Allow any-user to read secret-family in tenancy where
ALL{request.principal.type='opsidatabaseinsight', target.vault.id =  'Vault OCID'}

Pré-requisitos de Credencial do Serviço IAM: O Ops Insights pode usar a autenticação baseada no serviço IAM para estabelecer conexão com um banco de dados Oracle Autonomous. Isso permite uma solução mais amigável e segura para a nuvem. Com o Ops Insights, você pode criar uma política de controlador de recursos que permita coletar métricas de desempenho e baseadas em SQL do Autonomous Database (as mesmas métricas serão coletadas por meio dessa abordagem de autenticação alternativa).

Para obter mais informações sobre conexões baseadas no IAM, consulte: Sobre a Conexão com uma Instância do Autonomous Database Usando o Serviço IAM.

Há duas maneiras de ativar conexões do IAM com seus Autonomous Databases, por script ou manualmente. O Ops Insights recomenda enfaticamente o uso do método de script.

• Para ativar conexões do IAM para seus Autonomous Databases usando o script do Ops Insights (método recomendado), siga estas etapas:
  1. Crie um grupo dinâmico contendo o recurso OPSI (por exemplo, iam_admin_dg_grp):

     All {instance.compartment.id = '<compartmentid>', request.principal.type='opsidatabaseinsight'}

  2. Execute o script de criação de credenciais, localizado na observação do MOS Criando as Credenciais de Monitoramento do Autonomous Database para o Oracle Cloud Operations Insights (KB95891).
     Observação
     
     Consulte as instruções de uso do script na parte inferior da Observação do MOS para criar o tipo de usuário de banco de dados desejado.
• Para ativar manualmente as conexões do serviço IAM para seus Autonomous Databases, siga estas etapas:
  1. Atualize o Autonomous Database para permitir conexões baseadas no IAM:

     BEGIN DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION( type => 'OCI_IAM', force => TRUE );
     END;
     /
     # Check if its enabled
     SELECT NAME, VALUE , TYPE FROM V$PARAMETER WHERE NAME='identity_provider_type';

  2. Crie um grupo dinâmico contendo o recurso OPSI (por exemplo, iam_admin_dg_grp):

     All {instance.compartment.id = '<compartmentid>', request.principal.type='opsidatabaseinsight'}

  3. Crie a atribuição de monitoramento com as concessões necessárias para criar sessão e conexão; e também as concessões às tabelas das quais o OPSI coleta:

     CREATE ROLE DbTokenRole IDENTIFIED GLOBALLY AS 'IAM_GROUP_NAME=iam_admin_dg_grp';

  4. Crie um novo usuário de banco de dados (global) e atribua a ele a atribuição criada na etapa 3:

     CREATE USER TESTDBUSER IDENTIFIED GLOBALLY AS 'IAM_GROUP_NAME=iam_admin_dg_grp';
     GRANT CREATE SESSION, CONNECT TO testDbTokenRole;
     # Need rest of grants within aforementioned script for OPSI collections to work properly