Okta Privileged Accessにデータベース統合を追加する

データベースインスタンスレベル、またはそのインスタンス内の特定のデータベースあるいはコンテナにデータベース統合を追加することで、Okta Privileged Accessでデータベースアカウントを管理できるようになります。

データベースタイプ	データベースターゲット
MariaDB、Microsoft SQL Server、MySQL、PostgreSQL	データベースインスタンス自体。
MongoDB	データベースインスタンス（認証データベース）上の特定のデータベース。
Oracle EBSデータベース	CDBルート、アプリケーションルート、PDBといった特定のコンテナ。

開始する前の確認事項

Okta Privileged Accessのリソース管理者ロールを持っていることを確認してください。
自分または別の管理者にOkta Privileged Accessセキュリティ管理者ロールがあることを確認します。エンドユーザーは、セキュリティポリシーが構成されるまで、この統合を使用できません。
「最初のデータベース統合をセットアップする」の手順を完了します。
インフラストラクチャオーケストレーターロールに登録されたゲートウェイが稼働しており、データベースインスタンスにアクセスできることを確認します。「データベース統合用にゲートウェイを構成する」を参照してください。
データベースインスタンス（つまりホストとポート）の接続詳細を把握します。Oracleデータベースのサービス名、Microsoft SQLサーバーのインスタンス名、MongoDBのデフォルト認証データベースなど、一部のデータベースタイプには追加の情報が必要です。
統合を管理するために必要な権限を持つ専用ユーザーが、データベースインスタンス上に存在することを確認します。「データベース統合ユーザー権限」を参照してください。

統合を作成

リソース管理（Resource Administration） > 統合（Integrations）に移動します。
リソースタイプ（Resource type）のドロップダウンリストから、データベース（Databases）を選択します。
右上の統合を追加（Add Integration）を選択します。
データベースタイプを選択します。
以下のデータベース統合の詳細を完了します。
1. 統合名（Integration name）を入力します。これは、このデータベースインスタンスのエイリアスです。統合の作成後に統合名を変更することはできません。
2. 任意。説明（Description）を追加します。
3. オーケストレーショングループ（Orchestration group）を選択します。
4. ターゲットデータベースインスタンスにアクセスするためにゲートウェイが使用するホスト（Host）とポート（Port）を入力します。Oracle Real Application Cluster（RAC）デプロイメントの場合は、RACクラスターのSCANホスト名を入力します。
5. Microsoft SQLサーバー統合の場合、インスタンス名（Instance name）またはポート（Port）のいずれかを入力できます（両方は入力できません）。
6. Oracleデータベース統合の場合は、サービス名（Service name）を入力します。
7. MongoDB統合の場合は、デフォルトの認証データベース（Default authentication database）を入力します。
統合ユーザー（Integration user）で、ユーザー名とパスワードを入力します。
統合をテストして保存（Test and Save integration）を選択します。

テストが失敗した場合は、管理コンソールに返されるエラーメッセージを確認します。特定のエラーメッセージと対処法については、「データベース統合のトラブルシューティング」を参照してください。

統合が作成されると、統合の継続的な正常性が統合リストに表示されます。「データベース統合の正常性ステータス」を参照してください。

統合が正常に作成されると、Okta Privileged Accessによりアカウントルールのセットアップが求められ、セットアップに進みます。このプロンプトをスキップし、後からアカウントルールを追加するには、統合を開いてアカウントルール（Account rules）タブを選択します。

アカウントルールを追加する

アカウントルールを使用すると、統合されたデータベースインスタンスのどのユーザーアカウントをOkta Privileged Accessの管理対象リソースにするかを選択できます。自動化で使用されるデータベースユーザーアカウントは、オンボーディングしないでください。そのアカウントのパスワードがOkta Privileged Accessによって自動ローテーションされると、自動処理が停止します。

注:

Oracleデータベース統合の場合、現時点では、Okta Privileged AccessはOracleで維持されるユーザーアカウントの管理をサポートしていません。これらは、SYSやSYSTEMなど、Oracleがデータベースに提供するアカウントです。これらを特定するには、DBA_USERSのORACLE_MAINTAINED列をクエリします。値がYのアカウントは、作成したアカウントルールにかかわらず、Okta Privileged Accessの管理対象リソースにすることはできません。

ルール名（Rule name）を入力します。
演算子（Operator）を選択して、値（Value）を入力します。入力する値では大文字と小文字が区別されます。Okta Privileged Accessは入力した大文字と小文字を区別してアカウントを照合します。
任意。データベースアカウントのオンボーディングに使用する別の条件を定義するには、条件を追加（Add a condition）を選択します。
一致するアカウントを割り当てるプロジェクト（Project）を選択します。プロジェクトを見つけるには、まずそのプロジェクトのリソースグループ（Resource group）を選択します。
ルールを保存（Save rule）を選択します。
アカウント（Accounts）タブに戻り、アカウントが表示されていることを確認します。

検出とオンボーディングは、アカウントルールの保存時に自動的に開始されるため、自分で開始する必要はありません。オンボーディングアカウントが表示されるまでに、数分かかる場合があります。アカウントが表示されない場合、アカウントルールはデータベース内のどのユーザーとも一致しない可能性があります。ルール内の演算子と値を確認します。

検出とオンボーディングを実行する

Okta Privileged Accessはアカウントルールを作成または変更するたびに検出とオンボーディングを自動的に実行するため、自分で開始する必要はありません。次回の自動実行の前に実行するには、次の手順を完了します。

リソース管理（Resource Administration） > 統合（Integrations）に移動します。
リソースタイプ（Resource type）のドロップダウンメニューから、データベース（Databases）を選択します。
統合のアクション（Actions）メニューを選択し、今すぐ同期（Sync now）を選択します。
統合を開いてアカウント（Accounts）タブを選択し、検出されたアカウントが表示されることを確認します。

次に行うべきこと

アカウントがオンボーディングされたら、セキュリティポリシーを作成し、ルールを追加して、ユーザーにアカウントへのアクセスを付与します。アカウントルールの後に、ポリシーを作成します。ポリシーは、すでにオンボーディングされているアカウントに対してのみアクセスを付与できるためです。ポリシー作成は待つことができますが、作成するまではエンドユーザーはこれらのデータベースアカウントにアクセスできません。