Conectar Usuários do IAM (Identity and Access Management) com o Oracle Exadata Database Service na Infraestrutura do Exascale

Os usuários do serviço IAM podem se conectar com a instância do banco de dados usando um verificador de senha de banco de dados do IAM ou um token do IAM.

O uso do verificador de senha de banco de dados do serviço IAM é semelhante ao processo de autenticação por senha de banco de dados. No entanto, em vez do verificador de senha (hash criptografado da senha) que está sendo armazenado no banco de dados, o verificador é armazenado como parte do perfil de usuário do OCI IAM.

O segundo método de conexão, o uso de um token do serviço IAM para o banco de dados, é mais moderno. O uso do acesso baseado em token é mais adequado para recursos de Nuvem, como Oracle Databases no Exadata Cloud Infrastructure. O token se baseia na força que o ponto final do IAM pode impor. Isso pode ser autenticação multifator, que é mais forte do que o uso exclusivo de senhas. Outro benefício do uso de tokens é que o verificador de senha (que é considerado confidencial) nunca fica armazenado ou disponível na memória.

A integração do Oracle Cloud Infrastructure IAM com o Oracle Exadata Database Service on Dedicated Infrastructure é compatível com o seguinte:

• Autenticação com um Verificador de Senha de Banco de Dados do OCI (Oracle Cloud Infrastructure) IAM (Identity and Access Management)
• Autenticação Baseada em Token de SSO do OCI (Oracle Cloud Infrastructure) IAM (Identity and Access Management)

Para obter detalhes completos sobre a arquitetura para usar usuários do serviço IAM no Oracle Exadata Database Service on Dedicated Infrastructure, consulte Autenticando e Autorizando Usuários do IAM para Bancos de Dados DBaaS da Oracle no Oracle Database 19c Security Guide e Oracle AI Database 26ai Security Guide.

Você pode ativar uma instância do Oracle Database para permitir o acesso do usuário com uma senha de banco de dados do Oracle Cloud Infrastructure IAM (usando um verificador de senha).

Uma senha de banco de dados do Oracle Cloud Infrastructure IAM permite que um usuário do IAM faça log-in em uma instância do Oracle Database, pois os usuários do Oracle Database geralmente fazem log-in com um nome de usuário e uma senha. O usuário informa seu nome de usuário do IAM e a senha do banco de dados do IAM. Uma senha de banco de dados do IAM é uma senha distinta da senha da Console do Oracle Cloud Infrastructure. Usando um usuário do IAM com um verificador de senha, você pode fazer log-in no Oracle Database com qualquer cliente de banco de dados suportado.

Para acesso ao banco de dados verificador de senha, você cria os mapeamentos para usuários do IAM e aplicativos OCI para a instância do Oracle Database. As próprias contas de usuário do IAM são gerenciadas no IAM. As contas de usuário e os grupos de usuários podem estar no domínio padrão ou em um domínio personalizado, não padrão.

Para obter mais informações sobre o gerenciamento de senha do banco de dados IAM, consulte Gerenciando Credenciais do Usuário.

Para acesso por token do IAM ao banco de dados, o aplicativo cliente ou a ferramenta solicita um token de banco de dados do serviço IAM para o usuário do IAM.

O aplicativo cliente passará o token do banco de dados diretamente para o cliente do banco de dados por meio da API do cliente do banco de dados.

Se o aplicativo ou a ferramenta não tiver sido atualizado para solicitar um token do IAM, o usuário do IAM poderá usar a CLI do OCI para solicitar e armazenar o token do banco de dados. Você pode solicitar um token de acesso (db-token) ao banco de dados usando as seguintes credenciais:

• Tokens de segurança (com autenticação do IAM), tokens de delegação (no cloud shell do OCI) e API-keys, que são credenciais que representam o usuário do IAM para ativar a autenticação
• Tokens de controlador de instâncias, que permitem que as instâncias sejam atores (ou controladores) autorizados para executar ações nos recursos do OCI após a autenticação
• Token de controlador de recursos, que é uma credencial que permite que o aplicativo se autentique em outros serviços do OCI
• Usando um nome de usuário do IAM e uma senha de banco de dados do IAM (só pode ser solicitada pelo cliente do banco de dados)

