タスク8: Identity Federationの設定(オプション)

Oracle Database@Azureのアイデンティティ・フェデレーションを設定する方法を学習します。

Oracle Database@Azureのアイデンティティ・フェデレーションの設定はオプションです。フェデレーションにより、ユーザーはAzure Entra ID資格証明を使用して、サービスに関連付けられたOCIテナンシにサインインできます。ほとんどの日々のデータベース操作はAzure環境で実行され、OCIコンソールを使用する必要はありませんが、一部のデータベース管理タスクではOCIにサインインする必要があります。

次の手順を使用して、Azure Entra IDをOCIテナンシの識別プロバイダにします。

1. Azureポータル(https://portal.azure.com/)にサインインします。

2. 「Microsoft Entra ID」を検索し、検索結果で「Microsoft Entra ID」を選択して「Entra ID」「Overview」ページにナビゲートします。

3. 「管理」で、「エンタープライズ・アプリケーション」を選択します。

   

4. 「すべてのアプリケーション」ページで、「新規アプリケーション」を選択します。

   

5. 「Oracle Cloud Infrastructure Console」を検索し、検索結果を選択してアプリケーションのページに移動します。

   

6. Oracle Cloud Infrastructure Consoleパネルで、Azure環境内のアプリケーションの表示名の名前を入力します。たとえば、「Oracle Cloud Infrastructure Console」、「OCI Console」、「OCI Console Contoso Sales」などです。次に、「作成」を選択して続行します。

   

7. 新しいアプリケーションの「概要」ページで、「シングル・サインオンの設定」を選択します。

   

8. シングル・サインオン・ページで、「SAML」を選択し、Security Assertion Markup Language (SAML)プロトコルを選択します。

   

   ポータルは、SAMLベースのサインオン・ページにリダイレクトされます。OCIコンソールで次の一連のステップを実行する間は、このブラウザ・ウィンドウをコンピュータで開いたままにします。OCIコンソールで、SAMLメタデータXMLファイルをエクスポートします。Azureに戻ってXMLファイルをアップロードし、シングル・サインオン構成を続行します。

   

9. OCIコンソールで、「アイデンティティとセキュリティ」に移動し、「ドメイン」を選択します。

   

10. 「ドメイン」リスト・ビューで、デフォルト・ドメインの名前を選択して、ドメインの詳細ページを開きます。オプションで、別のドメインを選択して、そのドメインのシングル・サインオン(SSO)を構成できます。

    

11. アイデンティティ・ドメインの「概要」ページのナビゲーション・メニューで「セキュリティ」を選択します。

    

12. ドメインの「セキュリティ」ページで、ナビゲーション・メニューで「アイデンティティ・プロバイダ」を選択します。

    

13. 「アイデンティティ・プロバイダ」ページで、「IdPの追加」、「SAML IdPの追加」の順に選択します。

    

14. 「詳細の追加」ページで、シングル・サインオン(SSO)中にOCIログイン・ページに表示する名前を入力します。オプションで、説明を追加します。たとえば:

    名前: EntraID

    説明: Woodgrove Bank Azure Microsoft EntraID

    「次」をクリックして続行します。

    

15. メタデータの交換ページで、「SAMLメタデータのエクスポート」をクリックします。

    

16. 「SAMLメタデータのエクスポート」パネルで、「メタデータ・ファイル」セクションを検索し、「XMLのダウンロード」を選択します。次の一連のステップを完了している間は、ブラウザ・ウィンドウを開いたままにしておきます。

    

17. AzureポータルのSAMLベースのサインオン・ページが表示されたブラウザ・ウィンドウに戻り、「メタデータ・ファイルのアップロード」を選択します。

    

18. 「メタデータ・ファイルのアップロード」ポップアップ・ウィンドウで、フォルダ・ロゴを選択して、OCIコンソールからエクスポートしたSAML XMLメタデータ・ファイルを選択します。「追加」を選択して続行します。

    

19. 「基本的なSAML構成」パネルで、「返信URL (アサーション・コンシューマService URL)」フィールドを見つけます。このフィールドの値をコンピュータのクリップボードにコピーします。その他の入力フィールドは編集しないでください。

    

20. /fed/v1/を/ui/v1/myconsoleに置き換えて、コピーした「返信URL (アサーション・コンシューマService URL)」の値を編集します。次に、編集したURLを「サインオンURL」フィールドに貼り付け、「保存」をクリックして続行します。

    たとえば、「返信URL (アサーション・コンシューマService URL)」フィールドに次の値がある場合:

    https://idcs-123a4b56example1de45fgh6i789j012.identity.oraclecloud.com/fed/v1/

    次に、次の例に示すように、編集したバージョンのURLを貼り付けます。

    https://idcs-123a4b56example1de45fgh6i789j012.identity.oraclecloud.com/ui/v1/myconsole

    

21. 「Oracle Cloud Infrastructure Consoleでのシングル・サインオンのテスト」ポップアップ・ウィンドウで、「いいえ、後でテストします」を選択します。

    

22. 「属性と要求」セクションで、「編集」を選択します。

    

23. 「必須要求」セクションで、「一意のユーザー識別子(Name ID)」要求を選択します。

    

24. 「ソース属性」フィールドで、組織に適した一意のユーザー識別子を選択します。

    • user.mail:組織のユーザー・アカウントが一意の識別子として電子メール・アドレスを使用する場合、この値を選択します。
    • user.userprincipalname:組織のユーザー・アカウントで一意の識別子としてUserPrincipalNameが使用されている場合は、この値を選択します。このオプションを使用する場合は、ユーザー・アカウントで電子メール・アドレスを必要とするようにOCIアイデンティティ・ドメインが構成されていないことを確認してください。電子メール・アドレスなしで新規ユーザーを作成できるようにアイデンティティ・ドメインを構成する方法の詳細は、アカウント作成のためのユーザーの電子メール・アドレスの要求を参照してください。

    「保存」を選択し、「X」を選択して「要求の管理」ダイアログを閉じ、「SAMLベースのサインオン」ページに戻ります。

    

25. 「SAMLベースのサインオン」ページの「SAML証明書」セクションで、「フェデレーション・メタデータXML」フィールドを見つけて「ダウンロード」を選択します。OCIコンソールで次の一連のステップを実行する間は、このブラウザ・ウィンドウをコンピュータで開いたままにします。

    

26. OCIコンソールの「SAMLアイデンティティ・プロバイダの追加」ページに戻ります。「IdPメタデータのインポート(メタデータXMLファイルのアップロード)」を選択します。「アイデンティティ・プロバイダ・メタデータのアップロード」セクションで、「1つを選択...」リンクを選択して、前のステップで「フェデレーション・メタデータXML」ダウンロード・リンクからダウンロードしたIdPメタデータXMLファイルを選択します。

    

27. XMLファイルをアップロードすると、「識別プロバイダのアップロード」セクションの下にファイル名が表示されます。「Next」を選択して続行します。

    

28. 「ユーザー・アイデンティティのマップ」ページで、次を選択し、「次」を選択して続行します。

    • リクエストされたName ID形式:ステップ24で指定した一意の識別子(電子メール・アドレスまたはUserPrincipalName)を選択します。
    • アイデンティティ・プロバイダ・ユーザー属性: SAMLアサーションName ID
    • アイデンティティ・ドメイン・ユーザー属性:ステップ24で構成したプライマリ電子メール・アドレスまたはユーザー名を指定します。
    

29. 「SAMLアイデンティティ・プロバイダの追加」ワークフローの「確認および作成」ページで、表示された情報を確認し、「IdPの作成」を選択します。

    

30. 「SAMLアイデンティティ・プロバイダの追加」ワークフローの「次へ」ページで、「アクティブ化」を選択してIdPをアクティブ化します。続行する前に、ページに「EntraID IDプロバイダがアクティブ化されました」というメッセージが表示されるのを待ちます。

    
31. 「SAMLアイデンティティ・プロバイダの追加」ワークフローの「次へ」ページで、「IdPポリシーに追加」を選択します。

32. 「アイデンティティ・プロバイダ(IdP)ポリシー」ページで、「デフォルト・アイデンティティ・プロバイダ・ポリシー」を選択します。

    

33. 「デフォルト・アイデンティティ・プロバイダ・ポリシー」ポリシーの詳細ページの「アイデンティティ・プローバ・ルール」セクションで、「IdPルールの編集」を選択します。

    

34. 「アイデンティティ・プロバイダ・ルールの編集」パネルの「アイデンティティ・プロバイダの割当て」フィールドに、EntraID値を入力します。デフォルトでは、フィールドに「Username-Password」と表示されます。

