Mit Microsoft Active Directory föderieren

Schritt 1: Erforderliche Informationen von Active Directory Federation Services abrufen

Zusammenfassung: Rufen Sie das SAML-Metadatendokument und die Namen der Active Directory-Gruppen ab, die Sie Oracle Cloud Infrastructure Identity and Access Management-Gruppen zuordnen möchten.

1. Suchen Sie das SAML-Metadatendokument für den AD FS-Föderationsserver. Standardmäßig befindet es sich unter dieser URL:

   https://<yourservername>/FederationMetadata/2007-06/FederationMetadata.xml

   Laden Sie dieses Dokument herunter, und notieren Sie sich dessen Speicherort. Sie laden dieses Dokument im nächsten Schritt in die Konsole hoch.

2. Notieren Sie sich alle Active Directory-Gruppen, die Sie Oracle Cloud Infrastructure IAM-Gruppen zuordnen möchten. Diese müssen Sie im nächsten Schritt in die Konsole eingeben.

Schritt 2: Active Directory als Identitätsprovider in Oracle Cloud Infrastructure hinzufügen

Zusammenfassung: Fügen Sie den Identitätsprovider Ihrem Mandanten hinzu. Sie können die Gruppenzuordnungen gleichzeitig einrichten oder sie später einrichten.

1. Gehen Sie zur Konsole, und melden Sie sich mit Ihrer Oracle Cloud Infrastructure-Anmeldung und Ihrem Kennwort an.
2. Öffnen Sie das Navigationsmenü, und klicken Sie auf Identität und Sicherheit. Klicken Sie unter Identität auf Föderation.
3. Klicken Sie auf Identitätsprovider hinzufügen.

4. Geben Sie Folgendes ein:

   1. Anzeigename: Ein eindeutiger Name für diese Föderationsvertrauensstellung. Dieser Name wird föderierten Benutzern angezeigt, wenn sie den Identitätsprovider auswählen, über den sie sich in der Konsole anmelden möchten. Der Name muss für alle Identitätsprovider, die Sie dem Mandanten hinzufügen, eindeutig sein. Sie können diese Angabe später nicht ändern.
   2. Beschreibung: Eine aussagekräftige Beschreibung.
   3. Typ: Wählen Sie "Microsoft Active Directory Federation Service-(ADFS-) oder SAML 2.0-konformer Identitätsprovider" aus.
   4. XML: Laden Sie die Datei "FederationMetadata.xml" hoch, die Sie aus Azure AD heruntergeladen haben.
   5. Klicken Sie auf Erweiterte Optionen anzeigen.

   6. Assertion verschlüsseln: Wenn Sie das Kontrollkästchen aktivieren, wird der IAM-Service informiert, dass er die Verschlüsselung von IdP erwarten kann. Aktivieren Sie dieses Kontrollkästchen nur, wenn Sie die Assertion-Verschlüsselung in Azure AD aktiviert haben.

      Um die Assertion-Verschlüsselung für diese Single-Sign-On-Anwendung in Azure AD zu aktivieren, richten Sie das SAML-Signaturzertifikat in Azure AD ein, um die SAML-Antwort und -Assertion zu signieren. Weitere Informationen finden Sie in der Azure AD-Dokumentation.

   7. Authentifizierung erzwingen: Standardmäßig aktiviert. Wenn diese Option ausgewählt ist, müssen Benutzer ihre Zugangsdaten für den IdP (erneute Authentifizierung) angeben, selbst wenn sie bereits bei einer anderen Session angemeldet sind.
   8. Klassenreferenzen für Authentifizierungskontext: Dieses Feld ist für Government Cloud-Kunden erforderlich. Wenn ein oder mehrere Werte angegeben sind, erwartet Oracle Cloud Infrastructure (die Relying Party), dass der Identitätsprovider bei der Authentifizierung des Benutzers einen der angegebenen Authentifizierungsverfahren verwendet. Die zurückgegebene SAML-Antwort vom IdP muss eine Authentifizierungsanweisung mit dieser Authentifizierungskontext-Klassenreferenz enthalten. Wenn der Authentifizierungskontext der SAML-Antwort nicht mit dem hier angegebenen Kontext übereinstimmt, lehnt der Oracle Cloud Infrastructure-Authentifizierungsservice die SAML-Antwort mit einer 400 ab. Im Menü sind mehrere allgemeine Authentifizierungskontext-Klassenreferenzen aufgelistet. Um eine andere Kontextklasse zu verwenden, wählen Sie Benutzerdefiniert aus, und geben Sie die Klassenreferenz manuell ein.
   9. Wenn Sie über Berechtigungen zum Erstellen einer Ressource verfügen, sind Sie auch berechtigt, Freiformtags auf diese Ressource anzuwenden. Um ein definiertes Tag anzuwenden, benötigen Sie die Berechtigungen zum Verwenden des Tag-Namespace. Weitere Informationen zum Tagging finden Sie unter Ressourcentags. Wenn Sie nicht sicher sind, ob Sie Tags anwenden sollen, überspringen Sie diese Option, oder fragen Sie einen Administrator. Sie können Tags später anwenden.
5. Klicken Sie auf Weiter.

