Oracle Cloud Infrastructure - Dokumentation

Identitätsdomainintegration

Mit der Identitätsdomainintegration können OCI-Identitätsdomainbenutzer auf Big Data Service 3.0.29 oder höher zugreifen. Durch die Integration der Identitätsdomain können Big Data Service 3.0.29- oder höherclusterbenutzer auch auf OCI-Services zugreifen.

Dieser Zugriff wird aktiviert, indem die Benutzer-/Gruppensynchronisierung zwischen Identitätsdomain und einem Big Data Service-Cluster unterstützt wird, einschließlich der Unterstützung für den Austausch von Benutzer-Principal-Sessiontoken mit Kerberos-Token.

Voraussetzungen

Bevor Sie mit der Identitätsdomainkonfiguration fortfahren, stellen Sie sicher, dass die folgenden Voraussetzungen erfüllt sind.

  • Mindestversionsanforderung:
    • Big Data Service 3.0.29 und höher
    • ODH 2.0.10 und höher
  • Clusterkonfiguration muss hochverfügbar sein.
  • Voraussetzungen für den Austausch von UPST-Token gegen Kerberos-Token:
    • Der Big Data Service-Benutzer, der dieses Feature aktiviert, muss über die Administratorberechtigung in der Identitätsdomain verfügen, um in das Big Data Service-Cluster integriert werden zu können.
    • Benutzer müssen OCI-Vault- und Masterverschlüsselungsschlüssel im Vault der Schlüsselausprägung AES haben, um das von diesem Feature verwendete Secret zu speichern.
    • Der Benutzer, der die UPST-Konfiguration erstellt, muss die Berechtigung haben, ein Secret im Vault zu erstellen.
    • Die konfigurierte Identitätsdomain muss über die Berechtigung zum Lesen von Secrets im konfigurierten Vault verfügen.

      Beispiel: allow resource domain <identity-domain> to read secret-family in tenancy where all {target.vault.id = '<vault-id>'}.

    • Policy für Benutzer zum Lesen des Objektspeicher-Buckets.

      Beispiel: allow group <domain_name>/<group_name> to manage objects in compartment ABC.

  • Anforderungen für die Benutzersynchronisierung mit Oracle Identity Cloud Service (IDCS):
    • Clusterversion muss IDCS 3.0.30 oder höher sein.
    • IDCS-Anwendung, die für das Benutzersynchronisierungsfeature integriert wird, erfordert die Rolle "Identitätsdomainadministrator" der Anwendung
    • Für die IDCS-Anwendung, die für das Benutzersynchronisierungsfeature integriert wird, muss für die Anwendung der Autorisierungsberechtigung "Clientzugangsdaten" aktiviert sein.
    • Big Data Service-Cluster kann nicht in Active Directory integriert werden.