サインオン・ポリシーの管理

「デフォルト」サインオンポリシー

すべてのアイデンティティ・ドメインには、デフォルト・サインオン・ルールを含むアクティブなデフォルト・サインオン・ポリシーが含まれます。

デフォルトでは、このデフォルトのサインオン・ルールによって、すべてのユーザーがユーザー名とパスワードを使用してアイデンティティ・ドメインにサインインできるようになります。他のサインオン・ルールを追加することで、このポリシーに基づいて構築できます。これらのルールを追加することで、一部のユーザーがアイデンティティ・ドメインにサインインすることを防止できます。または、サインインを許可できますが、Oracle Cloud Infrastructure Consoleなどのアイデンティティ・ドメインによって保護されているリソースにアクセスするための追加ファクタを要求することもできます。

たとえば、デフォルトのサインオン・ポリシーに2つのサインオン・ルールを作成できます。最初のルールでは、定義したネットワーク・ペニメータの範囲内にあるIPアドレスを使用している場合、すべてのユーザーがアイデンティティ・ドメインにサインインすることを防止します: Denied Network Perimeters。2番目のルールは、特定のグループに属するユーザー(UA開発者グループなど)に、2ステップ検証プロセスの一環として2番目の要素を要求します(UA開発者グループ)。他のすべてのユーザーは、2番目の要素を要求されずにサインインできます。

「OCIコンソールのセキュリティ・ポリシー」サインオン・ポリシー

OCIコンソールのセキュリティ・ポリシー・サインオン・ポリシーを使用してMFAを設定するには、「OCIコンソールのセキュリティ・ポリシー」サインオン・ポリシーがあるアイデンティティ・ドメインのベスト・プラクティスを参照してください。

追加のサインオン・ポリシー

サインオン・ポリシーを作成し、それらを特定のアプリケーションに関連付けることができます。ユーザーがこれらのアプリケーションのいずれかを使用してアイデンティティ・ドメインへのサインインを試みると、アイデンティティ・ドメインは、アプリケーションにサインオン・ポリシーが関連付けられているかどうかをチェックします。その場合、アイデンティティ・ドメインは、ポリシーに割り当てられたサインオン・ルールの基準を評価します。アプリケーションにサインオン・ポリシーがない場合は、デフォルトのサインオン・ポリシーが評価されます。

ポリシーのサインオン・ルールの優先度

1つのサインオン・ポリシーに複数のサインオン・ルールを定義できるため、アイデンティティ・ドメインは、ルールの評価順序を認識する必要があります。これを行うため、ルールの優先度を設定できます。

前述の「デフォルトのサインオン・ポリシー」の例のサインオン・ルールを使用して、「拒否されたネットワーク・ペリメータ」サインオン・ルールを最初に評価し、次に「UA開発者グループ」サインオン・ルールを評価できます。ユーザーが拒否されたネットワーク・ペリメーターのサインオン・ルールの基準を満たす場合(つまり、アイデンティティ・ドメインへのサインイン試行に使用したIPアドレスは、ネットワーク・ペリメーターで定義したIP範囲内にある場合)、ユーザーは、アイデンティティ・ドメインによって保護されたリソースにアクセスできなくなります。ユーザーがこのルールの基準と一致しない場合、次に高い優先度を持つルールが評価されます。この例では、これはUA開発者グループ・ルールになります。ユーザーがUA開発者グループのメンバーである場合、アイデンティティ・ドメインにサインインするための追加要素を要求されます。ユーザーがUA Developers Groupのメンバーでない場合、次に高い優先度を持つルールが評価されます。この例では、これはデフォルトのサインオン・ルールです。このルールは、デフォルトですべてのユーザーにアイデンティティ・ドメインへのサインインを許可するため、ユーザーは2番目の要素を要求されずにサインインできます。