Federazione (facoltativo)

Scopri come impostare la federazione delle identità per Oracle AI Database@Azure.

L'impostazione della federazione identità per Oracle AI Database@Azure è facoltativa. Federation consente agli utenti di connettersi alla tenancy OCI associata al servizio utilizzando le credenziali ID Azure Entra. Sebbene la maggior parte delle operazioni quotidiane del database venga eseguita nell'ambiente Azure e non richieda l'uso di OCI Console, alcuni task di gestione del database richiedono l'accesso a OCI.

Utilizzare le istruzioni riportate di seguito per impostare Azure Entra ID come provider di identificazione per la tenancy OCI.

1. Connettersi al portale di Azure.
2. Cercare "Microsoft Entra ID" e selezionare Microsoft Entra ID nei risultati della ricerca per passare alla pagina Entra ID Panoramica.
3. In Gestisci selezionare Applicazioni aziendali.
   
4. Nella pagina Tutte le applicazioni selezionare Nuova applicazione.
   
5. Cercare "Oracle Cloud Infrastructure Console" e selezionare il risultato della ricerca per andare alla pagina dell'applicazione.
   
6. Nel pannello Console di Oracle Cloud Infrastructure, immettere un Nome per il nome visualizzato dell'applicazione nell'ambiente Azure. Ad esempio, "Oracle Cloud Infrastructure Console", "OCI Console" o "OCI Console Contoso Sales". Selezionare quindi Crea per continuare.
   
7. Nella pagina Panoramica della nuova applicazione, selezionare Imposta Single Sign-On.
   
8. Nella pagina Single Sign-On selezionare SAML per selezionare il protocollo SAML (Security Assertion Markup Language).
   

   Il portale reindirizza alla pagina Accesso basato su SAML. Lasciare aperta questa finestra del browser sul computer mentre si esegue la serie successiva di passi in OCI Console. In OCI Console, verrà esportato un file XML dei metadati SAML. Si tornerà ad Azure per caricare il file XML e continuare con la configurazione Single Sign-On.

   

9. Nella console di Oracle Cloud andare a Identità e sicurezza, quindi selezionare Domini.

   

10. Nella vista elenco Domini selezionare il nome del dominio "Predefinito" per aprire la pagina dei dettagli del dominio. Facoltativamente, è possibile selezionare un altro dominio per configurare Single Sign-On (SSO) per tale dominio.

    

11. Selezionare la scheda Federazione nel menu di navigazione della pagina Dettagli del dominio di Identity.

    
    

12. Nella pagina Federazione per il dominio, selezionare Azioni, quindi aggiungere IDP SAML nella sezione Provider di identità.

    

13. Nella pagina Aggiungi dettagli immettere il nome che si desidera visualizzare nella pagina di login OCI durante il Single Sign-On (SSO). Facoltativamente, aggiungere una descrizione. Ad esempio:

    • Nome: EntraID
    • Descrizione: Woodgrove Bank Azure Microsoft EntraID
    

    Selezionare Avanti per continuare.

14. Nella pagina Scambio di metadati selezionare Esporta metadati SAML.

    

15. Nel pannello Esporta metadati SAML, trovare la sezione File metadati e selezionare Scarica XML. Lasciare aperta la finestra del browser in cui viene visualizzata OCI Console sul computer mentre si completa la serie di passi successiva.

    

16. Tornare alla finestra del browser che visualizza la pagina Accesso basato su SAML del portale di Azure e selezionare Carica file di metadati.

    

17. Nella finestra popup Carica file di metadati selezionare il logo della cartella per selezionare il file di metadati XML SAML esportato da OCI Console. Selezionare Aggiungi per continuare.

    

18. Nel pannello Configurazione SAML di base, trovare il campo URL risposta (URL servizio consumer asserzioni). Copia il valore in questo campo negli Appunti del computer. Non modificare gli altri campi popolati.

    

19. Modificare il valore copiato di URL risposta (URL servizio consumer asserzioni) sostituendo /fed/v1/ con /ui/v1/myconsole. Incollare quindi l'URL modificato nel campo Connetti URL e fare clic su Salva per continuare.

