Configuration de l'accès UTL_HTTP à l'aide de certificats et d'un portefeuille Oracle

Placez les certificats racine et client dans un seul répertoire, puis passez dans ce répertoire.

Convertissez le certificat client .p12 en keystore Java.

L'exemple suivant convertit le certificat client nommé client_certificate.p12 vers le keystore Java nommé client_keystore.jks. Le keystore est alors inclus dans le portefeuille Oracle. Le mot de passe du keystore est P12PASSWORD.

orapki wallet pkcs12_to_jks -wallet ./client_certificate.p12 -jksKeyStoreLoc ./client_keystore.jks -jksKeyStorepwd P12PASSWORD

Créez un répertoire pour votre portefeuille Oracle qui est différent du répertoire de certificat.

L'exemple suivant crée le répertoire /tmp/wallet.

mkdir -p /tmp/wallet

Créez un portefeuille Oracle dans votre répertoire de portefeuille.

L'exemple suivant définit le mot de passe du portefeuille Oracle sur P12PASSWORD, qui est le même mot de passe utilisé par le keystore Java lors d'une étape précédente. L'utilisation du même mot de passe est pratique, mais pas nécessaire. Le paramètre -auto_login active la fonction de connexion automatique, de sorte que vous n'avez pas besoin de spécifier un mot de passe chaque fois que vous souhaitez y accéder.

orapki wallet create -wallet /tmp/wallet -pwd P12PASSWORD -auto_login

Ajoutez le keystore Java à votre portefeuille Oracle.

L'exemple suivant ajoute le keystore client_keystore.jks au portefeuille Oracle nommé /tmp/wallet. Dans cet exemple, vous spécifiez le même mot de passe pour le keystore Java et pour le portefeuille Oracle.

orapki wallet jks_to_pkcs12 -wallet /tmp/wallet -pwd P12PASSWORD -keystore ./client_keystore.jks -jkspwd P12PASSWORD

Ajoutez le certificat racine de votre site web cible au portefeuille Oracle.

L'exemple suivant ajoute un certificat nommé Root_CA.cer.

orapki wallet add -wallet /tmp/wallet -trusted_cert -cert ./Root_CA.cer -pwd P12PASSWORD

Ajoutez les certificats intermédiaires.

L'exemple suivant ajoute un certificat nommé Intermediate.cer. Répétez cette étape autant de fois que nécessaire pour charger tous les certificats intermédiaires.

orapki wallet add -wallet /tmp/wallet -trusted_cert -cert ./Intermediate.cer -pwd P12PASSWORD

Vérifiez que votre nouveau portefeuille Oracle possède les certificats requis.

orapki wallet display -wallet /tmp/wallet -pwd P12PASSWORD

Respectez les conditions préalables de l'intégration de Amazon S3 à Oracle et ajoutez l'option S3_INTEGRATION à votre instance de base de données Oracle. Assurez-vous que le rôle IAM pour l'option a accès au compartiment Amazon S3 que vous utilisez.

Pour plus d'informations, consultez Intégration Amazon S3.

Connectez-vous à votre instance de base de données en tant qu'utilisateur principal, puis créez un répertoire Oracle qui contiendra le portefeuille Oracle.

L'exemple suivant crée un répertoire Oracle nommé WALLET_DIR.

EXEC rdsadmin.rdsadmin_util.create_directory('WALLET_DIR');

Pour plus d'informations, consultez Création et suppression de répertoires dans l'espace de stockage de données principal.

Chargez le portefeuille Oracle dans votre compartiment Amazon S3.

Vous pouvez utiliser n'importe quelle technique de téléchargement prise en charge.

Si vous téléchargez à nouveau un portefeuille Oracle, supprimez le portefeuille existant. Sinon, passez à l'étape suivante.

L'exemple suivant supprime le portefeuille existant, nommé cwallet.sso.

EXEC UTL_FILE.FREMOVE ('WALLET_DIR','cwallet.sso');

Téléchargez le portefeuille depuis votre compartiment Amazon S3 vers l'instance de base de données Oracle.

L'exemple suivant télécharge le portefeuille nommé cwallet.sso à partir du compartiment Amazon S3 nommé my_s3_bucket vers le répertoire d'instance de base de données nommé WALLET_DIR.

SELECT rdsadmin.rdsadmin_s3_tasks.download_from_s3(
      p_bucket_name    =>  'my_s3_bucket', 
      p_s3_prefix      =>  'cwallet.sso', 
      p_directory_name =>  'WALLET_DIR') 
   AS TASK_ID FROM DUAL;

(Facultatif) Téléchargez un portefeuille Oracle protégé par un mot de passe.

