Oracle通过SSL方式连接AD服务器

dongfangho

　　因公司业务需要，希望能将HR上的部门公司以及员工信息同步到AD服务器，以为其他应用系统做统一的域认证管理，因为用Java来实现比较麻烦，还要弄个web容器啥的，因此就决定直接在HR的数据库上写过程来同步了，因为希望同步过去的用户有默认密码，且账户是默认启用状态，因此需要通过ssl的方式来连接AD服务器，花了一些时间查找了一些资料（真尼玛不好找，baidu基本没有，***用Google搜的），现在把部分关键实现代码及注意事项记录下来。
　　【一】在Oracle服务器上创建Wallet
　　首先应该在ad服务器上导出一个扩展名为.cer的根证书，这一步骤请联系网管，此处不描述了。
　　登录Oracle所在服务器
　　su - oracle
　　mkdir /home/oracle/wallet
　　正式创建一个wallet对象，访问密码为wallet
　　orapki wallet create -wallet /home/oracle/wallet -pwd wallet
　　将ad服务器上导出的根证书，添加到wallet中
　　orapki wallet add -wallet /home/oracle/wallet -trusted_cert -cert /home/oracle/certnew.cer
　　【二】连接ldap服务器的部分代码, 其中 g_ 打头的变量，需要替换成你们自己的
　　procedure ldap_connect is
　　begin
　　dbms_ldap.USE_EXCEPTION := true;
　　-- 注意此处端口变量值应为636，因为我们要采用ssl连接，普通的连接设置为389即可
　　g_session := dbms_ldap.init(
　　hostname => g_ldap_host,
　　portnum => g_ldap_port
　　);
　　-- 通过wallet验证
　　g_return_value := dbms_ldap.open_ssl(
　　ld => g_session,
　　sslwrl => 'file:/home/oracle/wallet',                -- wallet地址
　　sslwalletpasswd => 'wallet',                         -- wallet验证密码
　　sslauth => 2
　　);
　　-- 记住这里的验证用户应该具有管理员权限，否则后面没有创建ou和user的权限
　　g_return_value := dbms_ldap.simple_bind_s(
　　ld => g_session,
　　dn => g_login_user,
　　passwd => g_login_password
　　);
　　exception
　　when others then
　　dbms_output.put_line(sqlcode || ':' || sqlerrm);
　　ldap_disconnect;
　　pkg_log.error('ldap_connect', '出错原因【SQLCODE='||sqlcode||' SQLERRM='||sqlerrm||'】');
　　end ldap_connect;
　　【三】创建用户时的注意点
　　这时在新建或者修改用户时，就可以正常变更密码(unicodePwd)以及账户控制(userAccountControl)属性了
　　但是设定unicodePwd时，要求的是binary格式的变量，部分代码如下
　　procedure ldap_add_user (
　　p_sn                  varchar2,
　　p_given_name          varchar2,
　　p_user_name           varchar2,
　　p_user_principal_name varchar2,
　　p_user_password       varchar2,
　　p_belong_ou           varchar2
　　) is
　　v_array             dbms_ldap.MOD_ARRAY := dbms_ldap.create_mod_array(10);
　　v_add_values        dbms_ldap.STRING_COLLECTION;
　　v_pwd_values        dbms_ldap.BERVAL_COLLECTION;
　　v_dn                varchar2(300);                     -- dn信息
　　begin
　　......
　　v_add_values(1) := '512';                                -- Normal Account
　　dbms_ldap.populate_mod_array(
　　modptr => v_array,
　　mod_op => dbms_ldap.MOD_ADD,
　　mod_type => 'userAccountControl',
　　modval => v_add_values
　　);
　　v_pwd_values(1) := UTL_RAW.cast_to_raw(convert('"'||p_user_password||'"', 'AL16UTF16LE'));
　　dbms_ldap.populate_mod_array(
　　modptr => v_array,
　　mod_op => dbms_ldap.MOD_ADD,
　　mod_type => 'unicodePwd',
　　-- 这里的参数名一定要是modbval, 否则会编译不过去, 如果采用plsql dev工具自动提示带出来的参数就是modval, 这个坑折腾我老久了
　　modbval => v_pwd_values
　　);
　　......
　　end;