6. Richten Sie die Zuordnungen zwischen Active Directory-Gruppen und IAM-Gruppen in Oracle Cloud Infrastructure ein. Eine bestimmte Active Directory-Gruppe kann null, einer oder mehreren IAM-Gruppen zugeordnet werden und umgekehrt. Jedoch besteht jede einzelne Zuordnung nur zwischen einer einzelnen Active Directory-Gruppe und einer einzelnen IAM-Gruppe. Änderungen an Gruppenzuordnungen werden im Allgemeinen innerhalb weniger Sekunden in der Hauptregion wirksam. Es kann jedoch mehrere Minuten dauern, bis sie an alle Regionen propagiert wurden.

   Hinweis
   
   

   Wenn Sie die Gruppenzuordnungen jetzt nicht einrichten möchten, können Sie einfach auf Erstellen klicken und die Zuordnungen später hinzufügen.

   So erstellen Sie eine Gruppenzuordnung:

   1. Geben Sie unter Identitätsprovidergruppe den Active Directory-Gruppennamen ein. Sie müssen den Namen genau eingeben, einschließlich der korrekten Groß- und Kleinschreibung.

      Wählen Sie die IAM-Gruppe, der Sie diese Gruppe zuordnen möchten, in der Liste unter OCI-Gruppe aus.

      Tipp
      
      Voraussetzungen für IAM Gruppennamen: Keine Leerzeichen. Zulässige Zeichen: Buchstaben, Zahlen, Bindestriche, Punkte, Unterstriche und Pluszeichen (+). Der Name kann später nicht mehr geändert werden.
   2. Wiederholen Sie die oben genannten Teilschritte für jede zu erstellende Zuordnung, und klicken Sie dann auf Erstellen.

Der Identitätsprovider wird jetzt Ihrem Mandanten hinzugefügt und in der Liste auf der Seite Föderation angezeigt. Klicken Sie auf den Identitätsprovider, um die zugehörigen Details und die Gruppenzuordnungen anzuzeigen, die Sie gerade eingerichtet haben.

Oracle weist dem Identitätsprovider und jeder Gruppenzuordnung eine eindeutige ID zu, die als Oracle Cloud-ID (OCID) bezeichnet wird. Weitere Informationen finden Sie unter Ressourcen-IDs.

In Zukunft können Sie die Seite Föderation aufrufen, wenn Sie die Gruppenzuordnungen bearbeiten oder den Identitätsprovider aus Ihrem Mandanten löschen möchten.

Schritt 3: URL zum Oracle Cloud Infrastructure-Föderations-Metadatendokument kopieren

Zusammenfassung: Auf der Seite "Föderation" wird ein Link zum Oracle Cloud Infrastructure-Föderations-Metadatendokument angezeigt. Bevor Sie Active Directory Federation Services konfigurieren, müssen Sie die URL kopieren.

1. Klicken Sie auf der Seite "Föderation" auf Dieses Dokument herunterladen.

2. Kopieren Sie die URL. Die URL sieht in etwa wie folgt aus:

   https://auth.r2.oracleiaas.com/v1/saml/ocid1.tenancy.oc1..aaaaaaaaqdt2tvdmhsa3jmvc5dzulgs3pcv6imfwfgdya4aq/metadata.xml

Schritt 4: In Active Directory Federation Services Oracle Cloud Infrastructure als vertrauenswürdige Relying Party hinzufügen

1. Gehen Sie zur AD FS-Verwaltungskonsole, und melden Sie sich bei dem Account an, den Sie föderieren möchten.

2. Fügen Sie Oracle Cloud Infrastructure als vertrauenswürdige Relying Party hinzu:

   1. Klicken Sie in der AD FS-Verwaltungskonsole mit der rechten Maustaste auf "AD FS", und wählen Sie Add Relying Party Trust aus.