Quando os usuários do IAM fazem log-in no cliente com um log-in de barra / e o parâmetro OCI_IAM é configurado (sqlnet.ora, tnsnames.ora ou como parte de uma string de conexão), o cliente do banco de dados recupera o token do banco de dados de um arquivo. Se o usuário do IAM enviar um nome de usuário e uma senha, a conexão usará o acesso do verificador de banco de dados do IAM descrito para conexões de cliente que usam verificadores de senha de banco de dados do IAM. Se o usuário informar o parâmetro PASSWORD_AUTH=OCI_TOKEN, o driver do banco de dados usará o nome de usuário e a senha para estabelecer conexão diretamente com o IAM e solicitar um token do banco de dados. As instruções deste guia mostram como usar a CLI do OCI como auxiliar para o token de banco de dados. Se o aplicativo ou a ferramenta tiverem sido atualizados para trabalhar com o IAM, siga as instruções do aplicativo ou da ferramenta. Alguns casos de uso comuns incluem o seguinte: SQL*Plus no local, SQLcl no local, SQL*Plus no Cloud Shell ou aplicativos que usam wallets SEP.

Se um usuário informar um nome de usuário/senha para fazer log-in, o driver do banco de dados usará o método verificador de senha para acessar o banco de dados. Se o usuário informar o parâmetro PASSWORD_AUTH=OCI_TOKEN, o driver do banco de dados utilizará o nome de usuário e a senha para estabelecer conexão diretamente com o IAM e solicitará um token do banco de dados.

Antes de usar a autenticação do IAM em bancos de dados no Exadata Cloud Infrastructure, você deve usar o serviço Networking para adicionar um gateway de serviço, uma regra de roteamento e uma regra de segurança de saída à VCN (Virtual Cloud Network) e às sub-redes nas quais seus recursos de banco de dados residem.

1. Crie um gateway de serviço na VCN em que os recursos do banco de dados residem seguindo as instruções em Tarefa 1: Criar o gateway de serviço na documentação do OCI.
2. Após a criação do gateway de serviço, adicione uma regra de roteamento e uma regra de segurança de saída a cada sub-rede (na VCN) na qual os recursos do banco de dados residem para que esses recursos possam usar o gateway para usar a autenticação do IAM:
   1. Vá para a página Detalhes da Sub-rede da sub-rede.
   2. Na guia Informações da Sub-rede, clique no nome da Tabela de Roteamento da sub-rede para exibir sua respectiva página Detalhes da Tabela de Roteamento.
   3. Na tabela de Regras de Roteamento existentes, verifique se já existe uma regra com as seguintes características:
      • Destino: Todos os Serviços IAD no Oracle Services Network
      • Tipo de Destino: Gateway de Serviço
      • Destino: O nome do gateway de serviço que você acabou de criar na VCN

      Se essa regra não existir, clique em Adicionar Regras de Roteamento e adicione uma regra de roteamento com essas características.

   4. Retorne à página Detalhes da Sub-rede da sub-rede.
   5. Na tabela Listas de Segurança da sub-rede, clique no nome da lista de segurança da sub-rede para exibir a página Detalhes da Lista de Segurança.
   6. No menu lateral, em Recursos, clique em Regras de Saída.
   7. Na tabela de Regras de Saída existentes, verifique se já existe uma regra com as seguintes características:
      • Sem Monitoramento de Estado: Não
      • Destino: Todos os Serviços IAD no Oracle Services Network
      • Protocolo IP: TCP
      • Intervalo de Portas de Origem: Tudo
      • Intervalo de Portas de Destino: 443
   8. Se essa regra não existir, clique em Adicionar Regras de Saída e adicione uma regra de saída com essas características.

Verifique os pré-requisitos para ativar o acesso do usuário do IAM ao Oracle Database.

Se o banco de dados estiver ativado para outro esquema de autenticação externa, verifique se você deseja usar o IAM na instância do Oracle Database. Só pode haver um esquema de autenticação externo ativado em determinado momento.

Se você quiser usar o IAM e outro esquema de autenticação externa estiver ativado, primeiro desative o outro esquema.

Ao enviar tokens do IAM do cliente de banco de dados para o servidor de banco de dados, uma conexão TLS deve ser estabelecida. A wallet de TLS com o certificado de banco de dados para a instância de serviço ExaDB-D deve ser armazenada no local WALLET_ROOT. Crie um diretório tls para que se pareça com: WALLET_ROOT/<PDB GUID>/tls.

Ao configurar o TLS entre o cliente de banco de dados e o servidor, há várias opções a serem consideradas.

