Configurazione dell'accesso UTL_HTTP utilizzando certificati e un portafoglio Oracle

Posiziona i certificati root e client in un'unica directory, quindi passa a questa directory.

Converti il certificato client .p12 nel keystore Java.

L'esempio seguente converte il certificato client denominato client_certificate.p12 nel keystore Java denominato. client_keystore.jks Il keystore viene quindi incluso nel portafoglio Oracle. La password del keystore è. P12PASSWORD

orapki wallet pkcs12_to_jks -wallet ./client_certificate.p12 -jksKeyStoreLoc ./client_keystore.jks -jksKeyStorepwd P12PASSWORD

Crea una directory per il tuo portafoglio Oracle diversa dalla directory dei certificati.

Nell'esempio seguente viene creata la directory /tmp/wallet.

mkdir -p /tmp/wallet

Crea un portafoglio Oracle nella directory del portafoglio.

L'esempio seguente imposta la password del wallet Oracle suP12PASSWORD, che è la stessa password utilizzata dal keystore Java in un passaggio precedente. L'utilizzo della stessa password è comodo, ma non necessario. Il parametro -auto_login attiva la caratteristica di accesso automatico, in modo che non sia necessario specificare una password ogni volta che si desidera accedervi.

orapki wallet create -wallet /tmp/wallet -pwd P12PASSWORD -auto_login

Aggiungi il keystore Java al tuo portafoglio Oracle.

L'esempio seguente aggiunge il keystore client_keystore.jks al wallet Oracle denominato. /tmp/wallet In questo esempio, si specifica la stessa password del keystore Java e del portafoglio Oracle.

orapki wallet jks_to_pkcs12 -wallet /tmp/wallet -pwd P12PASSWORD -keystore ./client_keystore.jks -jkspwd P12PASSWORD

Aggiungi il certificato root per il tuo sito Web di destinazione al portafoglio Oracle.

L'esempio seguente aggiunge un certificato denominatoRoot_CA.cer.

orapki wallet add -wallet /tmp/wallet -trusted_cert -cert ./Root_CA.cer -pwd P12PASSWORD

Aggiungi eventuali certificati intermedi.

L'esempio seguente aggiunge un certificato denominatoIntermediate.cer. Ripeti questo passaggio tutte le volte necessarie per caricare tutti i certificati intermedi.

orapki wallet add -wallet /tmp/wallet -trusted_cert -cert ./Intermediate.cer -pwd P12PASSWORD

Verifica che il tuo portafoglio Oracle appena creato disponga dei certificati richiesti.

orapki wallet display -wallet /tmp/wallet -pwd P12PASSWORD

Completare i prerequisiti per l'integrazione di Amazon S3 con Oracle e aggiungere l'opzione S3_INTEGRATION all'istanza database Oracle. Assicurarsi che il ruolo IAM per l'opzione abbia accesso al bucket Amazon S3 che si sta utilizzando.

Per ulteriori informazioni, consulta Integrazione Amazon S3.

Accedei all'istanza database come utente principale e quindi crea una directory Oracle per contenere il portafoglio Oracle.

L'esempio seguente crea una directory Oracle denominataWALLET_DIR.

EXEC rdsadmin.rdsadmin_util.create_directory('WALLET_DIR');

Per ulteriori informazioni, consulta Creazione ed eliminazione di directory nello spazio di archiviazione dati principale.

Carica il portafoglio Oracle sul tuo bucket Amazon S3.

Puoi utilizzare qualsiasi tecnica di caricamento supportata.

Se stai ricaricando un portafoglio Oracle, elimina il portafoglio esistente. Altrimenti, passare alla fase successiva.

L'esempio seguente rimuove il wallet esistente, denominatocwallet.sso.

EXEC UTL_FILE.FREMOVE ('WALLET_DIR','cwallet.sso');

Scarica il portafoglio Oracle dal bucket Amazon S3 sull'istanza database Oracle.

L'esempio seguente scarica il wallet denominato cwallet.sso dal bucket Amazon S3 denominato nella directory dell'istanza DB denominatamy_s3_bucket. WALLET_DIR

SELECT rdsadmin.rdsadmin_s3_tasks.download_from_s3(
      p_bucket_name    =>  'my_s3_bucket', 
      p_s3_prefix      =>  'cwallet.sso', 
      p_directory_name =>  'WALLET_DIR') 
   AS TASK_ID FROM DUAL;

(Facoltativo) Scarica un portafoglio Oracle protetto da password.