    Ad esempio, se il campo URL risposta (URL servizio consumer asserzioni) contiene il valore seguente:

    https://idcs-123a4b56example1de45fgh6i789j012.identity.oraclecloud.com/fed/v1/

    Quindi incollare la versione modificata dell'URL come mostrato nell'esempio seguente:

    https://idcs-123a4b56example1de45fgh6i789j012.identity.oraclecloud.com/ui/v1/myconsole

    

20. Nella finestra popup Test Single Sign-On con la console di Oracle Cloud Infrastructure, selezionare No, verrà eseguito il test più tardi.

    

21. Nella sezione Attributi e richieste, selezionare Modifica.

    

22. Nella sezione Richiesta obbligatoria selezionare la richiesta di risarcimento Identificativo utente univoco (ID nome).

    

23. Nel campo Attributo di origine selezionare l'identificativo utente univoco appropriato per l'organizzazione.

    • user.mail: selezionare questo valore se gli account utente dell'organizzazione utilizzano un indirizzo e-mail come identificativo univoco.
    • user.userprincipalname: selezionare questo valore se gli account utente dell'organizzazione utilizzano UserPrincipalName come identificativo univoco. Se si utilizza questa opzione, assicurarsi che il dominio di Identity OCI non sia configurato per richiedere un indirizzo di posta elettronica negli account utente. Vedere Indirizzo di posta elettronica dell'utente richiesto per la creazione dell'account per informazioni sulla configurazione di un dominio di Identity in modo che i nuovi utenti possano essere creati senza un indirizzo di posta elettronica.

    Selezionare Salva, quindi selezionare X per chiudere la finestra di dialogo Gestisci sinistro e tornare alla pagina Accesso basato su SAML.

    

24. Nella pagina Accesso basato su SAML, nella sezione Certificati SAML, individuare il campo XML metadati federazione e selezionare Scarica. Lasciare aperta questa finestra del browser sul computer mentre si esegue la serie successiva di passi in OCI Console.

    

25. Tornare alla pagina Aggiungi provider di identità SAML nella console OCI. Selezionare Importa metadati IdP (carica file XML dei metadati). Nella sezione Carica metadati provider di identità, selezionare il collegamento seleziona uno... per selezionare il file XML dei metadati IdP scaricato dal collegamento di download XML metadati federazione nel passo precedente.

    

26. Dopo aver caricato il file XML, il nome del file viene visualizzato sotto la sezione Carica provider di identificazione. Selezionare Avanti per continuare.

    

27. Nella pagina Mappa identità utente selezionare quanto segue, quindi selezionare Successivo per continuare:

    • Formato ID nome richiesto: selezionare l'identificativo univoco specificato al passo 24 (indirizzo e-mail o UserPrincipalName).
    • Attributo utente provider di identità: ID nome asserzione SAML
    • Attributo utente del dominio di Identity: specificare l'indirizzo di posta elettronica o il nome utente primario, come configurato nel passo 24.
    

28. Nella pagina Rivedi e crea del workflow Aggiungi provider di identità SAML, esaminare le informazioni visualizzate, quindi selezionare Crea IdP.

    
    
29. Nella pagina Federazione della sezione Provider di identità selezionare tre punti (…) accanto al provider di identità creato e Attivare IdP. Attendere che il messaggio "Provider di identità Microsoft EntraID Demo sia stato attivato" venga visualizzato nella pagina prima di continuare.
    
30. Nella pagina Federazione della sezione Criteri provider di identità, selezionare Crea criterio IdP.
    
    
31. Nella pagina Federazione in Policy del provider di identità (IdP) selezionare Criterio del provider di identità predefinito.
    

32. Nella pagina dei dettagli dei criteri Criterio provider di identità predefinito, nella sezione Regole del provider di identità, selezionare Modifica regola IdP.

    

33. Nel pannello Modifica regola provider di identità, nel campo Assegna provider di identità, immettere il valore "EntraID". Per impostazione predefinita, nel campo viene visualizzato "Nome utente-Password".

