Bereitstellen von Oracle Advanced Authentication auf Oracle Cloud Marketplace

Einführung

In diesem Tutorial erfahren Sie, wie Sie Oracle Advanced Authentication (OAA) und abhängige Produkte zu Evaluierungszwecken auf Oracle Cloud Marketplace bereitstellen.

Nach der Bereitstellung können Administratoren die Multifaktor-Authentifizierung (MFA) mit OAA für geschützte Oracle Access Management-(OAM-)Anwendungen bewerten.

Hinweis: Administratoren sollten Folgendes beachten:

OAA auf Oracle Cloud Marketplace wird in einem Kubernetes-(K8S-)Cluster mit der Oracle Kubernetes Engine (OKE) bereitgestellt. Beim Deployment auf Oracle Cloud Marketplace werden die folgenden Oracle-Produkte und -Komponenten bereitgestellt:

Die bereitgestellte Architektur sieht wie folgt aus:

Verfügbare Faktoren

Die folgenden Faktoren sind bei der OAA Marketplace-Bereitstellung ohne weitere Administratorkonfiguration verfügbar:

Die folgenden Faktoren erfordern eine zusätzliche Administratorkonfiguration nach dem Deployment, wenn sie für die Auswertung erforderlich sind:

Hinweis: In allen Fällen muss der Endbenutzer auf das Self-Service-Portal zugreifen, um die zu bewertenden Faktoren hinzuzufügen. Weitere Informationen zu Administrator- und Endbenutzeraufgaben finden Sie im Abschnitt Nächstes Tutorial.

Benutzer erstellt

Das Deployment erstellt die folgenden Benutzer in Oracle Unified Directory:

NFS-Volumes erstellt

Im Folgenden werden die NFS-Volumes aufgeführt, die vom Oracle Cloud Marketplace-Deployment für OAA erstellt wurden:

Auf diese Volumes kann über den Bastionknoten zugegriffen werden.

Weitere Informationen zu den NFS-Volumes und ihrem Inhalt finden Sie unter NFS-Volumes konfigurieren.

Typischer Endbenutzerablauf

Folgendes ist ein typischer Ablauf, der mit OAA auf Oracle Cloud Marketplace ausgewertet werden kann:

  1. Ein Endbenutzer, z.B. oaauser1, konfiguriert seine Faktoren für MFA im Self-Service Portal.
  2. Der Endbenutzer greift auf eine Seite (bank-emp.html) zu, die über OAM und eine OAA-MFA-Richtlinie geschützt ist.
  3. Der Endbenutzer wird zu OAM umgeleitet, um sich mit seinen Zugangsdaten anzumelden (oaauser1/<password>).
  4. OAM löst MFA basierend auf OAA-Richtlinien aus. Der Benutzer wird aufgefordert, die MFA- oder kennwortlose Authentifizierung mit einem der konfigurierten Faktoren abzuschließen.
  5. Nach erfolgreicher Authentifizierung wird die geschützte Seite angezeigt.

OCI-Anforderungen

Bevor Sie OAA auf Oracle Cloud Marketplace bereitstellen, benötigen Sie Administratorzugriff auf einen öffentlichen OCI-Mandanten.

Im Folgenden werden die Quotas angezeigt, die in Ihrer Availability-Domain für das Deployment von OAA erforderlich sind:

Hinweis: Optional: Es wird empfohlen, ein neues Compartment für das OAA-Deployment zu erstellen. Siehe Compartments erstellen.