• Usando um certificado de servidor de banco de dados autoassinado em vez de um certificado de servidor de banco de dados assinado por uma autoridade de certificação comumente conhecida
• TLS (TLS) unidirecional versus TLS mútuo ou bidirecional (mTLS)
• Cliente com ou sem uma wallet

Certificado Autoassinado

O uso de um certificado autoassinado é uma prática comum para recursos de TI de uso interno, uma vez que você mesmo pode criá-los e é gratuito. O recurso (no nosso caso, o servidor de banco de dados) terá um certificado autoassinado para se autenticar no cliente de banco de dados. O certificado autoassinado e o certificado raiz serão armazenados na wallet do servidor de banco de dados. Para que o cliente de banco de dados possa reconhecer o certificado do servidor de banco de dados, também será necessária uma cópia do certificado raiz no cliente. Esse certificado raiz criado automaticamente pode ser armazenado em uma wallet no cliente ou instalado no armazenamento de certificados padrão do sistema cliente (somente Windows e Linux). Quando a sessão for estabelecida, o cliente de banco de dados verificará se o certificado enviado pelo servidor de banco de dados foi assinado pelo mesmo certificado raiz.

Uma Autoridade de Certificação Reconhecida

O uso de uma autoridade de certificação raiz comumente conhecida tem algumas vantagens, visto que o certificado raiz muito provavelmente já está no armazenamento de certificados padrão do sistema cliente. Não haverá etapa extra para o cliente armazenar o certificado raiz se ele for um certificado raiz comum. A desvantagem é que isso normalmente tem um custo associado.

TLS Unidirecional

Na sessão TLS padrão, somente o servidor fornece um certificado para o cliente autenticar-se. O cliente não precisa ter um certificado de cliente separado para autenticar-se no servidor (semelhante a como as sessões HTTPS são estabelecidas). Embora o banco de dados exija uma wallet para armazenar o certificado do servidor, a única coisa que o cliente precisa ter é o certificado raiz usado para assinar o certificado do servidor.

TLS Bidirecional (também chamado de TLS Mútuo, mTLS)

No mTLS, o cliente e o servidor têm certificados de identidade que são apresentados uns aos outros. Na maioria dos casos, o mesmo certificado raiz assinará esses dois certificados para que o mesmo certificado raiz possa ser usado com o servidor e o cliente de banco de dados para autenticar o outro certificado. O mTLS às vezes é usado para autenticar o usuário, visto que a identidade do usuário é autenticada pelo servidor de banco de dados por meio do certificado. Isso não é necessário para informar tokens do IAM, mas pode ser usado ao informá-los.

Cliente com uma Wallet

Uma wallet do cliente é obrigatória ao usar mTLS para armazenar o certificado do cliente. No entanto, o certificado raiz pode ser armazenado na mesma wallet ou no armazenamento de certificados padrão do sistema.

Um Cliente sem uma Wallet

Os clientes podem ser configurados sem uma wallet ao usar TLS sob estas condições: 1) O TLS unidirecional está sendo configurado onde o cliente não tem seu próprio certificado e 2) o certificado raiz que assinou o certificado do servidor de banco de dados está no armazenamento de certificados padrão do sistema. Muito provavelmente, o certificado raiz já estaria lá se o certificado do servidor fosse assinado por uma autoridade de certificação comum. Se for um certificado autoassinado, o certificado raiz precisará ser instalado no armazenamento de certificados padrão do sistema para evitar o uso de uma wallet do cliente.

Para obter detalhes sobre como configurar o TLS entre o cliente e o servidor de banco de dados, incluindo as opções descritas acima, consulte Configurando a Autenticação de Segurança da Camada de Transporte no Guia de Segurança do Oracle Database.

Se você optar por usar certificados autoassinados e tarefas adicionais relacionadas à wallet, consulte Gerenciando Elementos de PKI (Infraestrutura de Chave Pública) no Guia de Segurança do Oracle Database.

Verifique as etapas para ativar ou reativar o acesso do usuário do IAM ao Oracle Database.

1. Execute os pré-requisitos para autorização e autenticação do IAM no Oracle Database. Consulte Pré-requisitos para a Autenticação do OCI (Oracle Cloud Infrastructure) IAM (Identity and Access Management) no Oracle Database para obter mais informações.
2. Ative a Autenticação e a Autorização do Oracle Cloud Infrastructure (IAM) usando o comando ALTER SYSTEM.

