Usar Autenticação Multifator com o Autonomous AI Database

Um canal de notificação é o mecanismo usado para entregar desafios de MFA aos usuários, como aprovações push ou OTPs, nos fluxos MFA de login-time (LOGON) e MFA de Token de Acesso SQL. Os canais suportados incluem aplicativos de e-mail, SMS, Slack e autenticador, e cada canal requer atributos de configuração específicos, por exemplo, detalhes SMTP para entrega de e-mail ou uma configuração de espaço de trabalho do Slack para o Slack, para garantir que as mensagens sejam entregues de forma segura e confiável ao usuário pretendido.

Antes de configurar canais de notificação, certifique-se de ter configurado as credenciais necessárias para os canais que você planeja usar. Observe que alguns canais se aplicam apenas à MFA de LOGON, por exemplo, OMA e Duo, enquanto outros se aplicam apenas à MFA de Token de Acesso SQL, por exemplo, OMA, Slack e e-mail, portanto, configure apenas o necessário para o fluxo de MFA escolhido.

A tabela a seguir resume os canais de notificação de MFA disponíveis e mostra qual tipo de MFA cada canal suporta (Log-on de MFA e/ou MFA de Token de Acesso SQL), juntamente com o método de notificação correspondente (entrega de OTP ou aprovação por push).

Use o procedimento DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION para definir os canais de notificação usados para entregar mensagens MFA (por exemplo, desafios de Token de Acesso SQL). Neste procedimento, você especifica o tipo de canal, como e-mail, Slack ou um autenticador, e fornece os atributos específicos do canal ou as referências de credenciais necessárias para uma entrega segura e confiável. Como cada canal tem requisitos diferentes, os valores de atributo fornecidos dependem do canal que você configura; consulte os exemplos a seguir para as entradas esperadas por canal.

Notificação de E-mail

Configure o objeto de credencial de e-mail e as definições de notificação SMTP para que o sistema Oracle possa enviar e-mails relacionados à MFA. Isso é necessário para a configuração de logon de MFA (OMA e Duo), incluindo emails de registro de dispositivo; sem isso, os usuários não receberão as notificações de registro necessárias. O e-mail não é um segundo fator suportado para log-on de MFA — a entrega de E-mail OTP só é suportada para MFA de Token de Acesso SQL.

Para configurar um provedor de e-mail personalizado para enviar Tokens de Acesso de MFA, crie uma credencial de provedor de e-mail no banco de dados usando o procedimento DBMS_CLOUD.CREATE_CREDENTIAL. Por exemplo:

BEGIN
   DBMS_CLOUD.CREATE_CREDENTIAL(
       credential_name => 'EMAIL_CRED_01',
       username        => '<username>',
       password        => '<password>'
   );
END;
/

Conceda ao banco de dados permissão para se conectar ao host SMTP para enviar e-mails atualizando a ACL (Access Control List). Por exemplo:

BEGIN
  DBMS_NETWORK_ACL_ADMIN.APPEND_HOST_ACE(
    host        => 'smtp.email.us-ashburn-1.oci.oraclecloud.com',
    lower_port  => 587,
    upper_port  => 587,
    ace         => xs$ace_type(
                     privilege_list  => xs$name_list('SMTP'),
                     principal_name  => 'ADMIN',
                     principal_type  => xs_acl.ptype_db
                   )
  );
END;
/

Defina as configurações do canal de e-mail para entregar Tokens de acesso de MFA usando as credenciais criadas. Por exemplo:

BEGIN
  DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION(
    notification_type => 'EMAIL',
    attributes       => JSON_OBJECT(
      'credential_name'                 VALUE 'EMAIL_CRED_01',
      'smtp_host'                       VALUE 'smtp.email.us-ashburn-1.oci.oraclecloud.com',
      'smtp_port'                       VALUE 465,
      'sender'                          VALUE 'mfa_alerts@example.com',
      'sender_email_display_name'       VALUE 'DB MFA ALERTS'
    )
  );
END;
/

Notificação do Slack

Crie uma credencial para armazenar com segurança os detalhes de autenticação da sua integração do Slack. Por exemplo:

BEGIN
  DBMS_CLOUD.CREATE_CREDENTIAL(
    credential_name => 'SLACK_CRED',
    username        => 'username',
    password        => '<password>'
  );
END;
/

Permita que o banco de dados se conecte ao ponto final da API do Slack atualizando a ACL (Access Control List) para chamadas HTTPS de saída. Por exemplo:

