証明書と Oracle ウォレットを使用した、UTL_HTTP アクセスの設定

ルート証明書とクライアント証明書を 1 つのディレクトリに配置してから、このディレクトリに移動します。

.p12 クライアント証明書を、Java キーストアに変換します。

次の例では、client_certificate.p12 という名前のクライアント証明書を、client_keystore.jks という名前の Java キーストアに変換します。その後、キーストアは Oracle ウォレットに入ります。キーストアのパスワードは P12PASSWORD です。

orapki wallet pkcs12_to_jks -wallet ./client_certificate.p12 -jksKeyStoreLoc ./client_keystore.jks -jksKeyStorepwd P12PASSWORD

証明書のディレクトリとは別に、Oracle ウォレット用のディレクトリを作成します。

例えば、次の例では /tmp/wallet ディレクトリを作成します。

mkdir -p /tmp/wallet

ウォレットディレクトリに、Oracle ウォレットを作成します。

次の例では、Oracle ウォレット パスワードを P12PASSWORD に設定します。これは、前のステップで Java キーストアで使用したのと同じパスワードです。同じパスワードを使用すると便利ですが、必須ではありません。-auto_login パラメータが自動ログイン機能をオンにするため、アクセスするたびにパスワードを指定する必要はありません。

orapki wallet create -wallet /tmp/wallet -pwd P12PASSWORD -auto_login

Java キーストアを、Oracle ウォレットに追加します。

次の例では、/tmp/wallet という Oracle ウォレットに、client_keystore.jks キーストアを追加します。この例では、Java キーストアと Oracle ウォレットに、同じパスワードを指定します。

orapki wallet jks_to_pkcs12 -wallet /tmp/wallet -pwd P12PASSWORD -keystore ./client_keystore.jks -jkspwd P12PASSWORD

Oracle ウォレットに、対象のウェブサイトのルート証明書を追加します。

次の例では、Root_CA.cer という名前の証明書を追加します。

orapki wallet add -wallet /tmp/wallet -trusted_cert -cert ./Root_CA.cer -pwd P12PASSWORD

中間証明書を追加します。

次の例では、Intermediate.cer という名前の証明書を追加します。中間証明書をすべてロードするまで、この手順を必要な回数繰り返します。

orapki wallet add -wallet /tmp/wallet -trusted_cert -cert ./Intermediate.cer -pwd P12PASSWORD

新しく作成した Oracle ウォレットに、必要な証明書があることを確認します。

orapki wallet display -wallet /tmp/wallet -pwd P12PASSWORD

Oracle との Amazon S3 統合の前提条件を満たしたら、S3_INTEGRATION オプションを Oracle DB インスタンスに追加します。使用している Amazon S3 バケットへのアクセス権が、オプションの IAM ルールにあることを確認します。

詳細については、「「Amazon S3 統合」」を参照してください。

マスターユーザーとして DB インスタンスにログインし、Oracle ウォレットを保持しておく Oracle ディレクトリを作成します。

次の例では、WALLET_DIR という名前で Oracle のディレクトリを作成しています。

EXEC rdsadmin.rdsadmin_util.create_directory('WALLET_DIR');

詳細については、「主要データストレージ領域でのディレクトリの作成と削除」を参照してください。

作成した Oracle ウォレットを Amazon S3 バケットにアップロードします。

サポートされているアップロード方法は、いずれも使用できます。

Oracle ウォレットを再度アップロードする場合は、既存のウォレットを削除します。それ以外の場合は、次のステップに進みます。

次の例では、cwallet.sso という名前の、既存のウォレットを削除します。

EXEC UTL_FILE.FREMOVE ('WALLET_DIR','cwallet.sso');

Amazon S3 バケットから Oracle DB インスタンスに Oracle ウォレットをダウンロードします。

次の例では、cwallet.sso という名前のウォレットを、my_s3_bucket という名前の Amazon S3 バケットから、WALLET_DIR という名前の DB インスタンスディレクトリにダウンロードしています。

SELECT rdsadmin.rdsadmin_s3_tasks.download_from_s3(
      p_bucket_name    =>  'my_s3_bucket', 
      p_s3_prefix      =>  'cwallet.sso', 
      p_directory_name =>  'WALLET_DIR') 
   AS TASK_ID FROM DUAL;

(オプション) パスワードで保護された Oracle ウォレットをダウンロードします。

このウォレットは、ウォレットを使用するたびにパスワードを要求する場合にのみ、ダウンロードしてください。次の例では、パスワードで保護された ewallet.p12 ウォレットをダウンロードしています。