So überprüfen Sie Ihre Quoten:

  1. Für OAA sind vier (4) oder mehr Compute Nodes für den Knotenpool und ein (1) Compute Node für die Bastion in der jeweiligen Availability-Domain erforderlich. So prüfen Sie, ob genügend Compute Nodes verfügbar sind:

    1. Greifen Sie auf die OCI-konsole zu, und greifen Sie auf das Navigationsmenü zu.
    2. Navigieren Sie zu Governance und Administration > Limits, Quota und Nutzung.
    3. Aktivieren Sie das Kontrollkästchen Veraltete Limits anzeigen.
    4. Wählen Sie im Dropdown-Menü SERVICE die Option Compute aus.
    5. Wählen Sie im Menü SCOPE die entsprechende Availability-Domain.
    6. Wählen Sie im Menü COMPARTMENT das COMPARTMENT root aus.
    7. Wählen Sie im Menü Ressource die zu prüfende Knotenausprägung aus. Sie müssen eine Ausprägung auswählen, die 8 CPU mit 64 GB RAM für den Knotenpool und 2 CPU und 16 GB RAM für die Bastion zulässt.
    8. Aktivieren Sie die Spalte Verfügbar, und stellen Sie sicher, dass ausreichend Berechnungen für die Knotenausprägung verfügbar sind, die Sie bereitstellen möchten.

Weitere Informationen zu den verfügbaren Compute-Ausprägungen finden Sie unter Compute-Ausprägungen.

  1. Für OAA müssen zwei (2) virtuelle Cloud-Netzwerkressourcen (VCN) im Mandanten verfügbar sein. So prüfen Sie, ob ausreichend VCN verfügbar ist:

    1. Wählen Sie im Dropdown-Menü SERVICE die Option Virtuelles Cloud-Netzwerk aus.
    2. Wählen Sie im Menü SCOPE Ihren Mandanten aus.
    3. Wählen Sie im Menü Ressource die Option Anzahl virtuelle Cloud-Netzwerke.
    4. Prüfen Sie die Spalte Verfügbar, und stellen Sie sicher, dass mindestens zwei (2) VCN verfügbar sind.

  2. Für OAA muss eine (1) 100Mbps Load Balancer-Ressource verfügbar sein:

    1. Wählen Sie im Dropdown-Menü SERVICE die Option LbaaS.
    2. Wählen Sie im Menü SCOPE Ihren Mandanten aus.
    3. Wählen Sie im Menü Ressource die Option 100Mbps Load Balancer-Anzahl.
    4. Prüfen Sie die Spalte Verfügbar, und stellen Sie sicher, dass mindestens ein (1) Load Balancer verfügbar ist.

  3. Für OAA muss ein (1) OKE-Cluster verfügbar sein:

    1. Wählen Sie im Dropdown-Menü SERVICE die Option Container Engine aus.
    2. Wählen Sie im Menü SCOPE Ihren Mandanten aus.
    3. Wählen Sie im Menü Ressource die Option Einfache Clusteranzahl.
    4. Aktivieren Sie die Spalte Verfügbar, und stellen Sie sicher, dass mindestens eine (1) verfügbar ist.

  4. Für OAA muss eine (1) Dateisystemressource und eine (2) Mountzielressourcen verfügbar sein:

    1. Wählen Sie im Dropdown-Menü SERVICE die Option File Storage.
    2. Wählen Sie im Menü SCOPE die Availability-Domain aus.
    3. Prüfen Sie die Spalte Verfügbar, und stellen Sie sicher, dass mindestens eine (1) Ressource für die Anzahl Dateisysteme verfügbar ist und zwei (2) Ressourcen für die Anzahl Mountziele verfügbar sind.

Weitere Informationen zu Ressourcen finden Sie unter Compartment-Quotas.

OAA auf Oracle Cloud Marketplace bereitstellen

  1. Zugang zu Oracle Cloud Marketplace.

  2. Suchen Sie nach der Liste Oracle Advanced Authentication, und wählen Sie sie aus.

  3. Prüfen Sie in der Liste "Oracle Advanced Authentication", ob die Versionsdetails die Version anzeigen: 12.2.1.4.1-<DATE>.

  4. Starten Sie die Installation in Ihrem Mandanten, indem Sie Anwendung abrufen auswählen.

  5. Melden Sie sich bei Ihrem Mandanten an.

  6. Wählen Sie oben rechts auf dem Bildschirm die OCI-Region aus.

  7. Wählen Sie das Compartment aus, in dem die OAA-Instanz bereitgestellt wird.

    Hinweis: Wählen Sie nicht das Standard-(Root-)Compartment aus.

