Configurar Microsoft Azure EntraID para Oracle GoldenGate

Al crear el perfil de autorización, Oracle GoldenGate asigna los grupos de seguridad de ID de entrada en cuatro roles para la autorización: Seguridad, Administrador, Operador, Usuario. El usuario de ID de entrada que pertenece al grupo tiene el rol asignado correspondiente en Oracle GoldenGate.

En el portal EntraID de Microsoft Azure, realice las siguientes tareas para configurar los grupos de usuarios que se asignarían a Oracle GoldenGate:

  1. Cree el usuario y los grupos de seguridad adecuados en EntraID. Necesitará cuatro grupos de seguridad que se asignarán a los respectivos roles de usuario de Oracle GoldenGate (seguridad, administrador, operador, usuario). Puede seleccionar el nombre del grupo, según sea necesario.

    Microsoft EntraID crea grupos que se asignan a roles de usuario de Oracle GoldenGate.

  2. Seleccione Agregar, Aplicación Empresarial en la página Visión General.

    Agregue una nueva aplicación empresarial desde la consola EntraID.

  3. Seleccione Crear su propia aplicación.

    Seleccione Create your own application en el menú Overview EntraID del panel de navegación de la izquierda

  4. Asigne un nombre a la aplicación, seleccione Registrar una aplicación para integrarla con el ID de Microsoft Entra y seleccione Crear.

    Seleccione esta opción para registrar una aplicación empresarial con Microsoft EntraID para el perfil de autorización de Oracle GoldenGate

  5. Para registrar la aplicación, seleccione Cuentas en este directorio organizativo solamente (... - Inquilino único).

    img/entraid_registerapp_accountdirectory.png

  6. Vuelva a la página Visión general de ID de entrada, en Gestionar, seleccione Aplicaciones empresariales y busque el nombre de aplicación que ha creado anteriormente.

  7. En Cambiar, seleccione Usuarios y Grupos. Seleccione Agregar usuario/grupo.

    Adición de usuarios en función de grupos.

  8. Busque y seleccione los grupos que desea asignar a esta aplicación y asegúrese de que los grupos seleccionados aparecen en el panel de la derecha.

    Seleccione los grupos que se agregarán para la autorización.

  9. Seleccione todos los grupos y, a continuación, Seleccionar y seleccione Asignar.

    Nota: Asegúrese de asignar a esta aplicación todos los grupos de seguridad de ID adicional creados en los pasos anteriores.

    Asignar grupos a la aplicación GoldeNGate de Oracle

  10. (Opcional) Asigne los propietarios de la aplicación siguiendo estos pasos:

    1. En Gestionar, seleccione Propietarios.

    2. Haga clic en Agregar.

    3. Búsqueda y selección de propietarios.

    4. Asegúrese de que los propietarios seleccionados aparecen en el panel derecho.

  11. Registre la aplicación mediante la creación de secretos de cliente:

    1. Volver a la página Descripción general de Microsoft Entra ID

    2. Seleccione Registros de aplicación y, a continuación, seleccione Todas las aplicaciones.

      Acceda a la aplicación registrada para determinar sus detalles.

    3. Busque y seleccione el nombre de aplicación creado en el paso 2.

    4. Ahora, la aplicación muestra los detalles. Anote el ID de aplicación (cliente) y el ID de directorio (inquilino).

      Anote los detalles de la aplicación registrada que se muestran en la sección Detalles de la aplicación.

      Anote los valores de ID de cliente, ID de inquilino y Secreto de cliente. Estos valores se utilizarán al configurar el perfil de autorización en Oracle GoldenGate.

      El ID de inquilino se utiliza para construir el URI de detección de inquilinos, como se muestra en el siguiente ejemplo:

      https://login.microsoftonline.com/{tenantID}/v2.0/.well-known/openid-configuration

    5. En Administrar, seleccione Certificados y secretos

    6. Seleccione Secretos de cliente y, a continuación, seleccione Nuevo secreto de cliente.

      Agregue un secreto del cliente.

    7. Agregue una descripción y seleccione un período de caducidad.

    8. Haga clic en Agregar. Anote el valor secreto de cliente.

    Anote el valor del secreto de cliente que se muestra después de agregar el secreto de cliente.

  12. Cree la configuración de token para la aplicación de Oracle GoldenGate:

    1. En Gestionar, en el panel de navegación, seleccione Configuración de token.

    2. Seleccione Agregar reclamación de grupos, Grupos asignados a la aplicación (...) y Agregar.

      Crear una configuración de token

  13. Crear roles de aplicación de servicio GoldenGate:

    Crear roles de aplicación para el servicio de Oracle GoldenGate

    1. En Gestionar, en el panel de navegación, seleccione Roles de aplicación.

    2. Seleccione Crear rol de aplicación y especifique un nombre mostrado.

    3. En Tipos de miembros permitidos, seleccione Aplicaciones.

    4. Establezca Value en urn:ogg:serviceToService y rellene la descripción.

    5. Seleccione ¿Desea activar este rol de aplicación? y seleccione Aplicar.

  14. Agregue el permiso de API a los roles de aplicación de servicio GoldenGate y otorgue el consentimiento del administrador:

    Solicitar permisos de API para la aplicación

    1. En Gestionar, seleccione permisos de API.

    2. Seleccione Agregar un permiso.

    3. Seleccione API que utiliza mi organización.

    4. Busque la aplicación creada en el paso 2.

    5. Seleccione los permisos de aplicación.

    6. Seleccione urn:ogg:serviceToService y seleccione Agregar permisos.

      Agregue el permiso de API para la aplicación.

