Os usuários do serviço IAM podem se conectar com a instância do Autonomous Database usando um verificador de senha de banco de dados do IAM ou um token do IAM.

O uso do verificador de senha do banco de dados do IAM é semelhante ao processo de autenticação de senha do Oracle Database. No entanto, em vez de o verificador de senha (hash criptografado da senha) ser armazenado no banco de dados Oracle, ele é armazenado como parte do perfil de usuário do OCI (Oracle Cloud Infrastructure) IAM.

O segundo método de conexão, o uso de um token do serviço IAM para o banco de dados, é mais moderno. O uso do acesso baseado em token é melhor para recursos de Nuvem, como o Autonomous Database. O token se baseia na força que o ponto final do IAM pode impor. Isso pode ser autenticação multifator, que é mais forte do que o uso exclusivo de senhas. Outro benefício do uso de tokens é que o verificador de senha (que é considerado confidencial) nunca fica armazenado ou disponível na memória. Uma conexão TCPS (TLS) é necessária ao usar tokens para acesso ao banco de dados.

• Conexões de Cliente que Usam um Verificador de Senha do Banco de Dados do IAM
  Após configurar a autorização necessária para o usuário do IAM, esse usuário poderá fazer log-in usando o aplicativo cliente existente, como SQL*Plus ou SQLcl, sem configuração adicional.
• Conexões de Cliente que Usam um Token Solicitado por um Aplicativo ou uma Ferramenta Cliente
  Para acesso de token do IAM ao Autonomous Database, o aplicativo cliente ou a ferramenta solicita um token de banco de dados do IAM para o usuário do IAM.

Você pode configurar o SQL*Plus para usar uma senha do banco de dados do IAM.

• Como usuário do IAM, faça log-in na instância do Autonomous Database usando a seguinte sintaxe:

  CONNECT user_name@db_connect_string
  Enter password: password

  Nesta especificação, user_name é o nome de usuário do IAM. Há um limite de 128 bytes para a combinação domain_name/user_name.

  O exemplo a seguir mostra como o usuário do IAM peter_fitch pode fazer log-in em uma instância do Autonomous Database.

  sqlplus /nolog
  connect peter_fitch@db_connect_string
  Enter password: password

  Alguns caracteres especiais exigirão aspas duplas em torno de user_name e password. Por exemplo:

  "peter_fitch@example.com"@db_connect_string
  
  "IAM database password"

Você pode configurar uma conexão de cliente para o SQL*Plus que usa um token do serviço IAM.

1. Certifique-se de ter uma conta de usuário do serviço IAM.
2. Verifique com um administrador do IAM e do Oracle Database se você tem uma política que permite acessar o banco de dados no compartimento ou na tenancy e se você está mapeado para um esquema global no banco de dados.
3. Se seu aplicativo ou ferramenta não oferecer suporte à integração direta do serviço IAM, faça download, instale e configure a CLI do OCI. (Consulte Início Rápido da Interface de Linha de Comando do OCI.) Configure uma chave de API como parte da configuração da CLI do OCI e selecione valores padrão.
   1. Configure o acesso de chave da API para o usuário do serviço IAM.
   2. Recupere o db-token. Por exemplo:
      • Recuperando um db-token com uma API-key usando a interface da linha de comando do OCI (Oracle Cloud Infrastructure):

        oci iam db-token get

      • Recuperando um db-token com um token de segurança (ou sessão):

        oci iam db-token get --auth security_token

        Se o token de segurança tiver expirado, será exibida uma janela para que o usuário possa fazer log-in no OCI novamente. Isso gerará o token de segurança para o usuário. A CLI do OCI usará esse token atualizado para obter o db-token.

      • Recuperando um db-token com um token de delegação: Quando você faz log-in no cloud shell, o token de delegação é gerado automaticamente e colocado no diretório /etc. Para obter esse token, execute o seguinte comando no cloud shell:

        oci iam db-token get

      • Recuperando um token de instância usando a interface de linha de comando do OCI:

        oci iam db-token get --auth instance_principal

   3. O cliente do banco de dados também pode ser configurado para recuperar um token de banco de dados usando o nome de usuário do IAM e a senha do banco de dados do IAM.

      Consulte Client Connections That Use a Token Solicitado por um Nome de Usuário e Senha de Banco de Dados do IAM para obter mais informações.

   Consulte Chave e OCIDs Necessários para obter mais informações.
4. Certifique-se de estar usando as atualizações de versão mais recentes para o cliente Oracle Database versões 19c, 21c ou 23ai.
   Essa configuração só funciona com o cliente 19c, 21c ou 23ai do Oracle Database.
5. Siga o processo existente para fazer download da wallet do Autonomous Database e siga as instruções para configurá-la para uso com o SQL*Plus.
   1. Confirme se a correspondência de DN está ativada procurando SSL_SERVER_DN_MATCH=ON no arquivo sqlnet.ora.
      Observação
      
      A correspondência de DN parcial ou completo é necessária ao enviar um token do cliente de banco de dados para o Autonomous Database. Se o Autonomous Database estiver usando um ponto final privado, especifique um valor de host para o parâmetro de string de conexão. O uso de um endereço IP para o parâmetro de host na string de conexão não funcionará com correspondência de DN e o token do IAM não será enviado ao banco de dados.

      Consulte Exemplos de Configuração de Pontos Finais Privados no Autonomous Database para obter informações de configuração sobre como definir o parâmetro de host ao usar um ponto final privado.

   2. Configure o cliente de banco de dados para usar o token do serviço IAM adicionando TOKEN_AUTH=OCI_TOKEN ao arquivo sqlnet.ora. Como você usará os locais padrão para o arquivo de token do banco de dados, não será necessário incluir o local do token.
   Os valores TOKEN_AUTH e TOKEN_LOCATION nas strings de conexão tnsnames.ora têm precedência sobre as definições sqlnet.ora dessa conexão. Por exemplo, para a string de conexão, supondo que o token esteja no local padrão (~/.oci/db-token para Linux):

   (description= 
     (retry_count=20)(retry_delay=3)
     (address=(protocol=tcps)(port=1522)
     (host=example.us-phoenix-1.oraclecloud.com))
     (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
     (security=(ssl_server_dn_match=yes)
     (TOKEN_AUTH=OCI_TOKEN)))
   

connect /@exampledb_high

connect /@(description= 
  (retry_count=20)(retry_delay=3)
  (address=(protocol=tcps)(port=1522)
  (host=example.us-phoenix-1.oraclecloud.com))
  (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
  (security=(ssl_server_cert_dn="CN=example.uscom-east-1.oraclecloud.com, 
     O=Example Corporation, 
     L=Redwood City, ST=California, C=US")
  (TOKEN_AUTH=OCI_TOKEN)))

Depois que o usuário ADMIN ativar o Oracle Cloud Infrastructure IAM no Autonomous Database, um aplicativo poderá acessar o banco de dados por meio de um token de banco de dados do Oracle Cloud Infrastructure IAM usando um controlador de instâncias.