Melhores Práticas para Usar o Serviço Database Tools

As conexões de banco de dados são um recurso útil ao conceder acesso ao banco de dados a um usuário específico ou a grupos de usuários definidos. Para ajudar a isolar essas conexões, use políticas para conceder acesso a conexões específicas com base na atribuição de um usuário, conforme demonstrado no seguinte exemplo:

Para um Autonomous Data Warehouse usado para geração de relatórios, crie uma conexão de banco de dados compartilhado chamada ReportingDataAccess. Designe essa conexão a um conjunto específico de usuários finais em um grupo chamado Data Scientists. Os usuários deste grupo agora têm acesso aos detalhes da conexão do banco de dados, mas estão limitados a usar apenas essa conexão e as atribuições e privilégios herdados pelo usuário que a conexão está usando para acessar o banco de dados.

Você também pode criar uma conexão de administrador com o data warehouse e designar outro conjunto de usuários a essa conexão com um grupo chamado DatabaseAdministrators. Usando compartimentos e políticas, você pode separar o acesso a essas conexões da seguinte forma:

Grupo de Cientistas de Dados:

1. Crie um compartimento chamado Relatório.
2. Crie um grupo neste compartimento chamado DataScientists.
3. Crie uma conexão de banco de dados no compartimento Relatório chamado ReportingDataAccess.
4. Crie uma política que dê acesso à conexão no compartimento Relatório para o grupo DataScientists:

   • Allow group DataScientists to read database-tools-family in compartment Reporting

   • Allow group DataScientists to use database-tools-connections in compartment Reporting

Grupo de Administradores de Banco de Dados:

1. Crie um compartimento chamado DBA.
2. Crie um grupo neste compartimento chamado DatabaseAdministrators.
3. Crie uma conexão de banco de dados chamada DatabaseAdmin no compartimento DBA.
4. Crie uma política que conceda acesso à conexão no compartimento DBA a esse grupo:

   • Allow group DatabaseAdministrators to read database-tools-family in compartment DBA

   • Allow group DatabaseAdministrators to use database-tools-connections in compartment DBA

Esses grupos e conexões de banco de dados específicas do compartimento ajudam a isolar quais usuários podem acessar quais bancos de dados e determinar o acesso que eles têm.

Ao criar conexões de banco de dados com um Autonomous Database que esteja usando um ponto final privado, crie um grupo de segurança de rede para fornecer acesso do serviço Database Tools a esse banco de dados. Ao criar o grupo de segurança de rede, você define regras de acesso específicas que limitam quais IPs ou blocos CIDR podem ser usados e as portas ou intervalo de portas.

Para a planilha SQL

Para configurar o conjunto mínimo de regras do grupo de segurança de rede necessárias para fornecer acesso da Planilha SQL do serviço Database Tools na Console do OCI:

1. Na página Detalhes do Ponto Final Privado, localize o campo Inverter IPs de Origem da Conexão na seção Informações do Ponto Final Privado. Há dois endereços IP.
2. Edite o grupo de segurança de rede e adicione regras para os dois endereços IP, com acesso à porta de destino 1522 usando TCP/IP. Por exemplo, dois endereços IP fornecidos, 10.0.1.6 e 10.0.1.8, as duas regras têm os blocos CIDR 10.0.1.6/32 e 10.0.1.8/32 com acesso à porta de destino 1522, usando TCP/IP.

Para SQLcl e Bastions

Para configurar o conjunto mínimo de regras do grupo de segurança de rede necessárias para fornecer acesso do SQLcl do serviço Database Tools SQLcl usando um bastion na Console do OCI:

1. Na página de detalhes do Bastion, localize o item de endereço IP de ponto final privado no campo Endereço IP de ponto final privado. Somente um endereço IP é mostrado.
2. Edite o grupo de segurança de rede e adicione regras para esse endereço IP com acesso à porta de destino 1522 usando TCP/IP. Por exemplo, se for fornecido um endereço IP 10.0.1.9, a regra terá o bloco CIDR 10.0.1.7/32 com acesso à porta de destino 1522 usando TCP/IP.

Essas regras garantem que o serviço Database Tools tenha acesso somente ao Autonomous Database selecionado por meio do grupo de segurança de rede desses endereços IP específicos e somente na porta 1522 para acesso ao bastion usando o SQLcl e acesso à Planilha SQL na Console do OCI.

Correlacione um Registro de Trilha de Auditoria Unificada com um Evento de Auditoria do OCI

Usando os atributos OPC_REQUEST_ID e RESOURCE_COMPARTMENT_OCID fornecidos na coluna APPLICATION_CONTEXTS e EVENT_TIMESTAMP, é possível localizar o evento de auditoria correspondente ao registro da trilha de auditoria unificada.

Usando a Console do Oracle Cloud Infrastructure

1. Na Console, abra o menu de navegação e selecione Observabilidade e Gerenciamento, selecione Log e, em seguida, Auditoria.
2. No painel esquerdo, selecione o Compartimento.
3. No painel direito, no campo Filtros personalizados, digite data.request.id= '<opc-request-id value>'.
4. Em Filtrar por tempo, selecione o intervalo de tempo na lista drop-down.
5. Selecione Aplicar.

   Os resultados aparecem na guia Explorar Eventos.

Usando a Interface de Linha de Comando (CLI)

Digite <REGION ID>, <RESOURCE_COMPARTMENT_OCID> e <OPC_REQUEST_ID> no script a seguir para localizar o evento de auditoria que corresponde ao registro da trilha de auditoria unificada.

#!/bin/sh
 
read -r -d '' body <<EndOfBody
{
  "searchQuery": "search \"<RESOURCE_COMPARTMENT_ID>/_Audit\" | (data.request.id='<OPC_REQUEST_ID>') | sort by datetime desc",
  "timeStart":"2024-07-19T11:03:56.167Z",
  "timeEnd":"2024-07-19T14:03:56.167Z",
  "isReturnFieldInfo":false
}
EndOfBody
 
oci raw-request --target-uri https://logging.<REGION_ID>.oci.oraclecloud.com/20190909/search --http-method POST --request-body "${body}"

Atualizando uma conexão com um recurso de identidade relacionado

Quando uma conexão é atualizada, o banco de dados ou esquema de destino pode mudar. Se uma identidade estiver anexada, o Serviço Database Tools recriará o recurso de identidade no novo esquema e banco de dados de destino. Esse processo pode deixar uma credencial órfã no esquema e banco de dados anteriores. Se necessário, a credencial, juntamente com quaisquer sinônimos ou concessões associados, deve ser excluída manualmente.

Configurando notificações em caso de falha na atualização da identidade

Se você estiver usando uma identidade para executar uma tarefa crítica, será notificado caso a operação de atualização falhe. Quando a operação de atualização falha, o token do controlador de recursos não pode mais ser usado e isso impede que a credencial associada seja autenticada pelo OCI Identity and Access Management. Use o OCI Monitoring para criar um alarme para enviar uma notificação quando uma operação de atualização falhar. Consulte Exibindo e Monitorando uma Identidade.

Auditando operações de credenciais

Quando uma identidade é criada ou atualizada, o token do controlador de recursos e os detalhes da chave privada são utilizados para gerar ou modificar o objeto de credencial de banco de dados correspondente. Dependendo das definições de auditoria configuradas do Oracle Database, essas informações poderão ser registradas nos logs de auditoria . Consulte Introdução à Auditoria.