   2. Klicken Sie im Add Relying Party Trust Wizard auf Start.

   3. Wählen Sie Import data about the relying party published online or on a local network aus.

      Fügen Sie die URL zum Oracle Cloud Infrastructure-Föderations-Metadatendokument ein, die Sie in Schritt 3 kopiert haben. Klicken Sie auf Next.

      AD FS stellt eine Verbindung zur URL her. Wenn beim Lesen des Föderations-Metadatendokuments ein Fehler auftritt, können Sie alternativ das XML-Dokument mit den Oracle Cloud Infrastructure-Föderationsmetadaten hochladen.

      So laden Sie das Föderations-Metadatendokument hoch

      1. Fügen Sie in einem Webbrowser die URL zum Oracle Cloud Infrastructure-Föderations-Metadatendokument in die Adressleiste ein.
      2. Speichern Sie das XML-Dokument an einem Speicherort, auf den Sie über die AD FS-Verwaltungskonsole zugreifen können.
      3. Wählen Sie im Add Relying Party Trust Wizard im Schritt Select Data Source die Option Import data about the relying party from a file aus.
      4. Klicken Sie auf Browse, und wählen Sie die Datei "metadata.xml" aus, die Sie gespeichert haben.
      5. Klicken Sie auf Next.

   4. Legen Sie den Anzeigenamen für die Relying Party (z.B. Oracle Cloud Infrastructure) fest, und klicken Sie dann auf Next.

   5. Wählen Sie I don't want to configure multifactor authentication settings for this relying party trust at now aus.

   6. Wählen Sie die entsprechenden Ausstellungsautorisierungsregeln aus, um den Zugriff auf die Relying Party für alle Benutzer zuzulassen oder abzulehnen. Wenn Sie "Deny" auswählen, müssen Sie später die Autorisierungsregeln hinzufügen, um den Zugriff für die entsprechenden Benutzer zu erlauben.

      Klicken Sie auf Next.

   7. Prüfen Sie die Einstellungen, und klicken Sie auf Next.
   8. Aktivieren Sie die Option Open the Edit Claim Rules dialog for this relying part trust when the wizard closes, und klicken Sie dann auf Close.

Schritt 5: Anspruchsregeln für die Relying Party von Oracle Cloud Infrastructure hinzufügen

Zusammenfassung: Fügen Sie die Anspruchsregeln hinzu, sodass die für Oracle Cloud Infrastructure erforderlichen Elemente (Namens-ID und Gruppen) der SAML-Authentifizierungsantwort hinzugefügt werden.

Namens-ID-Regel hinzufügen:

1. Wählen Sie im Add Transform Claim Rule Wizard die Option Transform an Incoming Claim aus, und klicken Sie auf Next.

2. Geben Sie Folgendes ein:

   • Claim rule name: Geben Sie einen Namen für diese Regel ein, z.B. "nameid".
   • Incoming claim type: Wählen Sie den Windows-Accountnamen aus.
   • Outgoing claim type: Wählen Sie die Namens-ID aus.
   • Outgoing name ID format: Wählen Sie "Persistent Identifier" aus.
   • Wählen Sie Pass through all claim value aus.
   • Klicken Sie auf Finish.
3. Die Regel wird in der Liste der Regeln angezeigt. Klicken Sie auf Add Rule.

Gruppenregel hinzufügen:

Schritt 6: IAM-Policys für die Gruppen einrichten

Falls noch nicht geschehen, richten Sie IAM-Policys ein, um den Zugriff zu kontrollieren, den die föderierten Benutzer für die Oracle Cloud Infrastructure-Ressourcen Ihrer Organisation haben. Weitere Informationen finden Sie unter Erste Schritte mit Policys und Allgemeine Policys.

Schritt 7: Föderierten Benutzern den Namen des Mandanten und die URL für die Anmeldung bereitstellen

Geben Sie föderierten Benutzern die URL für die Oracle Cloud Infrastructure-Konsole, https://cloud.oracle.com, und den Namen Ihres Mandanten. Sie werden zur Eingabe des Mandantennamens aufgefordert, wenn sie sich in der Konsole anmelden.