   ALTER SYSTEM SET IDENTITY_PROVIDER_TYPE=OCI_IAM SCOPE=BOTH;

3. Verifique o valor do parâmetro do sistema IDENTITY_PROVIDER_TYPE.

   SELECT NAME, VALUE FROM V$PARAMETER WHERE NAME='identity_provider_type';

   
   NAME                     VALUE
   ----------------------   -------
   identity_provider_type   OCI_IAM

Descreve as etapas para desativar o acesso do usuário de autenticação externa do IAM para o Oracle Database.

Para desativar o acesso do usuário do IAM na sua instância do Oracle Database:

1. Desative a integração do IAM usando o comando ALTER SYSTEM.

   ALTER SYSTEM RESET IDENTITY_PROVIDER_TYPE SCOPE=BOTH;

2. Se você também quiser remover a política do IAM para permitir o acesso ao banco de dados, talvez seja necessário revisar e modificar ou remover os grupos do IAM e as políticas configuradas para permitir o acesso ao banco de dados pelos usuários do IAM.

Reveja as observações sobre o uso de ferramentas do Oracle Database com a autenticação do IAM ativada.

• O Oracle APEX não oferece suporte a usuários do IAM com o Oracle Database.
• O Database Actions não oferece suporte a usuários do IAM com o Oracle Database. Consulte Fornecer Acesso ao Database Actions aos Usuários de Banco de Dados para obter informações sobre como utilizar usuários regulares de banco de dados com o Oracle Database.
• Não há suporte para Notebooks e outros componentes do Oracle Machine Learning para usuários Autorizados do IAM com o Oracle Database. Consulte Adicionar Conta de Usuário de Banco de Dados Existente aos Componentes do Oracle Machine Learning para obter informações sobre como utilizar usuários regulares de banco de dados com o Oracle Database.

Verifique as etapas para gravar instruções de política para um grupo do IAM com a finalidade de permitir que o usuário do IAM acesse os recursos do Oracle Cloud Infrastructure, especificamente as instâncias do Oracle Database que usam tokens de banco de dados do IAM.

Uma política é um grupo de instruções que especifica quem pode acessar recursos específicos e como. O acesso pode ser concedido para toda a tenancy, bancos de dados em um compartimento ou bancos de dados individuais. Isso significa que você grava uma instrução de política que dá a um grupo específico um determinado tipo de acesso a um tipo de recurso definido dentro de um compartimento específico.

Observação: É necessário definir uma política para usar tokens do IAM para acessar o Oracle Database. Não é necessária uma política ao usar verificadores de senha do banco de dados do IAM para acessar o Oracle Database.

1. Crie um grupo do IAM para usuários do IAM que acessarão o banco de dados. Revise a documentação do OCI IAM para criar grupos e adicionar usuários do IAM a um grupo.

   Por exemplo, crie o grupo DBUsers. Para obter mais informações, consulte Gerenciando Grupos.

2. Grave instruções de política para permitir o acesso aos recursos do Oracle Cloud Infrastructure.
   1. Na console do Oracle Cloud Infrastructure, clique em Identidade e Segurança e, em seguida, clique em Políticas.
   2. Para gravar uma política, clique em Criar Política e informe um Nome e uma Descrição.
   3. Use o Criador de Política para criar uma política. Por exemplo, para criar uma política para permitir que os usuários do grupo do IAM DBUsers acessem qualquer Oracle Database em suas respectivas tenancies:

      Allow group DBUsers to use database-connections in tenancy

      Em que database-connections corresponde ao nome do recurso do OCI para estabelecer conexão com o banco de dados. Use corresponde ao verbo mínimo para permitir o acesso ao banco de dados. use e manage podem ser usados.

      Por exemplo, para criar uma política que limite os membros do grupo DBUsers a só acessar Bancos de Dados Oracle no compartimento testing_compartment:

      allow group DBUsers to use database-connections in compartment testing_compartment

      Por exemplo, para criar uma política que limite o acesso do grupo a um único banco de dados em um compartimento:

      allow group DBUsers to use database-connections in compartment testing_compartment where target.database.id = 'ocid1.database.oc1.iad.aaaabbbbcccc'

   4. Clique em Criar.

      Para obter mais informações sobre políticas, consulte Gerenciando Políticas.

Verifique as etapas para autorizar usuários do IAM em uma instância do Oracle Database.

Para autorizar usuários do IAM a permitir acesso ao Oracle Database, mapeie usuários globais do banco de dados para grupos do IAM ou diretamente para usuários do IAM com instruções CREATE USER ou ALTER USER com a cláusula IDENTIFIED GLOBALLY AS.