Scarica questo portafoglio solo se vuoi richiedere una password per ogni utilizzo del portafoglio. L'esempio seguente scarica un portafoglio protetto da password. ewallet.p12

SELECT rdsadmin.rdsadmin_s3_tasks.download_from_s3(
      p_bucket_name    =>  'my_s3_bucket', 
      p_s3_prefix      =>  'ewallet.p12', 
      p_directory_name =>  'WALLET_DIR') 
   AS TASK_ID FROM DUAL;

Verifica lo stato dell'attività del database.

Sostituisci l'ID dell'attività restituito dai passaggi precedenti con quello riportato nell'esempio dbtask-1234567890123-4567.log seguente.

SELECT TEXT FROM TABLE(rdsadmin.rds_file_util.read_text_file('BDUMP','dbtask-1234567890123-4567.log'));

Controlla il contenuto della directory che stai utilizzando per memorizzare il portafoglio Oracle.

SELECT * FROM TABLE(rdsadmin.rds_file_util.listdir(p_directory => 'WALLET_DIR'));

Per ulteriori informazioni, consulta Generazione di un elenco dei file in una directory di istanze database.

Accedi all'istanza database RDS for Oracle come utente principale.

Se non desideri configurare un utente del database esistente, creare un nuovo utente. Altrimenti, passare alla fase successiva.

L'esempio seguente crea un utente del database denominato. my-user

CREATE USER my-user IDENTIFIED BY my-user-pwd;
GRANT CONNECT TO my-user;

Concedi l'autorizzazione all'utente del database nella directory contenente il portafoglio Oracle.

L'esempio seguente concede l'accesso in lettura all'utente my-user sulla directoryWALLET_DIR.

GRANT READ ON DIRECTORY WALLET_DIR TO my-user;

Concedi l'autorizzazione all'utente del database per utilizzare il pacchetto UTL_HTTP.

Il seguente PL/SQL programma concede UTL_HTTP l'accesso all'utente. my-user

BEGIN 
  rdsadmin.rdsadmin_util.grant_sys_object('UTL_HTTP', UPPER('my-user')); 
  END;
/

Concedi l'autorizzazione all'utente del database per utilizzare il pacchetto UTL_FILE.

Il seguente PL/SQL programma concede UTL_FILE l'accesso all'utente. my-user

BEGIN 
  rdsadmin.rdsadmin_util.grant_sys_object('UTL_FILE', UPPER('my-user')); 
  END;
/

Accedi all'istanza database RDS for Oracle come utente principale.

Crea una voce di controllo dell'accesso (ACE) host per il tuo utente e il sito Web di destinazione su una porta sicura.

L'esempio seguente configura l'accesso my-user alla porta sicura secret.encrypted-website.com 443.

BEGIN
  DBMS_NETWORK_ACL_ADMIN.APPEND_HOST_ACE(
    host       => 'secret.encrypted-website.com', 
    lower_port => 443,
    upper_port => 443,
    ace        => xs$ace_type(privilege_list => xs$name_list('http'),
                              principal_name => 'my-user',
                              principal_type => xs_acl.ptype_db)); 
                           -- If the program unit results in PLS-00201, set
                           -- the principal_type parameter to 2 as follows:
                           -- principal_type => 2));
END;
/

principal_type => 2));

Per ulteriori informazioni, consulta Configuring Access Control for External Network Services (Configurazione del controllo dell'accesso per servizi di rete esterni) nella documentazione di Oracle Database.

(Facoltativo) Crea un ACE per il tuo sito Web utente e di destinazione sulla porta standard.

Potrebbe essere necessario utilizzare la porta standard se alcune pagine Web sono servite dalla porta standard del server Web (80) anziché dalla porta sicura (443).

BEGIN
  DBMS_NETWORK_ACL_ADMIN.APPEND_HOST_ACE(
    host       => 'secret.encrypted-website.com', 
    lower_port => 80,
    upper_port => 80,
    ace        => xs$ace_type(privilege_list => xs$name_list('http'),
                              principal_name => 'my-user',
                              principal_type => xs_acl.ptype_db)); 
                           -- If the program unit results in PLS-00201, set
                           -- the principal_type parameter to 2 as follows:
                           -- principal_type => 2));
END;
/

Verifica che le voci di controllo dell'accesso siano presenti.

SET LINESIZE 150
COLUMN HOST FORMAT A40
COLUMN ACL FORMAT A50

SELECT HOST, LOWER_PORT, UPPER_PORT, ACL
  FROM DBA_NETWORK_ACLS
ORDER BY HOST;

Concedi l'autorizzazione all'utente del database per utilizzare il pacchetto UTL_HTTP.