    Selezionare Salva modifiche per continuare.

    
    
34. Aprire il menu di navigazione e selezionare Identità e sicurezza. In Identità selezionare Domini.
    Importante
    
    

    Nei passi che seguono, puoi configurare l'applicazione riservata OCI per il provisioning degli utenti EntraID in OCI. Tenere presente che tutti gli utenti devono includere i valori di campo riportati di seguito oppure il provisioning dell'utente in OCI non riesce.

    • Nome
    • Cognome
    • Nome visualizzato
    • Indirizzo di posta elettronica (se il dominio di Identity OCI richiede un indirizzo di posta elettronica)

    Per determinare se il dominio di Identity OCI richiede un indirizzo di posta elettronica per creare nuovi utenti, vedere Indirizzo di posta elettronica dell'utente richiesto per la creazione dell'account.

    Per informazioni sulla configurazione dell'identificativo univoco per gli utenti di Azure, vedere il passo 24 di questo task.

    Aprire il menu di navigazione e selezionare Identità e sicurezza. In Identità selezionare Domini.
35. Selezionare Dominio predefinito. Selezionare quindi Applicazioni integrate.
    
36. Selezionare Aggiungi applicazione.

37. Nella finestra Aggiungi applicazione, selezionare Applicazione riservata, quindi selezionare Avvia workflow.

    

38. Nella pagina Aggiungi dettagli applicazione del workflow Aggiungi applicazione riservata, immettere quanto riportato di seguito.

    • Nome: immettere un nome per l'applicazione riservata. È possibile immettere un massimo di 125 caratteri.
    • Descrizione: immettere una descrizione per l'applicazione riservata. È possibile immettere un massimo di 250 caratteri.

    Rivedere le impostazioni facoltative, quindi selezionare Successivo.

    

39. Nella pagina Configurare OAuth, nella sezione Configurazione client, selezionare Configurare l'applicazione come client ora.

    

40. Nella pagina Configura OAuth, nella sezione Configurazione client, selezionare Credenziali client.

    

41. Nella pagina Configura OAuth, scorrere verso il basso e trovare la sezione Criterio di emissione token. In Risorse autorizzate, selezionare Specifico, quindi selezionare Aggiungi ruoli applicazione per aprire la sezione Ruoli applicazione del workflow.

    

42. Nella sezione Ruoli applicazione, selezionare Aggiungi ruoli e cercare "Amministratore utente". Nell'elenco dei risultati della ricerca, selezionare Amministratore utenti, quindi selezionare Aggiungi.

    

43. Con la visualizzazione del ruolo Amministratore utenti nell'elenco Ruoli applicazione, selezionare Successivo.

    

44. Nella pagina Configura criterio, rivedere la selezione predefinita e selezionare Fine.

    

45. Nella scheda Applicazioni integrate della pagina dei dettagli del dominio "Predefinito", selezionare il nome dell'applicazione Entra ID creata per aprire la pagina dei dettagli dell'applicazione.

    

46. Selezionare Attiva nella pagina dei dettagli.

    

    Verificare che lo stato dell'applicazione sia "Attivo".

    

47. Trova la sezione Informazioni generali della pagina dei dettagli per l'applicazione Entra ID. In questa sezione, effettuare le operazioni riportate di seguito.

    • Copiare il valore ID client in un blocco note o in un'altra posizione del computer per utilizzarlo in un comando CLI descritto nel passo successivo.
    • Selezionare Mostra segreto e copiare il segreto client nel file con l'ID client.
    

    Selezionare Mostra segreto da nascondere dopo aver copiato il segreto per continuare.

    

48. Utilizzare i valori ID client e Segreto client per creare il comando seguente.

    echo -n <clientID>:<clientsecret> | base64 --wrap=0

    Ad esempio:

    echo -n 7a5715example8b7429cdexample74a:63n8765exmaple49asbcs56abc235784 | base64 --wrap=0

49. Eseguire il comando nella OCI Cloud Shell (CLI). Selezionare l'icona Cloud Shell nell'intestazione di OCI Console, quindi selezionare Cloud Shell per aprire l'interfaccia CLI nella finestra del browser. Incollare il comando nell'interfaccia CLI, quindi eseguire il comando.