A autorização de usuários do IAM para uma instância do Oracle Database funciona mapeando usuários globais (esquemas) do IAM para usuários do IAM (mapeamento exclusivo) ou grupos (mapeamento de esquema compartilhado) do IAM.

Para autorizar usuários do IAM em uma instância de banco de dados:

1. Faça log-in como um usuário com privilégios de DBA para o banco de dados que está ativado para usar o IAM. Um usuário com a atribuição de DBA precisará dos privilégios de sistema CREATE USER e ALTER USER necessários para essas etapas.
2. Crie um mapeamento entre o usuário (esquema) do Oracle Database com instruções CREATE USER ou ALTER USER e inclua a cláusula IDENTIFIED GLOBALLY AS, especificando o nome do grupo do IAM. Use a seguinte sintaxe para mapear um usuário global para um grupo do serviço IAM:

   CREATE USER global_user IDENTIFIED GLOBALLY AS 'IAM_GROUP_NAME=IAM_GROUP_NAME';

   Por exemplo, para mapear um grupo do IAM chamado db_sales_group para um usuário global de banco de dados compartilhado chamado sales_group:

   CREATE USER sales_group IDENTIFIED GLOBALLY AS 'IAM_GROUP_NAME=db_sales_group';

   Isso cria um mapeamento de usuário global compartilhado. O mapeamento, com o usuário global sales_group, é efetivo para todos os usuários do grupo do IAM. Portanto, qualquer pessoa no db_sales_group pode fazer log-in no banco de dados usando suas credenciais do IAM por meio do mapeamento compartilhado do usuário global sales_group.

   Se você quiser criar mapeamentos de usuários globais adicionais para outros grupos ou usuários do IAM, siga estas etapas para cada grupo ou usuário do IAM.

   Observação
   
   Os usuários do banco de dados que não forem IDENTIFIED GLOBALLY poderão continuar fazendo log-in como antes, mesmo quando o Oracle Database estiver ativado para autenticação do IAM.

Você pode mapear um usuário local do IAM exclusivamente para um usuário global do Oracle Database.

1. Faça log-in como um usuário com privilégios de DBA para o banco de dados que está ativado para usar o IAM. Um usuário com a atribuição de DBA precisará dos privilégios de sistema CREATE USER e ALTER USER necessários para essas etapas.
2. Crie um mapeamento entre o usuário (esquema) do Oracle Database com instruções CREATE USER ou ALTER USER e inclua a cláusula IDENTIFIED GLOBALLY AS, especificando o nome de usuário local do IAM. Por exemplo, para criar um novo usuário global de banco de dados chamado peter_fitch e mapear esse usuário para um usuário local existente do serviço IAM chamado peterfitch:

   CREATE USER peter_fitch IDENTIFIED GLOBALLY AS 'IAM_PRINCIPAL_NAME=peterfitch'

Você pode usar um controlador de instâncias ou de recursos para recuperar tokens de banco de dados, a fim de estabelecer uma conexão do seu aplicativo com uma instância do Oracle Database.

Se estiver usando um controlador de instâncias ou um controlador de recursos, você deverá mapear um grupo dinâmico. Portanto, você não pode mapear exclusivamente controladores de instâncias e de recursos. Você só pode mapeá-los por meio de um mapeamento compartilhado e colocar o controlador de instâncias ou de recursos em um grupo dinâmico do IAM

Opcionalmente, crie atribuições globais para fornecer privilégios e atribuições adicionais do banco de dados a usuários do IAM quando vários usuários do IAM forem mapeados para o mesmo usuário global compartilhado.

A criação de atribuições globais é opcional, mas é útil ao designar usuários a um esquema compartilhado.

Use uma atribuição global para diferenciar opcionalmente usuários que usam o mesmo esquema compartilhado. Por exemplo, um conjunto de usuários pode ter o mesmo esquema compartilhado e o esquema compartilhado pode ter o privilégio CREATE SESSION. Em seguida, as atribuições globais podem ser usadas para fornecer privilégios e atribuições diferenciados designados a diferentes grupos de usuários que usam o mesmo esquema compartilhado.

A concessão de atribuições adicionais aos usuários do IAM no Oracle Database funciona mapeando atribuições globais do Oracle Database para grupos do IAM.

