo, 10.0.0.0/16.
   5. Selecione o acesso à Sub-rede Privada para proibir o endereço IP público das Instâncias nesta sub-rede.
   6. Marque a caixa de seleção Usar nomes de host DNS nesta Sub-rede.
   7. Informe o Nome do Domínio DNS com o nome do label DNS da sub-rede:

      <subnet_DNS_label>.<VCN_DNS_label>.oraclevcn.com

   8. Para o compartimento Opções do DHCP, selecione o compartimento com seus recursos IoT. Para Opções de Dhcp, selecione Opções de Dhcp Padrão.
   9. Para o compartimento da Lista de Segurança, selecione o compartimento com seus recursos IoT. Selecione Lista de Segurança.
   10. Selecione Criar Sub-rede.
10. A página de detalhes da Rede Virtual na Nuvem é aberta e selecione a guia Gateways. Em Gateways de Serviço, selecione Criar Gateway de Serviço.

    Para obter mais informações, consulte Labels CIDR de Serviço Disponíveis na página Criando um Gateway de Serviço.

11. Informe um nome para o gateway de serviço. Ele não precisa ser exclusivo. Evite digitar informações confidenciais. Selecione o compartimento no qual você deseja criar o gateway. Selecione outro compartimento, se necessário.
12. Para Serviços, selecione a opção: All <region> Services In Oracle Services Network.
13. Selecione Opções avançadas, em Associação da Tabela de Roteamento, selecione o compartimento da tabela de roteamento. Use o compartimento para seus recursos IoT associados. Seus recursos do IoT podem estar em compartimentos distintos e devem estar na mesma região.
14. Selecione Criar Gateway de Serviço.
15. A página de detalhes Redes virtuais na nuvem é aberta e selecione a guia Roteamento.
16. Em Tabelas de Roteamento, selecione a Tabela de Roteamento Padrão.
17. Selecione a guia Regras de Roteamento e Adicionar Regras de Roteamento.
    • Para Tipo de Destino, selecione Gateway de Serviço.
    • Para Serviço de Destino, selecione Todos os Serviços <region> no Oracle Services Network .
    • Selecione Compartimento do Gateway de Serviço de Destino: Selecione o mesmo compartimento selecionado quando você criou o gateway de serviço na etapa anterior.
    • Selecione o Gateway de Serviço de Destino criado na etapa anterior.
    • Selecione Adicionar Regras de Roteamento.
    Para obter mais informações, consulte adicionar uma regra de roteamento.
18. A página de detalhes Rede Virtual na Nuvem é aberta e selecione a guia Segurança. Selecione Criar Grupo de Segurança de Rede.
    • Digite um nome e selecione o mesmo compartimento que você selecionou na etapa anterior.
    • Na seção Rule, para a Direção, selecione Egress.
    • Para o Tipo de Destino, selecione CIDR.
    • No campo CIDR de Destino, informe o CIDR do seu ambiente, por exemplo: 0.0.0.0/0
    • Para Protocolos IP, selecione Todos os Protocolos.
19. Selecione Criar. Para obter mais informações, consulte Grupo de Segurança de Rede,
20. Veja os detalhes do Grupo de Segurança de Rede.
21. Na página de detalhes Rede virtual na nuvem, copie o OCID da VCN ou das VCNs. Use esse OCID ou esses OCIDs da VCN na próxima etapa.

Etapa 2: Adicionar seu OCID da VCN ao seu Grupo de Domínios IoT

Para concluir as etapas a seguir, seu usuário deve ter pelo menos acesso de leitura à VCN ou às VCNs que você deseja adicionar ao grupo de domínios IoT. Para confirmar se você tem acesso de leitura à VCN, consulte Obtendo Detalhes de uma VCN para exibir as VCNs às quais você tem acesso.

Allow any-user to {VCN_READ} in compartment <compartment-name> where request.principal.type = 'iotdomain'

Etapa 3: Criar uma Instância de Computação para Acesso SSH

A criação de uma Instância de Computação e de uma VCN (Rede Virtual na Nuvem) no Oracle Cloud Infrastructure fornece acesso SSH (Secure Shell) a recursos de computação e cria um ambiente de rede isolado seguro para sua máquina virtual. A VCN determina como sua instância é acessada, enquanto a instância de computação é o servidor virtual ao qual você precisa se conectar.

