Utilizzo dell'accesso implicito per i domini predefiniti
OCI crea un workflow Break Glass automatico per i domini predefiniti. Ciò impedisce agli utenti di rimanere bloccati fuori dal sistema quando un criterio di accesso o di provider di identità (IdP) non è configurato correttamente.
Criterio di accesso
Per ridurre al minimo il rischio che l'amministratore del dominio di Identity predefinito venga bloccato, il sistema crea un workflow di Break Glass implicito. Questo flusso di lavoro viene creato quando si applicano le seguenti condizioni:
- L'utente che accede alla console è un amministratore.
- L'utente accede al dominio predefinito.
- Non esiste alcuna istruzione di negazione specifica nel criterio di accesso applicabile per la console.
È consigliabile che gli amministratori di dominio predefiniti utilizzino l'autenticazione con più fattori.
esempio:
Questo scenario utilizza i seguenti utenti: admin1, admin2, admin3 e user1.
Requisiti:
- Tutti gli utenti sono membri del dominio predefinito.
- Il criterio di accesso viene configurato con le seguenti regole nello stesso ordine. Nota
L'utente admin3 è un membro di group1.- Regola 1:
Allow all administrators access except exclude the admin2. - Articolo 2:
Allow all users who are members of group group1 access.
- Regola 1:
Risultati:
- admin1: accesso consentito. Nessuna delle regole di accesso corrisponde, nessuna negazione esplicita, amministratore e accesso al dominio predefinito.
- admin2: accesso negato. L'accesso all'utente admin2 è esplicitamente negato nella regola 1.
- admin3: accesso consentito. L'utente admin3 è un amministratore e un membro di group1.
- user1: accesso negato. L'utente user1 non corrisponde ad alcuna regola.
I flussi di lavoro impliciti del vetro di rottura si applicano solo al dominio predefinito.
Criterio provider di identità
Il sistema attiva un workflow di accesso di emergenza implicito per l'accesso alla console quando la regola del provider di identità del criterio del provider di identità è configurata con un solo provider di identità SAML o SOCIAL (OIDC). In questi casi, quando si accede al dominio predefinito della console, il sistema visualizza sempre la pagina di accesso della console anziché reindirizzare l'utente a un partner di federazione remoto.
Si applica solo al dominio predefinito.