IBMid

Gli utenti con un ID IBM devono essere aggiunti a ogni istanza del servizio database dall'amministratore del database tramite la console o l'API REST prima che questi utenti possano collegarsi a quella particolare istanza del servizio database. Proprio come per un utente non ID IBM, un ID utente per l'istanza del servizio database deve essere immesso nello stesso momento in cui viene aggiunto l'utente ID IBM. Questo ID utente deve essere univoco all'interno dell'istanza del servizio database. Questo ID utente è anche l'ID di autorizzazione (AUTH) all'interno del database. L'amministratore del database può concedere e revocare le autorizzazioni in base all'ID AUTH.

ID servizio

Un ID servizio identifica un servizio o un'applicazione analogamente a come un ID utente identifica un utente. Gli ID servizio sono gli ID che possono essere utilizzati dalle applicazioni per l'autenticazione a un servizio IBM Cloud. Un ID servizio rappresenta un'entità separata dall'ID IBM di appartenenza. Pertanto, autorità e autorizzazioni diverse possono essere concesse in modo specifico all'ID servizio all'interno del database. Gli ID servizio non hanno password. Deve essere creata una chiave API per ogni ID servizio per l'ID da connettere all'istanza del servizio database. Per ulteriori informazioni sugli ID dei servizi, consultare: Introduzione di IBM Cloud IAM Service ID e API Keys e Aumentare la sicurezza delle informazioni per Db2 su IBM Cloud.

Token di accesso

Puoi ottenere un token di accesso dal servizio IAM direttamente dall'applicazione tramite l'API REST utilizzando una chiave API. Per ulteriori informazioni, consultare: Introduzione di un token IBM Cloud IAM utilizzando un tasto API. Il token di accesso ha un periodo di validità predefinito di 60 minuti prima della scadenza. Se il token è scaduto, il server Db2 non consentirà di stabilire la connessione. Non viene controllata la scadenza del token dopo che la connessione è stata stabilita. Così come era prima dell'integrazione di IAM, la connessione rimane in essere fino a quando l'applicazione non si disconnette o viene terminata a causa di altre ragioni.

curl -k -X POST \
  --header "Content-Type: application/x-www-form-urlencoded" \
  --header "Accept: application/json" \
  --data-urlencode "grant_type=urn:ibm:params:oauth:grant-type:apikey" \
  --data-urlencode "apikey=<apikey>" \
  "https://iam.cloud.ibm.com/identity/token"

Un token di accesso identifica un utente ID IBM o un ID servizio al database. Il server del database verifica la validità del token di accesso prima di accettarlo. Questo è il metodo migliore se l'applicazione deve connettersi a più di un'istanza del servizio database o ad altre istanze del sevizio IBM Cloud perché minimizza la comunicazione al servizio IAM per convalidare il token di accesso.

chiave API

Possono essere create più chiavi per ogni ID servizio o utente ID IBM. Ogni chiave API viene normalmente creata per una singola applicazione. Consente all'applicazione di connettersi all'istanza del servizio database fino a quando l'ID IBM di appartenenza o l'ID servizio viene aggiunto come un utente alla stessa istanza del servizio database. La chiave API ha le stesse autorizzazioni all'interno del database come l'ID servizio o l'ID IBM di appartenenza. Se un'applicazione non deve più essere consentita per connettersi al database, la chiave API corrispondente può essere rimossa. Questo metodo di autenticazione richiede meno modifiche nell'applicazione rispetto all'utilizzo di un token di accesso poiché non richiede un'interazione diretta con il servizio IAM. Per ulteriori informazioni sulla creazione e la gestione delle chiavi API, consultare: Gestione delle chiavi API dell'utente.

ID IBM/password

Puoi utilizzare l'ID IBM e la password per accedere alla console e anche all'interno dell'applicazione negli stessi modi in cui sono consentiti l'ID utente e la password. Si verifica un'eccezione quando l'ID IBM è federato perché non è possibile eseguire un reindirizzamento alla pagina di accesso della tua organizzazione. Tuttavia, il metodo consigliato per un'applicazione di stabilire una connessione all'istanza del servizio database è quello di utilizzare un token di accesso.