Téléchargez ce portefeuille uniquement si vous souhaitez demander un mot de passe pour chaque utilisation du portefeuille. L'exemple suivant télécharge le portefeuille protégé par un mot de passe nommé ewallet.p12.

SELECT rdsadmin.rdsadmin_s3_tasks.download_from_s3(
      p_bucket_name    =>  'my_s3_bucket', 
      p_s3_prefix      =>  'ewallet.p12', 
      p_directory_name =>  'WALLET_DIR') 
   AS TASK_ID FROM DUAL;

Vérifiez l'état de votre tâche de base de données.

Remplacez l'ID de tâche renvoyé par les étapes précédentes pour dbtask-1234567890123-4567.log dans l'exemple suivant.

SELECT TEXT FROM TABLE(rdsadmin.rds_file_util.read_text_file('BDUMP','dbtask-1234567890123-4567.log'));

Vérifiez le contenu du répertoire que vous utilisez pour stocker le portefeuille Oracle.

SELECT * FROM TABLE(rdsadmin.rds_file_util.listdir(p_directory => 'WALLET_DIR'));

Pour plus d'informations, consultez Établissement de la liste des fichiers situés dans un répertoire d'instance de base de données.

Connectez-vous à votre instance de base de données RDS for Oracle en tant qu'utilisateur principal.

Si vous ne souhaitez pas configurer un utilisateur de base de données existant, créez un nouvel utilisateur. Sinon, passez à l'étape suivante.

L'exemple suivant crée un utilisateur de base de données nommé my-user.

CREATE USER my-user IDENTIFIED BY my-user-pwd;
GRANT CONNECT TO my-user;

Accordez l'autorisation à l'utilisateur de votre base de données pour le répertoire contenant votre portefeuille Oracle.

L'exemple suivant accorde l'accès en lecture à l'utilisateur my-user au répertoire WALLET-DIR.

GRANT READ ON DIRECTORY WALLET_DIR TO my-user;

Accordez l'autorisation à votre utilisateur de base de données d'utiliser le package UTL_HTTP.

Le programme PL/SQL suivant accorde l'accès UTL_HTTP à l'utilisateurmy-user.

BEGIN 
  rdsadmin.rdsadmin_util.grant_sys_object('UTL_HTTP', UPPER('my-user')); 
  END;
/

Accordez l'autorisation à votre utilisateur de base de données d'utiliser le package UTL_FILE.

Le programme PL/SQL suivant accorde l'accès UTL_FILE à l'utilisateurmy-user.

BEGIN 
  rdsadmin.rdsadmin_util.grant_sys_object('UTL_FILE', UPPER('my-user')); 
  END;
/

Connectez-vous à votre instance de base de données RDS for Oracle en tant qu'utilisateur principal.

Créez une entrée Host Access Control Entry (ACE) pour votre utilisateur et le site web cible sur un port sécurisé.

L'exemple suivant configure my-user pour qu'il accède à secret.encrypted-website.com sur le port sécurisé 443.

BEGIN
  DBMS_NETWORK_ACL_ADMIN.APPEND_HOST_ACE(
    host       => 'secret.encrypted-website.com', 
    lower_port => 443,
    upper_port => 443,
    ace        => xs$ace_type(privilege_list => xs$name_list('http'),
                              principal_name => 'my-user',
                              principal_type => xs_acl.ptype_db)); 
                           -- If the program unit results in PLS-00201, set
                           -- the principal_type parameter to 2 as follows:
                           -- principal_type => 2));
END;
/

principal_type => 2));

Pour de plus amples informations, veuillez consulter Configuring Access Control for External Network Services dans la documentation de la base de données Oracle.

(Facultatif) Créez une ACE pour votre utilisateur et votre site web cible sur le port standard.

Vous devrez peut-être utiliser le port standard si certaines pages web sont diffusées à partir du port du serveur web standard (80) au lieu du port sécurisé (443).

BEGIN
  DBMS_NETWORK_ACL_ADMIN.APPEND_HOST_ACE(
    host       => 'secret.encrypted-website.com', 
    lower_port => 80,
    upper_port => 80,
    ace        => xs$ace_type(privilege_list => xs$name_list('http'),
                              principal_name => 'my-user',
                              principal_type => xs_acl.ptype_db)); 
                           -- If the program unit results in PLS-00201, set
                           -- the principal_type parameter to 2 as follows:
                           -- principal_type => 2));
END;
/

Vérifiez que les entrées de contrôle d'accès existent.

SET LINESIZE 150
COLUMN HOST FORMAT A40
COLUMN ACL FORMAT A50

SELECT HOST, LOWER_PORT, UPPER_PORT, ACL
  FROM DBA_NETWORK_ACLS
ORDER BY HOST;

Accordez l'autorisation à votre utilisateur de base de données d'utiliser le package UTL_HTTP.

