Configurare Microsoft Azure EntraID per Oracle GoldenGate

Quando si crea il profilo di autorizzazione, Oracle GoldenGate esegue il mapping dei gruppi di sicurezza Entra ID in quattro ruoli per l'autorizzazione: Sicurezza, Amministratore, Operatore, Utente. L'utente Entra ID che appartiene al gruppo dispone del ruolo mappato corrispondente in Oracle GoldenGate.

Nel portale Microsoft Azure EntraID, eseguire i task riportati di seguito per configurare i gruppi di utenti mappati a Oracle GoldenGate.

  1. Creare l'utente e i gruppi di sicurezza appropriati in EntraID. Saranno necessari quattro gruppi di sicurezza che verranno mappati ai rispettivi ruoli utente di Oracle GoldenGate (Sicurezza, Amministrazione, Operatore, Utente). È possibile selezionare il nome del gruppo in base alle esigenze.

    Microsoft EntraID crea gruppi mappati ai ruoli utente di Oracle GoldenGate.

  2. Selezionare Aggiungi e Applicazione enterprise nella pagina Panoramica.

    Aggiungere una nuova applicazione enterprise dalla console EntraID.

  3. Selezionare Crea applicazione personalizzata.

    Selezionare Crea un'applicazione personalizzata dal menu Panoramica EntraID nel riquadro di navigazione a sinistra

  4. Assegnare un nome all'applicazione, selezionare Registra un'applicazione da integrare con Microsoft Entra ID e selezionare Crea.

    Selezionare per registrare un'applicazione enterprise con Microsoft EntraID per il profilo di autorizzazione di Oracle GoldenGate

  5. Per registrare l'applicazione, selezionare Account solo in questa directory organizzativa (... - tenant singolo).

    IMG/entraid_registerapp_accountdirectory.png

  6. Tornare alla pagina Panoramica di Entra ID, in Gestisci, selezionare Applicazioni aziendali e cercare il nome dell'applicazione creata in precedenza.

  7. In Intervallo selezionare Utenti e gruppo. Selezionare Aggiungi utente/gruppo.

    Aggiunta di utenti in base ai gruppi.

  8. Cercare e selezionare i gruppi da assegnare a questa applicazione e assicurarsi che i gruppi selezionati vengano visualizzati nel riquadro a destra.

    Selezionare i gruppi da aggiungere per l'autorizzazione.

  9. Selezionare tutti i gruppi, quindi Seleziona e selezionare Assegna.

    Nota: assicurarsi di assegnare a questa applicazione tutti i gruppi di sicurezza Entra ID creati nei passi precedenti.

    Assegnare i gruppi all'applicazione Oracle GoldeNGate

  10. (Facoltativo) Assegnare i proprietari delle applicazioni effettuando le operazioni riportate di seguito.

    1. In Gestisci selezionare Proprietari.

    2. Selezionare Aggiungi.

    3. Cercare e selezionare i proprietari.

    4. Assicurarsi che i proprietari selezionati vengano visualizzati nel riquadro a destra.

  11. Registra applicazione creando segreti client:

    1. Torna alla pagina di panoramica di Microsoft Entra ID

    2. Selezionare Registrazioni applicazioni, quindi selezionare Tutte le applicazioni.

      Accedere all'applicazione registrata per determinarne i dettagli.

    3. Cercare e selezionare il nome dell'applicazione creato nel passo 2.

    4. Ora, l'applicazione mostra i dettagli. Prendere nota dell'ID applicazione (client) e dell'ID directory (tenant).

      Prendere nota dei dettagli dell'applicazione registrata visualizzata nella sezione Dettagli applicazione.

      Prendere nota dei valori ID client, ID tenant e Segreto client. Questi valori verranno utilizzati durante la configurazione del profilo di autorizzazione in Oracle GoldenGate.

      L'ID tenant viene utilizzato per costruire l'URI di ricerca automatica tenant, come mostrato nell'esempio riportato di seguito.

      https://login.microsoftonline.com/{tenantID}/v2.0/.well-known/openid-configuration

    5. In Gestisci, selezionare Certificati e segreti

    6. Selezionare Segreti client, quindi selezionare Nuovo segreto client.

      Aggiungere un segreto client.

    7. Aggiungere una descrizione e selezionare un periodo di scadenza.

    8. Selezionare Aggiungi. Prendere nota del valore del segreto client.

    Prendere nota del valore del segreto client visualizzato dopo l'aggiunta del segreto client.

  12. Creare la configurazione del token per l'applicazione Oracle GoldenGate:

    1. In Gestisci nel riquadro di navigazione, scegliere Configurazione token.

    2. Selezionare Aggiungi richiesta gruppi, quindi Gruppi assegnati all'applicazione (...) e selezionare Aggiungi.

      Crea una configurazione token

  13. Creare i ruoli applicazione servizio GoldenGate:

    Creare ruoli applicazione per il servizio Oracle GoldenGate

    1. In Gestisci nel riquadro di navigazione, scegliere Ruoli applicazione.

    2. Selezionare Crea ruolo applicazione e specificare un nome visualizzato.

    3. In Tipi di membri consentiti selezionare Applicazioni.

    4. Impostare Valore su urn:ogg:serviceToService e immettere la descrizione.

    5. Selezionare Abilitare questo ruolo applicazione? e selezionare Applica.

  14. Aggiungere l'autorizzazione API ai ruoli applicazione del servizio GoldenGate e concedere il consenso di amministrazione:

    Richiedi autorizzazioni API per l'applicazione

    1. In Gestisci selezionare Autorizzazioni API.

    2. Selezionare Aggiungi un'autorizzazione.

    3. Selezionare API utilizzate dalla mia organizzazione.

    4. Cercare l'applicazione creata nel passo 2.

    5. Selezionare le autorizzazioni dell'applicazione.

    6. Selezionare urn:ogg:serviceToService e selezionare Aggiungi autorizzazioni.

      Aggiungere l'autorizzazione API per l'applicazione.

