異なるクラウド・アカウントにまたがるサービス間のSSOの構成

2つの異なるクラウド・アカウントにまたがってサービスをデプロイすることがあります。シームレスなユーザー・エクスペリエンスを実現するために、これらの間にシングル・サインオン(SSO)を構成できます。

シナリオ例

Oracle Fusion Cloud Enterprise Performance ManagementサービスとFusion ERPサービスの両方にアクセスする必要があるユーザーがいますが、これらのサービスは2つの異なるOracle Cloudアカウントに分散しています。ユーザーは両方のアカウントに存在しますが、シームレスなサインオン・エクスペリエンスを実現するために、これらの環境間にSSOを設定する予定です。

Fusion ERPがアイデンティティ・プロバイダとして機能します
Cloud EPMがサービス・プロバイダとして機能します

このトピックでは、このシナリオのSSOを構成する方法について順を追って説明します:

ステップ1 - クラウド・アカウントごとに個別のセッションを開く

サブスクライブした各クラウド・アカウントのOracle Cloudコンソールにサインインします。

次の例では、Fusion ERPクラウド・アカウントにサインインします。同じステップに従って、Cloud EPMアカウントも開きます。

サインイン・ページで、「アイデンティティ・ドメインでサインイン」を選択します。テナンシおよびドメインの名前が正しいことを確認します。「次」をクリックします。
自分の資格証明を使用してサインインします。コンソールにアクセスするのに、多要素認証(MFA)が必要になる場合があります。多要素認証の有効化を参照してください。

認証に成功すると、Oracle Cloudコンソールが開きます。

ステップ2 - Fusion ERPクラウド・アカウント - Fusion ERPメタデータをダウンロードする

Fusion ERPクラウド・アカウントで、「ナビゲーション」メニューに移動し、アイデンティティを検索して、「ドメイン」を選択します。
Fusion ERPドメインを選択して、ドメインの詳細を表示します。
「フェデレーション」タブに移動します。
「SAMLメタデータのエクスポート」を選択します。
メタデータ・ファイルをダウンロードします。このファイルを使用して、EPMクラウド・アカウントでFusion ERPをIdPとして構成します。

ステップ3 - Cloud EPMアカウント - Fusion ERPをアイデンティティ・プロバイダとして構成する

Cloud EPMアカウントで、Fusion ERPサービスを信頼できるアイデンティティ・プロバイダとして構成します。

Cloud EPMアカウントで、「ナビゲーション」メニューに移動し、アイデンティティを検索して、「ドメイン」を選択します。
Cloud EPMドメインを選択して、ドメインの詳細ページを表示します。
「フェデレーション」タブに移動します。
「アクション」をクリックし、「SAML IdPの追加」を選択して、ワークフロー内のタスクを送信します。
タスク1 - 詳細の追加:
- 名前: SAML IdPの名前を入力します。
- (オプション)説明: IdPの説明を入力します。
- (オプション)「アイデンティティ・プロバイダ」アイコン: サポートされているイメージをドラッグ・アンド・ドロップするか、「1つを選択」をクリックしてイメージを参照します。
「次」をクリックします。
タスク2 - メタデータの交換:
1. 「IdPメタデータのインポート」を選択します。
2. 「ファイルをドロップするか選択」をクリックして、Fusion ERPからダウンロードしたメタデータ・ファイルをアップロードします。ステップ2 - Fusion ERPクラウド・アカウント - Fusion ERPメタデータをダウンロードするを参照してください
「次」をクリックします。
タスク3- ユーザー・アイデンティティのマップ。参照イメージに示すようにフィールドを構成します:
「次」をクリックします。
確認および作成ページで、入力した詳細を確認します。「IdPの作成」をクリックします。
Fusion ERPサービスが「フェデレーション」タブの「アイデンティティ・プロバイダ」の下にリストされます。
先ほど作成したFusion ERPサービス・アイデンティティ・プロバイダを選択して、詳細ページを開きます。
「サービス・プロバイダ・メタデータ」の横にある「ダウンロード」をクリックします。
下にスクロールし、「サービス・プロバイダ署名証明書」の横にある「ダウンロード」をクリックします。

