Konfigurieren des UTL_HTTP-Zugriffs mit Zertifikaten und einer Oracle Wallet

Hinterlegen Sie die Root- und Clientzertifikate in einem einzelnen Verzeichnis und wechseln Sie dann in dieses Verzeichnis.

Konvertieren Sie das .p12-Clientzertifikat in den Java-Keystore.

Im folgenden Beispiel wird das Clientzertifikat mit dem Namen client_certificate.p12 zum Java-Keystore mit dem Namen client_keystore.jks konvertiert. Der Keystore wird dann in die Oracle Wallet integriert. Das Keystore-Passwort lautet P12PASSWORT.

orapki wallet pkcs12_to_jks -wallet ./client_certificate.p12 -jksKeyStoreLoc ./client_keystore.jks -jksKeyStorepwd P12PASSWORD

Erstellen Sie ein Verzeichnis für Ihre Oracle Wallet, das sich vom Zertifikatsverzeichnis unterscheidet.

Im folgenden Beispiel wird das Verzeichnis /tmp/wallet erstellt.

mkdir -p /tmp/wallet

Erstellen Sie eine Oracle Wallet in Ihrem Wallet-Verzeichnis.

Im folgenden Beispiel wird das Oracle-Wallet-Passwort auf P12PASSWORT festgelegt. Das ist das gleiche Passwort, das der Java-Keystore in einem vorherigen Schritt verwendet hat. Die Verwendung desselben Passworts ist praktisch, aber nicht notwendig. Der Parameter -auto_login aktiviert die automatische Anmeldefunktion, sodass Sie nicht jedes Mal ein Passwort angeben müssen, wenn Sie darauf zugreifen möchten.

orapki wallet create -wallet /tmp/wallet -pwd P12PASSWORD -auto_login

Fügen Sie den Java-Keystore zu Ihrer Oracle Wallet hinzu.

Im folgenden Beispiel wird der Keystore client_keystore.jks zur Oracle Wallet namens /tmp/wallet hinzugefügt. In diesem Beispiel geben Sie das gleiche Passwort für den Java-Keystore und die Oracle Wallet an.

orapki wallet jks_to_pkcs12 -wallet /tmp/wallet -pwd P12PASSWORD -keystore ./client_keystore.jks -jkspwd P12PASSWORD

Fügen Sie das Stammzertifikat für Ihre Ziel-Website der Oracle Wallet hinzu.

Im folgenden Beispiel wird ein Zertifikat mit dem Namen Root_CA.cer hinzugefügt.

orapki wallet add -wallet /tmp/wallet -trusted_cert -cert ./Root_CA.cer -pwd P12PASSWORD

Hinzufügen von Zwischenzertifikaten

Im folgenden Beispiel wird ein Zertifikat mit dem Namen Intermediate.cer hinzugefügt. Wiederholen Sie diesen Schritt so oft wie nötig, bis Sie alle Zwischenzertifikate geladen haben.

orapki wallet add -wallet /tmp/wallet -trusted_cert -cert ./Intermediate.cer -pwd P12PASSWORD

Bestätigen Sie, dass Ihre neu erstellte Oracle Wallet über die erforderlichen Zertifikate verfügt.

orapki wallet display -wallet /tmp/wallet -pwd P12PASSWORD

Erfüllen Sie die Voraussetzungen für die Amazon S3-Integration in Oracle und fügen Sie die Option S3_INTEGRATION zu Ihrer Oracle-DB-Instance hinzu. Stellen Sie sicher, dass die IAM-Rolle für die Option Zugriff auf den Amazon S3-Bucket hat, den Sie verwenden.

Weitere Informationen finden Sie unter Amazon S3-Integration.

Melden Sie sich als Hauptbenutzer bei Ihrer DB-Instance an und erstellen Sie dann ein Oracle-Verzeichnis für die Oracle Wallet.

Im folgenden Beispiel wird ein Oracle-Verzeichnis mit dem Namen WALLET_DIR erstellt.