    7. El permiso debe aparecer en Permisos configurados.

      El permiso de API se agrega como una muestra en Permisos configurados.

    8. Seleccione urn:ogg:serviceToService.

    9. En la ventana emergente, observe que el consentimiento de administrador necesario se define en Yes.

      El consentimiento de administrador necesario se establece en Sí en urg:ogg:serviceToService.

  15. Agregue permisos de API de Microsoft Graph Application.ReadWrite.All a la aplicación y otorgue el consentimiento del administrador.

    1. Seleccione Agregar un permiso y, a continuación, seleccione Microsoft Graph en la ventana emergente.

      Agregue permisos y seleccione la opción de Microsoft Graph para comenzar a agregar permisos de aplicación.

    2. Seleccione Permisos de aplicación.

      Agregando los permisos Application.ReadWrite.All.

    3. Busque y seleccione Application.ReadWrite.All.

    4. Seleccione Agregar permisos.

    5. Realice los mismos pasos para otorgar consentimiento para urn:ogg:serviceToService pero para Application.ReadWrite.All.

  16. Actualice manualmente las propiedades de la solicitud de token en el manifiesto:

    Las siguientes opciones no están disponibles en otros menús, por lo que se deben configurar manualmente, como se muestra en la siguiente imagen:

    Actualización manual de la solicitud de token en el manifiesto.

    Actualización manual de la solicitud de token en el manifiesto.

    En Gestionar, seleccione Manifiesto.

    1. En JSON /optionalClaims/accessToken/additionalProperties, agregue el valor cloud_displayname.

    2. En el archivo JSON /optionalClaims/idToken/additionalProperties, agregue el valor cloud_displayname.

    3. En JSON /optionalClaims/saml2Token/additionalProperties, agregue el valor cloud_displayname.

    4. En JSON /api/requestedAccessTokenVersion, defina el valor en 2.

      Defina el valor de versión de la solicitud de token en 2

    5. Guarde el manifiesto.

      Guarde el manifiesto después de actualizar manualmente las propiedades de JSON.

  17. (Opcional) Cree la URL de redirección para la autenticación de aplicaciones.

    1. En Microsoft Entra ID, Aplicaciones empresariales, seleccione la aplicación que ha creado en el paso 2.

    2. En Gestionar, seleccione Propiedades y, a continuación, seleccione el enlace Registro de aplicación.

      A continuación se muestra una imagen para las propiedades de URL de redirección entraID

    3. En Administrar, seleccione Autenticación y, a continuación, seleccione Agregar una plataforma.

    4. Seleccione Web.

      Configure el URI de redirección.

  18. En el cuadro de diálogo Configurar Web, introduzca Redirigir URI.

    Para el despliegue del gestor de servicios, debe agregar la ruta /services/v2/authorization para el gestor de servicios.

    Para cada despliegue de microservicios, debe agregar la ruta /services/v2/authorization para el servicio de administración.

    Introduzca los URI de redirección para Service Manager y Microservices.

  19. Seleccione Configurar.

El siguiente paso es descargar el certificado RootCA para Microsoft Azure EntraID y agregarlo en los certificados RootCA compartidos de Service Manager.

Después de configurar la autoridad de certificación raíz, puede configurar el perfil de autorización de Oracle GoldenGate mediante los valores creados en este tema. Consulte Creación de un perfil de autorización.

Agregar certificado de CA raíz para Microsoft EntraID Azure

Antes de empezar a crear un perfil de autorización en Oracle GoldenGate, debe agregar una autoridad de certificación raíz para Azure. Agregue el certificado de CA raíz como certificados de confianza al despliegue de Oracle GoldenGate:

  1. Descargue los certificados de CA raíz de Azure desde la siguiente ubicación:

    https://learn.microsoft.com/en-us/azure/security/fundamentals/azure-ca-details?tabs=root-and-subordinate-cas-list#root-certificate-authorities

    Solo necesita las autoridades de certificación raíz.

  2. Convierta los certificados descargados del formato crt al formato pem mediante el comando openssl en cualquier sistema operativo Linux o Mac OS.

    openssl x509 -in <crt_file> -out <pem_file_name> -outform pem

    Por ejemplo:

    openssl x509 -in DigicertRootGlobalCA.crt -out DigicertRootGlobalCA.pem -outform pem

    Suponiendo que utiliza imágenes GoldenGate de Oracle GoldenGate locales u OCI Marketplace, debe cargar esos certificados de CA raíz como certificados protegidos mediante la interfaz web del gestor de servicios.

  3. Busque el Gestor de servicios en el menú Gestión de certificados y seleccione Certificados de CA +.

  4. Seleccione el botón de carga de archivos para cargar el archivo .pem convertido.

    Carga del archivo .pem del certificado de CA raíz de Microsoft Azure

  5. Especifique un nombre único y asegúrese de que el certificado esté Compartido y seleccione Enviar.