Oracle Cloud Infrastructureドキュメント

チュートリアル1: Entra IDギャラリ・アプリケーションを使用してアイデンティティを管理するための認可ソースとしてのEntra ID

Entra IDを認可アイデンティティ・ストアとして構成し、Entra ID Galleryのアプリケーション・テンプレートを使用してOCI IAMのアイデンティティを管理します。

  1. OCI IAMを構成して、Entra IDがOCI IAMのアイデンティティを管理するアイデンティティ・ストアになるようにしますOCI IAMで、機密アプリケーションを作成します。
  2. OCI IAMアイデンティティ・ドメインのクライアントIDおよびクライアント・シークレットからシークレット・トークンを生成します。これには、Entra IDのドメインURLとともに使用します。
  3. Entra IDでアプリケーションを作成し、シークレット・トークンおよびアイデンティティ・ドメインURLを使用してOCI IAMアイデンティティ・ドメインを指定し、Entra IDからOCI IAMにユーザーをプッシュして動作することを証明します
  4. OCI IAMにプロビジョニングするユーザーおよびグループをEntra IDアプリケーションに割り当てます。
  1. さらに、方法に関する指示
    • ユーザーのフェデレーテッド・ステータスを、外部アイデンティティ・プロバイダによって認証されるように設定します。
    • アカウントの作成または更新時に、ユーザーに通知Eメールの取得を停止します。
1. 機密アプリケーションの作成

この項では、ユーザー・アカウントがEntra IDからOCI IAMに同期されるように、アイデンティティ・マネージャとして機能するようにEntra IDを構成します。

  1. 作業中のアイデンティティ・ドメインで、「アプリケーション」を選択します。
  2. 「アプリケーションの追加」を選択し、「機密アプリケーション」を選択して「ワークフローの起動」を選択します。

    機密アプリケーション

  3. アプリケーションの名前(Entra IDなど)を入力し、「次へ」を選択します。
  4. 「クライアント構成」の下で、「このアプリケーションをクライアントとして今すぐの構成します」を選択します。

    アプリケーションをクライアントとして構成

  5. 「認可」で、「クライアント資格証明」を確認します。

    クライアント資格証明のアプリケーションの構成

  6. 「クライアント・タイプ」で、「機密」を選択します。
  7. 下にスクロールし、「トークン発行ポリシー」セクションで、「認可されたリソース」を「特定」に設定します。

    トークン発行ポリシー

  8. 「アプリケーション・ロールの追加」を選択します。
  9. 「アプリケーション・ロール」セクションで「ロールの追加」を選択し、「アプリケーション・ロールの追加」ページで「ユーザー管理者」、「追加」の順に選択します。

    アプリケーション・ロールの追加

  10. 「次へ」、「終了」の順に選択します。
  11. アプリケーションの概要ページで、「アクティブ化」を選択し、アプリケーションをアクティブ化することを確認します。

    機密アプリケーションがアクティブ化されます。

2. ドメインURLの検索およびシークレット・トークンの生成

Entra IDで作成するエンタープライズ・アプリケーションの接続設定の一部として使用するには、2つの情報が必要です:

  • ドメインURL。
  • クライアントIDおよびクライアント・シークレットから生成されたシークレット・トークン。
  1. ブレッドクラムでアイデンティティ・ドメイン名を選択して、アイデンティティ・ドメインの概要に戻ります。ドメイン情報の「ドメインURL」の横にある「コピー」を選択し、URLを編集可能なアプリケーションに保存します。

    ドメインURL情報がどこにあるかを示すドメイン情報。

  2. OCI IAMの機密アプリケーションで、「リソース」の下の「OAuth構成」を選択します。
  3. 下にスクロールし、「一般情報」の下の「クライアントID」および「クライアント・シークレット」を見つけます。
  4. クライアントIDをコピーして格納します
  5. 「シークレットの表示」を選択し、シークレットをコピーして格納します。

    クライアントIDおよびクライアント・シークレット

    シークネット・トークンは、 <clientID>:<clientsecret> のbase64エンコーディング、
    base64(<clientID>:<clientsecret>)

    これらの例は、Windows、LinuxまたはMacOSでシークレット・トークンを生成する方法を示しています。

    Windows環境では、CMDを開き、このpowershellコマンドを使用してbase64エンコーディング[Convert]::ToBase64String([System.Text.Encoding]::Unicode.GetBytes('client_id:secret'))を生成します

