Autonomous Databaseインスタンスがプライベート・エンドポイントにある場合は、顧客管理ウォレットを使用して外部コールを処理するか、スケジューラがスケジューラ・ジョブに関連する様々なイベントの電子メールを送信するときにスケジューラを使用して処理できます。

Autonomous Databaseでは、次のいずれかの目的で外部コールを実行できます:

• UTL_HTTPでWebサービスを使用します。

• DBMS_LDAPを使用してLDAPサーバーからデータにアクセスします。

• UTL_SMTPで電子メールを送信する場合。

• UTL_TCPでTCP/IPを使用して外部TCP/IPベースのサーバーと通信する場合。

• Oracle Schedulerジョブの電子メール通知用。

デフォルトでは、これらのパッケージのプロシージャを使用すると、Autonomous Databaseは内部ウォレットを維持し、常にセキュアな接続を使用します(Oracle管理ウォレットには、最も一般的な信頼できるルートおよび中間SSL証明書の90を超えるものが含まれています)。Autonomous Databaseがプライベート・エンドポイントにある場合、信頼できる中間SLL認定でデフォルトのOracle管理ウォレットを使用するか、顧客管理ウォレットを提供するかを選択できます。

Autonomous Databaseがプライベート・エンドポイントにある場合、次のPL/SQLプロシージャを使用して、UTL_HTTP、UTL_SMTP、DBMS_LDAPおよびDBMS_NETWORK_ACL_ADMINの顧客管理ウォレットを指定できます:

UTL_HTTP.SET_WALLET (
   path                 IN VARCHAR2,
   password             IN VARCHAR2 DEFAULT NULL);
UTL_HTTP.REQUEST (
   wallet_path          IN VARCHAR2 DEFAULT NULL,
   wallet_password      IN VARCHAR2 DEFAULT NULL)
UTL_HTTP.REQUEST_PIECES (
   wallet_p ath         IN VARCHAR2 DEFAULT NULL,
   wallet_password      IN VARCHAR2 DEFAULT NULL,
UTL_HTTP.CREATE_REQUEST_CONTEXT (
 wallet_path            IN VARCHAR2 DEFAULT NULL,
 wallet_password        IN VARCHAR2 DEFAULT NULL)
UTL_TCP.OPEN_CONNECTION
   wallet_path          IN  VARCHAR2 DEFAULT NULL,
   wallet_password      IN  VARCHAR2 DEFAULT NULL);
UTL_SMTP.OPEN_CONNECTION
   wallet_path          IN  VARCHAR2 DEFAULT NULL,
   wallet_password      IN  VARCHAR2 DEFAULT NULL)
DBMS_LDAP.OPEN_SSL(
  sslwrl                IN VARCHAR2,
  sslwalletpasswd       IN VARCHAR2)
DBMS_NETWORK_ACL_ADMIN.APPEND_WALLET_ACE
  wallet_path IN VARCHAR2
DBMS_NETWORK_ACL_ADMIN.APPEND_WALLET_ACL(
  wallet_path IN VARCHAR2

これらのコールでは、プロシージャに応じて、pathまたはwallet_pathパラメータを使用して、顧客管理ウォレットを指定します。ウォレット・ディレクトリにはDIR:接頭辞を設定し、ウォレット・パスを含めます。たとえば:

UTL_HTTP.set_wallet('DIR:WALLET_DIR', 'password');

APIを呼び出す現行のユーザーは、ディレクトリ・オブジェクトに対するREAD権限を持っているか、CREATE ANY DIRECTORYシステム権限を付与されている必要があります。

DIR:接頭辞は、顧客管理ウォレットの指定に使用する推奨形式です。さらに、file:接頭辞がサポートされています。たとえば:

UTL_HTTP.set_wallet('file:WALLET_DIR/wallet.sso', 'password');

詳細は、UTL_HTTPでの外部コールに対する顧客管理Walletの使用を参照してください:

外部コールまたはスケジューラのSMTP電子メール通知で顧客管理ウォレットを使用するための前提条件ステップを示します。

1. Autonomous Databaseインスタンスがプライベート・エンドポイントで構成されていることを確認します。

   詳細は、プライベート・エンドポイントを使用したネットワーク・アクセスの設定を参照してください。

2. dbms_network_acl_admin.append_wallet_aceで必要なACLを付与する場合は、private_targetパラメータを値TRUEに設定するか、ROUTE_OUTBOUND_CONNECTIONSを値PRIVATE_ENDPOINTに設定します。

   詳細は、UTL_HTTPを使用した外部コールでの顧客管理Walletの使用およびプライベート・エンドポイントを使用したアウトバウンド接続のセキュリティの強化を参照してください。

