Documentation Oracle Cloud Infrastructure

Intégration de domaine d'identité

L'intégration de domaine d'identité permet aux utilisateurs de domaine d'identité OCI d'accéder aux ressources de cluster Big Data Service 3.0.29 ou version ultérieure. L'intégration de domaine d'identité permet également aux utilisateurs de cluster Big Data Service 3.0.29 ou version ultérieure d'accéder aux services OCI.

Cet accès est activé en prenant en charge la synchronisation utilisateur/groupe entre le domaine d'identité et un cluster Big Data Service, y compris la prise en charge de l'échange de jetons de session de principal utilisateur avec des jetons Kerberos.

Prérequis

Avant de procéder à la configuration du domaine d'identité, assurez-vous que les prérequis suivants sont respectés.

  • Version minimale requise :
    • Big Data Service 3.0.29 et versions ultérieures
    • ODH 2.0.10 et versions ultérieures
  • La configuration de cluster doit être hautement disponible.
  • Conditions requises pour échanger des jetons UPST contre des jetons Kerberos :
    • L'utilisateur Big Data Service qui active cette fonctionnalité doit disposer du privilège d'administration dans le domaine d'identité pour pouvoir s'intégrer au cluster Big Data Service.
    • L'utilisateur doit disposer d'un coffre OCI et d'une clé de cryptage maître dans le coffre de la forme de clé AES pour stocker la clé secrète utilisée par cette fonctionnalité.
    • L'utilisateur qui crée la configuration UPST doit être autorisé à créer une clé secrète dans le coffre.
    • Le domaine d'identité en cours de configuration doit être autorisé à lire les clés secrètes dans le coffre configuré.

      Par exemple, allow resource domain <identity-domain> to read secret-family in tenancy where all {target.vault.id = '<vault-id>'}.

    • Stratégie permettant aux utilisateurs de lire le bucket de stockage d'objet.

      Par exemple, allow group <domain_name>/<group_name> to manage objects in compartment ABC.

  • Exigences propres à la synchronisation utilisateur Oracle Identity Cloud Service (IDCS) :
    • La version du cluster doit être IDCS 3.0.30 ou une version ultérieure.
    • L'application IDCS en cours d'intégration pour la fonctionnalité de synchronisation d'utilisateur requiert que l'application ait le rôle d'administrateur de domaine d'identité
    • L'application IDCS en cours d'intégration pour la fonctionnalité de synchronisation d'utilisateur nécessite que l'application ait le type d'octroi d'autorisation Informations d'identification client activé.
    • Le cluster Big Data Service ne peut pas être intégré à Active Directory.