EXEC rdsadmin.rdsadmin_util.create_directory('WALLET_DIR');

Weitere Informationen finden Sie unter Erstellen und Löschen von Verzeichnissen im Hauptdatenspeicherbereich.

Laden Sie die Oracle Wallet zu Ihrem Amazon S3 Bucket hoch.

Sie können jede unterstützte Upload-Technik verwenden.

Wenn Sie eine Oracle Wallet erneut hochladen, löschen Sie die vorhandene Wallet. Andernfalls überspringen Sie diesen Schritt und gehen Sie direkt zum nächsten.

Im folgenden Beispiel wird die vorhandene Wallet mit dem Namen cwallet.sso entfernt.

EXEC UTL_FILE.FREMOVE ('WALLET_DIR','cwallet.sso');

Laden Sie die Oracle Wallet aus Ihrem Amazon S3 Bucket zur Oracle-DB-Instance herunter.

Im folgenden Beispiel wird die Wallet mit dem Namen cwallet.sso aus dem Amazon S3 Bucket mit dem Namen my_s3_bucket in das DB-Instance-Verzeichnis mit dem Namen WALLET_DIR heruntergeladen.

SELECT rdsadmin.rdsadmin_s3_tasks.download_from_s3(
      p_bucket_name    =>  'my_s3_bucket', 
      p_s3_prefix      =>  'cwallet.sso', 
      p_directory_name =>  'WALLET_DIR') 
   AS TASK_ID FROM DUAL;

(Optional) Laden Sie eine kennwortgeschützte Oracle Wallet herunter.

Laden Sie diese Wallet nur herunter, wenn Sie für jede Verwendung der Wallet eine Passworteingabe fordern. Im folgenden Beispiel wird die passwortgeschützte Wallet ewallet.p12 heruntergeladen.

SELECT rdsadmin.rdsadmin_s3_tasks.download_from_s3(
      p_bucket_name    =>  'my_s3_bucket', 
      p_s3_prefix      =>  'ewallet.p12', 
      p_directory_name =>  'WALLET_DIR') 
   AS TASK_ID FROM DUAL;

Überprüfen Sie den Status Ihrer DB-Anfrage.

Ersetzen Sie die von den vorangegangenen Schritten zurückgegebene Aufgaben-ID für dbtask-1234567890123-4567.log im folgenden Beispiel.

SELECT TEXT FROM TABLE(rdsadmin.rds_file_util.read_text_file('BDUMP','dbtask-1234567890123-4567.log'));

Überprüfen Sie den Inhalt des Verzeichnisses, das Sie zum Speichern der Oracle Wallet verwenden.

SELECT * FROM TABLE(rdsadmin.rds_file_util.listdir(p_directory => 'WALLET_DIR'));

Weitere Informationen finden Sie unter Auflisten von Dateien in einem DB-Instance-Verzeichnis.

Melden Sie sich als Hauptnutzer bei Ihrer RDS-for-Oracle-DB-Instance an.

Wenn Sie keinen bestehenden Datenbankbenutzer konfigurieren möchten, erstellen Sie einen neuen Benutzer. Andernfalls überspringen Sie diesen Schritt und gehen Sie direkt zum nächsten.

Im folgenden Beispiel wird ein Datenbankbenutzer mit dem Namen my-user erstellt.

CREATE USER my-user IDENTIFIED BY my-user-pwd;
GRANT CONNECT TO my-user;

Erteilen Sie Ihrem Datenbankbenutzer die Berechtigung für das Verzeichnis, das Ihre Oracle Wallet enthält.

Im folgenden Beispiel wird dem Benutzer my-user Lesezugriff für das Verzeichnis WALLET_DIR gewährt.

GRANT READ ON DIRECTORY WALLET_DIR TO my-user;

Erteilen Sie Ihrem Datenbankbenutzer die Berechtigung zur Nutzung des Pakets UTL_HTTP.

