Aprovisionamiento JIT de Entra ID a OCI IAM
En este tutorial, configurará el aprovisionamiento justo a tiempo (JIT) entre la consola de OCI y el identificador interno, utilizando el identificador interno como IdP.
Puede configurar el aprovisionamiento de JIT para que se puedan crear identidades en el sistema de destino durante el tiempo de ejecución, a medida que realizan una solicitud de acceso al sistema de destino.
En este tutorial se tratan los siguientes pasos:
- Configure el ID de Entra IdP en OCI IAM para JIT.
- Actualice la configuración de la aplicación de OCI IAM en el ID Entra.
- Pruebe que puede aprovisionar desde Entra ID a OCI IAM.
Este tutorial es específico de IAM con dominios de identidad.
Para realizar este tutorial, debe tener lo siguiente:
-
Una cuenta de pago de Oracle Cloud Infrastructure (OCI) o una cuenta de prueba de OCI. Consulte Cuenta gratuita de Oracle Cloud Infrastructure.
- Rol de administrador de dominio de identidad para el dominio de identidad de OCI IAM. Consulte Understanding Administrator Roles.
- Una cuenta de Entra ID con uno de los siguientes roles de Entra ID:
- Administración global
- Administrador de aplicación en la nube
- Administrador de aplicación
Además, debe haber completado el tutorial SSO Entre OCI y Microsoft Entra ID y recopilado el ID de objeto de los grupos que va a utilizar para el aprovisionamiento de JIT.
Para que el aprovisionamiento de JIT funcione, se deben configurar los atributos de SAML adecuados y necesarios, que se enviarán en la afirmación de SAML a OCI IAM mediante el ID de Entra.
- En el explorador, inicie sesión en el ID de Microsoft Entra utilizando la URL:
https://entra.microsoft.com
- Vaya a Aplicaciones empresariales.
- Haga clic en la aplicación Consola de Oracle Cloud Infrastructure.
- En el menú de la izquierda, haga clic en Single login.
- En la sección Atributos y reclamaciones, haga clic en Editar.
- Verifique que los atributos están configurados correctamente:
NameID
Email Address
First Name
Last Name
Si necesita nuevas reclamaciones, agréguelas.
- Anote todos los nombres de reembolso configurados. Por ejemplo,
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
es el nombre de reclamación de
First Name
. - Navegue a Grupos. Verá todos los grupos disponibles en Entra ID.
- Anote los ID de objeto de los grupos que desean formar parte de SAML para enviarlos a OCI IAM.
Configuraciones adicionales de ID interno
En En Entra ID, puede filtrar grupos según el nombre del grupo o el atributo sAMAccountName
.
Por ejemplo, supongamos que solo se debe enviar el grupo Administrators
mediante SAML:
- Haga clic en la reclamación de grupo.
- En Reclamaciones de grupo, expanda Opciones avanzadas.
- Seleccione Grupos de filtros.
- Para Atributo que coincida, seleccione
Display Name
. - Para Coincidir con, seleccione
contains
. - Para Cadena, proporcione el nombre del grupo, por ejemplo,
Administrators
.
- Para Atributo que coincida, seleccione
Esto ayuda a las organizaciones a enviar solo los grupos necesarios a OCI IAM desde Entra ID.
En OCI IAM, actualice el ID de Entra IdP para JIT.
-
Abra un explorador soportado e introduzca la URL de la consola:
- Introduzca su Nombre de cuenta de nube, también conocido como su nombre de arrendamiento, y haga clic en Siguiente.
- Seleccione el dominio de identidad que se utilizará para configurar SSO.
- Inicie sesión con su nombre de usuario y contraseña.
- Abra el menú de navegación y haga clic en Identidad y seguridad.
- En Identidad, haga clic en Dominios.
- Seleccione el dominio de identidad en el que ya ha configurado el ID de Entra como IdP.
- Haga clic en Seguridad en el menú de la izquierda y, a continuación, en Proveedores de identidad.
- Haga clic en Entra ID IdP.
- En la página Entra ID IdP, haga clic en Configure JIT.
- En la página de aprovisionamiento de configuración a tiempo (JIT):
- Seleccione Aprovisionamiento de Justo a Tiempo (JIT).
- Seleccione Crear un nuevo usuario de dominio de identidad.
- Seleccione Actualizar usuario de dominio de identidad existente.
- En Asignar atributos de usuario:
- Deje la primera fila de
NameID
sin cambios. - Para otros atributos, en atributo de usuario IdP, seleccione
Attribute
. - Proporcione el nombre de atributo de usuario IdP de la siguiente forma
- familyName:
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
- primaryEmailAddress:
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
- familyName:
- Haga clic en Agregar fila e introduzca:
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
.Para el atributo de usuario del dominio de identidad, seleccione
First name
.Nota
El nombre mostrado completo (FQDN) es de 1. Configure los atributos de SAML enviados por ID de Entra.
En este diagrama se muestra cómo deben ser los atributos de usuario de OCI IAM (a la derecha) y la asignación de atributos de usuario entre Entra ID y OCI IAM.
- Deje la primera fila de
- Seleccione Asignar asignación de grupo.
- Introduzca el nombre de atributo de afiliación de grupo:
http://schemas.microsoft.com/ws/2008/06/identity/claims/groups
. - Seleccione Definir asignaciones de miembros de grupo explícitas.
- En IdP Nombre de grupo, proporcione el ID de objeto del grupo en el ID Entra del paso anterior.
- En Nombre de grupo de dominios de identidad y seleccione el grupo en OCI IAM al que asignar el grupo Entra ID.
En este diagrama se muestra cómo deben ser los atributos de grupo de OCI IAM (a la derecha) y la asignación de atributos de grupo entre Entra ID y OCI IAM.
- En Reglas de asignación, seleccione lo siguiente:
- Al asignar miembros de grupo: Fusionar con miembros de grupo existentes
- Cuando no se encuentra un grupo: ignore el grupo que falta
Nota
Seleccione opciones según los requisitos de su organización. - Haga clic en Guardar cambios.
- En la consola Entra ID, cree un nuevo usuario con un ID de correo electrónico que no esté presente en OCI IAM.
-
Asigne el usuario a los grupos necesarios.
- En el explorador, abra la consola de OCI.
- Seleccione el dominio de identidad en el que se ha activado la configuración de JIT.
- Haga clic en Siguiente.
- En las opciones de conexión, haga clic en Entra ID.
- En la página de inicio de sesión de Microsoft, introduzca el ID de usuario recién creado.
- Al realizar la autenticación correcta desde Microsoft:
- La cuenta de usuario se crea en OCI IAM.
- El usuario está conectado a la consola de OCI.
- Seleccione el menú Perfil (
), que se encuentra en la parte superior derecha de la barra de navegación en la parte superior de la página y, a continuación, haga clic en Mi perfil. Compruebe las propiedades de usuario, como el ID de correo electrónico, el nombre, los apellidos y los grupos asociados.
¡Enhorabuena! Ha configurado correctamente el aprovisionamiento de JIT entre Entra ID y OCI IAM.
Para obtener más información sobre el desarrollo con productos Oracle, consulte estos sitios: