O acesso entre tenancies a uma instância DBaaS do OCI (Oracle Cloud Infrastructure) é semelhante a um único cenário de tenancy, exceto que as informações da tenancy são necessárias para mapeamentos e solicitações de token e uma política é necessária em ambas as tenancies para permitir esse acesso de recursos ao banco de dados entre tenancies.

A figura a seguir ilustra o processo de acesso entre tenancies a uma instância do OCI DBaaS.

Figura 3-1 Acesso entre Tenancies a uma Instância DBaaS do OCI

Descrição de "Figura 3-1 Acesso entre Tenancies a uma Instância DBaaS do OCI"

O processo de tenancy cruzada é o seguinte:

1. A política é necessária em ambas as tenancies para endossar e admitir o acesso entre tenancies.
2. O principal do IAM (usuário ou aplicativo) solicita um token de banco de dados para um recurso entre tenancies.
3. O db-token é retornado e é usado para acessar o banco de dados em outra tenancy
4. O banco de dados fará uma consulta de grupo entre tenancies para os grupos do usuário e mapeará o principal para o esquema global e as atribuições globais opcionais.

Você deve inscrever a tenancy do usuário nas mesmas regiões nas quais os bancos de dados estão localizados. Por exemplo, se os bancos de dados na tenancy do banco de dados estiverem nas regiões PHX e IAD, você deverá inscrever a tenancy do usuário nessas regiões. Esta não é a região home, apenas as regiões inscritas adicionais na tenancy do usuário.

Crie políticas na tenancy do usuário e na tenancy do recurso de banco de dados para permitir o acesso ao banco de dados entre tenancies.

• Configurando a Tenancy do Usuário de Origem
  São necessárias duas políticas para permitir o acesso entre tenancies na tenancy do usuário.
• Configurando a Tenancy do Recurso do Banco de Dados de Destino
  A tenancy do banco de dados precisará de políticas correspondentes para permitir o acesso aos usuários da tenancy do usuário, bem como permitir que seus próprios bancos de dados consultem informações do grupo na tenancy do usuário
• Exemplos de Política para Acesso entre Tenancies
  Os exemplos incluem o uso de uma cláusula WHERE para refinar a configuração entre tenancies e outros métodos para executar esse tipo de configuração.

Ao executar esse tipo de mapeamento, adicione o OCID da tenancy às informações de mapeamento para que o banco de dados saiba que ele é acesso entre tenancies.

• Para usar a instrução CREATE USER para executar o mapeamento:
  Os exemplos a seguir mostram o mapeamento de esquema exclusivo e compartilhado com principais e grupos em domínios padrão e não padrão. Ao usar domínios padrão, você não precisa incluir um nome de domínio.

  CREATE USER schema1 IDENTIFIED GLOBALLY 
  AS 'IAM_PRINCIPAL_NAME=ocid1.tenancy.OCID:example_domain/peter.fitch@oracle.com';
  
  CREATE USER schema2 IDENTIFIED GLOBALLY 
  AS 'IAM_PRINCIPAL_NAME=ocid1.tenancy.OCID:peter.fitch@oracle.com';
  
  CREATE USER qa_db_user_group IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.OCID:example_domain/xt_db_users';
  
  CREATE USER qa_sales_user_group IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.OCID:sales_users';
  
  CREATE USER xt_ip_user IDENTIFIED GLOBALLY 
  AS 'IAM_PRINCIPAL_OCID=ocid1.instance.region1.sea.OCID';
  GRANT CREATE SESSION TO xt_ip_user;
  
  CREATE USER xt_iam_dg IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.region1.OCID:sales_principals';
  GRANT CREATE SESSION TO xt_iam_dg;

• Para usar a instrução CREATE ROLE para executar o mapeamento:
  Os exemplos a seguir mostram o mapeamento de atribuição global com grupos em domínios padrão e não padrão. Ao usar domínios padrão, você não precisa incluir um nome de domínio.

  CREATE ROLE globalrole1 IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.abcdef:example_domain/xt_db_users';
  
  CREATE ROLE globalrole2 IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.abcdef:sales_users';

Você pode configurar alguns clientes de banco de dados diretamente.

A tenancy do banco de dados deverá ser identificada na string de conexão ou em sqlnet.ora se o cliente estiver configurado para obter diretamente o token de acesso do OCI IAM. Revise a documentação específica do cliente para valores de parâmetro específicos (JDBC-thin, ODP.NET-core, gerenciado).

Adicione o parâmetro --scope ao comando de interface da linha de comando do OCI (Oracle Cloud Infrastructure) para obter um db-token para uma solicitação entre tenancies. Se o banco de dados que você está acessando estiver em uma região diferente da região home da tenancy do usuário, a região também deverá ser adicionada ao comando da CLI do OCI usando o parâmetro --region.

Consulte Parâmetros Opcionais para obter mais detalhes sobre o uso dos parâmetros opcionais do comando oci get.

Você pode defini-lo para toda a tenancy ou defini-lo como escopo para um compartimento ou banco de dados na tenancy. Ao definir o escopo do compartimento ou banco de dados entre tenancies, você não precisa adicionar também as informações da tenancy porque os OCIDs do compartimento e do banco de dados são exclusivos no OCI.

Certos clientes podem solicitar os tokens diretamente do MSEI. Consulte a documentação deles sobre como definir os parâmetros para obter os tokens de acesso OAuth2 do MSEI.