PythonアプリケーションをWallet (mTLS)に接続

ウォレットを使用して、Autonomous DatabaseインスタンスにPythonアプリケーションを接続できます。

ウォレット(mTLS)を使用したPythonアプリケーションの接続では、認証および暗号化の高度なセキュリティが提供され、(ユーザー名とパスワードを指定することで)クライアント資格証明を使用してセキュリティが強化されます。

python-oracledbドライバのデフォルトのThinモードは、Oracle Databaseに直接接続されます。オプションで、いくつかの追加機能のためにOracle Clientライブラリ「Thick mode」を使用できます。Oracle Clientライブラリは、Oracle Instant Client、フルOracle Client、またはOracle Databaseインストールから取得できます。

ウォレット(mTLS)を使用して、これらのステップに従って、Autonomous DatabaseインスタンスにPythonアプリケーションに接続します:

  1. Pythonおよびpython-oracledbドライバのインストール
  2. セキュリティ資格証明(Oracle Wallet)の取得およびネットワーク接続の有効化
  3. シン・モードでのみ接続する場合は、このステップを実行します: Wallet (mTLS)を使用したpython-oracledbシン・モードでのPythonアプリケーションの実行
  4. Thickモードで接続する場合は、このステップを実行します: Wallet (mTLS)を使用したpython-oracledb ThickモードでのPythonアプリケーションの実行

トピック

セキュリティ資格証明(Oracle Wallet)の取得およびネットワーク接続の有効化

クライアント・セキュリティ資格証明を取得して、Autonomous Databaseインスタンスに接続します。

  1. Autonomous Databaseインスタンスからウォレット・ファイルをダウンロードして、Autonomous Databaseインスタンスへのアクセスに必要なクライアント・セキュリティ資格証明およびネットワーク構成設定が含まれるzipファイルを取得します。

    クライアント・セキュリティ資格証明(wallet.zipファイル)を取得します:

    ノート

    不正なデータベース・アクセスを防ぐために、wallet.zipファイルとそのコンテンツを保護してください。
  2. クライアント資格証明ファイル(wallet.zip)を解凍します。

Wallet (mTLS)を使用したpython-oracledbシン・モードでのPythonアプリケーションの実行

デフォルトでは、python-oracledbはThinモードを使用してAutonomous Databaseインスタンスに直接接続します。

Thinモードでは、ウォレットzipの2つのファイルのみが必要です:

  • tnsnames.ora: アプリケーション接続文字列に使用されるネット・サービス名をデータベース・サービスにマップします。

  • ewallet.pem: ThinモードでSSL/TLS接続を有効にします。

Thinモードで接続するには:

  1. tnsnames.oraおよびewallet.pemファイルをシステム上の場所に移動します。

    たとえば、Linuxでは:

    /opt/OracleCloud/MYDB

    たとえば、Windowsでは次のように指定します。

    C:\opt\OracleCloud\MYDB
  2. Pythonアプリケーションで、Autonomous Databaseインスタンスに接続するために次の接続パラメータを設定します:
    • config_dir: tnsnames.oraを含むディレクトリを指定します。
    • dsn: tnsnames.oraファイルから目的のネットワーク別名を指定するために使用します。
    • password: データベース・ユーザー・パスワードを指定します。
    • user: データベース・ユーザーを指定します。
    • wallet_location: PEMファイル(ewallet.pem)を含むディレクトリを指定します。
    • wallet_password: PEMファイル(ewallet.pem)のパスワードを指定します。このパスワードは、wallet.zipファイルのダウンロード時に設定します。

    たとえば、Linuxでは、db2024_lowネットワーク・サービス名でoracledb.connectを使用してADMINユーザーとして接続します(サービス名はtnsnames.oraにあります):

    connection=oracledb.connect(
         config_dir="/opt/OracleCloud/MYDB",
         user="admin",
         password=password,
         dsn="db2024_low",
         wallet_location="/opt/OracleCloud/MYDB",
         wallet_password=wallet_pw)