Il seguente PL/SQL programma concede UTL_HTTP l'accesso all'utente. my-user

BEGIN 
  rdsadmin.rdsadmin_util.grant_sys_object('UTL_HTTP', UPPER('my-user')); 
  END;
/

Conferma l'esistenza di liste di controllo dell'accesso correlate.

SET LINESIZE 150
COLUMN ACL FORMAT A50
COLUMN PRINCIPAL FORMAT A20
COLUMN PRIVILEGE FORMAT A10

SELECT ACL, PRINCIPAL, PRIVILEGE, IS_GRANT,
       TO_CHAR(START_DATE, 'DD-MON-YYYY') AS START_DATE,
       TO_CHAR(END_DATE, 'DD-MON-YYYY') AS END_DATE
  FROM DBA_NETWORK_ACL_PRIVILEGES
ORDER BY ACL, PRINCIPAL, PRIVILEGE;

Concedi l'autorizzazione all'utente del database di utilizzare i certificati per l'autenticazione client e il portafoglio Oracle per le connessioni.

DECLARE
  l_wallet_path all_directories.directory_path%type;
BEGIN
  SELECT DIRECTORY_PATH 
    INTO l_wallet_path 
    FROM ALL_DIRECTORIES
   WHERE UPPER(DIRECTORY_NAME)='WALLET_DIR';
  DBMS_NETWORK_ACL_ADMIN.APPEND_WALLET_ACE(
    wallet_path => 'file:/' || l_wallet_path,
    ace         =>  xs$ace_type(privilege_list => xs$name_list('use_client_certificates'),
                                principal_name => 'my-user',
                                principal_type => xs_acl.ptype_db));
END;
/

Accedi all'istanza database RDS for Oracle come utente del database con autorizzazioni UTL_HTTP.

Conferma che una connessione al sito Web di destinazione può risolvere l'indirizzo host.

L'esempio seguente ottiene l'indirizzo dell'host dasecret.encrypted-website.com.

SELECT UTL_INADDR.GET_HOST_ADDRESS(host => 'secret.encrypted-website.com')
  FROM DUAL;

Testa una connessione non riuscita.

La seguente query ha esito negativo perché UTL_HTTP richiede la posizione del portafoglio Oracle con i certificati.

SELECT UTL_HTTP.REQUEST('secret.encrypted-website.com') FROM DUAL;

Verifica l'accesso al sito web utilizzando UTL_HTTP.SET_WALLET e selezionando da DUAL.

DECLARE
  l_wallet_path all_directories.directory_path%type;
BEGIN
  SELECT DIRECTORY_PATH
    INTO l_wallet_path 
    FROM ALL_DIRECTORIES
   WHERE UPPER(DIRECTORY_NAME)='WALLET_DIR';
  UTL_HTTP.SET_WALLET('file:/' || l_wallet_path);
END;
/

SELECT UTL_HTTP.REQUEST('secret.encrypted-website.com') FROM DUAL;

(Facoltativo) Testa l'accesso al sito Web memorizzando la query in una variabile e utilizzando EXECUTE IMMEDIATE.

DECLARE
  l_wallet_path all_directories.directory_path%type;
  v_webpage_sql VARCHAR2(1000);
  v_results     VARCHAR2(32767);
BEGIN
  SELECT DIRECTORY_PATH
    INTO l_wallet_path 
    FROM ALL_DIRECTORIES
   WHERE UPPER(DIRECTORY_NAME)='WALLET_DIR';
  v_webpage_sql := 'SELECT UTL_HTTP.REQUEST(''secret.encrypted-website.com'', '''', ''file:/' ||l_wallet_path||''') FROM DUAL';
  DBMS_OUTPUT.PUT_LINE(v_webpage_sql);
  EXECUTE IMMEDIATE v_webpage_sql INTO v_results;
  DBMS_OUTPUT.PUT_LINE(v_results);
END;
/

(Facoltativo) Individua la posizione del file system della directory del portafoglio Oracle.

SELECT * FROM TABLE(rdsadmin.rds_file_util.listdir(p_directory => 'WALLET_DIR'));

Utilizza l'output del comando precedente per effettuare una richiesta HTTP. Ad esempio, se la directory èrdsdbdata/userdirs/01, esegui la seguente query.

SELECT UTL_HTTP.REQUEST('https://secret.encrypted-website.com/', '', 'file://rdsdbdata/userdirs/01') 
FROM   DUAL;