はじめに
Autonomous Databaseではマルチクラウド環境向けの様々な機能が実装されています。
先日の機能強化で、Azure Key Vault、AWS Secrets Manager、GCP Secret Managerといった各クラウドベンダーのシークレット管理サービスに格納されたシークレットを使用してクレデンシャルが作成できるようになりました。
そこで今回は、Google Cloud Secret Managerに格納されているシークレットを使用してクレデンシャルを作成し、そのクレデンシャルを用いてAutonomous DatabaseからAmazon S3にアクセスしてみました。
AWS Secrets Managerに格納されているシークレットを使用してクレデンシャルを作成する手順の記事はこちら。
Azure Key Vaultに格納されているシークレットを使用してクレデンシャルを作成する手順の記事はこちら。
1. Googleサービスアカウントを使用した認証の有効化
Autonomous Databaseにadminユーザとしてアクセスします。
[opc@tools ~]$ sql admin/Demo#1Demo#1@adb
SQLcl: Release 23.2 Production on Mon Nov 06 09:58:33 2023
Copyright (c) 1982, 2023, Oracle. All rights reserved.
Last Successful login time: Mon Nov 06 2023 09:58:34 +09:00
Connected to:
Oracle Database 19c Enterprise Edition Release 19.0.0.0.0 - Production
Version 19.21.0.1.0
SQL>
DBMS_CLOUD_ADMIN.ENABLE_PRINCIPAL_AUTHプロシージャを使用して、Googleサービスアカウントを使用した認証を有効化します。
SQL> BEGIN
2 DBMS_CLOUD_ADMIN.ENABLE_PRINCIPAL_AUTH(
3 provider => 'GCP');
4 END;
5* /
PL/SQLプロシージャが正常に完了しました。
SQL>
Autonomous DatabaseのGoogleサービスアカウントを確認します。
SQL> SELECT * FROM CLOUD_INTEGRATIONS WHERE param_name = 'gcp_service_account';
PARAM_NAME PARAM_VALUE
______________________ _____________________________________________________________
gcp_service_account GCP-SA-XXXXX-XXXXX@gcp-pa-project1.iam.gserviceaccount.com
SQL>
2. GCP SecretManagerのシークレットの作成とAutonomous Databaseへのアクセス権の付与
GCPのコンソールにアクセスして、Secret Managerに移動し、「シークレットを作成」をクリックします。
シークレットの名前とシークレットの値を入力して、シークレットを作成します。
ここではシークレットの名前を「MyGCPSecret」とし、シークレットの値としてS3バケットにアクセス可能なAWS IAMユーザのシークレット・アクセスキーを入力します。
シークレットが作成できたら、「権限」のタブに移動します。
「アクセス権を付与」をクリックします。
「プリンシパルの追加」の欄の新しいプリンシパルに1.で確認したAutonomous DatabaseのGoogleサービスアカウントの値を入力します。
「ロールを割り当てる」の欄のロールには「Secret Managerのシークレットアクセサー」を選択して入力します。
入力が完了したら、「保存」をクリックします。
3. GCP Secret Managerに保存されているシークレットを使用したクレデンシャルの作成
BEGIN DBMS_CLOUD.CREATE_CREDENTIALプロシージャを使用して、GCP Secret Managerに保存されているシークレットを用いてクレデンシャルを作成します。
今回は、AWS S3にアクセスするためのクレデンシャルS3_CRED_USING_GCP_SECRETを作成するので、
paramsのusernameに、S3バケットにアクセス可能なAWS IAMユーザのアクセスキー、
paramsのsecret_idに、AWS IAMユーザのシークレット・アクセスキーを格納したGCP Secret Managerのシークレット名、
paramsのgcp_project_idに、GCPのプロジェクトID
を指定しました。
SQL> BEGIN DBMS_CLOUD.CREATE_CREDENTIAL(
2 credential_name => 'S3_CRED_USING_GCP_SECRET',
3 params => JSON_OBJECT(
4 'username' value 'XXXXXXXXXXXXXXXXXXXX', -- AWS IAMユーザのAccess Key
5 'secret_id' value 'MyGCPSecret', -- GCP Secret Managerのシークレット名
6 'gcp_project_id' value 'xxxxx-xxx-XXXXXX' )); -- GCPのプロジェクトID
7 END;
8* /
PL/SQLプロシージャが正常に完了しました。
SQL>
クレデンシャルS3_CRED_USING_GCP_SECRETが作成できました。
4. クレデンシャルを使用したS3へのアクセス
GCP Secret Managerに保存されているシークレットを使用して作成したクレデンシャルを使って、S3バケットにアクセスしてみます。
SQL> SELECT object_name
2 FROM DBMS_CLOUD.LIST_OBJECTS(
3 credential_name => 'S3_CRED_USING_GCP_SECRET',
4 location_uri => 'https://s3.ap-northeast-1.amazonaws.com/bucketname/foldername/'
5* );
OBJECT_NAME
_______________________
employee1.csv
employee1.csv.gz
employee2.csv
employee2.csv.gz
employee20231031.csv
employee20231101.csv
employee3.csv
7行が選択されました。
SQL>
GCP Secret Managerに保存されているシークレットを使用して作成したクレデンシャルを使って、S3バケットにアクセスできました。
参考情報
・Use Vault Secret Credential with GCP Secret Manager
・DBMS_CLOUD_ADMIN.ENABLE_PRINCIPAL_AUTH Procedure
・DBMS_CLOUD.CREATE_CREDENTIAL Procedure