FAQ: SQL Firewall 23c vs Oracle AVDF / Database Vault

Many people know that one of the new features of Oracle Database 23c is the built-in SQL Firewall. But this version, intended for use in a production environment, has not yet been released, and customers have questions about how this will compare with the existing Oracle Audit Vault and Database Firewall / Database Vault products, how it will be licensed, and whether a subscription to Oracle Cloud Infrastructure is required. I got my hands on a good document explaining many things, and we will discuss the most frequently asked questions under the cut (English version only).

Многие знают, что одной из новых фич СУБД Oracle Database 23c является встроенный SQL Firewall. Но данная версия, предназначенная для использования в продуктивной среде, еще не вышла, а у заказчиков возникают вопросы по тому, как это будет соотноситься с существующим продуктом Oracle Audit Vault and Database Firewall, как будет лицензироваться и потребуется ли подписка на Oracle Cloud Infrastructure. Мне в руки попал неплохой документ, разъясняющий многие вещи, и наиболее часто задаваемые вопросы мы обсудим под катом (только английская версия).

FAQ: about 3rd party security tools support for Oracle Database

К вопросу о том, чем встроенные средства защиты СУБД Oracle лучше, чем от конкурентов (IBM Guardium , Imperva и т.д.). Это старая известная тема, но приходится повторять, потому как сталкиваюсь с этим вопросом снова и снова. Коротко - использование сторонних средств защиты, которые используют недокументированные возможности СУБД Oracle не поддерживается и их применение связано с существенным риском. Среди возможных последствий - крах СУБД, аварийное завершение процесса, повреждение данных и прочие “прелести”. Подробнее - под катом.

To the question of how the built-in Oracle DBMS security tools are better than those of competitors (IBM Guardium, Imperva, etc.). This is an old well-known topic, but I have to repeat it, because I see this question again and again. In short, the use of third-party kernel modules is not supported by Oracle and is associated with significant risk. Among the possible consequences are the collapse of the DBMS, the abnormal termination of the process, data corruption and other “interesting” things. Details - under the cut. 

FAQ: OIG12.2.1.4 V10 on OCI – ошибка контроллера NGINX, приводящая к 404 File Not Found (nginx)

Short intro: here you can find a solution for the error with the latest OIG on OCI version (OIG 12.2.1.4 V10) which occurs due to changes in NGINX controller…

Недавно при разворачивании OIG V10 (на текущий момент последняя версия) на OCI я столкнулся с ошибкой, симптомы которой – при обращении к IP Load Balancer’а не найдены все URL типа /console, /identity, /em и прочие, ошибка в браузере выглядит как 404 File not Found (nginx). Ошибка оказалась связана с последними изменениями в NGINX, в результате которых не сработали скрипты. Кстати, предыдущая V9 не будет работать из-за несовместимости версий менеджера пакетов Kubernetes Helm Chart и самой платформы Kubernetes, так что сейчас нужно использовать именно V10. Найденное решение (спасибо Игорю Минееву) – под катом, может кому поможет.

FAQ: OIM коннектор для MS Exchange перестал работать после установки патча KB5001779 на Exchange

Short intro: here you can find a FAQ answer – what should you do if OIM connector for MS Exchange no longer works after applying KB5001779 patch on Exchange…

Как вы знаете, все системы рано или поздно подвержены обновлениям, и иногда эти обновления приводят к неработоспособности проведенных ранее интеграций. Так, после установки патча KB5001779 на MS Exchange 2019 перестал работать коннектор Oracle Identity Manager Connector for MS Exchange. Что делать – под катом.

FAQ: OIM12cPS4 & IDCS Workshop – устарели пароли пользователей СУБД, что делать

Short intro: here you can find a FAQ answer – how to deal with issue of DB password expirations on training VM…

Тем из вас, кто скачал и работает с виртуальной машиной тренинга OIM12cPS4 Workshop, будет полезно узнать, что пароль к СУБД для многих пользователей устарели / скоро устареют. Самое простое (учитывая, что машина используется в образовательных целях, не в целях продуктива) - установить UNLIMITED время жизни пароля для профиля DEFAULT и сменить пароль для пользователей со статусом EXPIRED (Grace) в то же значение, что и раньше (Oracle123). Подробнее – под катом.

FAQ: как удаленно получить образ OCI для тренинга по OIM12cPS4 & IDCS?

