Configuration de SQL *Plus pour une utilisation SSL avec une instance de base RDS de données Oracle

Avant de pouvoir vous connecter à une instance RDS de base de données Oracle qui utilise l'SSLoption Oracle, vous devez configurer SQL *Plus avant de vous connecter.

Note

Pour permettre l'accès à l'instance de base de données à partir des clients appropriés, assurez-vous que vous groupes de sécurité soient bien configurés. Pour de plus amples informations, veuillez consulter Contrôle d'accès par groupe de sécurité. Ces instructions s'adressent également à SQL *Plus et aux autres clients qui utilisent directement un répertoire d'origine Oracle Home. Pour JDBC les connexions, voirConfiguration d'une SSL connexion via JDBC.

Pour configurer SQL *Plus à utiliser pour se connecter SSL à une instance de base RDS de données Oracle

1. Configurez la variable d'environnement ORACLE_HOME sur l'emplacement de votre répertoire de base Oracle.

   Le chemin vers votre répertoire de base Oracle dépend de votre installation. L'exemple suivant définit la variable d'environnement ORACLE_HOME.

   prompt>export ORACLE_HOME=/home/user/app/user/product/19.0.0/dbhome_1

   Pour plus d'informations sur la définition des variables d'environnement Oracle, voir Variables d'environnement SQL *Plus dans la documentation Oracle, ainsi que le guide d'installation d'Oracle pour votre système d'exploitation.

2. Ajoutez $ORACLE_HOME/lib à la variable d'environnement LD_LIBRARY_PATH.

   Voici un exemple qui définit la variable d'PATHenvironnement LIBRARY LD_ _.

   prompt>export LD_LIBRARY_PATH=$LD_LIBRARY_PATH:$ORACLE_HOME/lib 

3. Créez un répertoire pour le portefeuille Oracle dans $ORACLE_HOME/ssl_wallet.

   Voici un exemple qui crée le répertoire du portefeuille Oracle.

   prompt>mkdir $ORACLE_HOME/ssl_wallet

4. Téléchargez le fichier .pem du bundle de certificats qui fonctionne pour tous Régions AWS et placez le fichier dans le répertoire ssl_wallet. Pour plus d’informations, veuillez consulter .

5. Dans l'annuaire $ORACLE_HOME/network/admin, modifiez ou créez le fichier tnsnames.ora et incluez l'entrée suivante.

   net_service_name = 
     (DESCRIPTION = 
       (ADDRESS_LIST = 
         (ADDRESS = 
           (PROTOCOL = TCPS) 
           (HOST = endpoint) 
           (PORT = ssl_port_number)
         )
       )
       (CONNECT_DATA = 
         (SID = database_name)
       )
       (SECURITY = 
         (SSL_SERVER_CERT_DN = "C=US,ST=Washington,L=Seattle,O=Amazon.com,OU=RDS,CN=endpoint")
       )
     )

6. Dans le même répertoire, modifiez ou créez le fichier sqlnet.ora et incluez les paramètres suivants.

   Note

   Pour communiquer avec des entités via une connexion TLS sécurisée, Oracle a besoin d'un portefeuille contenant les certificats nécessaires à l'authentification. Vous pouvez utiliser l'ORAPKIutilitaire Oracle pour créer et gérer des portefeuilles Oracle, comme indiqué à l'étape 7. Pour plus d'informations, consultez la section Configuration d'un portefeuille Oracle ORAPKI à l'aide de la documentation Oracle.

   WALLET_LOCATION = (SOURCE = (METHOD = FILE) (METHOD_DATA = (DIRECTORY = $ORACLE_HOME/ssl_wallet))) 
   SSL_CLIENT_AUTHENTICATION = FALSE 
   SSL_VERSION = 1.0 
   SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA) 
   SSL_SERVER_DN_MATCH = ON       

   Note

   Vous pouvez définir SSL_VERSION sur une valeur plus élevée si votre instance de base de données la prend en charge.

7. Exécutez la commande suivante pour créer le portefeuille Oracle.

   prompt>orapki wallet create -wallet $ORACLE_HOME/ssl_wallet -auto_login_only

8. Extrayez chaque certificat du fichier groupé .pem dans un fichier .pem distinct à l'aide d'un utilitaire du système d'exploitation.

9. Ajoutez chaque certificat à votre portefeuille à l'aide de orapki commandes distinctes, en le certificate-pem-file remplaçant par le nom de fichier absolu du fichier .pem.

   prompt>orapki wallet add -wallet $ORACLE_HOME/ssl_wallet -trusted_cert -cert
         certificate-pem-file -auto_login_only

   Pour de plus amples informations, veuillez consulter Rotation de votre TLS certificatSSL/.