Le programme PL/SQL suivant accorde l'accès UTL_HTTP à l'utilisateurmy-user.

BEGIN 
  rdsadmin.rdsadmin_util.grant_sys_object('UTL_HTTP', UPPER('my-user')); 
  END;
/

Vérifiez que les listes de contrôle d'accès associées existent.

SET LINESIZE 150
COLUMN ACL FORMAT A50
COLUMN PRINCIPAL FORMAT A20
COLUMN PRIVILEGE FORMAT A10

SELECT ACL, PRINCIPAL, PRIVILEGE, IS_GRANT,
       TO_CHAR(START_DATE, 'DD-MON-YYYY') AS START_DATE,
       TO_CHAR(END_DATE, 'DD-MON-YYYY') AS END_DATE
  FROM DBA_NETWORK_ACL_PRIVILEGES
ORDER BY ACL, PRINCIPAL, PRIVILEGE;

Accordez l'autorisation à votre utilisateur de base de données d'utiliser des certificats pour l'authentification client et votre portefeuille Oracle pour les connexions.

DECLARE
  l_wallet_path all_directories.directory_path%type;
BEGIN
  SELECT DIRECTORY_PATH 
    INTO l_wallet_path 
    FROM ALL_DIRECTORIES
   WHERE UPPER(DIRECTORY_NAME)='WALLET_DIR';
  DBMS_NETWORK_ACL_ADMIN.APPEND_WALLET_ACE(
    wallet_path => 'file:/' || l_wallet_path,
    ace         =>  xs$ace_type(privilege_list => xs$name_list('use_client_certificates'),
                                principal_name => 'my-user',
                                principal_type => xs_acl.ptype_db));
END;
/

Connectez-vous à votre instance de base de données RDS for Oracle en tant qu'utilisateur de base de données avec les autorisation UTL_HTTP.

Vérifiez qu'une connexion à votre site web cible peut résoudre l'adresse de l'hôte.

L'exemple suivant montre l'adresse de l'hôte depuis secret.encrypted-website.com.

SELECT UTL_INADDR.GET_HOST_ADDRESS(host => 'secret.encrypted-website.com')
  FROM DUAL;

Testez une connexion échouée.

La requête suivante échoue car UTL_HTTP nécessite l'emplacement du portefeuille Oracle avec les certificats.

SELECT UTL_HTTP.REQUEST('secret.encrypted-website.com') FROM DUAL;

Testez l'accès au site web en utilisant UTL_HTTP.SET_WALLET et en sélectionnant depuis DUAL.

DECLARE
  l_wallet_path all_directories.directory_path%type;
BEGIN
  SELECT DIRECTORY_PATH
    INTO l_wallet_path 
    FROM ALL_DIRECTORIES
   WHERE UPPER(DIRECTORY_NAME)='WALLET_DIR';
  UTL_HTTP.SET_WALLET('file:/' || l_wallet_path);
END;
/

SELECT UTL_HTTP.REQUEST('secret.encrypted-website.com') FROM DUAL;

(Facultatif) Testez l'accès au site web en stockant votre requête dans une variable et en utilisant EXECUTE IMMEDIATE.

DECLARE
  l_wallet_path all_directories.directory_path%type;
  v_webpage_sql VARCHAR2(1000);
  v_results     VARCHAR2(32767);
BEGIN
  SELECT DIRECTORY_PATH
    INTO l_wallet_path 
    FROM ALL_DIRECTORIES
   WHERE UPPER(DIRECTORY_NAME)='WALLET_DIR';
  v_webpage_sql := 'SELECT UTL_HTTP.REQUEST(''secret.encrypted-website.com'', '''', ''file:/' ||l_wallet_path||''') FROM DUAL';
  DBMS_OUTPUT.PUT_LINE(v_webpage_sql);
  EXECUTE IMMEDIATE v_webpage_sql INTO v_results;
  DBMS_OUTPUT.PUT_LINE(v_results);
END;
/

(Facultatif) Recherchez l'emplacement du système de fichiers de votre répertoire de portefeuille Oracle.

SELECT * FROM TABLE(rdsadmin.rds_file_util.listdir(p_directory => 'WALLET_DIR'));

Utilisez la sortie de la commande précédente pour effectuer une requête HTTP. Par exemple, si le répertoire est rdsdbdata/userdirs/01, exécutez la requête suivante.

SELECT UTL_HTTP.REQUEST('https://secret.encrypted-website.com/', '', 'file://rdsdbdata/userdirs/01') 
FROM   DUAL;