    Linuxでは、次を使用します。
    echo -n <clientID>:<clientsecret> | base64 --wrap=0
    MacOSでは、次を使用します
    echo -n <clientID>:<clientsecret> | base64
    シークレット・トークンが返されます。例
    echo -n 392357752347523923457437:3454-9853-7843-3554 | base64
Nk0NzUyMzcyMzQ1NzMTc0NzUyMzMtNTQzNC05ODc4LTUzNQ==

    シークレット・トークンの値を書き留めます。

3.Entra IDでのOCIアプリケーションの作成

Entra IDを構成して、Entra IDがIAMのアイデンティティを管理するための認可アイデンティティ・ストアになるようにします。

  1. ブラウザで、URLを使用してMicrosoft Entra IDにサインインします。
    
                            https://portal.azure.com
  2. 「アイデンティティ」→アプリケーションを選択します。
  3. 「エンタープライズ・アプリケーション」を選択します。

    エンタープライズ・アプリケーションの追加

  4. 「Enterprise applications」ページで、「New application」、「Oracle」の順に選択します。
  5. 「Oracle Cloud Infrastructure Console」を選択します。

    「Oracle Cloud Infrastructure Console」の選択

  6. 名前を入力するか、デフォルトの「Oracle Cloud Infrastructure Console」を受け入れます。
  7. 「作成」を選択します。

    OCI IAMコンソール・アプリケーションの作成

  8. 「管理」の下の左側のメニューから「プロビジョニング」をクリックします。

    Entra IDのエンタープライズ・アプリケーションの「プロビジョニング」ページ

  9. 「スタート・ガイド」を選択し、「プロビジョニング・モード」を「自動」に変更します。
  10. 「テナントURL」に、2.からのOCI IAMドメインURLを入力します。ドメインURLの検索およびシークレット・トークンの生成の後に/admin/v1を続けた値を指定します。つまり、テナントURLは次のようになります 
    https://<domainURL>/admin/v1
  11. 2. ドメインURLの検索およびシークレット・トークンの生成で生成したシークレット・トークンを入力します。

    管理資格証明の入力

  12. 「接続のテスト」を選択します。このメッセージが表示された場合、接続は成功しています
    Testing connection to Oracle Cloud Infrastructure Console
The supplied credentials are authorized to enable provisioning
  13. 「管理」の下の左側のメニューから「プロビジョニング」を選択して、「プロビジョニングの開始」を選択します。プロビジョニング・サイクルが開始され、プロビジョニングのステータスが表示されます。
4.Entra IDアプリケーションへのユーザーおよびグループの割当て

OCI IAMにプロビジョニングするユーザーをEntra IDアプリケーションに割り当てます。

  1. Entra IDの左側のメニューで、「エンタープライズ・アプリケーション」を選択します。
  2. 前に作成したアプリケーションOracle Cloud Infrastructure Consoleを選択します。
  3. 左側のメニューの「管理」で、「ユーザーとグループ」を選択します。
  4. 「ユーザーおよびグループ」ページで、「ユーザー/グループの追加」を選択します。
  5. 「割当ての追加」ページの左側の「ユーザーおよびグループ」で、「選択なし」を選択します。

    「ユーザーおよびグループ」ページが開きます。

  6. リストから1つ以上のユーザーまたはグループを選択して選択します。選択したユーザーが「Selected items」の下にリストされます。

    ユーザーとグループ

  7. 「選択」を選択します。選択したユーザーおよびグループの数は、「割当の追加」ページに表示されます。

    選択したユーザーおよびグループの数は、「割当の追加」ページに表示されます。

  8. 「割当の追加」ページで、「割当」を選択します。

    「ユーザーおよびグループ」ページに、選択したユーザーおよびグループが表示されるようになりました。

    選択したユーザーおよびグループが、アプリのユーザーおよびグループのリストに表示されます。

  9. グループおよびユーザーをプロビジョニングするには、左側のメニューで「プロビジョニング」を選択します。プロビジョニング・ログにステータスが表示されます。

    成功のステータスを示すプロビジョニング・ログ。

  10. プロビジョニングが成功すると、「現在のサイクル・ステータス」に、増分サイクルが完了したこと、およびOCI IAMにプロビジョニングされたユーザーの数が表示されます。