    Stellen Sie sicher, dass Sie das Kontrollkästchen für die Vertragsbedingungen aktivieren.

  8. Klicken Sie auf Stack starten.

  9. Bearbeiten Sie im Fenster Stackinformationen den Namen entsprechend, und fügen Sie bei Bedarf eine Beschreibung hinzu. Klicken Sie anschließend auf Weiter.

  10. Geben Sie im Fenster Variablen konfigurieren die Variablen wie folgt ein, und klicken Sie auf Weiter:

    Mandantendetails:

    Name Datum
    Region Die Region muss der in der URL der OCI-Konsole angegebenen Region entsprechen.
    Availability Domain Die Availability-Domain, in der OAA bereitgestellt wird.

    Oracle Kubernetes Engine (OKE):

    Klicken Sie auf Erweiterte OKE-Optionen anzeigen:

    Name Datum
    OKE Nodepool Instance Shape Wählen Sie die Ausprägung für die Berechnung des Knotenpools aus, z.B. VM.Standard.E4.Flex.
    OCPU Count 8
    Memory 64 GB
    Size of the Node Pool Vier (4) oder mehr. Stellen Sie gemäß dem Abschnitt "OCI-Voraussetzungen" sicher, dass Sie die Verfügbarkeit der Compute-Ressourcen in der Availability-Domain prüfen, die für die Knotenpoolausprägung ausgewählt wurde. Beispiel: Wenn Sie vier (4) Knoten angeben, stellen Sie sicher, dass vier (4) Compute-Ressourcen der ausgewählten VM-Ausprägung verfügbar sind.

    Bastion - Compute Nodes:

    Name Datum
    Bastion Instance Shape Wählen Sie die Ausprägung für die Bastion aus. Beispiel: VM.Standard.E4.Flex. Prüfen Sie gemäß dem Abschnitt "OCI-Voraussetzungen" die Verfügbarkeit der Compute-Ressourcen in der Availability-Domain, die für den Bastionknoten ausgewählt wurde. Eine (1) Compute-Ressource der ausgewählten VM-Ausprägung ist erforderlich.
    OCPU Count 2
    Memory 16 GB
    Common Password Das allgemeine Kennwort für alle Komponenten. Das Passwort muss mit dem regulären Ausdruck übereinstimmen: ^[a-zA-Z0-9.\-/+=@_]*$|

    Die übrigen Variablen können ihren Default-Werten entsprechen.

  11. Prüfen Sie im Fenster Prüfen die Konfigurationsvariablen, und wählen Sie Erstellen aus.

    Dadurch wird ein Job ausgelöst, der in der OCI-Konsole angezeigt wird. Der Job wird als IN PROGRESS angezeigt. Details zum Deployment-Fortschritt werden im Abschnitt Logs unten auf dem Bildschirm angezeigt.

    Der Job sollte rund 90 Minuten in Anspruch nehmen. Sobald der Job erfolgreich war, wird der Jobstatus Erfolgreich angezeigt.

Öffentliche IP zur Datei mit den lokalen Hosts hinzufügen

In diesem Abschnitt finden Sie die öffentliche IP-Adresse des Load Balancers. Die IP-Adresse und der Hostname (login.example.com) werden dann der lokalen Hostdatei eines Computers hinzugefügt, der OAA auswerten muss.

  1. Greifen Sie auf die OCI-Konsole zu, und wählen Sie im Navigationsmenü Ressourcenmanager > Stacks.

  2. Wählen Sie das relevante Compartment in der Dropdown-Liste aus. Eine Liste der Stacks im Compartment wird angezeigt. Wählen Sie den gerade erstellten Stack aus. Beispiel: OAA.

  3. Klicken Sie auf den gerade ausgeführten Job. Klicken Sie im Abschnitt Ressourcen auf den Link Logs für den Job.

  4. Suchen Sie in der Logs-Ausgabesuche mit der Browsersuche nach der Zeichenfolge load_balancer_public_ip. Notieren Sie sich die öffentliche IP-Adresse des Load Balancers.