SELECT rdsadmin.rdsadmin_s3_tasks.download_from_s3(
      p_bucket_name    =>  'my_s3_bucket', 
      p_s3_prefix      =>  'ewallet.p12', 
      p_directory_name =>  'WALLET_DIR') 
   AS TASK_ID FROM DUAL;

DB タスクのステータスを確認します。

次の例では、前のステップで返されたタスク ID を、dbtask-1234567890123-4567.log に代入します。

SELECT TEXT FROM TABLE(rdsadmin.rds_file_util.read_text_file('BDUMP','dbtask-1234567890123-4567.log'));

Oracle ウォレットの保存に使用している、ディレクトリの内容を確認します。

SELECT * FROM TABLE(rdsadmin.rds_file_util.listdir(p_directory => 'WALLET_DIR'));

詳細については、「DB インスタンスディレクトリ内のファイルのリスト化」を参照してください。

RDS for Oracle DB インスタンスに、マスターユーザーとしてログインします。

既存のデータベースユーザーを設定しない場合は、新しいユーザーを作成します。それ以外の場合は、次のステップに進みます。

次の例では、my-user という名前のデータベースユーザーを作成します。

CREATE USER my-user IDENTIFIED BY my-user-pwd;
GRANT CONNECT TO my-user;

データベースユーザーに、Oracle ウォレットのあるディレクトリに対するアクセス許可を付与します。

次の例では、my-user ユーザーに対して、WALLET_DIR ディレクトリへの読み取りアクセス権限を付与します。

GRANT READ ON DIRECTORY WALLET_DIR TO my-user;

データベースユーザーに対して、UTL_HTTP パッケージを使用するアクセス許可を付与します。

次の PL/SQL プログラムは、my-user ユーザーに対して、UTL_HTTP へのアクセス許可を付与します。

BEGIN 
  rdsadmin.rdsadmin_util.grant_sys_object('UTL_HTTP', UPPER('my-user')); 
  END;
/

データベースユーザーに対して、UTL_FILE パッケージを使用するアクセス許可を付与します。

次の PL/SQL プログラムは、my-user ユーザーに対して、UTL_FILE へのアクセス許可を付与します。

BEGIN 
  rdsadmin.rdsadmin_util.grant_sys_object('UTL_FILE', UPPER('my-user')); 
  END;
/

RDS for Oracle DB インスタンスに、マスターユーザーとしてログインします。

セキュアなポートで、ユーザーと対象のウェブサイトの Host Access Control Entry (ACE) を作成します。

次の例では、my-user ユーザーが、セキュアなポート 443 経由で secret.encrypted-website.com にアクセスできるように設定します。

BEGIN
  DBMS_NETWORK_ACL_ADMIN.APPEND_HOST_ACE(
    host       => 'secret.encrypted-website.com', 
    lower_port => 443,
    upper_port => 443,
    ace        => xs$ace_type(privilege_list => xs$name_list('http'),
                              principal_name => 'my-user',
                              principal_type => xs_acl.ptype_db)); 
                           -- If the program unit results in PLS-00201, set
                           -- the principal_type parameter to 2 as follows:
                           -- principal_type => 2));
END;
/

principal_type => 2));

詳細については、Oracle Database のドキュメントの「Configure Access Control Lists (ACLs) to External Network Services」(外部ネットワークサービスへのアクセス制御リスト (ACL) の構成) を参照してください。

(オプション) 標準のポートで、ユーザーと対象のウェブサイトの ACE を作成します。

一部のウェブページが、セキュアポート (443) ではなく標準のウェブサーバーのポート (80) から提供される場合は、標準のポートを使用する必要がある場合があります。

BEGIN
  DBMS_NETWORK_ACL_ADMIN.APPEND_HOST_ACE(
    host       => 'secret.encrypted-website.com', 
    lower_port => 80,
    upper_port => 80,
    ace        => xs$ace_type(privilege_list => xs$name_list('http'),
                              principal_name => 'my-user',
                              principal_type => xs_acl.ptype_db)); 
                           -- If the program unit results in PLS-00201, set
                           -- the principal_type parameter to 2 as follows:
                           -- principal_type => 2));
END;
/

アクセスコントロールエントリが存在することを確認します。

SET LINESIZE 150
COLUMN HOST FORMAT A40
COLUMN ACL FORMAT A50

SELECT HOST, LOWER_PORT, UPPER_PORT, ACL
  FROM DBA_NETWORK_ACLS
ORDER BY HOST;

