Configurer Microsoft Azure EntraID pour Oracle GoldenGate

Lors de la création du profil d'autorisation, Oracle GoldenGate met en correspondance les groupes de sécurité Entra ID en quatre rôles pour autorisation : Sécurité, Administrateur, Opérateur et Utilisateur. L'utilisateur Entra ID qui appartient au groupe a le rôle mappé correspondant dans Oracle GoldenGate.

Sur le portail Microsoft Azure EntraID, effectuez les tâches suivantes pour configurer les groupes d'utilisateurs à mettre en correspondance avec Oracle GoldenGate :

  1. Créez l'utilisateur et les groupes de sécurité appropriés dans EntraID. Vous aurez besoin de quatre groupes de sécurité qui seront mis en correspondance avec les rôles utilisateur Oracle GoldenGate respectifs (Sécurité, Administration, Opérateur, Utilisateur). Vous pouvez sélectionner le nom du groupe, le cas échéant .

    Microsoft EntraID crée des groupes qui correspondent à des rôles utilisateur Oracle GoldenGate.

  2. Sélectionnez Ajouter, Application Enterprise sur la page Aperçu.

    Ajoutez une nouvelle application Enterprise à partir de la console EntraID.

  3. Sélectionnez Créer votre propre application.

    Sélectionnez Create your own application (Créer votre propre application) dans le menu Overview (Présentation) de EntraID dans le volet de navigation de gauche.

  4. Nommez votre application, sélectionnez Inscrire une application à intégrer à Microsoft Entra ID, puis Créer.

    Sélectionner pour inscrire une application d'entreprise auprès de Microsoft EntraID pour le profil d'autorisation Oracle GoldenGate

  5. Pour inscrire l'application, sélectionnez Comptes dans cet annuaire organisationnel uniquement (... - Locataire unique).

    img/entraid_registerapp_accountdirectory.png

  6. Revenez à la page Présentation Entra ID, sous Gérer, sélectionnez Applications d'entreprise et recherchez le nom d'application que vous avez créé précédemment.

  7. Sous Mange, sélectionnez Utilisateurs et groupes. Sélectionnez Ajouter utilisateur/groupe.

    Ajout d'utilisateurs en fonction de groupes.

  8. Recherchez et sélectionnez les groupes à affecter à cette application et assurez-vous que les groupes sélectionnés apparaissent dans le volet de droite.

    Sélectionnez les groupes à ajouter pour autorisation.

  9. Sélectionnez tous les groupes, puis Sélectionner et Affecter.

    Remarque : veillez à affecter tous les groupes de sécurité Entra ID créés au cours des étapes précédentes à cette application.

    Affecter des groupes à l'application Oracle GoldeNGate

  10. (Facultatif) Affectez des propriétaires d'application en procédant comme suit :

    1. Sous Gérer, sélectionnez Propriétaires.

    2. Choisissez Ajouter.

    3. Rechercher des propriétaires et en sélectionner.

    4. Assurez-vous que les propriétaires sélectionnés apparaissent dans le volet de droite.

  11. Enregistrez l'application en créant des clés secrètes client :

    1. Revenir à la page Aperçu de Microsoft Entra ID

    2. Sélectionnez Enregistrements d'application, puis Toutes les applications.

      Accédez à l'application enregistrée pour en déterminer les détails.

    3. Recherchez et sélectionnez le nom de l'application créé à l'étape 2.

    4. Maintenant, l'application affiche les détails. Notez l'ID d'application (client) et l'ID de répertoire (locataire).

      Notez les détails de l'application enregistrée affichés dans la section Détails de l'application.

      Notez les valeurs ID client, ID de locataire et Clé secrète client. Ces valeurs seront utilisées lors de la configuration du profil d'autorisation dans Oracle GoldenGate.

      L'ID de locataire est utilisé pour construire l'URI de repérage de locataire, comme indiqué dans l'exemple suivant :

      https://login.microsoftonline.com/{tenantID}/v2.0/.well-known/openid-configuration

    5. Sous Gérer, sélectionnez Certificats et clés secrètes.

    6. Sélectionnez Clé secrète client, puis Nouvelle clé secrète client.

      Ajoutez une clé secrète client.

    7. Ajoutez une description et sélectionnez une période d'expiration.

    8. Choisissez Ajouter. Notez la valeur de la clé secrète client.

    Notez la valeur de clé secrète du client affichée après l'ajout de la clé secrète du client.

  12. Créez la configuration de jeton pour l'application Oracle GoldenGate :

    1. Sous Gérer dans le panneau de navigation, choisissez Configuration de jeton.

    2. Sélectionnez Ajouter une demande de groupe, Groupes affectés à l'application (...) et Ajouter.

      Créer une configuration de jeton

  13. Créez des rôles d'application de service GoldenGate :

    Créer des rôles d'application pour le service Oracle GoldenGate

    1. Sous Gérer dans le panneau de navigation, sélectionnez Rôles d'application.

    2. Sélectionnez Créer un rôle d'application et indiquez un nom d'affichage.

    3. Sous Types de membre autorisés, sélectionnez Applications.

    4. Définissez Valeur sur urn:ogg:serviceToService et renseignez la description.

    5. Sélectionnez Voulez-vous activer ce rôle d'application ? et Appliquer.

  14. Ajoutez une autorisation d'API aux rôles d'application de service GoldenGate et accordez le consentement de l'administrateur :

    Demander des droits d'accès à l'API pour l'application

    1. Sous Gérer, sélectionnez Droits d'accès de l'API.

    2. Sélectionnez Ajouter un droit d'accès.

    3. Sélectionnez API utilisées par mon organisation.

    4. Recherchez l'application créée à l'étape 2.

    5. Sélectionnez les autorisations d'application.

    6. Sélectionnez urn:ogg:serviceToService et Ajouter des droits d'accès.

      Ajoutez le droit d'accès API pour l'application.

