Namen von (Oracle-)Datenbanken einfach verwalten

Sowohl als Datenbank-Administratorin oder -Administrator wie auch als Endnutzerin oder -nutzer braucht man, um auf eine Oracle-Datenbank zuzugreifen, drei Dinge: ihren Hostnamen, Port und den Datenbank- bzw. Servicenamen. Bei kleineren Umgebungen können Oracle-User problemlos mithilfe einer tnsnames.ora Datei auf die Datenbanken zugreifen. Doch bei grösseren Umgebungen mit mehreren Oracle-Datenbanken und hunderten Clients wird die Verwaltung und Verteilung der tnsnames.ora Dateien schwierig – nimmt der/die Administrator*in etwa eine Änderung vor, muss er/sie dies allen, die auf den Server der Datenbank zugreifen wollen, einzeln mitteilen. Was also tun? Ich empfehle zur einfacheren Verwaltung ein LDAP-Verzeichnis.

Diese Idee ist nicht neu und es gibt dabei mehrere Ansätze:

• Verwendung eines Oracle Directory
• Einrichtung von Oracle Enterprise User Security (EUS)
• Eintragung und Verwaltung in MS Active Directory
• Verwendung eines LDAP-Servers (389 Directory Server oder OpenLDAP)

Gerade die letzte Methode (obwohl nicht offiziell dokumentiert und damit auch nicht offiziell unterstützt) bietet zwei entscheidende Vorteil:

1. Sowohl mit dem 389 Directory Server als auch mit OpenLDAP ist es vergleichsweise einfach, ein zentrales Verzeichnis für die Oracle Net Service Namen oder ora zu erstellen. Ein eigenständiger LDAP-Server steht in wenigen Minuten. Mit etwas mehr Aufwand lassen sich auch sichere SSL-Zertifikate, erweiterte Directory Information Tree (DIT) mit verschiedenen Suffixen, sowie die Replikation usw. einfach konfigurieren.
2. Durch die Verwendung eines Open Source LDAP-Servers bleiben die Kosten überschaubar.

Lass uns gemeinsam Schritt für Schritt anschauen, wie man einen 389 Directory Server installiert und konfiguriert (Noob Hack) und wie man anschliessend einen Oracle-Kontext herstellt (Pro Hack).

Abbildung 1: LDAP-basierte Auflösung von Oracle-Net-Service-Namen (Skizze Stefan Oehrli)

389 Directory Server für Namensauflösung

Voraussetzungen und Anforderungen:

• Keine spezifischen Hardware-Anforderungen
• Empfehlung: mindestens 2 CPU-Kerne und 16 GB Speicher

Vorbereitung

Die Software für den 389 Directory Server steht bei Oracle Enterprise Linux 8 im zusätzlichen Repository Oracle Linux 8 Application Stream als Module 389-ds zur Verfügung.


Zuerst prüfen und aktivieren wir das Modul:

sudo yum module --available list 389-ds
sudo yum -y module enable 389-ds


Dann öffnen wir die lokalen Firewall-Ports für LDAP und LSAPS:

sudo firewall-cmd --list-all --permanent --zone=public
sudo firewall-cmd --permanent --add-service=ldap --zone=public
sudo firewall-cmd --permanent --add-service=ldaps --zone=public
sudo firewall-cmd --permanent --add-port=9090/tcp --zone=public
sudo firewall-cmd –reload
sudo firewall-cmd --list-all --permanent --zone=public


Mit einer spezifischen GID erstellen wir die Gruppe dirsrv und weisen oracle als Betriebssystembenutzer dieser Gruppe zu:

sudo groupadd --gid 520 dirsrv
cat /etc/group
sudo usermod -a -G dirsrv oracle

(Dieser Schritt ist optional. Alternativ kann man die Administration des LDAP-Server entweder als Benutzer root oder immer via LDAPS ausführen.)

Installation

Das Modul 389-ds haben wir bereits aktiviert. Mit dem Kommando yum installieren wir die Pakete und Abhängigkeiten für den 389 Directory Server:

sudo yum install 389-ds-base sscg

Konfiguration

Nun starten wir die Konfiguration des 389 Directory Server für den Oracle-Net-Service. Zunächst erstellen wir mithilfe einer Vorlage eine Directory-Server-Instanz:

sudo dscreate create-template /tmp/oraNet.inf


Als nächstes passen wir die Vorlage an, und zwar insbesondere die folgenden Werte:

• full_machine_name – Vollqualifizierter Hostname des Servers
• instance_name – Name der LDAP Instanz
• root_password – Passwort für den Root-Benutzer des LDAP-Servers
• suffix – Basis-DN für den Directory Information Tree (DIT) des LDAP-Servers

Nachfolgend zeige ich dir ein Beispiel für den Aufbau einer Instanz mit dem Namen oraNet auf dem Host ldap1.trivadislabs.com mit der Basis-DN dc=trivadislabs,dc=com:

[general]
full_machine_name = ldap1.trivadislabs.com
start = true
[slapd]
instance_name = oraNet
port = 389
root_password = Welcome1
secure_port = 636
self_sign_cert = true
self_sign_cert_valid_months = 24
[backend-userroot]
create_suffix_entry = true
suffix = dc=trivadislabs,dc=com


Die Instanz erstellen wir als OS-Benutzer root mit dem Befehl dscreate:

sudo dscreate from-file /tmp/oraNet.inf


Das Kommando dscreate erstellt nicht nur die Instanz, sondern gleich auch die entsprechenden start/stop-Skripte respektive einen Service. Ob die Instanz läuft, lässt sich mit dem Kommando dsctl prüften. Alternativ kann man auch gleich direkt den Status des Service mit dem Kommando systemctl prüfen:

sudo dsctl –list
sudo systemctl status dirsrv@oraNet.service


Nun laden wir die Oracle-spezifischen Schemadefinitionen. Dazu kopieren wir die Datei 90orclNet.ldif in das entsprechende Instanz-Verzeichnis und starten die Instanz anschliessend neu. Diese Datei enthält die entsprechenden LDAP-Objektklassen und -attribute, welche für Oracle-Net-Service-Name-Objekte benötigt werden:

curl -Lf https://url.oradba.ch/90orclNet -o /tmp/90orclNet.ldif
sudo cp /tmp/90orclNet.ldif /etc/dirsrv/slapd-oraNet/schema/90orclNet.ldif
sudo systemctl restart dirsrv@oraNet.service


Mit dem Kommando dsctl prüfen wir erneut den Status der LDAP-Instanz:

sudo dsctl $(dsctl --list) status
sudo dsctl $(dsctl --list) healthcheck


Beim Ausführen der LDAP-Befehle, muss man jeweils das Passwort angeben. Damit man dies nicht jedes Mal interaktiv tun muss, kann man das Passwort temporär in einer Datei abspeichern und mit dem Parameter -y den LDAP-Befehlen übergeben. Die Passwortdatei sollte man anschliessend wieder löschen:

echo "Welcome1" | tr -d '\n' >.oraNetDirectoryManager.pwd
chmod 600 .oraNetDirectoryManager.pwd


So weit so gut: Der Verzeichnisserver ist fertig und bereit Informationen aufzunehmen. Wenn dir das bereits weiterhilft, kannst du dich jetzt zurücklehnen. Wenn du aber die entsprechenden Oracle-Net-Service-Namen registrieren willst, bleib noch einen Moment dran: Denn dazu braucht es einen Oracle-Kontext, den wir im «Pro Hack» etablieren.