Usar a Entidade de Serviço do Azure para Acessar Recursos do Azure

Ative a autenticação do controlador de serviços do Azure para permitir que o Autonomous Database acesse os serviços do Azure sem fornecer credenciais de longo prazo.

1. Obtenha o ID do tenant do Microsoft Azure Active Directory.

   Consulte Como localizar o ID do tenant do Azure Active Directory para obter mais informações.

2. Ative o controlador de serviços do Azure com o DBMS_CLOUD_ADMIN.ENABLE_PRINCIPAL_AUTH.

   Por exemplo:

   BEGIN
       DBMS_CLOUD_ADMIN.ENABLE_PRINCIPAL_AUTH(
           provider => 'AZURE',
           username => 'adb_user',
           params   => JSON_OBJECT('azure_tenantid' value 'azure_tenantID'));
   END;
   /

   Isso permite a autenticação do controlador de serviços do Azure e cria um aplicativo do Azure no Autonomous Database.

   Se você quiser que o usuário especificado tenha privilégios para ativar o controlador de serviços do Azure para outros usuários, defina o parâmetro params grant_option como TRUE.

   Por exemplo:

   BEGIN
       DBMS_CLOUD_ADMIN.ENABLE_PRINCIPAL_AUTH(
           provider => 'AZURE',
           username => 'adb_user',
           params   => JSON_OBJECT('grant_option' value TRUE, 
                                   'azure_tenantid' value 'azure_tenantID'));
   END;
   /

   Depois de executar esse comando, o adb_user poderá ativar o controlador de serviços do Azure para outro usuário. Por exemplo, se você se conectar como adb_user, poderá executar o seguinte comando:

   BEGIN
       DBMS_CLOUD_ADMIN.ENABLE_PRINCIPAL_AUTH(
           provider => 'AZURE',
           username => 'adb_user2');
   END;
   /

Para acessar recursos do Azure no Autonomous Database com autenticação do controlador de serviços do Azure, você deve consentir o aplicativo do Azure e designar atribuições para permitir o acesso aos recursos do Azure.

1. Na consulta do Autonomous Database CLOUD_INTEGRATIONS.

   Por exemplo:

   SELECT param_name, param_value FROM CLOUD_INTEGRATIONS;
   
   PARAM_NAME        PARAM_VALUE
   --------------- ------------------------------------------------------------------------------------------------------------------------------------------
   azure_tenantid    29981886-6fb3-44e3-82ab-d870b0e8e7eb
   azure_consent_url https://login.microsoftonline.com/f8cdef31-91255a/oauth2/v2.0/authorize?client_id=d66f1b5-1250d5445c0b&response_type=code&scope=User.read
   azure_app_name    ADBS_APP_OCID1.AUTONOMOUSDATABASE.REGION1.SEA.ANZWKLJSZLYNB3AAWLYL3JVC4ICEXLB3ZG6WTCX735JSSY2NRHOBU4DZOOVA

   A view CLOUD_INTEGRATIONS está disponível para o usuário ADMIN ou para um usuário com a atribuição DWROLE.

2. Em um browser, abra o URL de consentimento do Azure, especificado pelo parâmetro azure_consent_url.

   Por exemplo, copiar e inserir o URL no navegador:

   https://login.microsoftonline.com/f8cdef31-91255a/oauth2/v2.0/authorize?client_id=d66f1b5-1250d5445c0b&response_type=code&scope=User.read

   A página Permissões solicitadas é aberta e mostra uma solicitação de consentimento, semelhante à seguinte:

   
   Descrição da ilustração azure_consent.png
3. Para fornecer consentimento, clique em Aceitar.
4. No console do Microsoft Azure, designe as atribuições que você deseja conceder para permitir o acesso aos recursos especificados do Azure.

   Por exemplo, se você quiser acessar o Armazenamento Blob do Azure no Autonomous Database, designe atribuições para que o aplicativo do Azure (o controlador de serviço) tenha acesso ao Armazenamento Blob do Azure.

   Observação
   
   Para trabalhar com o Armazenamento Blob do Azure, você precisa de uma conta de armazenamento do Azure. Se não tiver uma conta de armazenamento do Azure, crie uma conta de armazenamento. Consulte Criar uma conta de armazenamento para obter mais informações.
   1. Na console do Microsoft Azure, em serviços do Azure, selecione Contas de armazenamento.
   2. Em Contas de armazenamento, clique na conta de armazenamento à qual você deseja conceder acesso de principal de serviço.
   3. À esquerda, clique em Controle de Acesso (IAM).
   4. Na área superior, clique em + Adicionar → Adicionar atribuição de função.
   5. Na área de pesquisa, insira o texto para restringir a lista de funções que você vê. Por exemplo, digite Blob de Armazenamento para mostrar as funções disponíveis que contêm Blob de Armazenamento.
   6. Selecione uma ou mais atribuições, conforme apropriado, para o acesso que você deseja conceder. Por exemplo, selecione Colaborador de Dados do Blob de Armazenamento.
   7. Clique em Próximo.
   8. Na Designação de atribuição, em Membros, clique em + Selecionar membros.
   9. Em Selecionar membros, no campo de seleção, digite a azure_app_name listada na Etapa 1 (a coluna param_value da exibição CLOUD_INTEGRATIONS).
   10. Selecione o aplicativo.

       Por exemplo, clique em ADBS_APP_OCID1.AUTONOMOUSDATABASE.REGION1.SEA.ANZWKLJSZLYNB3AAWLYL3JVC4ICEXLB3ZG6WTCX735JSSY2NRHOBU4DZOOVA

   11. Clique em Selecionar.
   12. Clique em Revisar + atribuir.
5. Clique em Revisar + Designar novamente.

   Depois de designar uma atribuição, você precisará aguardar, pois as atribuições de atribuição podem levar até cinco minutos para serem propagadas no Azure.

Quando você faz chamadas DBMS_CLOUD para acessar recursos do Azure e especifica o nome da credencial como AZURE$PA, a autenticação no lado do Azure acontece usando o controlador de serviços do Azure.

SELECT * FROM DBMS_CLOUD.LIST_OBJECTS('AZURE$PA', 'https://treedata.blob.core.windows.net/treetypes/');

OBJECT_NAME BYTES CHECKSUM                 CREATED              LAST_MODIFIED        
----------- ----- ------------------------ -------------------- -------------------- 
trees.txt      58 aCB1qMOPVobDLCXG+2fcvg== 2022-04-07T23:03:01Z 2022-04-07T23:03:01Z

Para desativar o acesso aos recursos do Azure no Autonomous Database com o controlador de serviços do Azure, use DBMS_CLOUD_ADMIN.DISABLE_PRINCIPAL_AUTH.

BEGIN
    DBMS_CLOUD_ADMIN.DISABLE_PRINCIPAL_AUTH(
        provider => 'AZURE',
        username => 'adb_user');
END;
/

Observações sobre o uso do controlador de serviços do Azure.

• Clonando uma instância do Autonomous Database com o controlador de serviços do Azure: Quando você clona uma instância com o controlador de serviços do Azure ativado, a configuração do controlador de serviços do Azure não é transferida para o clone. Execute as etapas para ativar o controlador de serviços do Azure no clone se quiser ativar o controlador de serviços do Azure em uma instância clonada.