Guide de l'administrateur système NetBackup IT Analytics

Modifications d'Oracle

1. Copiez /etc/krb5.conf depuis KDC vers le serveur Oracle à l'emplacement/etc/krb5.conf.
2. Copiez le fichier keytab depuis KDC vers Oracle sous /etc/v5srvtab

   Remarque :

   Le fichier keytab exporté peut être supprimé du KDC une fois copié sur le serveur Oracle.

   Remarque :

   Pour plus d'informations, consultez Se reporter à Exportation du service et du principal de l'utilisateur vers le fichier keytab sur KDC.

3. Fournissez les autorisations appropriées aux fichiers et aux répertoires de sorte que le service Oracle puisse lire ces fichiers ou répertoires mentionnés dans sqlnet.ora

   # chown <oracle user>:<oracle group> /etc/krb5.conf /etc/v5srvtab 
   # chmod 444 /etc/krb5.conf /etc/v5srvtab
   

   Exemple : # chown aptare:dba /etc/krb5.conf /etc/v5srvtab

4. Ajoutez les entrées suivantes au fichier /opt/aptare/oracle/network/admin/sqlnet.ora.

   • SQLNET.AUTHENTICATION_SERVICES=(BEQ,KERBEROS5)

   • SQLNET.AUTHENTICATION_KERBEROS5_SERVICE=scdb

   • SQLNET.KERBEROS5_CONF=/etc/krb5.conf

   • SQLNET.KERBEROS5_CONF_MIT=TRUE

   • SQLNET.KERBEROS5_REALMS=/etc/krb5.conf

   • SQLNET.KERBEROS5_KEYTAB=/etc/v5srvtab

   • SQLNET.FALLBACK_AUTHENTICATION=TRUE

   • SQLNET.KERBEROS5_CC_NAME=/tmp/kcache

   • SQLNET.KERBEROS5_CLOCKSKEW=300

   Remarque :

   Le serveur Oracle et KDC doivent avoir les mêmes paramètres d'heure et de fuseau horaire. S'il existe une légère discordance de temps, définissez l'entrée ci-dessous sur sqlnet.ora pour la corriger. Par exemple, choisissez « en 20 minutes ». La valeur par défaut est 300. SQLNET.KERBEROS5_CLOCKSKEW=1200. Veritas recommande de configurer les deux serveurs pour synchroniser l'heure à partir des serveurs de temps.

5. Créez un utilisateur dans Oracle à utiliser avec Kerberos. Nous avons créé le principal d'utilisateur k1portal dans KDC.

   # su - aptare (login as Oracle service user)
   # sqlplus / as sysdba 
   SQL> alter session set container=scdb; 
   CREATE USER <kerberos user name> PROFILE DEFAULT IDENTIFIED EXTERNALLY AS 
   '<Kerberos user name>@<domain realm name>' DEFAULT TABLESPACE 
   APTARE_TBS_DATA_1M TEMPORARY TABLESPACE APTARE_TEMP_TBS;
   

   Exemple :

   SQL> CREATE USER k1portal PROFILE DEFAULT IDENTIFIED EXTERNALLY AS 
   'k1portal@EXAMPLE.COM' DEFAULT TABLESPACE 
   APTARE_TBS_DATA_1M TEMPORARY TABLESPACE APTARE_TEMP_TBS; 
   SQL> EXIT;

6. Vérifiez que le paramètre OS_AUTHENT_PREFIX="" est ajouté dans le fichier de paramètres (« pfile » ou « spfile ») de la base de données.

   S'il n'est pas ajouté, le paramètre doit être ajouté au fichier de paramètres.

   Par exemple : Dans le fichier /opt/aptare/oracle/dbs/initscdb.ora (fichier d'initialisation pour le service), ajoutez l'entrée suivante OS_AUTHENT_PREFIX=""

7. Dans le fichier /opt/aptare/oracle/dbs/initscdb.ora (fichier d'initialisation pour le service), ajoutez l'entrée suivante

   OS_AUTHENT_PREFIX=""

8. Redémarrez le service Oracle.

9. Remarque :

   Cette étape est facultative si vous utilisez un ticket Kerberos prédissimulé.

   Exécutez les commandes suivantes pour vérifier et récupérer le TGT initial pour la connexion utilisateur k1portal en tant qu'utilisateur du service Oracle

   # su - aptare (login as Oracle service user) 
   # oklist -k -t /etc/v5srvtab 
   # okinit -k -t /etc/v5srvtab k1portal

10. Connectez-vous à la base de données Oracle à l'aide de la commande suivante.

    # sqlplus /@scdb

11. Créez un déclencheur pour les utilisateurs Kerberos qui correspond au portail pour modifier la session qui définira le schéma actuel en tant que PORTAL.

    # su - aptare ( login as Oracle service user) 
    # okinit -k -t /etc/v5srvtab k1portal; 
    The above command is optional for pre-stashed Kerberos ticket
    # sqlplus /@scdb
    SQL> show user; # This must return k1portal
    SQL> CREATE OR REPLACE TRIGGER set_portal_schema 
    after logon on k1portal.schema begin execute immediate 
    'alter session set current_schema=PORTAL'; 
    end; 
    /

12. Accordez à l'utilisateur RO la connexion via l'utilisateur du portail

    sqlplus / as sysdba 
    SQL> alter session set container = scdb; 
    SQL> alter user aptare_ro grant connect through k1portal; 
    SQL> GRANT CREATE SESSION to aptare_ro; 
    Verify with RO user login 
    SQL> sqlplus [aptare_ro]/@scdb;
    SQL> show user; 
    This must return aptare_ro
    SQL> exit;