    たとえば、Windowsでは、db2024_lowネットワーク・サービス名でoracledb.connectを使用してADMINユーザーとして接続します(サービス名はtnsnames.oraにあります):

    connection=oracledb.connect(
         config_dir=r"C:\opt\OracleCloud\MYDB",
         user="admin",
         password=password,
         dsn="db2024_low",
         wallet_location=r"C:\opt\OracleCloud\MYDB",
         wallet_password=wallet_pw)

    'raw'文字列r"..."の使用は、バックスラッシュがディレクトリ・セパレータとして扱われることを意味します。

    この例に示すように、wallet_locationconfig_dirは同じディレクトリに設定されます(ディレクトリにはtnsnames.oraewallet.pemが含まれます)。これらのファイルに同じディレクトリを指定することは必須ではありません。

ファイアウォールの内側にいる場合は、接続記述子でHTTPS_PROXYを使用するか、接続属性を設定することによって、プロキシを介してTLS/SSL接続をトンネリングできます。正常な接続は、特定のプロキシ構成に依存します。パフォーマンスに影響する可能性があるため、Oracleでは本番環境でプロキシを使用しないでください。

Thinモードでは、https_proxyおよびhttp_proxy_portパラメータを追加してプロキシを指定できます。

たとえば、Linuxでは:

connection=oracledb.connect(
     config_dir="/opt/OracleCloud/MYDB",
     user="admin",
     password=password,
     dsn="db2024_low",
     wallet_location="/opt/OracleCloud/MYDB",
     wallet_password=wallet_pw,
     https_proxy='myproxy.example.com',
     https_proxy_port=80)

たとえば、Windowsでは次のように指定します。

connection=oracledb.connect(
     config_dir=r"C:\opt\OracleCloud\MYDB",
     user="admin",
     password=password,
     dsn="db2024_low",
     wallet_location=r"C:\opt\OracleCloud\MYDB",
     wallet_password=wallet_pw,
     https_proxy='myproxy.example.com',
     https_proxy_port=80)

Wallet (mTLS)を使用したpython-oracledb ThickモードでのPythonアプリケーションの実行

デフォルトでは、python-oracledbはOracle Databaseに直接接続されるThinモードで実行されます。ドライバがThickモードで実行されている場合、追加のpython-oracledb機能を使用できます。
ノート

太いモードでは、Pythonを実行する場所にOracle Clientライブラリがインストールされている必要があります。また、Pythonコードでoracledb.init_oracle_client()をコールする必要があります。

Thickモードでは、ウォレットzipファイルの次の3つのファイルが必要です:

  • tnsnames.ora: アプリケーション接続文字列に使用されるネット・サービス名を含み、その文字列をデータベース・サービスにマップします。

  • sqlnet.ora: SQL*Netクライアント側構成を指定します。

  • cwallet.sso: 自動オープンSSOウォレットが含まれます。

Thickモードで接続するには:

  1. システムにファイルtnsnames.orasqlnet.oraおよびcwallet.ssoを配置します。

    次の2つのオプションのいずれかを使用して、これらのファイルをシステムに配置します。

    • インスタント・クライアントを使用している場合は、ファイルをインスタント・クライアント・ディレクトリ下のnetwork/adminサブディレクトリ階層に移動します。たとえば、アーキテクチャやクライアント・システム、Instant Clientをインストールした場所に応じて、ファイルを次のようなディレクトリの場所に配置する必要があります:

      /home/myuser/instantclient_19_21/network/admin

      または

      /usr/lib/oracle/19.21/client64/lib/network/admin

      たとえば、Linuxで完全なOracle Clientを使用している場合は、ファイルを$ORACLE_HOME/network/adminに移動します。

    • または、ファイルをアクセス可能な任意のディレクトリに移動します。

      たとえば、Linuxでは、ファイルを/opt/OracleCloud/MYDBディレクトリに移動し、sqlnet.oraを編集して、ウォレットの場所のディレクトリをcwallet.ssoファイルを含むディレクトリに変更します。

