サインオン・ポリシーの管理

デフォルトのサインオン・ポリシー

すべてのアイデンティティ・ドメインには、デフォルト・サインオン・ルールを含むアクティブなデフォルト・サインオン・ポリシーが含まれています。

デフォルトでは、このデフォルト・サインオン・ルールにより、すべてのユーザーがユーザー名とパスワードを使用してアイデンティティ・ドメインにサインインできます。他のサインオン・ルールを追加して、このポリシーに積み重ねることができます。これらのルールを追加することで、一部のユーザーがアイデンティティ・ドメインにサインインすることを防止できます。または、サインインを許可しますが、アイデンティティ・ドメインによって保護されているリソース(Oracle Cloud Infrastructureコンソールなど)にアクセスするための追加の要素を要求することもできます。

たとえば、「デフォルトのサインオン・ポリシー」に2つのサインオン・ルールを作成できます。最初のルールは、「拒否されたネットワーク・ペリメータ」という名前で定義したネットワーク・ペリメータの範囲内のIPアドレスを使用している場合、すべてのユーザーがアイデンティティ・ドメインにサインインすることを防止します。2番目のルールは、特定のグループに属するユーザー(UA開発者グループなど)に、UA開発者グループという名前の2ステップ検証プロセスの一環として、2番目の要素を要求します。他のすべてのユーザーは、2番目の要素を要求されずにサインインできます。

「OCIコンソールのセキュリティ・ポリシー」サインオン・ポリシー

OCIコンソールのセキュリティ・ポリシー・サインオン・ポリシーを使用してMFAを設定するには、「OCIコンソールのセキュリティ・ポリシー」サインオン・ポリシーのあるアイデンティティ・ドメインのベスト・プラクティスを参照してください。

その他のサインオン・ポリシー

サインオン・ポリシーを作成し、特定のアプリケーションに関連付けることができます。ユーザーがこれらのアプリケーションのいずれかを使用してアイデンティティ・ドメインへのサインインを試みると、アイデンティティ・ドメインは、アプリケーションにサインオン・ポリシーが関連付けられているかどうかをチェックします。その場合、アイデンティティ・ドメインは、ポリシーに割り当てられたサインオン・ルールの基準を評価します。アプリケーションにサインオン・ポリシーがない場合は、デフォルトのサインオン・ポリシーが評価されます。

ポリシーのサインオン・ルールの優先度

1つのサインオン・ポリシーに複数のサインオン・ルールを定義できるため、アイデンティティ・ドメインは、ルールの評価順序を認識する必要があります。これを行うため、ルールの優先度を設定できます。

前述のデフォルトのサインオン・ポリシーの例のサインオン・ルールを使用して、拒否ネットワーク・ペリメータのサインオン・ルールを最初に評価し、UA Developers Groupのサインオン・ルールを次に評価できます。ユーザーが「拒否されたネットワーク・ペリメータ」サインオン・ルールの基準を満たす場合(つまり、アイデンティティ・ドメインへのサインイン試行に使用されたIPアドレスがネットワーク・ペリメータで定義したIP範囲内にある場合)は、アイデンティティ・ドメインで保護されたリソースにアクセスできなくなります。ユーザーがこのルールの基準と一致しない場合、次に高い優先度を持つルールが評価されます。この例では、これはUA Developers Groupルールです。ユーザーがUA開発者グループのメンバーである場合は、アイデンティティ・ドメインにサインインするための追加要素を要求されます。ユーザーがUA Developers Groupのメンバーではない場合、次に高い優先度を持つルールが評価されます。この例では、これはデフォルトのサインオン・ルールです。このルールは、デフォルトですべてのユーザーにアイデンティティ・ドメインへのサインインを許可するため、ユーザーは2番目の要素を要求されずにサインインできます。