1. Faça log-in como um usuário com privilégios de DBA para o banco de dados que está ativado para usar o IAM. É necessário um usuário com os privilégios de DBA CREATE ROLE e privilégios de sistema ALTER ROLE para essas etapas.
2. Defina a autorização do banco de dados para atribuições do Oracle Database com instruções CREATE ROLE ou ALTER ROLE e inclua a cláusula IDENTIFIED GLOBALLY AS, especificando o nome do grupo do IAM. Use a seguinte sintaxe para mapear uma atribuição global para um grupo do serviço IAM:

   CREATE ROLE global_role IDENTIFIED GLOBALLY AS 'IAM_GROUP_NAME=IAM_GROUP_of_WHICH_the_IAM_USER_IS_a_MEMBER';

   Por exemplo, para mapear um grupo do IAM chamado ExporterGroup para uma atribuição global de banco de dados compartilhado chamada export_role:

   CREATE ROLE export_role IDENTIFIED GLOBALLY AS 'IAM_GROUP_NAME=ExporterGroup';

3. Use as instruções GRANT para conceder os privilégios necessários ou outras atribuições à atribuição global.

   GRANT CREATE SESSION TO export_role;
   GRANT DWROLE TO export_role;

4. Se você quiser que uma atribuição de banco de dados existente seja associada a um grupo do serviço IAM, use a instrução ALTER ROLE para alterar a atribuição de banco de dados existente para mapear a atribuição para um grupo do serviço IAM. Use a seguinte sintaxe para alterar uma atribuição de banco de dados existente para mapeá-la para um grupo do IAM:

   ALTER ROLE existing_database_role IDENTIFIED GLOBALLY AS 'IAM_GROUP_NAME=IAM_Group_Name';

Siga estas etapas para cada grupo do IAM para adicionar outros mapeamentos de atribuição global para outros grupos do IAM.

Para adicionar um usuário do IAM e permitir que ele faça log-in no Oracle Database fornecendo um nome de usuário e uma senha, crie uma senha de banco de dados do IAM.

Para obter mais informações, consulte Como Trabalhar com Senhas de Banco de Dados do IAM.

Tópicos Relacionados

• Como Trabalhar com Senhas de Banco de Dados do IAM

Você pode configurar o SQL*Plus para usar um verificador de senha de banco de dados do IAM.

CONNECT user_name@db_connect_string
Enter password: password

Nesta especificação, user_name corresponde ao nome de usuário do IAM. Há um limite de 128 bytes para o domain_name/user_name combinado.

sqlplus /nolog
connect peter_fitch@db_connect_string
Enter password: password

"peter_fitch@example.com"@db_connect_string

"IAM database password"

Você pode configurar uma conexão de cliente para o SQL*Plus que usa um token do serviço IAM.

1. Certifique-se de ter uma conta de usuário do serviço IAM.
2. Verifique com um administrador do serviço IAM e o administrador do banco de dados se você tem uma política que permite acessar o banco de dados no compartimento ou em sua tenancy e se você está mapeado para um esquema global no banco de dados.
3. Se seu aplicativo ou ferramenta não oferecer suporte à integração direta do serviço IAM, faça download, instale e configure a CLI do OCI. (Consulte Início Rápido da Interface de Linha de Comando do OCI.) Configure uma chave de API como parte da configuração da CLI do OCI e selecione valores padrão.
   1. Configure o acesso de chave da API para o usuário do serviço IAM.
   2. Recupere o db-token. Por exemplo:
      • Recupere um db-token com uma API-key usando a CLI do OCI:

        oci iam db-token get

      • Recupere o db-token com um token de segurança (ou sessão):

        oci iam db-token get --auth security_token

      • Recupere db-token com um token de delegação: Quando você faz log-in no cloud shell, o token de delegação é gerado automaticamente e colocado no diretório /etc. Para obter esse token, execute o seguinte comando na CLI do OCI:

        oci iam db-token get

      • Usando um controlador de instâncias para recuperar um db-token com a CLI do OCI:

        oci iam db-token get --auth instance_principal

      Se o token de segurança tiver expirado, será exibida uma janela para que o usuário possa fazer log-in no OCI novamente. Isso gerará o token de segurança para o usuário. A CLI do OCI usará esse token atualizado para obter o db-token.

      Consulte Chave e OCIDs Necessários para obter mais informações.

4. Certifique-se de estar usando as mais recentes atualizações de release para o cliente Oracle Database releases 19c e 21c.

   Essa configuração só funciona com o cliente Oracle Database versão 19c.