3. 顧客管理ウォレットを取得または作成します。

   たとえば、orapkiでウォレットを作成するには:

   -- Create an SSL Wallet and load the Root CERTs using orapki utility
   $ORACLE_HOME/bin/orapki wallet create -wallet /u01/web/wallet -pwd ********
   $ORACLE_HOME/bin/orapki wallet add -wallet /u01/web/wallet -trusted_cert -cert MyWebServer.cer -pwd ********
   -- Store the credentials in the SSL Wallet using mkstore utility
   $ORACLE_HOME/bin/mkstore -wrl /u01/web/wallet -createCredential secret-from-the-wallet 'example@oracle.com' ********
   Enter wallet password: ********

   詳細は、公開キー・インフラストラクチャ(PKI)要素の管理を参照してください。

4. クラウド・オブジェクト・ストレージのバケットにウォレットを格納します。

   自己署名証明書を含む顧客管理ウォレットを取得または作成したら、クラウド・オブジェクト・ストレージ上の場所にウォレットを格納します。

Autonomous Databaseインスタンスがプライベート・エンドポイントにある場合、顧客管理ウォレットを使用して外部コールを処理できます。

1. DBMS_CLOUD.CREATE_CREDENTIALを使用して資格証明を作成し、クラウド・オブジェクト・ストレージにアクセスします。

   BEGIN
     DBMS_CLOUD.CREATE_CREDENTIAL(
       credential_name => 'DEF_CRED_NAME',
       username => 'user1@example.com',
       password => 'password'
     );
   END;
   /

   usernameおよびpasswordに指定する値は、使用しているクラウド・オブジェクト・ストレージ・サービスによって異なります

   これにより、顧客管理ウォレットが存在するクラウド・オブジェクト・ストレージへのアクセスに使用する資格証明が作成されます。

   リソース・プリンシパル資格証明を有効にする場合、Oracle Cloud Infrastructureオブジェクト・ストアにアクセスするための資格証明の作成は必要ありません。詳細は、リソース・プリンシパルを使用したOracle Cloud Infrastructureリソースへのアクセスを参照してください。

2. 既存のディレクトリを使用するか、ウォレット・ファイルの新しいディレクトリを作成してください。

   たとえば:

   CREATE DIRECTORY wallet_dir AS 'directory_path_of_your_choice';
               

   ディレクトリの作成の詳細は、「Autonomous Databaseでのディレクトリの作成」を参照してください。

3. DBMS_CLOUD.GET_OBJECTを使用して、前のステップで作成したディレクトリWALLET_DIRに顧客管理ウォレットをアップロードします。

   たとえば:

   BEGIN 
       DBMS_CLOUD.GET_OBJECT(
           credential_name => 'DEF_CRED_NAME',
           object_uri => 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o/cwallet.sso',
           directory_name => 'WALLET_DIR'); 
   END;
   /

   この例では、namespace-stringはOracle Cloud Infrastructureオブジェクト・ストレージ・ネームスペースで、bucketnameはバケット名です。詳細は、オブジェクト・ストレージ・ネームスペースの理解を参照してください。

4. 指定されたディレクトリから資格証明を読み取ることができるように、必要なACLを付与します。

   BEGIN
     dbms_network_acl_admin.append_wallet_ace(
         wallet_path => 'dir:WALLET_DIR',
         ace         => xs$ace_type(
              privilege_list => xs$name_list('use_client_certificates', 'use_passwords'),
              principal_name => 'USER_NAME',
              principal_type => xs_acl.ptype_db)
       );
   END;
   /

5. UTL_HTTPプロシージャで使用するウォレット・パスを設定します。

   BEGIN
       UTL_HTTP.set_wallet('DIR:WALLET_DIR', 'password');
   END;
   /

   UTL_HTTP.set_walletでウォレット・ディレクトリを指定するには、dir:接頭辞またはfile:接頭辞のいずれかを使用できます。

   dir:接頭辞は、Autonomous Databaseでのみ使用できます。file:接頭辞の詳細は、UTL_HTTPを参照してください。

6. これで、UTL_HTTPプロシージャを実行して、自己署名証明書を含む顧客管理ウォレットを使用してエンドポイントにアクセスできます。

   たとえば:

   SELECT UTL_HTTP.REQUEST('https://example.com') from dual;

顧客管理ウォレットでスケジューラSMTP電子メール・サーバーを使用するステップについて説明します。

1. DBMS_CLOUD.CREATE_CREDENTIALを使用して資格証明を作成し、クラウド・オブジェクト・ストレージにアクセスします。

   たとえば:

