Como realizar a troca de senhas de bancos Oracle por TLS

O Segura™ pode trocar senhas em bancos Oracle que aceitam apenas conexões seguras (TLS). O banco apresenta o próprio certificado. O Segura™ o valida com uma Oracle Wallet com auto-login, armazenada no dispositivo. A credencial continua se autenticando com usuário e senha.

Requisitos

Um banco Oracle que aceite conexões TLS em uma porta segura. Peça o número da porta ao DBA.
O certificado da autoridade certificadora (CA) que assinou o certificado do banco e o certificado da CA intermediária, se houver.
Uma máquina com a ferramenta orapki da Oracle, que acompanha o Oracle Database e o Oracle Client completo.
Uma credencial no dispositivo que se autentique com usuário e senha.
Permissão para gerenciar dispositivos.

Criar a Oracle Wallet

Na máquina com o orapki, crie uma wallet com auto-login:

orapki wallet create -wallet ./segura-wallet -auto_login_only

Adicione o certificado da CA à wallet. Substitua database-ca.pem pelo nome do arquivo da sua CA:
```
orapki wallet add -wallet ./segura-wallet -trusted_cert -cert ./database-ca.pem -auto_login_only
```
Se houver uma CA intermediária, execute o mesmo comando com o arquivo do certificado dela.
Confirme que a CA aparece em "Trusted Certificates":
```
orapki wallet display -wallet ./segura-wallet
```

O arquivo a enviar é segura-wallet/cwallet.sso. Use uma wallet exclusiva para o Segura™, com apenas o certificado da CA e sem chaves privadas.

Configurar o dispositivo

No Segura™, na barra de navegação, passe o mouse sobre o Menu de produtos e selecione PAM Core.
No menu lateral, selecione Dispositivos > Todos dispositivos.
Abra o dispositivo do banco Oracle para edição.
Na aba Conectividade, na tabela Conectividade, defina Oracle com a porta segura do banco.
Na seção Certificado, defina Usar TLS/SSL? como Sim.
Em Oracle Wallet (cwallet.sso), envie o arquivo cwallet.sso.
Conclua as demais abas e salve o dispositivo.

A credencial não muda. O usuário, a senha atual e o nome do serviço continuam como estão.

Atenção

Se um dispositivo Oracle já tiver Usar TLS/SSL? definido como Sim, por exemplo para o DB Proxy, a troca de senha dele falha até que você envie a Oracle Wallet.

Verifique seus resultados

Execute uma troca de senha para uma credencial do dispositivo. Para executar a troca, consulte Como configurar uma troca de senha.
Nos detalhes da execução, confirme que a troca foi concluída e que a conexão usou a Oracle Wallet do dispositivo.
Execute uma segunda troca e confirme que ela também é concluída. Isso confirma que o Segura™ armazenou a nova senha.

Se a troca falhar, verifique o seguinte:

Dispositivo sem wallet: a troca falha com um erro. O Segura™ nunca recorre a uma conexão sem criptografia.
Envio recusado: só é aceito um arquivo cwallet.sso criado pelo orapki. Arquivos como .pem, .p12 ou .zip são recusados.
Falha de conexão: confirme que a wallet contém a CA que assinou o certificado do banco e que o dispositivo usa a porta segura. Quando a CA não corresponde, a troca falha e a senha não é alterada.

Limitações