はじめに
こちらの記事ではAutonomous Database上のAPEXのユーザ認証にAzure ADを使用する方法を検証しましたが、今回はSQL*PlusからAutonomous Databaseに接続する際のユーザ認証をAzure ADのアクセストークンを使用して行う方法を検証してみました
1. Autonomous DatabaseをアプリケーションとしてAzure ADに登録
Azureポータルにアクセスし、「Azure Active Directory」に移動します。
「テナントID」と「プライマリドメイン」をコピーし、メモしておきます。
「テナントID」と「プライマリドメイン」は、それぞれ以下のような形式です。
テナントID：xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
プライマリドメイン：yyyyyy.onmicrosoft.com
左側のメニューから「アプリの登録」に移動します。
「新規登録」をクリックします。
任意の名前（ここでは「Autonomous Database」）を入力し、他の項目はデフォルトのままで「登録」をクリックします。
アプリケーションが登録されました。
「アプリケーション（クライアント）ID」をコピーし、メモしておきます。
「アプリケーション（クライアント）ID」はzzzzzzzz-zzzz-zzzz-zzzz-zzzzzzzzzzzzのような形式です。
左側のメニューから「APIの公開」に移動します。
アプリケーションIDのURIの横の「設定」をクリックします。
アプリケーションIDのURIに以下の形式の文字列を入力し、「保存」をクリックします。
https://プライマリドメイン/アプリケーション（クライアント）ID
実際には以下のような文字列になります。
https://yyyyyy.onmicrosoft.com/zzzzzzzz-zzzz-zzzz-zzzz-zzzzzzzzzzzz
「Scopeの追加」をクリックします。
以下の内容を入力し、「スコープの追加」をクリックします。
スコープ名：session:scope:connect
同意できるのはだれですか？：管理者とユーザー
管理者の同意の表示名：任意（ここでは「Connect to Autonomous Database」）
管理者の同意の説明：任意（ここでは「Connect to Autonomous Database」）
ユーザーの同意の表示名：任意（ここでは「Connect to Autonomous Database」）
ユーザーの同意の説明：任意（ここでは「Connect to Autonomous Database」）
状態：有効
スコープが追加されました。
2. DB接続に使用するAzure ADユーザのアプリケーションへの割り当て
「ホーム」→「Azure Active Directory」と移動し、左側のメニューから「エンタープライズアプリケーション」に移動します。
作成したアプリケーションの名前（ここでは「Autonomous Database」）をクリックします。
左側のメニューから「ユーザーとグループ」をクリックします。
「ユーザーまたはグループの追加」をクリックします。
「割り当ての追加」の画面が表示されるので、「ユーザー」欄の「選択されていません」をクリックします。
DBアクセスに使用するユーザを選択して「選択」をクリックします。
「割り当て」をクリックします。
アプリケーションにユーザーが割り当てられました。
3. Azure ADをAutonomous Databaseの外部アイデンティティ・プロバイダとして登録
DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATIONプロシージャを使用して、Azure ADをAutonomous Databaseの外部アイデンティティ・プロバイダとして登録します。
BEGIN
DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
type =>'AZURE_AD',
params => JSON_OBJECT('tenant_id' VALUE 'テナントID',
'application_id' VALUE 'アプリケーション（クライアント）ID',
'application_id_uri' VALUE 'アプリケーションIDのURI'),
force => TRUE
);
END;
実際のコマンドは以下のようになります。
BEGIN
DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
type =>'AZURE_AD',
params => JSON_OBJECT('tenant_id' VALUE 'xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx',
'application_id' VALUE 'zzzzzzzz-zzzz-zzzz-zzzz-zzzzzzzzzzzz',
'application_id_uri' VALUE 'https://yyyyyy.onmicrosoft.com/zzzzzzzz-zzzz-zzzz-zzzz-zzzzzzzzzzzz'),
force => TRUE
);
END;
/
adminユーザとしてAutonomous Databaseに接続し、DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATIONプロシージャを実行します。
SQL> BEGIN
2 DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
3 type =>'AZURE_AD',
4 params => JSON_OBJECT('tenant_id' VALUE 'a88exxxx-0exx-4bxx-b3xx-5cdbcexxxxxx',
5 'application_id' VALUE 'f940zzzz-3ezz-42zz-89zz-29f3fezzzzzz',
6 'application_id_uri' VALUE 'https://yyyyyy.onmicrosoft.com/f940zzzz-3ezz-42zz-89zz-29f3fezzzzzz'),
7 force => TRUE
8 );
9 END;
10 /
PL/SQLプロシージャが正常に完了しました。
Azure ADが外部アイデンティティ・プロバイダとして正しく設定されているかを以下のSQLで確認します。
SQL> col name for a30