Short intro: here you can find instructions – how to remotely obtain OCI image for OIM12cPS4 & IDCS Workshop…

В настоящее время все уходит в сторону удаленной работы и встречам через Zoom / Webex, поэтому если вы хотите выполнить самостоятельно лабораторные работы OIM12cPS4 & IDCS Workshop, то нет необходимости приезжать лично за образом OCI. Как получить образ удаленно и создать на его основе Compute Instance в OCI, расскажу под катом. Предполагается, что у вас есть аккаунт (хотя бы Trial) в Oracle Cloud. Как его получить, рассказано в Lab 0.1 тренинга.

FAQ: OIM11.1.2.3 – 12.2.1.3 – неверно заполняется поле Entitlement Name в Resource History

Short intro: here you can find review of a common issue with incorrectly filled Entitlement name field in the Resource History for OIM 11.1.2.3 – 12.2.1.3…

Q: Я провел обновление OIM (накатил BP , обновил до 12.2.1.3 и т.д.), в Resource History появилось новое поле Entitlement Name, которое неверно заполняется значениями из других справочных таблиц дочерних форм процесса.

За два дня образовалось несколько таких вопросов, оказалось, что это общая проблема, я решил в ней разобраться. Ответ – под катом.

P.s. спасибо всем приехавшим в наш неблизкий офис сегодня, уверен, всем было интересно (по крайней мере мне точно), спасибо Павлу за выступление. Анонс новой, традиционной вечерней встречи – скоро.

FAQ: где найти информацию (и отчеты) по соответствии сервисов Oracle Cloud на PCI DSS, ISO27001 и прочим стандартам?

Short intro: here you can find info where to find current certification of oracle Cloud services against PCI DSS, ISO27001 and other international standards…

В последние месяцы спрашивают, где можно найти информацию и отчеты по сертификации сервисов Oracle Cloud на соответствие международным стандартам в области информационной безопасности. В российских условиях заказчиков в первую очередь преимущественно интересуют PCI DSS и ISO27001. Ответ – под катом.

FAQ: работа с IDCS через REST API из Java

Short intro: here you can find an example - how to work with IDCS (receive oauth token, query for users and group) from Java using Jersey lib

Пришлось разобраться с тем, как работать с Identity Cloud Service REST API из Java. Несмотря на то, что IDCS REST API хорошо документирован, а работа с API хорошо описана в соответствующих обучающих материалах и имеется коллекция REST запросов для Postman, мне пришлось немного поработать, чтобы "подружить" IDCS REST API с Java при помощи библиотек Jersey для вызова REST сервисов. Под катом - пример Java программы с комментариями.

FAQ: OIM 11gR2PS3 / 12c - аудит назначения административных ролей

Short intro: here you can find FAQ answer about auditing of administrative role assignment in OIM11gR2PS3 / 12c…

Q: Наша служба ИБ требует аудита назначения полномочий внутри Oracle Identity Manager, какие возможности предоставляет продукт?

Этот элементарный вопрос потребовал некоторого исследования, ни в AUDIT_EVENT_* ни в UPA_* таблицах ничего не нашлось. Ответ - под катом.

Установка OIM12c - ошибка "Views\Synonyms required for XA transaction support are missing" при запуске RCU

Short intro: here you can find a FAQ answer about common RCU issue when installing OIM12c...

Уже не помню, кто меня спрашивал (видимо, они уже решили этот вопрос без моей помощи), но вот и я наткнулся на эту ошибку. А именно, при установке OIM 12c (12.2.1.3.0) запуск утилиты RCU дает следующую ошибку:

ERROR - RCU-6083 Prerequisite check failed for selected component:
CAUSE - RCU-6083 Prerequisite check failed for selected component.
ACTION - RCU-6083 Refer to the RCU logs for additional details. Make sure that the prerequisite requirements are met.OIM
Refer to RCU log at C:\Users\Administrator\AppData\Local\Temp\RCU2017-11-24_05-44_1628611847\logs\rcu.log for details.
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  Error: Views\Synonyms required for XA transaction support are missing in this Database 12c.
         These views\synonyms are required by the OIM Schema.
  Action: Refer Oracle Database Administrator's Guide to install XA transaction recovery views\synonyms
  using the script xaview.sql. Contact your DBA.
          For Database12c CDB config: execute xaview.sql from PDB SYS user
          For Database12c NON-CDB config: execute xaview.sql from CDB SYS user
  ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

ERROR - RCU-6092 Components are not selected properly.
CAUSE - RCU-6092 Component Selection validation failed. Refer to log at C:\Users\Administrator\AppData\Local\Temp\RCU2017-11-24_05-44_1628611847\logs\rcu.log for details.
ACTION - RCU-6092 Select one or more components to continue.

Решение - под катом.

FAQ: Коннектор OIM к IDCS

Short intro: here you can find a short news about recently released OIM connector for IDCS (Identity Cloud Services)...