ステップ4 - Fusion ERPクラウド・アカウント - Cloud EPMを統合アプリケーションとして追加する

「統合アプリケーション」タブに移動します。
「アプリケーションの追加」をクリックします。
アプリケーションの追加ページで、「SAMLアプリケーション」を選択します。
「ワークフローの起動」をクリックします。
名前およびその他の詳細を指定し、「送信」をクリックします。
SSOを構成します。
1. 「SAML SSO構成」タブに移動します。
2. 「SSO構成の編集」をクリックします。
3. 「一般」で、前のセクションでダウンロードしたサービス・プロバイダ・メタデータの値を入力します。ステップ3 - Cloud EPMアカウント - Fusion ERPをアイデンティティ・プロバイダとして構成するを参照してください。フィールドを次のようにマップします:
  - エンティティID - プロバイダID
  - アサーション・コンシューマのURL - アサーション・コンシューマ・サービスのURL
  - シングル・ログアウトURL - ログアウト・サービスのエンドポイントURL
  - ログアウト・レスポンスURL - ログアウト・レスポンスURL
4. 追加のSSO設定を構成します:
  - 名前IDフォーマット: 「未指定」を選択します
  - 名前IDの値: 「ユーザー名」を選択します
  - 署名証明書: 「サービス・プロバイダ・メタデータ」画面からダウンロードしたサービス・プロバイダ署名証明書をアップロードします。ステップ3 - Cloud EPMアカウント - Fusion ERPをアイデンティティ・プロバイダとして構成するを参照してください。
5. 「変更の保存」をクリックします。
ユーザーをアプリケーションに割り当てます。
1. 「ユーザー」タブに移動します。
2. 上部にある「アクション」をクリックし、メニューから「アクティブ化」を選択します。
3. 次に、「ユーザーの割当て」をクリックします。
4. このアプリケーションを割り当てるユーザーを検索して選択し、「割当て」をクリックします。

ステップ5 - Cloud EPMアカウント - SAML SSOを検証する

アイデンティティ・プロバイダでSAML SSOを検証します。
1. 上部にある「アクション」をクリックし、メニューから「ログインのテスト」を選択します。
2. 資格証明で認証して接続をテストします。
  成功すると、次のメッセージが表示されます: 「接続に成功しました。」
アイデンティティ・プロバイダをアクティブ化してアイデンティティ・ドメインで使用できるようにします。「アクション」をクリックし、メニューから「IdPのアクティブ化」を選択します。
次に、アイデンティティ・プロバイダをIdPポリシーに割り当てて、アイデンティティ・ドメインのサインイン・ページに表示されるようにします。
1. 「アクション」をクリックし、メニューから「IdPポリシーに追加」を選択します。
2. 下にスクロールし、「アイデンティティ・プロバイダ・ポリシー」で、割り当てるポリシーを選択します。
3. デフォルト・アイデンティティ・プロバイダ・ポリシーをクリックします。
4. 「アイデンティティ・プロバイダ・ルール」タブに移動します。
5. IdPルールの横にある省略記号をクリックし、「IdPルールの編集」を選択します。
6. アイデンティティ・プロバイダ・ルールの編集ページの「アイデンティティ・プロバイダの割当て」ドロップダウンで、「Fusion ERP IdP」および「ユーザー名とパスワード」を選択します。
7. 「変更の保存」をクリックします。
上部にある「プロファイル」アイコンをクリックし、「サインアウト」を選択します。
Cloud EPMアカウントに再度サインインします。「Fusion ERP IdP」ボタンが下部に表示されます。

ステップ6 - SSOをテストする

Fusion ERPアカウントとCloud EPMアカウントの両方からサインアウトし、ブラウザを閉じます。
まず、Fusion ERPクラウド・アカウントにサインインします。
次に、Cloud EPMのURLを別のタブで開きます。
Cloud EPMのサインイン・ページで、「Fusion ERP IdP」をクリックします。
資格証明を再入力しなくても自動的に認証され、Cloud EPM環境にリダイレクトされます。

Fusion ERP IdPを介してサインインに成功した場合、Fusion ERPアカウントとCloud EPMアカウントの間にSSOが構成されていることが確認されます。