  5. Fügen Sie Ihrer lokalen Hostdatei einen Eintrag hinzu, um die Load-Balancer-IP dem definierten Hostnamen zuzuordnen. Dies muss auf allen Computern erfolgen, die OAA bewerten müssen.

    Hinweis: Sie müssen den unten aufgeführten Hostnamen verwenden:

    <LB_PUBLIC_IP> login.example.com

Trusted Certificate Authority herunterladen

In diesem Abschnitt laden Sie das Certificate-Authority-(CA-)Zertifikat herunter, das das Load Balancer-Zertifikat signiert hat. Anschließend importieren Sie das CA-Zertifikat in einen beliebigen Browser, der auf OAA zugreifen und diese testen muss.

Hinweis: Dies ist erforderlich, wenn Sie die OAA FIDO2-Authentifizierung testen und Zertifikatfehler im Browser beim Zugriff auf OAA- oder OAM-URLs verhindern müssen.

  1. Führen Sie den folgenden Befehl durch, um die Zertifikate abzurufen:

    openssl s_client -connect login.example.com:443 -showcerts </dev/null 2>/dev/null| sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > certs.pem

    Hinweis: Verwenden Sie Git Bash, um den obigen Befehl auszuführen, wenn er in einer Windows-Umgebung ausgeführt wird.

  2. Bearbeiten Sie certs.pem. Die certs.pem enthält zwei Zertifikate. Das oberste Zertifikat in der Datei ist das Load-Balancer-Zertifikat. Das untere Zertifikat in der Datei ist das CA-Zertifikat. Kopieren Sie das CA-Zertifikat (von -----BEGIN CERTIFICATE----- nach -----END CERTIFICATE-----).

  3. Erstellen Sie eine neue Datei oaamktplaceca.pem, fügen Sie das kopierte Zertifikat in diese Datei ein, und speichern Sie.

  4. Kopieren Sie die oaamktplaceca.pem auf einen Rechner, dessen Browser auf die OAA- und OAM-URLs zugreift.

  5. Importieren Sie das Zertifikat in den Trusted Certificate Authority-Speicher des Browsers. Weitere Informationen finden Sie in der Dokumentation Ihres Browsers.

Verbindung über SSH zum Bastionhost herstellen

So stellen Sie über SSH eine Verbindung zum Bastionhost her:

  1. Greifen Sie auf die OCI-Konsole zu, und wählen Sie im Navigationsmenü Ressourcenmanager > Stacks.

  2. Wählen Sie das relevante Compartment in der Dropdown-Liste aus. Eine Liste der Stacks im Compartment wird angezeigt. Wählen Sie den gerade erstellten Stack aus. Beispiel: OAA.

  3. Klicken Sie auf den gerade ausgeführten Job. Klicken Sie im Abschnitt Ressourcen auf den Link Status anzeigen für den Job.

  4. Suchen Sie im Fenster Status anzeigen mit der Browsersuche nach der Zeichenfolge ssh_to_bastion. Notieren Sie sich am Ende der Zeile value die IP-Adresse. Beispiel: opc@<bastion_ip>.

  5. Kopieren Sie die angezeigten Private-Key-Daten aus derselben Zeile value (von -----BEGIN RSA PRIVATE KEY---- in -----END RSA PRIVATE KEY-----\n). Erstellen Sie eine Datei, z.B. oaamktplace.key, und fügen Sie den kopierten Wert in die Datei ein, und speichern Sie:

    -----BEGIN RSA PRIVATE KEY-----\nXXXXXXXXXXXXYYYYYYYYYYYYYYPPPPPPPPPPP++YYYYY
YYYYTTTTTTTTTTT\IIIIIIIIIhhhhjjuuuuuu/VVVuuuuuuuuuuu908888/zdS1UCdLr/Q2q9yd12
etc.....................................................................
+Qjl5\nxOByCUtZ8TbRbQMgEA/6G6wzVQ+mjCPy0n0ykxhWaHVj22ytfxKtApNLjwhtlZm
\npD58jI0CgYEAv3GvEcfVPg92KmN8OH+hSrkLzz22bemNqioRvKi2mXBwfk0xu0kK\nvTdjVqwbD
lCeAhISJxXdsT3J83pyeaGm6TrxBwUptJ8SzlZgFptpJffE1acAq8m\nXd7RoF2rBqZ5HHYYYYYkl
kkk90zedjxPoJW6XxC3ljingatsgJzAixIMSc8=\n-----END RSA PRIVATE KEY-----\n

