Documentation sur Oracle Cloud Infrastructure

Intégration du domaine d'identité

L'intégration de domaine d'identité permet aux utilisateurs du domaine d'identité OCI d'accéder aux ressources de grappe du service de mégadonnées version 3.0.29 ou ultérieure. L'intégration de domaine d'identité permet également aux utilisateurs de grappe du service de mégadonnées version 3.0.29 ou ultérieure d'accéder aux services OCI.

Cet accès est activé en prenant en charge la synchronisation utilisateur/groupe entre le domaine d'identité et une grappe du service de mégadonnées, notamment l'échange de jetons de session de principal d'utilisateur avec des jetons Kerberos.

Préalables

Avant de procéder à la configuration du domaine d'identité, assurez-vous que les préalables suivants sont satisfaits.

  • Version minimale requise :
    • Big Data Service 3.0.29 et versions ultérieures
    • ODH 2.0.10 et versions ultérieures
  • La configuration de grappe doit être hautement disponible.
  • Exigences pour échanger des jetons UPST contre des jetons Kerberos :
    • L'utilisateur du service de mégadonnées qui active cette fonction doit disposer du privilège d'administration dans le domaine d'identité pour s'intégrer à la grappe du service de mégadonnées.
    • L'utilisateur doit avoir une chambre forte OCI et une clé de chiffrement principale dans la chambre forte de la forme de clé AES pour stocker la clé secrète utilisée par cette fonction.
    • L'utilisateur qui crée la configuration UPST doit être autorisé à créer une clé secrète dans la chambre forte.
    • Le domaine d'identité en cours de configuration doit être autorisé à lire les clés secrètes dans la chambre forte configurée.

      Par exemple, allow resource domain <identity-domain> to read secret-family in tenancy where all {target.vault.id = '<vault-id>'}.

    • Politique permettant aux utilisateurs de lire le seau de stockage d'objets.

      Par exemple, allow group <domain_name>/<group_name> to manage objects in compartment ABC.

  • Exigences spécifiques à la synchronisation d'utilisateur d'Oracle Identity Cloud Service (IDCS) :
    • La version de grappe doit être IDCS 3.0.30 ou une version ultérieure.
    • L'application IDCS en cours d'intégration pour la fonction de synchronisation d'utilisateur nécessite un rôle d'administrateur de domaine d'identité pour l'application
    • L'application IDCS en cours d'intégration pour la fonction de synchronisation d'utilisateur nécessite que le type d'autorisation Données d'identification de client soit activé pour l'application.
    • La grappe du service de mégadonnées ne peut pas être intégrée à Active Directory.