Identity and Access Management (IAM)認証によるAutonomous AI Databaseへの接続

IAMユーザーは、IAMのデータベース・パスワード・ベリファイアまたはIAMトークンのいずれかを使用して、Autonomous AI Databaseインスタンスに接続できます。

IAMデータベース・パスワード・ベリファイアの使用は、Oracle Databaseのパスワード認証プロセスと似ています。ただし、パスワード・ベリファイア(パスワードの暗号化されたハッシュ)がOracleデータベースに格納されるかわりに、ベリファイアがOracle Cloud Infrastructure (OCI) IAMユーザー・プロファイルの一部として格納されます。

データベースにIAMトークンを使用する2つ目の接続方法は、より先進的です。トークン・ベース・アクセスの使用は、Autonomous AI Databaseのようなクラウド・リソースに適しています。トークンは、IAMエンドポイントで強制できる強度に基づきます。これはマルチファクタ認証である可能性があり、パスワードのみを使用するよりも強力です。トークンを使用するもう1つの利点は、パスワード・ベリファイア(機密とみなされる)がメモリーに格納されず、メモリーで使用できないことです。データベース・アクセスにトークンを使用する場合は、TCPS (TLS)接続が必要です。

• IAMデータベース・パスワード・ベリファイアを使用するクライアント接続
  IAMユーザーに必要な認可を構成すると、このユーザーは、追加の構成なしで、SQL*PlusやSQLclなどの既存のクライアント・アプリケーションを使用してログインできます。
• Client Connections That Use a Token Requested by a Client Application or Tool
  For IAM token access to the Autonomous AI Database, the client application or tool requests a database token from IAM for the IAM user.

IAMデータベース・パスワードを使用するようにSQL*Plusを構成できます。

• IAMユーザーとして、次の構文を使用してAutonomous AI Databaseインスタンスにログインします。

  CONNECT user_name@db_connect_string
  Enter password: password

  この指定では、user_nameはIAMユーザー名です。domain_name/user_nameの組合せには128バイトの制限があります。

  次の例は、IAMユーザーpeter_fitchがAutonomous AI Databaseインスタンスにログインする方法を示しています。

  sqlplus /nolog
  connect peter_fitch@db_connect_string
  Enter password: password

  一部の特殊文字では、user_nameおよびpasswordを二重引用符で囲む必要があります。たとえば:

  "peter_fitch@example.com"@db_connect_string
  
  "IAM database password"

IAMトークンを使用するSQL*Plusのクライアント接続を構成できます。

1. IAMユーザー・アカウントがあることを確認します。
2. IAM管理者およびOracle Database管理者に問い合せて、コンパートメントまたはテナンシ内のデータベースにアクセスできるポリシーがあり、データベース内のグローバル・スキーマにマップされていることを確認してください。
3. アプリケーションまたはツールが直接IAM統合をサポートしていない場合は、OCI CLIをダウンロード、インストールおよび構成します。(OCIコマンドライン・インタフェースのクイックスタートを参照。)OCI CLI構成の一部としてAPIキーを設定し、デフォルト値を選択します。
   1. IAMユーザーのAPIキー・アクセスを設定します。
   2. db-tokenを取得します。たとえば:
      • Oracle Cloud Infrastructure (OCI)コマンドライン・インタフェースを使用したAPI-keyでのdb-tokenの取得:

        oci iam db-token get

      • セキュリティ(またはセッション)トークンを使用したdb-tokenの取得:

        oci iam db-token get --auth security_token

        セキュリティ・トークンが期限切れになると、ユーザーがOCIに再度ログインできるようにウィンドウが表示されます。これにより、ユーザーのセキュリティ・トークンが生成されます。OCI CLIでは、このリフレッシュされたトークンを使用してdb-tokenを取得します。

      • 委任トークンを使用したdb-tokenの取得: クラウド・シェルにログインすると、委任トークンが自動的に生成され、/etcディレクトリに配置されます。このトークンを取得するには、クラウド・シェルで次のコマンドを実行します。

        oci iam db-token get

      • OCIコマンドライン・インタフェースを使用したインスタンス・トークンの取得:

        oci iam db-token get --auth instance_principal

   3. データベース・クライアントは、IAMユーザー名およびIAMデータベース・パスワードを使用してデータベース・トークンを取得するように構成することもできます。

      詳細は、「IAMユーザー名およびデータベース・パスワードによってリクエストされたトークンを使用するクライアント接続」を参照してください。

   詳細は、必要なキーとOCIDを参照してください。
4. Oracle Databaseクライアント・リリース19c、21cまたは26aiの最新リリース更新を使用していることを確認します。
   この構成は、Oracle Databaseクライアント・リリース19c、21cまたは26aiでのみ機能します。
5. 既存のプロセスに従ってAutonomous AI Databaseからウォレットをダウンロードし、SQL*Plusで使用するために構成する手順に従います。
   1. sqlnet.oraでSSL_SERVER_DN_MATCH=ONを検索して、DN一致が有効であることを確認します。
      ノート
      
      データベース・クライアントからAutonomous AI Databaseにトークンを送信する場合は、部分DNまたは完全DN一致が必要です。Autonomous AI Databaseでプライベート・エンドポイントを使用している場合は、接続文字列パラメータにホスト値を指定する必要があります。接続文字列でホスト・パラメータにIPアドレスを使用すると、DN一致では機能せず、IAMトークンはデータベースに送信されません。

      プライベート・エンドポイントを使用する場合のホスト・パラメータの設定方法の詳細は、Autonomous Databaseでのプライベート・エンドポイント構成の例を参照してください。

   2. TOKEN_AUTH=OCI_TOKENをsqlnet.oraファイルに追加して、IAMトークンを使用するようにデータベース・クライアントを構成します。データベース・トークン・ファイルのデフォルトの場所を使用するため、トークンの場所を含める必要はありません。
   tnsnames.ora接続文字列のTOKEN_AUTHおよびTOKEN_LOCATION値は、その接続のsqlnet.ora設定より優先されます。たとえば、接続文字列の場合、トークンがデフォルトの場所(Linuxの場合は~/.oci/db-token)にあるとします:

   (description= 
     (retry_count=20)(retry_delay=3)
     (address=(protocol=tcps)(port=1522)
     (host=example.us-phoenix-1.oraclecloud.com))
     (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
     (security=(ssl_server_dn_match=yes)
     (TOKEN_AUTH=OCI_TOKEN)))
   

connect /@exampledb_high

connect /@(description= 
  (retry_count=20)(retry_delay=3)
  (address=(protocol=tcps)(port=1522)
  (host=example.us-phoenix-1.oraclecloud.com))
  (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
  (security=(ssl_server_cert_dn="CN=example.uscom-east-1.oraclecloud.com, 
     O=Example Corporation, 
     L=Redwood City, ST=California, C=US")
  (TOKEN_AUTH=OCI_TOKEN)))

ADMINユーザーがAutonomous AI DatabaseでOracle Cloud Infrastructure IAMを有効にすると、アプリケーションはインスタンス・プリンシパルを使用してOracle Cloud Infrastructure IAMデータベース・トークンを通じて、データベースにアクセスできます。