5. Siga o processo existente para fazer download da wallet do banco de dados e siga as instruções para configurá-la para uso com o SQL*Plus.
   1. Confirme se a correspondência de DN está ativada procurando SSL_SERVER_DN_MATCH=ON no arquivo sqlnet.ora.
   2. Configure o cliente de banco de dados para usar o token do serviço IAM adicionando TOKEN_AUTH=OCI_TOKEN ao arquivo sqlnet.ora. Como você usará os locais padrão para o arquivo de token do banco de dados, não será necessário incluir o local do token.
   Os valores TOKEN_AUTH e TOKEN_LOCATION nas strings de conexão tnsnames.ora têm precedência sobre as definições sqlnet.ora dessa conexão. Por exemplo, para a string de conexão, supondo que o token esteja no local padrão ( ~/.oci/db-token para Linux):

   (description= 
     (retry_count=20)(retry_delay=3)
     (address=(protocol=tcps)(port=1522)
     (host=example.us-phoenix-1.oraclecloud.com))
     (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
     (security=(ssl_server_cert_dn="CN=example.uscom-east-1.oraclecloud.com, 
        OU=Oracle BMCS US, O=Example Corporation, 
        L=Redwood City, ST=California, C=US")
     (TOKEN_AUTH=OCI_TOKEN)))

connect /@exampledb_high

connect /@(description= 
  (retry_count=20)(retry_delay=3)
  (address=(protocol=tcps)(port=1522)
  (host=example.us-phoenix-1.oraclecloud.com))
  (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
  (security=(ssl_server_cert_dn="CN=example.uscom-east-1.oraclecloud.com, 
     OU=Oracle BMCS US, O=Example Corporation, 
     L=Redwood City, ST=California, C=US")
  (TOKEN_AUTH=OCI_TOKEN)))

O cliente de banco de dados já está configurado para obter um db-token porque o parâmetro TOKEN_AUTH já foi definido, por meio do arquivo sqlnet.ora ou em uma string de conexão. O cliente do banco de dados obtém o db-token e o assina usando a chave privada e, em seguida, envia o token ao banco de dados. Se um nome de usuário do IAM e uma senha de banco de dados do IAM forem especificados, em vez de uma barra /, o cliente de banco de dados estabelecerá conexão usando a senha, em vez de usar db-token.

Você pode criar uma conexão de cliente que use um token solicitado por um nome de usuário e uma senha de banco de dados do IAM.

• Os usuários do IAM podem estabelecer conexão com a instância do Oracle DBaaS usando um token do IAM que foi recuperado usando um nome de usuário e uma senha do banco de dados do IAM.

  Para obter mais informações, consulte About Client Connections That Use a Token Requested by an IAM User Name and Database Password

• Para definir esses parâmetros, modifique o arquivo sqlnet.ora ou o arquivo tnsnames.ora.

  Para obter mais informações, consulte Parameters to Set for Client Connections That Use a Token Requested by an IAM User Name and Database Password

• Você pode configurar o cliente do banco de dados para recuperar o token do banco de dados do IAM usando o nome de usuário do IAM fornecido e a senha do banco de dados do IAM.

  Para obter mais informações, consulte Configuring the Database Client to Retrieve a Token Using an IAM User Name and Database Password

• Você pode ativar um nome de usuário do IAM e um SEPS (armazenamento de senha externa segura) para solicitar o token de banco de dados do IAM.

  Para obter mais informações, consulte Configuring a Secure External Password Store Wallet to Retrieve an IAM Token

Após o usuário ADMIN ativar o OCI IAM no banco de dados, um aplicativo poderá acessar o banco de dados por meio de um token de banco de dados do OCI IAM usando um controlador de instâncias.

Para obter mais informações, consulte Accessing the Oracle Cloud Infrastructure API Using Instance Principals.

Para obter mais Informações, consulte Accessing the Database Using an Instance Principal or a Resource Principal.

A autenticação de proxy permite que um usuário do IAM faça proxy em um esquema para tarefas como manutenção de aplicativos.

A autenticação de proxy geralmente é usada para autenticar o usuário real e, em seguida, autorizá-lo a usar um esquema com os privilégios e atribuições do esquema para gerenciar um aplicativo. Alternativas como o compartilhamento da senha do esquema do aplicativo são consideradas perigosas e não podem verificar qual usuário real executou uma ação.

Um caso de uso pode estar em um ambiente no qual um usuário do IAM designado que é um administrador de banco de dados de aplicativo pode se autenticar usando suas credenciais e, em seguida, fazer proxy para um usuário de esquema (por exemplo, hrapp). Essa autenticação permite que o administrador do IAM use os privilégios e atribuições hrapp como usuário hrapp para executar a manutenção do aplicativo e ainda use suas credenciais do IAM para autenticação. Um administrador de banco de dados de aplicativo pode acessar o banco de dados e, em seguida, fazer proxy em um esquema de aplicativo para gerenciar esse esquema.

