データベースをOkta Privileged Accessに接続して、ユーザーアカウントの検出、オンボーディング、管理を行います。
このタスクについて
このセットアップの一部はOkta Privileged Accessで行い、一部は自分の環境で行います。
表 1. 統合する内容
| 内容 |
場所 |
| 統合ユーザーを作成する |
利用しているデータベースインスタンス |
| ゲートウェイマシンをデプロイしてネットワーキングを構成する |
利用しているインフラストラクチャ |
| 統合、オンボーディングルール、およびセキュリティポリシールールを構成する |
Okta Privileged Access |
始める前に
-
Okta Privileged Accessのリソース管理者ロールがある。最後の手順では、セキュリティ管理者ロールも必要になります。
-
サポートされるデータベースインスタンスが実行されている。「サポートされているデータベースのタイプ、バージョン、デプロイメントオプション」を参照してください。
-
ゲートウェイマシンとして専用で使用するサーバーまたは仮想マシンがある。「Okta Privileged Accessゲートウェイの容量計画」を参照してください。
-
ゲートウェイマシンは、サービスする各データベースインスタンスへのアウトバウンドネットワークと、your-opa-team-name.pam.okta.comおよびyour-opa-team-name.pam.oktapreview.comのポート443のOkta Privileged Accessへのアウトバウンドネットワークアクセスにアクセスできます。「環境別のネットワークアクセス」を参照してください。
-
ホスト名やポートなど、データベース接続の詳細が準備されている。
手順
ゲートウェイのセットアップトークンを作成する
-
Okta Privileged Accessで、オンボーディングされたデータベースアカウントを管理するリソースグループとプロジェクトを識別します。
データベース専用のプロジェクトを作成することをお勧めします。
-
ゲートウェイのセットアップトークンを作成します。
インフラストラクチャオーケストレーター（Infrastructure orchestrator）ロールを選択し、一意のオーケストレーショングループ（Orchestration group）名を指定します。
注意:
サーバーアクセスプロキシ（Server access proxy）用に構成されたセットアップトークンを使用したゲートウェイを軌道して使用したり、オーケストレーター以外の既存のトークンを使用したりすると、データベース統合の作成が失敗します。
ゲートウェイマシンをデプロイして統合ユーザーを作成する
-
インフラストラクチャで、Okta Privileged Accessゲートウェイマシンとして専用に使用するサーバーまたは仮想マシンを割り当てます。
サービスする各データベースインスタンスとOkta Privileged Accessへのアウトバウンドネットワークにアクセスできるように構成します。「環境別のネットワークアクセス」を参照してください。
注:
1つのゲートウェイで複数の統合をサービスできますが、ほとんどの場合はゲートウェイのグループが高可用性と効率性の両方の複数統合を行います。
-
統合するデータベースが稼働しており、サポートされていることを確認します。
統合を作成するには、このデータベースインスタンスのアドレスが必要になります。ほとんどのデータベースタイプでは、これはホストとポートのみです。Oracle Databaseの場合は、サービス名が必要です。Microsoft SQL Serverの場合、ポートではなく名前付きインスタンスの値を使用したほうがよい可能性があります。
-
データベースインスタンスにデータベース統合ユーザーを作成します 。
Okta Privileged Accessは、このユーザーとして接続し、アカウントの検出とパスワードのローテーションを行います。
-
Okta Privileged Accessデータベースオーケストレーターとして機能するようにゲートウェイマシンをセットアップします。
統合とルールを構成する
-
Okta Privileged Accessで、統合を追加します。
-
アカウントルールを定義して、Okta Privileged Accessが引き継いで管理するデータベースユーザーアカウント を選択します。
-
セキュリティポリシーを作成し、ユーザーグループに管理対象のデータベースアカウントへのアクセスを許可するルールを追加します 。