SQL> col value for a30
SQL> SELECT NAME, VALUE FROM V$PARAMETER WHERE NAME='identity_provider_type';
NAME VALUE
------------------------------ ------------------------------
identity_provider_type AZURE_AD
SQL>
4. Azure ADユーザに対応するDBユーザの作成
CREATE USER文で、先ほどアプリケーションに割り当てたAzure ADユーザに対応するDBユーザ（スキーマ）を作成します。
以下のような構文になります。
CREATE USER DBユーザ名 IDENTIFIED GLOBALLY AS
'AZURE_USER=Azure ADのユーザ名';
作成するDBユーザ名をadbuser_1、対応するAzure ADユーザを先ほどをアプリケーションに割り当てたADBUSER1としてCREATE USER文を実行します。
SQL> CREATE USER adbuser_1 IDENTIFIED GLOBALLY AS
2 'AZURE_USER=ADBUSER1@yyyyyy.onmicrosoft.com';
ユーザーが作成されました。
SQL>
作成したユーザadbuser_1にロールを割り当てます。
SQL> GRANT connect, resource TO adbuser_1;
権限付与が成功しました。
SQL>
5. Azure ADからのアクセストークンの取得
Azure ADからアクセストークンを取得するには、Azure ADにサインインする必要があります。
今回はLinux環境にAzure CLIをインストールし、Azure CLIからAzure ADにサインインします。
Linux環境へのAzure CLIのインストール方法は、こちらを参照ください。
Azure ADにサインインする際は、以下のコマンドを実行します。
az login --allow-no-subscriptions
早速実行してみます。
[opc@compute1 ~]$ az login --allow-no-subscriptions
To sign in, use a web browser to open the page https://microsoft.com/devicelogin and enter the code SR72XWRPL to authenticate.
コマンドを実行すると、サインインするためにはブラウザから https://microsoft.com/devicelogin にアクセスしてコードを入力せよと表示されます。
表示されたURL（ https://microsoft.com/devicelogin ）にブラウザからアクセスします。
表示されたコード（ここではSR72XWRPL）を入力して、「次へ」をクリックします。
Azure ADユーザのユーザ名を入力し、「次へ」をクリックします。
Azure ADユーザのパスワードを入力し、「サインイン」をクリックします。
「Microsoft Azure CLIにサインインしますか？」と表示されるので、「続行」をクリックします。
サインインが完了しました。
ターミナルに戻ると、追加の情報が表示され、Azure CLIからのサインインが完了しています。
[opc@compute1 ~]$ az login --allow-no-subscriptions
To sign in, use a web browser to open the page https://microsoft.com/devicelogin and enter the code SR72XWRPL to authenticate.
The following tenants don't contain accessible subscriptions. Use 'az login --allow-no-subscriptions' to have tenant level access.
a88exxxx-0exx-4bxx-b3xx-5cdbcexxxxxx 'Default Directory'
[
{
"cloudName": "AzureCloud",
"id": "a88exxxx-0exx-4bxx-b3xx-5cdbcexxxxxx",
"isDefault": true,
"name": "N/A(tenant level account)",
"state": "Enabled",
"tenantId": "a88exxxx-0exx-4bxx-b3xx-5cdbcexxxxxx",
"user": {
"name": "ADBUSER1@yyyyyy.onmicrosoft.com",
"type": "user"
}
}
]
[opc@compute1 ~]$
以下のコマンドで、Autonomous DatabaseにアクセスするためのトークンをAzure ADから取得します。
token=$(az account get-access-token --resource=アプリケーションIDのURI --query accessToken --output tsv)
実際には、以下のようなコマンドになります。
token=$(az account get-access-token --resource=https://yyyyyy.onmicrosoft.com/f940zzzz-3ezz-42zz-89zz-29f3fezzzzzz --query accessToken --output tsv)
初回実行時は以下のようなエラーが表示されます。
[opc@compute1 ~]$ token=$(az account get-access-token --resource=https://yyyyyy.onmicrosoft.com/f940zzzz-3ezz-42zz-89zz-29f3fezzzzzz --query accessToken --output tsv)
ERROR: AADSTS65001: The user or administrator has not consented to use the application with ID '04b07795-8ddb-461a-bbee-02f9e1bf7b46' named 'Microsoft Azure CLI'. Send an interactive authorization request for this user and resource.