Você pode configurar a autenticação de proxy para os métodos de autenticação de senha e de token.

Configurando a Autenticação de Proxy para o Usuário do IAM

Para configurar a autenticação de proxy para um usuário do IAM, o usuário do IAM já deve ter um mapeamento para um esquema global (mapeamento exclusivo ou compartilhado). Um esquema separado para o usuário do IAM para proxy também deve estar disponível.

Depois de garantir que você tenha esse tipo de usuário, altere o usuário do banco de dados para permitir que o usuário do IAM faça proxy dele.

1. Faça log-in na instância do banco de dados como um usuário que tem os privilégios do sistema ALTER USER.
2. Conceda permissão para que o usuário do IAM faça proxy para a conta de usuário do banco de dados local. Um usuário do IAM não pode ser referenciado no comando para que o proxy seja criado entre o usuário global do banco de dados (mapeado para o usuário do IAM) e o usuário do banco de dados de destino. No exemplo a seguir, hrapp é o esquema para o proxy e peterfitch_schema é o usuário global do banco de dados mapeado exclusivamente para o usuário peterfitch.

   ALTER USER hrapp GRANT CONNECT THROUGH peterfitch_schema;

Validando a Autenticação de Proxy do Usuário do IAM

Você pode validar a configuração de proxy do usuário do IAM para métodos de autenticação de senha e token.

1. Conecte-se como o usuário do serviço IAM e com proxy ao usuário do banco de dados. Execute os comandos SHOW USER e SELECT SYS_CONTEXT.

   Por exemplo, suponha que você queira verificar a autenticação de proxy do usuário do IAM peterfitch quando ele fizer proxy para o usuário do banco de dados hrapp. Você precisará estabelecer conexão com o banco de dados usando os diferentes tipos de métodos de autenticação mostrados aqui, mas a saída dos comandos que você executar será a mesma para todos os tipos.

   • Para autenticação baseada em senha:

     CONNECT peterfitch[hrapp]/password\!@connect_string SHOW USER;

     --The output should be USER is "HRAPP" 
     SELECT SYS_CONTEXT('USERENV','AUTHENTICATION_METHOD') FROM DUAL;
     --The output should be "PASSWORD_GLOBAL" 
     SELECT SYS_CONTEXT('USERENV','PROXY_USER') FROM DUAL; 
     --The output should be "PETERFITCH_SCHEMA" 
     SELECT SYS_CONTEXT('USERENV','CURRENT_USER') FROM DUAL;
     --The output should be "HRAPP"

   • Para autenticação baseada em token:

     CONNECT [hrapp]/@connect_string
     SHOW USER;
     

     --The output should be USER is "HRAPP "
     SELECT SYS_CONTEXT('USERENV','AUTHENTICATION_METHOD') FROM DUAL;
     --The output should be "TOKEN_GLOBAL"
     SELECT SYS_CONTEXT('USERENV','PROXY_USER') FROM DUAL;
     --The output should be "PETERFITCH_SCHEMA"
     SELECT SYS_CONTEXT('USERENV','CURRENT_USER') FROM DUAL;
     --The output should be "HRAPP"

Você pode usar um link de banco de dados para estabelecer conexão de uma instância de banco de dados com outra como usuário do OCI IAM.

Você pode usar o link de usuário conectado ou de banco de dados de usuário fixo para estabelecer conexão com um banco de dados como um usuário do OCI IAM.

• Link de Banco de Dados de Usuário Conectado: Para um link de banco de dados de usuário conectado, um usuário do serviço IAM deve ser mapeado para um esquema nos bancos de dados de origem e de destino conectados por um link de banco de dados. Você pode usar um verificador de senha do banco de dados ou um token de banco de dados do serviço IAM para usar um link de banco de dados do usuário conectado.

• Link de Banco de Dados de Usuário Fixo: Um link de banco de dados de usuário fixo pode ser criado utilizando um usuário do banco de dados ou um usuário do serviço IAM. Ao usar um usuário do serviço IAM como um link de banco de dados de usuário fixo, o usuário do serviço IAM deve ter um mapeamento de esquema no banco de dados de destino. O usuário do serviço IAM para um link de banco de dados só pode ser configurado com um verificador de senha.