  6. Setzen Sie den folgenden Befehl ab, um die "\n" Zeichen zu entfernen und die Berechtigungen für die Datei zu ändern:

    sed -i 's/\\n/\n/g' oaamktplace.key

    chmod 400 oaamktplace.key

    Hinweis: Administratoren sollten Folgendes beachten:

    • Wenn Sie den Befehl in einer Windows-Umgebung ausführen, können Sie ihn mit einem Tool wie Git Bash ausführen oder alternativ die Schlüsseldatei in einem Texteditor bearbeiten und alle "\n" Zeichen entfernen.
    • Führen Sie unter Windows den Befehl chmod 400 nicht aus, sondern ändern Sie die Eigenschaften der Datei in schreibgeschützt.

    Öffnen Sie die Datei oaamktplace.key, und prüfen Sie, ob die Zeichen \n entfernt wurden.

  7. Stellen Sie mit der Private-Key-Datei eine Verbindung zum Bastionhost her:

    ssh -i oaamktplace.key opc@<bastion_ip>

    Die Anmeldung sollte erfolgreich sein.

OAA-Deployment validieren

In diesem Abschnitt prüfen Sie, ob alle Komponenten der OAA-Umgebung ordnungsgemäß ausgeführt werden und ob Sie auf die Administrationskonsolen und das Self-Service-Portal zugreifen können.

  1. Führen Sie in der SSH-Session auf dem Bastionhost den folgenden Befehl aus, um den Status der OAA-Pods zu prüfen:

    kubectl get pods -n oaans

    Die Ausgabe sollte wie folgt aussehen. Alle Pods müssen READY 1\1 und RUNNING lauten:

    NAME                                READY   STATUS    RESTARTS   AGE
edg-email-74766c4548-v58qd          1/1     Running   0          1h
edg-fido-6d45456459-pbjw6           1/1     Running   0          1h
edg-oaa-9c9bb4bf-r2fx9              1/1     Running   0          1h
edg-oaa-admin-ui-79866b8fdc-8lh4z   1/1     Running   0          1h
edg-oaa-drss-6b47b788b6-8xtlk       1/1     Running   0          1h
edg-oaa-kba-686c76679c-29nfl        1/1     Running   0          1h
edg-oaa-policy-6448db6fd8-bzjjb     1/1     Running   0          1h
edg-push-77dc7db499-rcgp4           1/1     Running   0          1h
edg-risk-59b856c99c-9qvhn           1/1     Running   0          1h
edg-risk-cc-6fb6d7b94c-7z8vq        1/1     Running   0          1h
edg-sms-688679d548-jlxpc            1/1     Running   0          1h
edg-spui-86dd46d59f-rtgpn           1/1     Running   0          1h
edg-totp-7f9db7894-mjx82            1/1     Running   0          1h
edg-yotp-7c88b7fff5-wjjm4           1/1     Running   0          1h
oaamgmt                             1/1     Running   0          1h

  2. Öffnen Sie einen Webbrowser auf Ihrem Computer und greifen Sie auf die folgenden Konsolen zu. Melden Sie sich mit dem entsprechenden Benutzernamen an. Verwenden Sie dazu die <COMMON_PASSWORD>, die Sie beim Deployment eingegeben haben. Melden Sie sich bei der Konsole ab, bevor Sie auf die nächste Konsole zugreifen:

    Konsole URL Benutzername
    OAM-Administrationskonsole https://login.example.com/oamconsole weblogic_iam
    OAA-Administrationskonsole https://login.example.com/oaa-admin/index.html oaaadmin
    OAA Self-Service-Portal https://login.example.com/oaa/rui oaauser1 - oaauser5

    Hinweis: Wenn Sie das CA-Zertifikat korrekt in den Browser importiert haben, dürfen keine Zertifikatfehler auftreten.