ODBC, CLP e CLPPLUS

Per consentire a un'applicazione ODBC o un client riga di comando (CLP, CLPPLUS) di connettersi a un server Db2 utilizzando l'autenticazione IAM, deve essere prima configurato un nome dell'origine dati (DSN) in un file di configurazione db2dsdriver.cfg, immettendo il seguente comando:

db2cli writecfg add -dsn <dsn_alias> -database <database_name> -host <host_name_or_IP_address> -port 50001 -parameter "Authentication=GSSPLUGIN;SecurityTransportMode=SSL"

Il file di configurazione db2dsdriver.cfg è un file XML, normalmente ubicato nella directory sqllib/cfg, che contiene un elenco di alias DSN e le relative proprietà.

Il seguente esempio di un file di configurazione di db2dsdriver.cfg mostra le configurazioni utilizzate per stabilire una connessione a un'istanza del servizio database. Il file di configurazione fornisce l'alias DSN, il nome del database, il nome host (o l'indirizzo IP) e il tipo Authentication e i valori del parametro SecurityTransportMode:

<?xml version="1.0" encoding="UTF-8" standalone="no" ?>
<configuration>
        <dsncollection>
        <dsn alias="<data_source_name>" name="bludb" host="<host_name_or_IP_address>" port="50001">
            <parameter name="Authentication" value="GSSPLUGIN"/>
            <parameter name="SecurityTransportMode" value="SSL"/>
        </dsn>
        </dsncollection>
        <databases>
            <database name="bludb" host="<host_name_or_IP_address>" port="50001"/>
        </databases>
</configuration>

JDBC

Il driver JDBC di tipo 4 è supportato per l'autenticazione IAM.

I seguenti esempi mostrano i frammenti di connessione per i tre metodi:

• Token di accesso

  DB2SimpleDataSource dataSource;
  
  dataSource.setDriverType( 4 );
  dataSource.setDatabaseName( "BLUDB" );
  dataSource.setServerName( "<host_name_or_IP_address>" );
  dataSource.setPortNumber( 50001 );
  dataSource.setSecurityMechanism( com.ibm.db2.jcc.DB2BaseDataSource.PLUGIN_SECURITY );
  dataSource.setPluginName( "IBMIAMauth" );
  dataSource.setAccessToken( "<access_token>" );
  Connection conn = dataSource.getConnection( );
  

  oppure

  Connection conn = DriverManager.getConnection( "jdbc:db2://<host_name_or_IP_address>:50001/BLUDB:accessToken=<access_token>;securityMechanism=15;pluginName=IBMIAMauth;sslConnection=true" );
  

• chiave API

  DB2SimpleDataSource dataSource;
  
  dataSource.setDriverType( 4 );
  dataSource.setDatabaseName( "BLUDB" );
  dataSource.setServerName( "<host_name_or_IP_address>" );
  dataSource.setPortNumber( 50001 );
  dataSource.setSecurityMechanism( com.ibm.db2.jcc.DB2BaseDataSource.PLUGIN_SECURITY );
  dataSource.setPluginName( "IBMIAMauth" );
  dataSource.setApiKey( "<api_key>" );
  Connection conn = dataSource.getConnection( );
  

  oppure

  Connection conn = DriverManager.getConnection( "jdbc:db2://<host_name_or_IP_address>:50001/BLUDB:apiKey=<api_key>;securityMechanism=15;pluginName=IBMIAMauth;sslConnection=true" );
  

• ID IBM/password

  DB2SimpleDataSource dataSource;
  
  dataSource.setDriverType( 4 );
  dataSource.setDatabaseName( "BLUDB" );
  dataSource.setServerName( "<host_name_or_IP_address>" );
  dataSource.setPortNumber( 50001 );
  dataSource.setSecurityMechanism( com.ibm.db2.jcc.DB2BaseDataSource.PLUGIN_SECURITY );
  dataSource.setPluginName( "IBMIAMauth" );
  Connection conn = dataSource.getConnection( "<IBMid>", "<password>" );
  

  oppure

  Connection conn = DriverManager.getConnection( "jdbc:db2://<host_name_or_IP_address>:50001/BLUDB:user=<IBMid>;password=<password>;securityMechanism=15;pluginName=IBMIAMauth;sslConnection=true" );