Das folgende PL/SQL-Programm gewährt dem Benutzer my-user UTL_HTTP-Zugriff.

BEGIN 
  rdsadmin.rdsadmin_util.grant_sys_object('UTL_HTTP', UPPER('my-user')); 
  END;
/

Erteilen Sie Ihrem Datenbankbenutzer die Berechtigung zur Nutzung des Pakets UTL_FILE.

Das folgende PL/SQL-Programm gewährt dem Benutzer my-user UTL_FILE-Zugriff.

BEGIN 
  rdsadmin.rdsadmin_util.grant_sys_object('UTL_FILE', UPPER('my-user')); 
  END;
/

Melden Sie sich als Hauptnutzer bei Ihrer RDS-for-Oracle-DB-Instance an.

Erstellen Sie einen Host Access Control Entry (ACE) für Ihren Benutzer und die Zielwebsite auf einem sicheren Port.

Im folgenden Beispiel wird my-user so konfiguriert, dass er Zugriff auf secret.encrypted-website.com auf dem sicheren Port 443 erhält.

BEGIN
  DBMS_NETWORK_ACL_ADMIN.APPEND_HOST_ACE(
    host       => 'secret.encrypted-website.com', 
    lower_port => 443,
    upper_port => 443,
    ace        => xs$ace_type(privilege_list => xs$name_list('http'),
                              principal_name => 'my-user',
                              principal_type => xs_acl.ptype_db)); 
                           -- If the program unit results in PLS-00201, set
                           -- the principal_type parameter to 2 as follows:
                           -- principal_type => 2));
END;
/

principal_type => 2));

Weitere Informationen finden Sie unter Configuring Access Control for External Network Services in der Dokumentation zur Oracle Database.

(Optional) Erstellen Sie einen ACE für Ihren Benutzer und Ihre Zielwebsite am Standardport.

Möglicherweise müssen Sie den Standardport verwenden, wenn einige Webseiten vom Standard-Webserver-Port (80) anstelle des sicheren Ports (443) bereitgestellt werden.

BEGIN
  DBMS_NETWORK_ACL_ADMIN.APPEND_HOST_ACE(
    host       => 'secret.encrypted-website.com', 
    lower_port => 80,
    upper_port => 80,
    ace        => xs$ace_type(privilege_list => xs$name_list('http'),
                              principal_name => 'my-user',
                              principal_type => xs_acl.ptype_db)); 
                           -- If the program unit results in PLS-00201, set
                           -- the principal_type parameter to 2 as follows:
                           -- principal_type => 2));
END;
/

Bestätigen Sie, dass die Zugriffssteuerungseinträge existieren.

SET LINESIZE 150
COLUMN HOST FORMAT A40
COLUMN ACL FORMAT A50

SELECT HOST, LOWER_PORT, UPPER_PORT, ACL
  FROM DBA_NETWORK_ACLS
ORDER BY HOST;

Erteilen Sie Ihrem Datenbankbenutzer die Berechtigung zur Nutzung des Pakets UTL_HTTP.

Das folgende PL/SQL-Programm gewährt dem Benutzer my-user UTL_HTTP-Zugriff.

BEGIN 
  rdsadmin.rdsadmin_util.grant_sys_object('UTL_HTTP', UPPER('my-user')); 
  END;
/

Bestätigen Sie, dass verwandte Zugriffssteuerungslisten existieren.

SET LINESIZE 150
COLUMN ACL FORMAT A50
COLUMN PRINCIPAL FORMAT A20
COLUMN PRIVILEGE FORMAT A10

SELECT ACL, PRINCIPAL, PRIVILEGE, IS_GRANT,
       TO_CHAR(START_DATE, 'DD-MON-YYYY') AS START_DATE,
       TO_CHAR(END_DATE, 'DD-MON-YYYY') AS END_DATE
  FROM DBA_NETWORK_ACL_PRIVILEGES
ORDER BY ACL, PRINCIPAL, PRIVILEGE;

Erteilen Sie Ihrem Datenbankbenutzer die Berechtigung, Zertifikate für die Clientauthentifizierung und Ihr Oracle Wallet für Verbindungen zu verwenden.