    Per ulteriori informazioni, vedere i seguenti argomenti:

    • Uso di Cloud Shell
    • Criterio IAM necessario
    
50. Aprire il menu di navigazione e selezionare Identità e sicurezza. In Identità selezionare Domini.
51. Selezionare Dominio predefinito per aprire la pagina dei dettagli per il dominio "Predefinito".

52. Nella pagina Panoramica del dominio, copiare l'URL dominio in un blocco note o in un'altra posizione del computer.

    Ad esempio:

    https://idcs-638a9b18aexampleb77becf0f123d691.identity.oraclecloud.com:443

    

53. Tornare alla pagina Applicazione enterprise del portale di Azure con i dettagli di Accesso basato su SAML visualizzati nel passo 25. Selezionare Provisioning nella sezione Gestisci.

    

54. Nella pagina Provisioning immettere quanto riportato di seguito.

    • Modalità di provisioning: Automatico

    • URL tenant: modificare l'URL copiato dal passo 53 come indicato di seguito.

      • Rimuovi ":443" alla fine dell'URL
      • Aggiungi "/admin/v1" alla fine dell'URL

      Ad esempio:

      https://idcs-638a9b18aexampleb77becf0f123d691.identity.oraclecloud.com/admin/v1

      Dopo aver modificato l'URL, incollarlo nel campo URL tenant.

    • Token segreto: incollare il segreto di cifratura base64 copiato dalla console OCI nel passo 49.

    Selezionare Test connessione, quindi selezionare Salva per continuare.

    
    Importante
    
    Attendere il messaggio che conferma che la connessione è riuscita. Il messaggio viene visualizzato nell'angolo in alto a destra della pagina.

55. Nella pagina Provisioning selezionare Provisioning degli utenti Microsoft Entra ID nella sezione Mapping.

    

56. Nella pagina Mapping attributi, individuare la sezione Mapping e selezionare Aggiungi nuovo mapping.

    

57. Nella pagina Modifica attributo immettere quanto riportato di seguito.

    • Tipo di mapping: espressione
    • Espressione: CBool("true")

    • Attributo di destinazione: selezionare la stringa che termina con ":isFederatedUser". Ad esempio:

      urn:ietf:params:scim:schemas:oracle:idcs:extension:user:User:isFederateUser

    Selezionare OK per continuare.

    

58. Nella pagina Mapping attributi, selezionare di nuovo Aggiungi nuovo mapping per aggiungere un secondo mapping.

59. Nella pagina Modifica attributo immettere quanto riportato di seguito.

    • Tipo di mapping: espressione
    • Espressione: CBool("true")

    • Attributo di destinazione: selezionare la stringa che termina con ":bypassNotification". Ad esempio:

      urn:ietf:params:scim:schemas:oracle:idcs:extension:user:User:bypassNotification

    Selezionare OK per continuare.

    

60. Passare alla pagina Panoramica sulle applicazioni aziendali di Azure per l'applicazione creata nei passi da 3 a 6 di questo task, quindi selezionare Assegna utenti e gruppi.

    
    Importante
    
    

    Tutti gli utenti devono includere i valori di campo riportati di seguito oppure le assegnazioni utente in OCI non riescono.

    • Nome
    • Cognome
    • Nome visualizzato
    • Indirizzo di posta elettronica (se il dominio di Identity OCI richiede un indirizzo di posta elettronica)

    Per determinare se il dominio di Identity OCI richiede un indirizzo di posta elettronica per creare nuovi utenti, vedere Indirizzo di posta elettronica dell'utente richiesto per la creazione dell'account.

    Per informazioni sulla configurazione dell'identificativo univoco per gli utenti di Azure, vedere il passo 24 di questo task.

61. Selezionare Aggiungi utente/gruppo e aggiungere gli utenti e i gruppi che si desidera includere nella federazione identità. Dopo aver immesso gli utenti e i gruppi, questi vengono sincronizzati con l'account OCI.