    7. Le droit d'accès doit apparaître sous Autorisations configurées.

      Le droit d'accès à l'API est ajouté sous Droits d'accès configurés.

    8. Sélectionnez urn:ogg:serviceToService.

    9. Dans la fenêtre contextuelle, notez que le consentement de l'administrateur requis est défini sur Oui.

      Le consentement de l'administrateur requis est défini sur Oui dans urgent:ogg:serviceToService.

  15. Ajoutez les droits d'accès de l'API Microsoft Graph Application.ReadWrite.All à l'application et accordez le consentement de l'administrateur.

    1. Sélectionnez Ajouter un droit d'accès, puis Microsoft Graph dans la fenêtre instantanée.

      Ajoutez des autorisations et sélectionnez l'option Microsoft Graph pour commencer à ajouter des autorisations d'application.

    2. Sélectionnez Autorisations d'application.

      Ajout des droits d'accès Application.ReadWrite.All.

    3. Recherchez Application.ReadWrite.All et sélectionnez-le.

    4. Sélectionnez Ajouter des droits d'accès.

    5. Effectuez les mêmes étapes pour accorder le consentement pour urn:ogg:serviceToService mais pour Application.ReadWrite.All.

  16. Mettez à jour manuellement les propriétés de la demande de jeton dans le Manifeste :

    Les options suivantes ne sont pas disponibles sous d'autres menus, elles doivent donc être définies manuellement, comme illustré dans l'image suivante :

    Mise à jour manuelle de la demande de jeton dans le manifeste.

    Mise à jour manuelle de la demande de jeton dans le manifeste.

    Sous Gérer, sélectionnez Manifeste.

    1. Sous le format JSON /optionalClaims/accessToken/additionalProperties, ajoutez la valeur cloud_displayname.

    2. Sous le format JSON /optionalClaims/idToken/additionalProperties, ajoutez la valeur cloud_displayname.

    3. Sous le format JSON /optionalClaims/saml2Token/additionalProperties, ajoutez la valeur cloud_displayname.

    4. Sous le JSON /api/requestedAccessTokenVersion, définissez la valeur sur 2.

      Définir la valeur de version de la demande de jeton sur 2

    5. Enregistrez le manifeste.

      Enregistrez le manifeste après avoir mis à jour manuellement les propriétés JSON.

  17. (Facultatif) Créez l'URL de réacheminement pour l'authentification de l'application.

    1. Sous Microsoft Entra ID, Applications d'entreprise, choisissez l'application que vous avez créée à l'étape 2.

    2. Sous Gérer, sélectionnez Propriétés, puis le lien Enregistrement de l'application.

      Image pour les propriétés d'URL de réacheminement entraID ci-dessous

    3. Sous Gérer, sélectionnez Authentification, puis Ajouter une plate-forme.

    4. Sélectionnez Web.

      Configurez l'URI de redirection.

  18. Dans la boîte de dialogue Configurer le Web, entrez URI de réacheminement.

    Pour le déploiement Service Manager, vous devez ajouter le chemin /services/v2/authorization pour le gestionnaire de services.

    Pour chaque déploiement de microservices, vous devez ajouter le chemin /services/v2/authorization pour le service d'administration.

    Entrez les URI de redirection pour le gestionnaire de services et les microservices.

  19. Sélectionnez Configurer.

L'étape suivante consiste à télécharger le certificat RootCA pour Microsoft Azure EntraID et à l'ajouter sous les certificats RootCA partagés de Service Manager.

Après avoir configuré l'autorité de certification racine, vous pouvez configurer le profil d'autorisation Oracle GoldenGate à l'aide des valeurs créées dans cette rubrique. Reportez-vous à Créer un profil d'autorisation.

Ajouter un certificat d'autorité de certification racine pour Microsoft EntraID Azure

Avant de commencer à créer un profil d'autorisation dans Oracle GoldenGate, vous devez ajouter une autorité de certification racine pour Azure. Ajoutez un certificat d'autorité de certification racine en tant que certificats sécurisés au déploiement Oracle GoldenGate :

  1. Téléchargez les certificats d'autorité de certification racine Azure à partir de l'emplacement suivant :

    https://learn.microsoft.com/en-us/azure/security/fundamentals/azure-ca-details?tabs=root-and-subordinate-cas-list#root-certificate-authorities

    Vous avez uniquement besoin des autorités de certification racine.

  2. Convertissez les certificats téléchargés à partir de crt au format pem en utilisant la commande openssl dans n'importe quel système d'exploitation Linux ou Mac OS.

    openssl x509 -dans <crt_file> -out <pem_file_name> -outform pem

    Exemple :

    openssl x509 -dans DigicertRootGlobalCA.crt -out DigicertRootGlobalCA.pem -outform pem

    En supposant que vous utilisez des images GoldenGate Oracle GoldenGate sur site ou OCI Marketplace, vous devez télécharger ces certificats d'autorité de certification racine en tant que certificats sécurisés via l'interface Web de Service Manager.

  3. Recherchez le gestionnaire de services dans le menu Gestion des certificats, puis sélectionnez Certificats CA +.

  4. Cliquez sur le bouton de téléchargement du fichier pour télécharger le fichier .pem converti.

    Téléchargement du fichier .pem du certificat CA racine Microsoft Azure

  5. Indiquez un nom unique et assurez-vous que le certificat est partagé, puis sélectionnez Soumettre.