IBMid

数据库管理员必须先通过控制台或 REST API 将具有 IBM 标识的用户添加到每个数据库服务实例中，然后这些用户才能连接到特定的数据库服务实例。 对于非IBMid 用户，必须在添加 IBMid 用户的同时输入数据库服务实例的用户标识。 此用户标识在数据库服务实例中应该是唯一的。 此用户标识也是数据库中的授权 (AUTH) 标识。 数据库管理员可以根据 AUTH 标识授予或撤销许可权。

服务标识

服务标识识别服务或应用程序的方式与用户标识识别用户的方式相似。 服务标识是可以由应用程序用于向 IBM Cloud 服务进行认证的标识。 服务标识表示不同于其所属 IBM 标识的单独实体。 因此，在数据库中，可以为特定的服务标识授予不同的权限和许可权。 服务标识没有密码。 必须为每个服务标识创建 API 密钥，该服务标识才能连接到数据库服务实例。 有关服务标识的更多信息，请参阅: IBM Cloud IAM Service 标识和 API 密钥简介 和 在 IBM Cloud 上增加 Db2 的信息安全性。

访问令牌

应用程序可以使用 API 密钥通过 REST API 直接从 IAM 服务获取访问令牌。 有关更多信息，请参阅: 使用 API 密钥获取 IBM Cloud IAM 令牌。 访问令牌的缺省有效期为 60 分钟，之后即到期。 如果令牌已到期，那么 Db2 服务器不会允许建立连接。 但在建立连接之后，不会检查令牌是否到期。 就像在 IAM 集成之前一样，仍将保持已连接状态，直到应用程序断开连接或连接由于其他原因被终止。

curl -k -X POST \
  --header "Content-Type: application/x-www-form-urlencoded" \
  --header "Accept: application/json" \
  --data-urlencode "grant_type=urn:ibm:params:oauth:grant-type:apikey" \
  --data-urlencode "apikey=<apikey>" \
  "https://iam.cloud.ibm.com/identity/token"

访问令牌为数据库识别 IBM 标识用户或服务标识。 数据库服务器先验证访问令牌的有效性，然后接受令牌。 如果应用程序需要连接多个数据库服务实例或其他 IBM Cloud 服务实例，那么这是最佳方法，因为可以将与 IAM 服务进行通信已验证访问令牌的通信量降到最低。

API 密钥

可以为每个 IBM 标识用户或服务标识创建多个 API 密钥。 通常情况下，每个 API 密钥都是为单个应用程序创建的。 这样只要将其所属的 IBM 标识或服务标识作为用户添加到数据库服务实例中，应用程序就可以一直连接到该数据库服务实例。 在数据库中，API 密钥与所属的 IBM 标识或服务标识具有相同的权限和许可权。 如果应该不再允许应用程序连接到数据库，那么可以除去相应的 API 密钥。 与使用访问令牌相比，此认证方法在应用程序中需要的更改更少，因为它不需要与 IAM 服务进行直接交互。 有关创建和管理 API 密钥的更多信息，请参阅: 管理用户 API 密钥。

IBMid/password

IBM 标识/密码可用于登录控制台，也可在应用程序中发挥与用户标识/密码相同的作用。 如果联合 IBM 标识，就会发生异常，这是因为无法重定向到组织的登录页面。 但我们建议用使用访问令牌的方法来建立应用程序与数据库服务实例的连接。

ODBC、CLP 和 CLPPLUS

要使 ODBC 应用程序或命令行客户机 (CLP, CLPPLUS) 能够使用 IAM 认证连接到 Db2 服务器，需要通过运行以下命令首先在 db2dsdriver.cfg 配置文件中配置数据源名称 (DSN)：

db2cli writecfg add -dsn <dsn_alias> -database <database_name> -host <host_name_or_IP_address> -port 50001 -parameter "Authentication=GSSPLUGIN;SecurityTransportMode=SSL"

db2dsdriver.cfg 配置文件是 XML 文件，通常位于 sqllib/cfg 目录中，其中包含 DSN 别名的列表及其属性。

下面的 db2dsdriver.cfg 配置文件的示例显示了用于与数据库服务实例建立连接的配置。 该配置文件提供 DSN 别名、数据库名称、主机名（或 IP 地址），以及认证类型和 SecurityTransportMode 参数值。

<?xml version="1.0" encoding="UTF-8" standalone="no" ?>
<configuration>
        <dsncollection>
        <dsn alias="<data_source_name>" name="bludb" host="<host_name_or_IP_address>" port="50001">
            <parameter name="Authentication" value="GSSPLUGIN"/>
            <parameter name="SecurityTransportMode" value="SSL"/>
        </dsn>
        </dsncollection>
        <databases>
            <database name="bludb" host="<host_name_or_IP_address>" port="50001"/>
        </databases>
</configuration>

JDBC

IAM 认证支持第 4 类 JDBC 驱动程序。

以下示例显示了三种方法的连接片段：

• 访问令牌

  DB2SimpleDataSource dataSource;
  
  dataSource.setDriverType( 4 );
  dataSource.setDatabaseName( "BLUDB" );
  dataSource.setServerName( "<host_name_or_IP_address>" );
  dataSource.setPortNumber( 50001 );
  dataSource.setSecurityMechanism( com.ibm.db2.jcc.DB2BaseDataSource.PLUGIN_SECURITY );
  dataSource.setPluginName( "IBMIAMauth" );
  dataSource.setAccessToken( "<access_token>" );
  Connection conn = dataSource.getConnection( );
  

  或

  Connection conn = DriverManager.getConnection( "jdbc:db2://<host_name_or_IP_address>:50001/BLUDB:accessToken=<access_token>;securityMechanism=15;pluginName=IBMIAMauth;sslConnection=true" );
  

• API 密钥

  DB2SimpleDataSource dataSource;
  
  dataSource.setDriverType( 4 );
  dataSource.setDatabaseName( "BLUDB" );
  dataSource.setServerName( "<host_name_or_IP_address>" );
  dataSource.setPortNumber( 50001 );
  dataSource.setSecurityMechanism( com.ibm.db2.jcc.DB2BaseDataSource.PLUGIN_SECURITY );
  dataSource.setPluginName( "IBMIAMauth" );
  dataSource.setApiKey( "<api_key>" );
  Connection conn = dataSource.getConnection( );
  

  或

  Connection conn = DriverManager.getConnection( "jdbc:db2://<host_name_or_IP_address>:50001/BLUDB:apiKey=<api_key>;securityMechanism=15;pluginName=IBMIAMauth;sslConnection=true" );
  

• IBM 标识/密码

  DB2SimpleDataSource dataSource;
  
  dataSource.setDriverType( 4 );
  dataSource.setDatabaseName( "BLUDB" );
  dataSource.setServerName( "<host_name_or_IP_address>" );
  dataSource.setPortNumber( 50001 );
  dataSource.setSecurityMechanism( com.ibm.db2.jcc.DB2BaseDataSource.PLUGIN_SECURITY );
  dataSource.setPluginName( "IBMIAMauth" );
  Connection conn = dataSource.getConnection( "<IBMid>", "<password>" );
  

  或

  Connection conn = DriverManager.getConnection( "jdbc:db2://<host_name_or_IP_address>:50001/BLUDB:user=<IBMid>;password=<password>;securityMechanism=15;pluginName=IBMIAMauth;sslConnection=true" );