    7. L'autorizzazione deve essere visualizzata in Autorizzazioni configurate.

      L'autorizzazione API viene aggiunta e viene visualizzata in Autorizzazioni configurate.

    8. Selezionare urn:ogg:serviceToService.

    9. Nella finestra popup, l'impostazione del consenso amministratore richiesto è Sì.

      Il consenso dell'amministratore richiesto è impostato su Sì in urg:ogg:serviceToService.

  15. Aggiungere le autorizzazioni API Microsoft Graph Application.ReadWrite.All all'applicazione e concedere il consenso dell'amministratore.

    1. Selezionare Aggiungi un'autorizzazione, quindi selezionare Microsoft Graph nella finestra popup.

      Aggiungere le autorizzazioni e selezionare l'opzione per Microsoft Graph per iniziare ad aggiungere le autorizzazioni dell'applicazione.

    2. Selezionare Autorizzazioni applicazione.

      Aggiunta delle autorizzazioni Application.ReadWrite.All.

    3. Cercare e selezionare Application.ReadWrite.All.

    4. Selezionare Aggiungi autorizzazioni.

    5. Eseguire le stesse operazioni eseguite per concedere il consenso per urn:ogg:serviceToService, ma per Application.ReadWrite.All.

  16. Aggiornare manualmente le proprietà della richiesta token in Manifest:

    Le seguenti opzioni non sono disponibili in altri menu, pertanto devono essere impostate manualmente, come mostrato nell'immagine seguente:

    Aggiornamento manuale della richiesta di token nel manifesto.

    Aggiornamento manuale della richiesta di token nel manifesto.

    In Gestisci, selezionare Manifesto.

    1. In JSON /optionalClaims/accessToken/additionalProperties aggiungere il valore cloud_displayname.

    2. In JSON /optionalClaims/idToken/additionalProperties, aggiungere il valore cloud_displayname.

    3. In JSON /optionalClaims/saml2Token/additionalProperties aggiungere il valore cloud_displayname.

    4. In JSON /api/requestedAccessTokenVersion impostare il valore su 2.

      Impostare il valore della versione della richiesta di token su 2

    5. Salvare il file manifesto.

      Salvare il file manifest dopo l'aggiornamento manuale delle proprietà JSON.

  17. (Facoltativo) Creare l'URL di reindirizzamento per l'autenticazione dell'applicazione.

    1. In Microsoft Entra ID, Applicazioni aziendali, scegliere l'applicazione creata nel Passo 2.

    2. In Gestisci, selezionare Proprietà, quindi selezionare il collegamento Registrazione applicazione.

      Segue l'immagine per le proprietà dell'URL di reindirizzamento entraID

    3. In Gestisci selezionare Autenticazione, quindi selezionare Aggiungi una piattaforma.

    4. Selezionare Web.

      Configurare l'URI di reindirizzamento.

  18. Nella finestra di dialogo Configura Web immettere URI di reindirizzamento.

    Per la distribuzione di Service Manager, è necessario aggiungere il percorso /services/v2/authorization per Service Manager.

    Per ogni distribuzione di microservizi, è necessario aggiungere il percorso /services/v2/authorization per il servizio di amministrazione.

    Immettere gli URI di reindirizzamento per Service Manager e microservizi.

  19. Selezionare Configura.

Il passo successivo è scaricare il certificato RootCA per Microsoft Azure EntraID e aggiungerlo sotto i certificati RootCA condivisi di Service Manager.

Dopo aver impostato l'autorità di certificazione root, è possibile configurare il profilo di autorizzazione di Oracle GoldenGate utilizzando i valori creati in questo argomento. Vedere Crea un profilo di autorizzazione.

Aggiungi certificato CA radice per Microsoft EntraID Azure

Prima di iniziare a creare un profilo di autorizzazione in Oracle GoldenGate, è necessario aggiungere un'autorità di certificazione root per Azure. Aggiungere il certificato CA radice come certificati protetti alla distribuzione di Oracle GoldenGate:

  1. Scaricare i certificati CA radice di Azure dalla seguente posizione:

    https://learn.microsoft.com/en-us/azure/security/fundamentals/azure-ca-details?tabs=root-and-subordinate-cas-list#root-certificate-authorities

    Sono necessarie solo le autorità di certificazione radice.

  2. Convertire i certificati scaricati da crt in formato pem utilizzando il comando openssl in qualsiasi sistema operativo Linux o Mac OS.

    openssl x509 -in <crt_file> -out <pem_file_name> -outform pem

    Ad esempio:

    openssl x509 -in DigicertRootGlobalCA.crt -out DigicertRootGlobalCA.pem -outform pem

    Supponendo di utilizzare immagini GoldenGate Oracle GoldenGate in locale o OCI Marketplace, è necessario caricare tali certificati CA root come certificati sicuri tramite l'interfaccia Web di Service Manager.

  3. Individuare Service Manager nel menu Gestione certificati, quindi selezionare Certificati CA +.

  4. Selezionare il pulsante di caricamento file per caricare il file .pem convertito.

    Caricamento del file .pem del certificato CA radice di Microsoft Azure

  5. Specificare un nome univoco e assicurarsi che il certificato sia Condiviso, quindi selezionare Sottometti.