    プロビジョニングのステータスが、OCI IAMにプロビジョニングされたユーザーの数とともに表示されます

    OCI IAMで、Entra IDからプロビジョニングされたユーザーおよびグループを表示できるようになりました。

    IAMでプロビジョニングされたEntra IDユーザー
    ノート

    Entra IDでOracle Cloud Infrastructureコンソール・アプリケーションからユーザーを削除すると、ユーザーはOCI IAMでのみ非アクティブ化されます。

    IAMでプロビジョニングされたEntra IDグループ

5. フェデレーテッド・ユーザーの追加構成
  • ユーザーのフェデレーテッド・ステータスを設定して、外部アイデンティティ・プロバイダによって認証されるようにできます。
  • アカウントの作成または更新時にユーザーに送信される通知Eメールを無効にできます。
a. ユーザーのフェデレーテッド・ステータスの設定

フェデレーテッド・ユーザーには、OCIに直接サインインするための資格証明がありません。かわりに、外部アイデンティティ・プロバイダによって認証されます。ユーザーがフェデレーテッド・アカウントを使用してOCIにサインインする場合は、それらのユーザーの「フェデレーテッド」属性をtrueに設定します。

ユーザーのフェデレーテッド・ステータスを設定するには:

  1. ブラウザで、URLを使用してMicrosoft Entra IDにサインインします。
    
                                https://portal.azure.com
  2. 「アイデンティティ」→アプリケーションを選択します。
  3. 「エンタープライズ・アプリケーション」を選択します。
  4. 前に作成したアプリケーションOracle Cloud Infrastructure Consoleを選択します。
  5. 左側のメニューの「管理」で、「プロビジョニング」、「プロビジョニングの編集」の順に選択します。
  6. 「プロビジョニング」ページで、「マッピング」を選択します。

  7. 「マッピング」で、「Entra IDユーザーのプロビジョニング」を選択します。

  8. 「属性マッピング」で、下にスクロールして「新規マッピングの追加」を選択します。

    「属性マッピング」の下に「新規マッピング」フィールドを追加

  9. 「属性の編集」ページで、次の操作を行います。
    • 「マッピング・タイプ」で、Expressionを選択します。
    • 「式」に、CBool("true")と入力します。
    • 「ターゲット属性」で、urn:ietf:params:scim:schemas:oracle:idcs:extension:user:User:isFederatedUserを選択します。

      属性編集ページ

  10. 「OK」を選択します。
  11. 「属性マッピング」ページで、「保存」を選択します。

これで、ユーザーがEntra IDからOCIにプロビジョニングされると、フェデレーテッド・ステータスがtrueに設定されます。これは、ユーザーのプロファイル・ページで確認できます。

  • OCIコンソールで、使用しているアイデンティティ・ドメインに移動し、「ユーザー」を選択して、ユーザー情報を表示するユーザーを選択します。
  • 「フェデレーテッド」は、Yesと表示されます。

    ユーザーがフェデレートされていることを示すユーザー情報

b. アカウントの作成または更新の通知の無効化

通知のバイパス・フラグは、OCIでユーザー・アカウントを作成または更新した後に電子メール通知を送信するかどうかを制御します、アカウントが作成されたことをユーザーに通知しない場合は、バイパス通知フラグをtrueに設定します。

バイパス通知フラグを設定するには:

  1. ブラウザで、URLを使用してMicrosoft Entra IDにサインインします。
    
                                https://portal.azure.com
  2. 「アイデンティティ」→アプリケーションを選択します。
  3. 「エンタープライズ・アプリケーション」を選択します。
  4. 前に作成したアプリケーションOracle Cloud Infrastructure Consoleを選択します。
  5. 左側のメニューの「管理」で、「プロビジョニング」、「プロビジョニングの編集」の順に選択します。
  6. 「プロビジョニング」ページで、「マッピング」を選択します。

  7. 「マッピング」で、「Entra IDユーザーのプロビジョニング」を選択します。

    「プロビジョニング・モード」ページの「マッピング」でEntra IDユーザーをプロビジョニングします。

  8. 「属性マッピング」で、下にスクロールして「新規マッピングの追加」を選択します。

    「属性マッピング」の下に「新規マッピング」フィールドを追加

  9. 「属性の編集」ページで、次の操作を行います。
    • 「マッピング・タイプ」で、Expressionを選択します。
    • 「式」に、CBool("true")と入力します。
    • 「ターゲット属性」で、urn:ietf:params:scim:schemas:oracle:idcs:extension:user:User:bypassNotificationを選択します。

      属性編集ページ

  10. 「OK」を選択します。
  11. 「属性マッピング」ページで、「保存」を選択します。