   BEGIN
     DBMS_CLOUD.CREATE_CREDENTIAL(
       credential_name => 'DEF_CRED_NAME',
       username => 'user1@example.com',
       password => 'password'
     );
   END;
   /

   usernameおよびpasswordに指定する値は、使用しているクラウド・オブジェクト・ストレージ・サービスによって異なります

   これにより、顧客管理ウォレットが存在するクラウド・オブジェクト・ストレージへのアクセスに使用する資格証明が作成されます。

   リソース・プリンシパル資格証明を有効にする場合、Oracle Cloud Infrastructureオブジェクト・ストアにアクセスするための資格証明の作成は必要ありません。詳細は、リソース・プリンシパルを使用したOracle Cloud Infrastructureリソースへのアクセスを参照してください。

2. 既存のディレクトリを使用するか、ウォレット・ファイルの新しいディレクトリを作成してください。

   たとえば:

   CREATE DIRECTORY wallet_dir AS 'directory_path_of_your_choice';
               

   ディレクトリの作成の詳細は、「Autonomous Databaseでのディレクトリの作成」を参照してください。

3. DBMS_CLOUD.GET_OBJECTを使用して、前のステップで作成したディレクトリWALLET_DIRにウォレットをアップロードします。

   たとえば:

   BEGIN 
       DBMS_CLOUD.GET_OBJECT(
           credential_name => 'DEF_CRED_NAME',
           object_uri => 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o/cwallet.sso',
           directory_name => 'WALLET_DIR'); 
   END;
   /

   この例では、namespace-stringはOracle Cloud Infrastructureオブジェクト・ストレージ・ネームスペースで、bucketnameはバケット名です。詳細は、オブジェクト・ストレージ・ネームスペースの理解を参照してください。

4. コマンドを実行して、スケジューラ・ジョブ通知のSMTP電子メールを送信するようにスケジューラを設定します。

   たとえば:

   BEGIN
       DBMS_SCHEDULER.set_scheduler_attribute('EMAIL_SERVER','smtp.email.us-ashburn-1.oci.oraclecloud.com:587');
       DBMS_CLOUD.create_credential('EMAIL_CRED', 'ocid1.user.oc1..username', 'password');
       DBMS_SCHEDULER.set_scheduler_attribute('EMAIL_SERVER_CREDENTIAL','ADMIN.EMAIL_CRED');
       DBMS_SCHEDULER.set_scheduler_attribute('EMAIL_SERVER_ENCRYPTION','STARTTLS');
   END;
   /

   これらのコマンドは、スケジューラの電子メールSMTPサーバーを設定し、SMTP資格証明を含む資格証明オブジェクトを作成し、SMTP資格証明のスケジューラ属性を設定し、スケジューラ・ジョブ通知用に送信される電子メールにTLSを使用するように指定します。

   詳細は、SET_SCHEDULER_ATTRIBUTEプロシージャを参照してください。

5. 顧客管理ウォレットのパスワードを格納するための資格証明を作成します。

   BEGIN
        DBMS_CLOUD.CREATE_CREDENTIAL(
            credential_name  => 'WALLET_CRED',
            username         =>  'any_user', 
            password         => 'password');
   END;
   /

   これにより、次のステップで顧客管理ウォレットのパスワードを指定するために使用する資格証明が作成されます。

6. スケジューラのウォレット・ディレクトリとウォレット資格証明を設定します。

   BEGIN
        DBMS_SCHEDULER.set_scheduler_attribute('EMAIL_SERVER_WALLET_DIRECTORY','WALLET_DIR'); 
        DBMS_SCHEDULER.set_scheduler_attribute('EMAIL_SERVER_WALLET_CREDENTIAL', 'ADMIN.WALLET_CRED');
   END;
   /

7. DBA_SCHEDULER_GLOBAL_ATTRIBUTEビューを問い合せて、前のステップで設定した値を確認します。

   SELECT attribute_name, value
          FROM DBA_SCHEDULER_GLOBAL_ATTRIBUTE
          WHERE attribute_name LIKE 'EMAIL_SERVER%' ORDER BY 1, 2;

   ATTRIBUTE_NAME                 VALUE
   ------------------------------ -----------------------------------------------
   EMAIL_SERVER                   smtp.email.us-ashburn-1.oci.oraclecloud.com:587
   EMAIL_SERVER_CREDENTIAL        "ADMIN"."EMAIL_CRED"
   EMAIL_SERVER_ENCRYPTION        STARTTLS
   EMAIL_SERVER_WALLET_CREDENTIAL "ADMIN"."WALLET_CRED"
   EMAIL_SERVER_WALLET_DIRECTORY  "WALLET_DIR"