データベースユーザーに対して、UTL_HTTP パッケージを使用するアクセス許可を付与します。

次の PL/SQL プログラムは、my-user ユーザーに対して、UTL_HTTP へのアクセス許可を付与します。

BEGIN 
  rdsadmin.rdsadmin_util.grant_sys_object('UTL_HTTP', UPPER('my-user')); 
  END;
/

関連するアクセスコントロールリストが存在することを確認します。

SET LINESIZE 150
COLUMN ACL FORMAT A50
COLUMN PRINCIPAL FORMAT A20
COLUMN PRIVILEGE FORMAT A10

SELECT ACL, PRINCIPAL, PRIVILEGE, IS_GRANT,
       TO_CHAR(START_DATE, 'DD-MON-YYYY') AS START_DATE,
       TO_CHAR(END_DATE, 'DD-MON-YYYY') AS END_DATE
  FROM DBA_NETWORK_ACL_PRIVILEGES
ORDER BY ACL, PRINCIPAL, PRIVILEGE;

クライアント認証で証明書を使用し、接続で Oracle ウォレットを使用するためのアクセス許可を、データベースユーザーに付与します。

DECLARE
  l_wallet_path all_directories.directory_path%type;
BEGIN
  SELECT DIRECTORY_PATH 
    INTO l_wallet_path 
    FROM ALL_DIRECTORIES
   WHERE UPPER(DIRECTORY_NAME)='WALLET_DIR';
  DBMS_NETWORK_ACL_ADMIN.APPEND_WALLET_ACE(
    wallet_path => 'file:/' || l_wallet_path,
    ace         =>  xs$ace_type(privilege_list => xs$name_list('use_client_certificates'),
                                principal_name => 'my-user',
                                principal_type => xs_acl.ptype_db));
END;
/

RDS for Oracle DB インスタンスに、UTL_HTTP へのアクセス許可を持つデータベースユーザーとしてログインします。

対象のウェブサイトへ接続する際に、ホストアドレスを解決できることを確認します。

次の例では、secret.encrypted-website.com からホストアドレスを取得します。

SELECT UTL_INADDR.GET_HOST_ADDRESS(host => 'secret.encrypted-website.com')
  FROM DUAL;

失敗した接続をテストします。

UTL_HTTP は、証明書とともに Oracle ウォレットの場所を要求するため、次のクエリは失敗します。

SELECT UTL_HTTP.REQUEST('secret.encrypted-website.com') FROM DUAL;

UTL_HTTP.SET_WALLET を使用し、DUAL から選択した場合の、ウェブサイトへのアクセスをテストします。

DECLARE
  l_wallet_path all_directories.directory_path%type;
BEGIN
  SELECT DIRECTORY_PATH
    INTO l_wallet_path 
    FROM ALL_DIRECTORIES
   WHERE UPPER(DIRECTORY_NAME)='WALLET_DIR';
  UTL_HTTP.SET_WALLET('file:/' || l_wallet_path);
END;
/

SELECT UTL_HTTP.REQUEST('secret.encrypted-website.com') FROM DUAL;

(オプション) クエリを変数に保存し、EXECUTE IMMEDIATE を使用した場合の、ウェブサイトへのアクセスをテストします。

DECLARE
  l_wallet_path all_directories.directory_path%type;
  v_webpage_sql VARCHAR2(1000);
  v_results     VARCHAR2(32767);
BEGIN
  SELECT DIRECTORY_PATH
    INTO l_wallet_path 
    FROM ALL_DIRECTORIES
   WHERE UPPER(DIRECTORY_NAME)='WALLET_DIR';
  v_webpage_sql := 'SELECT UTL_HTTP.REQUEST(''secret.encrypted-website.com'', '''', ''file:/' ||l_wallet_path||''') FROM DUAL';
  DBMS_OUTPUT.PUT_LINE(v_webpage_sql);
  EXECUTE IMMEDIATE v_webpage_sql INTO v_results;
  DBMS_OUTPUT.PUT_LINE(v_results);
END;
/

(オプション) ファイルシステム上で、Oracle ウォレットディレクトリの場所を検索します。

SELECT * FROM TABLE(rdsadmin.rds_file_util.listdir(p_directory => 'WALLET_DIR'));

前のコマンドからの出力を使用して、HTTP リクエストを作成します。例えば、ディレクトリが rdsdbdata/userdirs/01 である場合、次のクエリを実行します。

SELECT UTL_HTTP.REQUEST('https://secret.encrypted-website.com/', '', 'file://rdsdbdata/userdirs/01') 
FROM   DUAL;