DECLARE
  l_wallet_path all_directories.directory_path%type;
BEGIN
  SELECT DIRECTORY_PATH 
    INTO l_wallet_path 
    FROM ALL_DIRECTORIES
   WHERE UPPER(DIRECTORY_NAME)='WALLET_DIR';
  DBMS_NETWORK_ACL_ADMIN.APPEND_WALLET_ACE(
    wallet_path => 'file:/' || l_wallet_path,
    ace         =>  xs$ace_type(privilege_list => xs$name_list('use_client_certificates'),
                                principal_name => 'my-user',
                                principal_type => xs_acl.ptype_db));
END;
/

Melden Sie sich bei Ihrer RDS-for-Oracle-DB-Instance als Datenbankbenutzer mit UTL_HTTP-Berechtigungen an.

Bestätigen Sie, dass eine Verbindung zu Ihrer Zielwebsite die Hostadresse auflösen kann.

Im folgenden Beispiel wird die Host-Adresse von secret.encrypted-website.com abgerufen.

SELECT UTL_INADDR.GET_HOST_ADDRESS(host => 'secret.encrypted-website.com')
  FROM DUAL;

Testen Sie eine fehlgeschlagene Verbindung.

Die folgende Abfrage schlägt fehl, da UTL_HTTP den Speicherort der Oracle Wallet mit den Zertifikaten benötigt.

SELECT UTL_HTTP.REQUEST('secret.encrypted-website.com') FROM DUAL;

Testen Sie den Website-Zugriff durch die Verwendung von UTL_HTTP.SET_WALLET wählen Sie DUAL aus.

DECLARE
  l_wallet_path all_directories.directory_path%type;
BEGIN
  SELECT DIRECTORY_PATH
    INTO l_wallet_path 
    FROM ALL_DIRECTORIES
   WHERE UPPER(DIRECTORY_NAME)='WALLET_DIR';
  UTL_HTTP.SET_WALLET('file:/' || l_wallet_path);
END;
/

SELECT UTL_HTTP.REQUEST('secret.encrypted-website.com') FROM DUAL;

(Optional) Testen Sie den Website-Zugriff, indem Sie Ihre Abfrage in einer Variable speichern und EXECUTE IMMEDIATE verwenden.

DECLARE
  l_wallet_path all_directories.directory_path%type;
  v_webpage_sql VARCHAR2(1000);
  v_results     VARCHAR2(32767);
BEGIN
  SELECT DIRECTORY_PATH
    INTO l_wallet_path 
    FROM ALL_DIRECTORIES
   WHERE UPPER(DIRECTORY_NAME)='WALLET_DIR';
  v_webpage_sql := 'SELECT UTL_HTTP.REQUEST(''secret.encrypted-website.com'', '''', ''file:/' ||l_wallet_path||''') FROM DUAL';
  DBMS_OUTPUT.PUT_LINE(v_webpage_sql);
  EXECUTE IMMEDIATE v_webpage_sql INTO v_results;
  DBMS_OUTPUT.PUT_LINE(v_results);
END;
/

(Optional) Suchen Sie den Dateisystemspeicherort Ihres Oracle-Wallet-Verzeichnisses.

SELECT * FROM TABLE(rdsadmin.rds_file_util.listdir(p_directory => 'WALLET_DIR'));

Verwenden Sie die Ausgabe des vorherigen Befehls, um eine HTTP-Anfrage zu stellen. Lautet das Verzeichnis rdsdbdata/userdirs/01, führen Sie beispielsweise die folgende Abfrage aus.

SELECT UTL_HTTP.REQUEST('https://secret.encrypted-website.com/', '', 'file://rdsdbdata/userdirs/01') 
FROM   DUAL;