Você pode criar uma instância de computação para hospedar os aplicativos, fornecendo poder de computação para sua carga de trabalho, e direcionar uma VCN (Rede Virtual na Nuvem) para criar a instância em uma rede privada e segura na nuvem, controlando sua conectividade e isolamento de outras redes e da internet pública. O uso de uma VCN é essencial para segurança e conectividade de rede, permitindo que você defina sub-redes, gateways e regras para gerenciar como as instâncias se comunicam com outros recursos. Para obter mais informações, consulte Visão Geral de VCNs e Sub-redes e Visão Geral do Serviço de Computação.

Etapa 4: Criar um Grupo Dinâmico de Domínio de Identidades

Etapa 5: Criar um Bastion

Etapa 6: Adicionar seu Grupo Dinâmico de Domínio de Identidades do OCI ao Domínio IoT

Se o acesso aos dados do domínio IoT já estiver configurado, use o comando oci iot domain get para confirmar os detalhes da conexão do banco de dados para um domínio IoT existente. Para obter mais informações, consulte Obtendo detalhes de um domínio IoT.

Ou use este comando oci iot domain configure-direct-data-access e os parâmetros necessários para configurar o acesso de um domínio IoT para estabelecer conexão diretamente com o banco de dados.

Substitua o OCID da tenancy pelo OCID da tenancy IoT do seu ambiente e substitua pelo nome do grupo de Identidades pelo grupo dinâmico de Identidades, seguindo estas diretrizes.

Para o parâmetro <identity-group-name>, você pode fazer referência ao grupo de identidades de usuários ou ao grupo dinâmico de identidades. Neste exemplo, o grupo dinâmico configurado na etapa anterior é referenciado:

oci iot domain configure-direct-data-access --iot-domain-id <iot-domain-OCID> --db-allow-listed-identity-group-names '["<tenancy-OCID>:<identity-group-name>"]'

Se o <identity-domain-name> não estiver no domínio de identidades padrão, especifique o <identity-domain-name>. Por exemplo: <tenancy-OCID>:<identity-domain-name>/<identity-group-name>

oci iot domain configure-direct-data-access --iot-domain-id <iot-domain-OCID> --db-allow-listed-identity-group-names '["<tenancy-OCID>:<identity-domain-name>/<identity-group-name>"]'

Etapa 7: Recuperar o db-token do Serviço de Identidade Usando o db-token-scope para Estabelecer Conexão com o Banco de Dados

O usuário ou o aplicativo em execução na(s) máquina(s) virtual(is), que estão localizados na VCN da lista de permissões e podem recuperar o db-token do serviço IAM Identity usando o db-token-scope usando o controlador de instâncias.

Use este comando: oci iam db-token get --scope --auth instance_principal

oci iam db-token get --scope <urn:oracle:db::id::<database-compartment-OCID> --auth instance_principal

iam db-token get --auth instance_principal --scope urn:oracle:db::id::<database-compartment-OCID>

Private key written at /home/opc/.oci/db-token/oci_db_key.pem
db-token written at: /home/opc/.oci/db-token/token
db-token is valid until 2025-08-30 21:09:45

Etapa 8: Usando uma String de Conexão TLS do URL JDBC para o Driver JDBC Thin sem uma Wallet para Estabelecer Conexão com o Banco de Dados

O usuário ou o aplicativo pode estabelecer uma conexão com o host de dados usando o db-connection-string e o token do OCI para consultar os dados do domínio IoT.

O db-token recuperado é então usado pelo cliente do banco de dados, por exemplo: SQL*Plus, SQLcl ou um driver JDBC para autenticar a conexão com um banco de dados Oracle configurado para autenticação de token do IAM.

Ao se conectar ao banco de dados, o aplicativo JDBC fornece um token ao banco de dados. O banco de dados verifica o token com uma chave pública que ele solicita do serviço de autenticação e recupera as informações de associação do grupo de usuários correspondente para localizar os mapeamentos de esquema e atribuição do banco de dados para concluir a autorização do usuário para o banco de dados.

./sql /@"jdbc:oracle:thin:@tcps:adb.<region>.oraclecloud.com:<port>/<database-host-name>.adb.<region>.oraclecloud.com?TOKEN_AUTH=OCI_TOKEN"

Além disso, o aplicativo envia um cabeçalho assinado, que prova que possui uma chave privada que é emparelhada a uma chave pública incorporada no token. Se o token e a assinatura forem válidos e houver um mapeamento entre o usuário do IAM e um usuário do banco de dados, o acesso ao banco de dados será concedido ao aplicativo JDBC.

Para obter mais informações sobre como usar o SQLcl, consulte a documentação do Oracle SQLcl.

Agora, você pode consultar os dados do domínio IoT diretamente no banco de dados.