Trace ID: 09352b7c-e8cf-422b-afef-82797b822900
Correlation ID: fa8284a7-9f8d-42ce-89a2-4f274df4d110
Timestamp: 2022-10-05 09:42:47Z
To re-authenticate, please run:
az login --scope https://yyyyyy.onmicrosoft.com/f940zzzz-3ezz-42zz-89zz-29f3fezzzzzz/.default
[opc@compute1 ~]$
このエラーは、Azure CLIがAzure ADに登録したアプリケーション（ここでは「Autonomous Database」）の承認済みのクライアントアプリケーションとして登録されていないために発生します。
ということで、エラーメッセージ表示されたクライアントID（ここでは「04b07795-8ddb-461a-bbee-02f9e1bf7b46」）を使用して、Azure CLIをアプリケーション（ここでは「Autonomous Database」）の承認済みのクライアントアプリケーションとして登録します。
Azureポータルで「Azure Active Directory」に移動し、「アプリの登録」に移動します。
アプリケーション名（ここでは「Autonomous Database」）をクリックします。
「APIの公開」に移動します。
「承認済みのクライアントアプリケーション」欄の「クライアントアプリケーションの追加」をクリックします。
以下の内容を入力し、「アプリケーションの追加」をクリックします。
クライアントID：エラーメッセージに表示されたAzure CLIのクライアントID（ここでは「04b07795-8ddb-461a-bbee-02f9e1bf7b46」）
承認済みのスコープ：チェックをオン
Azure CLIがアプリケーション（ここでは「Autonomous Database」）承認済みのクライアントアプリケーションとして登録されました。
再度、トークンを取得してみます。
[opc@compute1 ~]$ token=$(az account get-access-token --resource=https://zakume.onmicrosoft.com/f940f0a4-3e2c-426f-89ab-29f3fe10b4f5 --query accessToken --output tsv)
[opc@compute1 ~]$
今度は問題なくコマンドが終了しました。
トークンの内容をtokenというファイル名で保存します。
[opc@compute1 ~]$ echo "$token" >> token
[opc@compute1 ~]$
Autonomous DatabaseにAzure ADユーザー「ADBUSER1」としてアクセスするためのトークンがtokenというファイル名で保存されました。
[opc@compute1 ~]$ ls -l | grep token
-rw-rw-r--. 1 opc opc 1516 Oct 5 09:47 token
[opc@compute1 ~]$
6. Azure ADのアクセストークンを利用したSQL*PlusからAutonomous Databaseへのアクセス
ADBインスタンスの詳細画面の「DB接続」から接続文字列を取得します。
以下のような形式になっています。（TLS接続の場合）
(description= (retry_count=20)(retry_delay=3)
(address=(protocol=tcps)(port=1521)(host=adb.ap-tokyo-1.oraclecloud.com))
(connect_data=(service_name=xxxxxxxxxxxxxxx_adw1_low.adb.oraclecloud.com))
(security=(ssl_server_dn_match=yes)))
取得した接続文字列のsecurityの部分に
(TOKEN_AUTH=OAUTH)(TOKEN_LOCATION="tokenを保存したディレクトリ")
を追加します。
今回はトークンをopcユーザのホームディレクトリ（/home/opc/）に保存したので、以下のような形になります。
※トークンを保存する際のファイル名をtoken以外にした場合は、ファイル名を含むフルパスを指定する必要があります。
(description= (retry_count=20)(retry_delay=3)
(address=(protocol=tcps)(port=1521)(host=adb.ap-tokyo-1.oraclecloud.com))
(connect_data=(service_name=xxxxxxxxxxxxxxx_adw1_low.adb.oraclecloud.com))
(security=(ssl_server_dn_match=yes)(TOKEN_AUTH=OAUTH)(TOKEN_LOCATION="/home/opc/")))
準備が整ったので、 Azure ADから取得したトークンを使用して、SQL*PlusからAutonomous Databaseにアクセスしてみます。
SQL*Plusから外部認証（ここではAzure AD）を使用してAutonomous Databaseに接続する際は、
sqlplus /@接続文字列
先ほど作成した接続文字列とAzure ADのトークンを使用して、Autonomous Databaseにアクセスしてみます。
[opc@compute1 ~]$ sqlplus /@(description= (retry_count=20)(retry_delay=3)(address=(protocol=tcps)(port=1521)(host=adb.ap-tokyo-1.oraclecloud.com))(connect_data=(service_name=xxxxxxxxxxxxxxx_adw1_low.adb.oraclecloud.com))(security=(ssl_server_dn_match=yes)(TOKEN_AUTH=OAUTH)(TOKEN_LOCATION="/home/opc/")))
SQL*Plus: Release 19.0.0.0.0 - Production on 水 10月 5 09:49:10 2022
Version 19.16.0.0.0
Copyright (c) 1982, 2022, Oracle. All rights reserved.
Oracle Database 19c Enterprise Edition Release 19.0.0.0.0 - Production
Version 19.17.0.1.0
に接続されました。
SQL>
接続しているDBユーザ名を確認してみます。
SQL> show user
ユーザーは"ADBUSER_1"です。
SQL>
トークンを取得したAzure ADユーザー「ADBUSER1」に対応するDBユーザー「ADBUSER_1」としてAutonomous Databaseに接続していることが確認できました。
タイムスタンプを検索してみます。
SQL> SELECT systimestamp FROM dual;
SYSTIMESTAMP
---------------------------------------------------------------------------
22-10-05 09:53:16.397713 +00:00
SQL>
問題なくSQLが発行できることが確認できました。
以上で、Linux上のSQL*PlusからAzure ADのアクセストークンを利用してAutonomous Databaseに接続できることが確認できました。
参考資料
・Autonomous DatabaseのMicrosoft Azure ADユーザーの認証および認可
・Authenticating and Authorizing Microsoft Azure Active Directory Users for Oracle Databases
・Linux に Azure CLI をインストールする