OAA-Stack zerstören oder löschen

Wenn Sie den OAA-Stack zum Bereinigen aus einem nicht erfolgreichen Deployment löschen oder den Stack vollständig löschen müssen, führen Sie die folgenden Schritte aus:

Hinweis: Die Schritte 1 und 2 unten sind möglicherweise nicht möglich, wenn das Deployment vor dem Erstellen des Bastionhosts nicht erfolgreich war oder invoke_oaa nicht ausgeführt wurde. Gehen Sie in beiden Fällen direkt zu Schritt 3.

  1. Stellen Sie über SSH eine Verbindung zum Bastionhost her, wie im Abschnitt Verbindung über SSH zum Bastionhost herstellen beschrieben.

  2. Führen Sie den folgenden Befehl auf dem Bastionhost aus:

    /home/opc/oaascripts/utils/delete_all.sh

  3. Navigieren Sie in der OCI-Konsole zu Entwicklerservices > Ressourcenmanager > Stacks.

  4. Suchen und klicken Sie auf den OAA-Stack.

  5. Klicken Sie auf der Seite Stackdetails auf Zerstören. Dadurch wird ein Zerstörungsjob gestartet, um den Stack zu zerstören.

  6. Wenn der Löschjob erfolgreich war und Sie den Stack vollständig löschen müssen, klicken Sie im Navigationspfad auf Stackdetails, und wählen Sie Weitere Aktionen > Stack löschen aus.

  7. Stellen Sie sicher, dass Cluster gelöscht werden, indem Sie zu Entwicklerservices > Kubernetes-Cluster (OKE) navigieren. Andernfalls löschen Sie die Cluster manuell.

  8. Wenn die Cluster beendet werden, müssen die Instanzen ebenfalls automatisch beendet werden. Navigieren Sie zu Compute > Instanzen, und prüfen Sie, ob die Instanzen gelöscht wurden. Wenn nicht gelöscht, beenden Sie diese manuell.

  9. Prüfen Sie den Load Balancer und den Dateispeicher, indem Sie zu Networking > Load Balancer navigieren. Wenn noch Ressourcen vorhanden sind, beenden Sie sie manuell.

  10. Prüfen Sie, ob die VCN endgültig gelöscht wurden, indem Sie zu Networking > Virtuelle Cloud-Netzwerke navigieren. Wenn sie nicht gelöscht werden, beenden Sie die VCNs manuell. Wenn Probleme beim Beenden des VCN auftreten, befolgen Sie den Abschnitt "Fehlerbehebung" unter Subnetz- oder VCN-Löschung.

  11. Prüfen Sie, ob die Identitäts-Policys entfernt wurden, indem Sie zu Identität und Sicherheit > Identität > Policys navigieren. Falls nicht zerstört, manuell löschen.

  12. Navigieren Sie zu Identität und Sicherheit > Identität > Domains. Wählen Sie das Root Compartment aus, und wählen Sie Ihre Domain aus. Klicken Sie auf Dynamische Gruppen, und prüfen Sie, ob die dynamischen Gruppen entfernt wurden. Falls nicht zerstört, löschen Sie es manuell.

  13. Wenn die oben genannten Schritte abgeschlossen sind, warten Sie einige Minuten, um sicherzustellen, dass alle Ressourcen bereinigt werden. Prüfen Sie dann die Limits, um sicherzustellen, dass diese Ressourcen jetzt frei sind, indem Sie zu Governance und Administration > Limits, Quota und Nutzung navigieren.

Nächste Anleitung

Informationen zum Testen des MFA-Ablaufs finden Sie unter Oracle Advanced Authentication konfigurieren und Endbenutzerablauf auf Oracle Cloud Marketplace validieren.

Feedback

Um Feedback zu diesem Tutorial zu geben, kontaktieren Sie idm_user_assistance_ww_grp@oracle.com.

Wenden Sie sich an Oracle Support, um technischen Support zu erhalten.

Danksagungen