Estabelecer conexão com o Autonomous Database com Autenticação do IAM (Identity and Access Management)

Os usuários do Serviço IAM podem se conectar à instância do Autonomous Database usando um verificador de senha do banco de Dados do IAM ou um token do Serviço IAM.

O uso do verificador de senha do banco de dados do IAM é semelhante ao processo de autenticação de senha do Oracle Database. No entanto, em vez do verificador da senha (hash criptografado da senha) ser armazenado no banco de dados Oracle, o verificador é armazenado como parte do perfil do usuário Oracle Cloud Infrastructure (OCI) IAM.

O segundo método de conexão, o uso de um token do serviço IAM para o banco de dados, é mais moderno. O uso de acesso baseado em token é mais adequado para recursos de Nuvem, como Autonomous Database. O token se baseia na força que o ponto final do IAM pode impor. Isso pode ser autenticação multifator, que é mais forte do que o uso exclusivo de senhas. Outro benefício do uso de tokens é que o verificador de senha (que é considerado confidencial) nunca fica armazenado ou disponível na memória. Uma conexão TCPS (TLS) é necessária ao usar tokens para acesso ao banco de dados.

• Conexões do Cliente que Usam um Verificador da Senha do Banco de Dados do IAM
  Depois que você tiver configurado a autorização necessária para o usuário do serviço IAM, este usuário poderá efetuar log-in usando o aplicativo cliente existente, como o SQL*Plus ou o SQLcl sem configuração adicional.
• Conexões do Cliente que Usam um Token Solicitado por um Aplicativo ou Ferramenta do Cliente
  Para o acesso do token do Serviço IAM ao Autonomous Database, o aplicativo ou ferramenta do cliente solicita um token do banco de Dados do IAM para o usuário do IAM.

Você pode configurar o SQL*Plus para usar uma senha do banco de dados do IAM.

• Como usuário do IAM, faça log-in na instância do Autonomous Database usando a seguinte sintaxe:

  CONNECT user_name@db_connect_string
  Enter password: password

  Nesta especificação, user_name é o nome de usuário do IAM. Há um limite de 128 bytes para a combinação domain_name/user_name.

  O exemplo a seguir mostra como a peter_fitch do usuário do serviço IAM pode fazer log-on em um instância de Autonomous Database.

  sqlplus /nolog
  connect peter_fitch@db_connect_string
  Enter password: password

  Alguns caracteres especiais exigirão aspas duplas em torno de user_name e password. Por exemplo:

  "peter_fitch@example.com"@db_connect_string
  
  "IAM database password"

Você pode configurar uma conexão de cliente para o SQL*Plus que usa um token do serviço IAM.

1. Certifique-se de ter uma conta de usuário do serviço IAM.
2. Verifique com um administrador do serviço IAM e um administrador do serviço Oracle Database para garantir que você tenha uma política que permita acessar o banco de dados no compartimento ou sua tenancy e que você esteja mapeado para um esquema global no banco de dados.
3. Se seu aplicativo ou ferramenta não oferecer suporte à integração direta do serviço IAM, faça download, instale e configure a CLI do OCI. (Consulte Início Rápido da Interface de Linha de Comando do OCI.) Configure uma chave de API como parte da configuração da CLI do OCI e selecione valores padrão.
   1. Configure o acesso de chave da API para o usuário do serviço IAM.
   2. Recupere o db-token. Por exemplo:
      • Recuperando um db-token com uma API-key usando a interface da linha de comando do OCI (Oracle Cloud Infrastructure):

        oci iam db-token get

      • Recuperando um db-token com um token de segurança (ou sessão):

        oci iam db-token get --auth security_token

        Se o token de segurança tiver expirado, será exibida uma janela para que o usuário possa fazer log-in no OCI novamente. Isso gerará o token de segurança para o usuário. A CLI do OCI usará esse token atualizado para obter o db-token.

      • Recuperando um db-token com um token de delegação: Quando você faz log-in no cloud shell, o token de delegação é gerado automaticamente e colocado no diretório /etc. Para obter esse token, execute o seguinte comando no cloud shell:

        oci iam db-token get

      • Recuperando um token de instância usando a interface de linha de comando do OCI:

        oci iam db-token get --auth instance_principal

   3. O cliente do banco de dados também pode ser configurado para recuperar um token do banco de dados usando o nome do usuário e senha de banco de dados do serviço IAM do IAM.

      Consulte Conexões do Cliente que Usam um Token Solicitado por um Nome do Usuário e Senha do Banco de Dados do Serviço IAM para obter mais informações.

   Consulte Chave e OCIDs Necessários para obter mais informações.
4. Certifique-se de que você esteja usando as últimas atualizações da release do cliente Oracle Database 19c, 21c ou 23ai.
   Essa configuração só funciona com a release 19c, 21c ou 23ai do cliente Oracle Database.
5. Siga o processo existente para fazer download da wallet no Autonomous Database e siga as instruções para configurá-la para uso com oSQL*Plus.
   1. Confirme se a correspondência de DN está ativada procurando SSL_SERVER_DN_MATCH=ON no arquivo sqlnet.ora.
      Observação
      
      A correspondência de DN parcial ou completa é necessária ao enviar um token do cliente de banco de dados para o Autonomous Database. Se o Autonomous Database estiver usando um ponto final privado, você precisará especificar um valor de host para o parâmetro de string de conexão. O uso de um endereço IP para o parâmetro de host na string de conexão não funcionará com a correspondência de DN e o token do IAM não será enviado ao banco de dados.

      Consulte Exemplos de Configuração de Pontos Finais Privados no Autonomous Database para obter informações de configuração sobre como definir o parâmetro de host ao usar um ponto final privado.

   2. Configure o cliente de banco de dados para usar o token do serviço IAM adicionando TOKEN_AUTH=OCI_TOKEN ao arquivo sqlnet.ora. Como você usará os locais padrão para o arquivo de token do banco de dados, não será necessário incluir o local do token.
   Os valores TOKEN_AUTH e TOKEN_LOCATION nas strings de conexão tnsnames.ora têm precedência sobre as definições sqlnet.ora dessa conexão. Por exemplo, para a string de conexão, supondo que o token esteja no local padrão (~/.oci/db-token para Linux):

   (description= 
     (retry_count=20)(retry_delay=3)
     (address=(protocol=tcps)(port=1522)
     (host=example.us-phoenix-1.oraclecloud.com))
     (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
     (security=(ssl_server_dn_match=yes)
     (TOKEN_AUTH=OCI_TOKEN)))
   

connect /@exampledb_high

connect /@(description= 
  (retry_count=20)(retry_delay=3)
  (address=(protocol=tcps)(port=1522)
  (host=example.us-phoenix-1.oraclecloud.com))
  (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
  (security=(ssl_server_cert_dn="CN=example.uscom-east-1.oraclecloud.com, 
     O=Example Corporation, 
     L=Redwood City, ST=California, C=US")
  (TOKEN_AUTH=OCI_TOKEN)))

Depois que o usuário ADMIN ativar o Oracle Cloud Infrastructure IAM no Autonomous Database, um aplicativo poderá acessar o banco de dados por meio de um token de banco de dados do Oracle Cloud Infrastructure IAM usando um controlador de instâncias.