BEGIN
  DBMS_NETWORK_ACL_ADMIN.APPEND_HOST_ACE (
    host           => 'slack.com',
    lower_port     => 443,
    upper_port     => 443,
    ace            => xs$ace_type(
                        privilege_list  => xs$name_list('http'),
                        principal_name  => 'ADMIN',
                        principal_type  => xs_acl.ptype_db
                      )
  );
END;
/

Configure o canal do Slack para entrega de token de MFA fazendo referência à credencial criada. Por exemplo:

BEGIN
  DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION(
    notification_type => 'SLACK',
    attributes        => JSON_OBJECT(
      'credential_name' VALUE 'SLACK_CRED'
    )
  );
END;
/

Notificação do OMA (Oracle Mobile Authenticator)

Crie uma credencial para armazenar com segurança o ID do cliente OMA e o segredo do cliente. Por exemplo:

BEGIN
  DBMS_CLOUD.CREATE_CREDENTIAL(
    credential_name => 'OMA_CRED',
    username        => '<username>',
    password        => '<password>'
  );
END;
/

Defina o canal de notificação do OMA e associe-o à credencial e ao ponto final da API do OMA que você criou. Por exemplo:

BEGIN
  DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION(
    notification_type => 'OMA',
    attributes        => JSON_OBJECT(
      'credential_name' VALUE 'OMA_CRED',
      'api_endpoint'    VALUE 'https://idcs-c*****************60.identity.oraclecloud.com'
    )
  );
END;
/

Notificação do Cisco DUO

Crie uma credencial para armazenar com segurança a chave de integração DUO e a chave secreta. Por exemplo:

BEGIN
  DBMS_CLOUD.CREATE_CREDENTIAL(
    credential_name => 'DUO_CRED',
    username        => '<integrationkey>',
    password        => '<secretkey>'
  );
END;
/

Configure o canal de notificação DUO associando-o à credencial criada e especificando o ponto final da API DUO.

BEGIN
  DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION(
    notification_type => 'DUO',
    attributes        => JSON_OBJECT(
      'credential_name' VALUE 'DUO_CRED',
      'api_endpoint'    VALUE 'api-855fd6a0.duosecurity.com'
    )
  );
END;
/

Após configurar o canal de notificação, a próxima etapa é registrar um usuário de banco de dados existente para MFA. Ao registrar, defina o tipo de MFA como MFA de Tempo de Log-in ou MFA de Token de Acesso SQL. Opcionalmente, você pode especificar o canal de notificação; se não for fornecido, o e-mail será usado por padrão. No entanto, para MFA do tipo log-on, você deve especificar OMA ou Duo como o canal. Opcionalmente, você também pode definir atributos de token personalizados para personalizar o comportamento do Token de Acesso SQL para o usuário.

Consulte DBMS_MFA_ADMIN.REGISTER_USER para obter referência.

Para executar instruções SQL em uma sessão protegida pela autenticação do Token de Acesso SQL, você deve validar sua sessão usando um código de acesso único fornecido por meio do canal de notificação configurado e o usuário deve ter o privilégio necessário em DBMS_MFA.

O uso de atributos de token globais e de nível de usuário ajuda a equilibrar a aplicação de segurança centralizada com a flexibilidade para atender às necessidades de acesso individuais.

Definir atributos globais de Token de Acesso SQL

Use o procedimento DBMS_MFA_ADMIN.SET_GLOBAL_TOKEN_ATTRIBUTES para configurar atributos de Token de Acesso SQL padrão global. Este procedimento define um conjunto global de valores de atributo de token (fornecido como JSON) que o banco de dados aplica automaticamente sempre que um Token de Acesso SQL é emitido para usuários registrados no MFA do Token de Acesso SQL. Você também pode definir atributos de token específicos do usuário para substituir esses padrões globais quando necessário.

BEGIN
  DBMS_MFA_ADMIN.SET_GLOBAL_TOKEN_ATTRIBUTES(
    attributes => '{
      "duration_min": 60,
      "scope": "session",
      "idle_timeout_min": 15,
      "read_only": false
    }'
  );
END;
/

Isso define atributos de token globais para todos os usuários registrados para a MFA do Token de Acesso SQL, como duração do token, escopo, timeout de inatividade e acesso somente leitura. Esses atributos globais servem como definições padrão e são aplicados automaticamente a todos os usuários ativados para a MFA do Token de Acesso SQL, a menos que atributos específicos do usuário sejam definidos para substituí-los.

Consulte SET_GLOBAL_TOKEN_ATTRIBUTES Procedures para obter mais informações.

Definir atributos de token para logon e Token de Acesso SQL