Documentation Oracle Cloud Infrastructure

Utilisation de l'accès implicite pour les domaines par défaut

OCI crée un workflow d'interruption automatique pour les domaines par défaut. Cela empêche les utilisateurs d'être exclus du système lorsqu'une stratégie de connexion ou une stratégie de fournisseur d'identités (IdP) n'est pas correctement configurée.

Stratégie de connexion

Pour réduire le risque de verrouillage de l'administrateur du domaine d'identité par défaut, le système crée un workflow d'interruption implicite. Ce workflow est créé lorsque les conditions suivantes s'appliquent :

  • L'utilisateur qui accède à la console est un administrateur.
  • L'utilisateur accède au domaine par défaut.
  • Aucune instruction de refus spécifique n'existe dans la stratégie de connexion applicable pour la console.
Remarque

Nous recommandons aux administrateurs de domaine par défaut d'utiliser l'authentification à plusieurs facteurs.

Exemple :

Ce scénario utilise les utilisateurs suivants, admin1, admin2, admin3 et user1.

Exigences :

  • Tous les utilisateurs sont membres du domaine par défaut.
  • La stratégie de connexion est configurée avec les règles suivantes dans le même ordre.
    Remarque

    L'utilisateur admin3 est membre de group1.
    • Règle 1 : Allow all administrators access except exclude the admin2.
    • Règle 2 : Allow all users who are members of group group1 access.

Résultats :

  • admin1 : accès autorisé. Aucune règle de connexion ne correspond, aucun refus explicite, aucun administrateur et aucun accès au domaine par défaut.
  • admin2 : accès refusé. L'accès à l'utilisateur admin2 est explicitement refusé dans la règle 1.
  • admin3 : accès autorisé. L'utilisateur admin3 est un administrateur et membre de group1.
  • user1 : accès refusé. L'utilisateur user1 ne correspond à aucune règle.
Remarque

Les workflows d'interruption implicites s'appliquent uniquement au domaine par défaut.

Stratégie de fournisseur d'identités

Le système déclenche un workflow d'interruption implicite pour l'accès à la console lorsque la règle de fournisseur d'identités de la stratégie de fournisseur d'identités est configurée avec un seul fournisseur d'identités SAML ou SOCIAL (OIDC). Dans ce cas, le système affiche toujours la page de connexion à la console au lieu de rediriger l'utilisateur vers un partenaire de fédération distant lors de l'accès au domaine par défaut de la console.

Remarque

Cela s'applique uniquement au domaine par défaut.