      たとえば、Linuxでは、次のようにsqlnet.oraを編集します:

      WALLET_LOCATION = (SOURCE = (METHOD=file) (METHOD_DATA = (DIRECTORY="/opt/OracleCloud/MYDB")))
      SSL_SERVER_DN_MATCH=yes

      構成ファイルがデフォルトの場所にない場合、アプリケーションは、コールoracledb.init_oracle_client()config_dirパラメータを使用して、またはTNS_ADMIN環境変数を設定することによって、構成ファイルがどこにあるかを示す必要があります。

      ノート

      network/adminディレクトリにすべての構成ファイルを配置する場合、これらの設定はどちらも必要なく、sqlnet.oraを編集する必要はありません。
  2. Pythonアプリケーションで、Autonomous Databaseインスタンスに接続するために次の初期化パラメータおよび接続パラメータを設定します:
    • config_dir: 構成ファイルを配置するときの構成ディレクトリを指定します。これは、構成ファイルがインスタント・クライアント構成ディレクトリnetwork/adminの外部のディレクトリに配置されている場合にのみ必要です。
    • dsn: tnsnames.oraファイルから目的のネットワーク別名を指定します。
    • password: データベース・ユーザー・パスワードを指定します。
    • user: データベース・ユーザーを指定します。

    構成ファイルを配置する最初のケースでは、tnsnames.oraから目的のネットワーク別名にdsnパラメータを設定して、データベース資格証明を使用してAutonomous Databaseインスタンスに接続します。

    たとえば、oracledb.init_oracle_clientを使用してADMINユーザーとして接続し、db2024_lowネットワーク・サービス名(サービス名はtnsnames.ora)で接続するには:

    oracledb.init_oracle_client()
       connection=oracledb.connect(
           user="admin",
           password=password,
           dsn="db2024_low")

    構成ファイルがインスタント・クライアント構成ディレクトリの外部のディレクトリにある場合は、oracledb.init_oracle_clientをコールするときにconfig_dirパラメータを設定します。

    たとえば、Linuxでは、db2024_lowネットワーク・サービス名を使用してADMINユーザーとして接続します:

    oracledb.init_oracle_client(config_dir="/opt/OracleCloud/MYDB")
       connection=oracledb.connect(
          user="admin",
          password=password,
          dsn="db2024_low")

    たとえば、Windowsでは、db2024_lowネットワーク・サービス名を使用してADMINユーザーとして接続します:

    oracledb.init_oracle_client(config_dir=r"C:\opt\OracleCloud\MYDB")
       connection=oracledb.connect(
          user="admin",
          password=password,
          dsn="db2024_low")

    'raw'文字列r"..."の使用は、バックスラッシュがディレクトリ・セパレータとして扱われることを意味します。

ファイアウォールの内側にいる場合は、接続記述子でHTTPS_PROXYを使用するか、接続属性を設定することによって、プロキシを介してTLS/SSL接続をトンネリングできます。正常な接続は、特定のプロキシ構成に依存します。パフォーマンスに影響する可能性があるため、Oracleでは本番環境でプロキシを使用しないでください。

Thickモードでは、sqlnet.oraファイルを編集して行を追加することで、プロキシを指定できます:

SQLNET.USE_HTTPS_PROXY=on

また、tnsnames.oraを編集し、使用する予定のサービス名の接続記述子アドレス・リストにHTTPS_PROXYプロキシ名およびHTTPS_PROXY_PORTポートを追加します。

たとえば、次のとおりです。

mydb_high=(description=
(address=(https_proxy=myproxy.example.com)
(https_proxy_port=80)
(protocol=tcps)(port=1522)(host=...)

Thickモードの詳細は、python-oracledbのThickモードの有効化を参照してください。