外部コールで顧客管理ウォレットを使用するためのノートを提供します。

• DBMS_CLOUDリクエストでは、UTL_HTTP.set_walletで設定したカスタム・ウォレットは適用されません。これには、DBMS_CLOUD.SEND_REQUESTと、DBMS_CLOUD.CREATE_EXTERNAL_TABLE、DBMS_CLOUD.CREATE_EXTERNAL_PART_TABLEまたはDBMS_CLOUD.CREATE_HYBRID_PART_TABLEで定義したDBMS_CLOUD外部表に対するすべてのオブジェクト・ストレージ・アクセスが含まれます。DBMS_CLOUDプロシージャを使用して作成した外部表に対して問合せを実行すると、UTL_HTTP.set_walletで設定したカスタム・ウォレットは問合せの対象になりません。

• APEX_WEB_SERVICEリクエストでは、UTL_HTTP.set_walletで設定したカスタム・ウォレットは適用されません。

  APEXで顧客管理ウォレットを使用するには、APEX_WEB_SERVICE APIコールでp_wallet_pathパラメータを指定するか、APEX管理サービスのWalletパス・インスタンス設定を設定します。

  詳細は、Oracle APEX管理サービスへのアクセスを参照してください。

• 自動ログイン・ウォレットおよびパスワードで保護されたウォレットの両方がサポートされています。自動ログイン・ウォレットを使用する場合は、wallet_passwordパラメータにNULLを指定します。

• UTL_HTTP.set_wallet APIを呼び出す現行のユーザーは、ディレクトリ・オブジェクトに対するREAD権限を持っているか、CREATE ANY DIRECTORYシステム権限を付与されている必要があります。

• UTL_HTTP.SET_AUTHENTICATION_FROM_WALLET APIを使用できます。詳細は、SET_AUTHENTICATION_FROM_WALLETプロシージャを参照してください。

• file:接頭辞は、指定されたファイル・パスがPATH_PREFIXに準拠しているかぎり、UTL_HTTP.set_walletでサポートされます。

  DBMS_PDB_IS_VALID_PATHプロシージャ(ADMINユーザーを含むPUBLICに付与)を使用して、入力として指定されたパスのPATH_PREFIXコンプライアンスを決定できます。

  たとえば:

  with function check_path_prefix_compliance(file_path varchar2)
    return varchar2 as
  BEGIN
    if dbms_pdb_is_valid_path(file_path) then
      return 'YES';
    else
      return 'NO';
    end if;
  END;
  SELECT
    check_path_prefix_compliance('/u03/dbfs/1276CDexample/data/dpdump') as PATH_PREFIX_COMPLIANT,
    check_path_prefix_compliance('/u01/app/oracle/diag') as PATH_PREFIX_COMPLIANT
  FROM
    dual;
  /

• UTL_HTTP.set_walletの使用時に下位互換性を確保するために、ウォレット・パスが無視される場合は、file:、NULLなどの入力値が受け入れられます。これらの値は無視され、UTL_HTTP.set_walletでデフォルトのSSLウォレット・パスを使用するように指定します。

• APPEND_WALLET_ACLなどのDBMS_NETWORK_ACL_ADMINウォレットACL APIがサポートされています。これらのプロシージャを使用すると、ウォレットACL権限を付与/取り消すことができます。詳細は、DBMS_NETWORK_ACL_ADMINを参照してください。

• 認証用のSSLウォレットでのパスワード資格証明の使用をサポートするには、UTL_HTTP APIを呼び出す現在のユーザーに、ウォレット・パスに対するuse-passwords ACL権限が必要です。

• DBMS_SCHEDULER.SET_SCHEDULER_ATTRIBUTEでEMAIL_SERVER_WALLET_DIRECTORYおよびEMAIL_SERVER_WALLET_CREDENTIALを設定するためのノート:

  • DBMS_SCHEDULER.SET_SCHEDULER_ATTRIBUTEを使用して属性値を設定するには、管理ユーザーまたはMANAGE SCHEDULER権限を持つユーザーである必要があります(ADMINユーザーにはこれらの権限があります)。

  • DBMS_SCHEDULER.SET_SCHEDULER_ATTRIBUTEを起動するユーザーには、MANAGE SCHEDULER権限に加えて、EMAIL_SERVER_WALLET_DIRECTORYで設定したディレクトリ・オブジェクトに対するREAD権限、および EMAIL_SERVER_WALLET_CREDENTIALで設定した資格証明オブジェクトに対するEXECUTE権限が必要です。