Меня спрашивали в последнее время про коннектор OIM к IDCS (Identity Cloud Service, облачный сервис обеспечения доступа к приложениям от Oracle). Ну так вот, этот коннектор недавно вышел, хоть я и как-то упустил этот момент. Поэтому хочется это исправить и разместить под катом линк на документацию и на страницу со всеми коннекторами OIM.

FAQ: OIM vs Identity Governance Suite - функциональность

Short intro: here you can find a short doc (in Russian) which describes functional differences between Identity Manager & Identity Governance Suite...

Я все чаще сталкиваюсь с вопросом от начинающих знакомство с IDM от Oracle (а иногда и от опытных людей также) - в чем разница в функционале Oracle Identity Manager и Oracle Identity Governance? Когда-то давно мы набросали короткий документ с описанием различий, который имеет смысл выложить здесь. Линк на документ - под катом.

Update: обновил линк. Первый был неверный.

FAQ: гда найти описание схемы БД для OIM 11gR1 и 11gR2?

Short intro: here you can find a howto to find OIM DB Schema description....

Q: Я видел на вашем блоге описание схемы хранения данных для OIM 9,X (http://www.easyoraidm.ru/2011/02/oracle-identity-manager-9x.html), где мне найти описание схемы хранения данных для более поздних версий OIM? Ответ - под катом.

FAQ: поддержка новых алгоритмов шифрования в OS Solaris 10 и коннектор OIM Unix SSH 9.0.4

Short intro: here you can find answer about new & deprecated ciphers on OS Solaris 10 & compatibility with old OIM connectors version 9.0.4.X...

Q: Я использую OIM 11gR2PS1 и коннекторы к Unix SSH/Telnet весрии 9.0.4.Х. Не так давно мы накатили новый патч на ОС Solaris 10, который убрал ранее используемые алгоритмы шифрования, "ciphers" (3des-cbc,blowfish-cbc) из конфигурации и дополнил новыми (Aes128-ctr, aes192-ctr, aes256-ctr, arcfour128, arcfour256,arcfour). После чего перестал работать коннектор OIM к Unix SSH/Telnet 9.0.4.X. Количество серверов с ОС Solaris 10 в компании велико и не представляется возможным на каждом из них вернуть обратно в конфигурации сервера.

FAQ: О политике исправления ошибок релизов (Error Correction Support Policy) IAM и необходимости перехода на новые патчсеты

Short intro: here you can find info about error correction policy for IAM releases and why do you need to upgrade to the latest patchset…

Q: Мы работаем на релизе OIM 11.1.2.1 (11gR2 patchset 1), в соответствии с Oracle Lifetime Support Policy, поддержка распространяется на релизы (R2 в данном случае), но не на патчсеты. Как обосновать переход на новые патчсеты с точки зрения поддержки продукта?

FAQ: список поддерживаемых языков в UI OIM11gR2PS3

Short intro: here you can find answer to frequently asked question about supported languages in OIM UI...

Q: Какие языки имеют встроенную поддержку в UI Oracle Identity Manager 11gR2PS3 (11.1.2.3.X) для Self-Service консоли и Sysadmin?

Ответ - под катом.

FAQ: Документ по тюнингу реконсиляции для OIM11gR1-R2

Short intro: here you can find link to support doc for tuning reconciliation performance in OIM 11gR1-R2...

Q: У нас полная реконсиляция с AD выполняется уже более суток и со временем замедляется. Подскажите, где найти документ по оптимизации производительности.

Ответ - под катом.

FAQ: О поддержке релизов Oracle Identity & Access Management 11gR1 (или почему нужно мигрировать на актуальные версии)

Short intro: here you can find info, related to Oracle Lifetime Support policies (in general) and applied to Oracle Identity & Access Management Products in particular…

В последнее время часто приходится сталкиваться с вопросами наподобие «Мы используем релиз OIM 11gR1 (11.1.1.5.X) и платим за техническую поддержку, что мы за нее можем получить и как долго еще будут выпускаться обновления для нашей версии ПО?». Поддержка продуктов регламентируется политикой Oracle Lifetime Support, ссылки на которую с моими комментариями можно найти ниже под катом.

FAQ: как найти последние Bundle patches для Oracle Identity Manager разных релизов

Short intro: here you can find info regarding the question how to find the latest OIM bundle patch for different releases, and some words regarding overall support / patch policies to justify migration to the latest releases...

Q: Как найти последние Bundle Patches для моей версии релиза Oracle Identity Manager (11.1.2.3, 11.1.2.2, 11.1.2.1, 11.1.2.0 и т.д.)? Когда перестают выпускаться патчи?

Ответ - под катом.