    「変更の保存」を選択して続行します。

    
35. 重要
    
    

    次のステップでは、OCIのEntraIDユーザーをプロビジョニングするOCI機密アプリケーションを構成します。すべてのユーザーが次のフィールド値を含む必要があることに注意してください。そうしないと、OCIでのユーザーのプロビジョニングが失敗します。

    • 名
    • 姓
    • 表示名
    • 電子メール・アドレス(OCIアイデンティティ・ドメインに電子メール・アドレスが必要な場合)

    OCIアイデンティティ・ドメインで新規ユーザーを作成するために電子メール・アドレスが必要かどうかを確認するには、アカウント作成のためのユーザーの電子メール・アドレスの必須を参照してください。Azureユーザーの一意の識別子の構成の詳細は、このタスクのステップ24を参照してください。

    ナビゲーション・メニューを開き、「アイデンティティとセキュリティ」を選択します。「アイデンティティ」で、「ドメイン」を選択します。
36. 「既定のドメイン」を選択します。次に、「統合アプリケーション」を選択します。
37. 「アプリケーションの追加」を選択します。

38. 「アプリケーションの追加」ウィンドウで、「機密アプリケーション」、「ワークフローの起動」の順に選択します。

    

39. 「機密アプリケーションの追加」ワークフローの「アプリケーション詳細の追加」ページで、次のように入力します:

    • 名前:機密アプリケーションの名前を入力します。最大125文字を入力できます。
    • 説明:機密アプリケーションの説明を入力します。最大250文字を入力できます。

    オプションの設定を確認し、「次へ」を選択します。

    

40. 「OAuthの構成」ページの「クライアント構成」セクションで、「このアプリケーションをクライアントとして今すぐ構成します」を選択します。

    

41. 「OAuthの構成」ページの「クライアント構成」セクションで、「クライアント資格証明」を選択します

    

42. 「OAuthの構成」ページで、下にスクロールして「トークン発行ポリシー」セクションを見つけます。「認可されたリソース」で、「特定」、「アプリケーション・ロールの追加」の順に選択して、ワークフローの「アプリケーション・ロール」セクションを開きます。

    

43. 「アプリケーション・ロール」セクションで、「ロールの追加」を選択し、「ユーザー管理者」を検索します。検索結果のリストから、「ユーザー管理者」、「追加」の順に選択します。

    

44. 「アプリケーション・ロール」リストに「ユーザー管理者ロール」が表示されている状態で、「次」を選択します。

    

45. 「ポリシーの構成」ページで、デフォルトの選択を確認し、「終了」を選択します。

    

46. 「デフォルト」ドメイン詳細ページの「統合アプリケーション」タブで、作成したEntra IDアプリケーションの名前を選択して、アプリケーションの詳細ページを開きます。

    

47. 詳細ページで「アクティブ化」を選択します。

    

    アプリケーション・ステータスが「アクティブ」であることを確認します。

    

48. Entra IDアプリケーションの詳細ページの「一般情報」セクションを探します。このセクションで、次を実行します。

    • 「クライアントID」の値を、次のステップで説明するCLIコマンドで使用するために、コンピュータ上のノートパッドまたはその他の場所にコピーします。
    • 「シークレットの表示」を選択し、クライアントIDを使用してクライアント・シークレットをファイルにコピーします。
    

    シークレットをコピーした後、「クライアント・シークレット」ダイアログを閉じて続行します。

    

49. 次のコマンドを作成するには、クライアントIDおよびクライアント・シークレットの値を使用します。

    echo -n <clientID>:<clientsecret> | base64 --wrap=0

    たとえば:

    echo -n 7a5715example8b7429cdexample74a:63n8765exmaple49asbcs56abc235784 | base64 --wrap=0

50. OCI Cloud Shell (CLI)でコマンドを実行します。OCIコンソール・ヘッダーのクラウド・シェル・アイコンを選択し、「クラウド・シェル」を選択して、ブラウザ・ウィンドウでCLIインタフェースを開きます。コマンドを CLIに貼り付けてから、コマンドを実行します。

    詳細は次のトピックを参照してください:

    • クラウド・シェルの使用
    • 必要なIAMポリシー
    
51. ナビゲーション・メニューを開き、「アイデンティティとセキュリティ」を選択します。「アイデンティティ」で、「ドメイン」を選択します。
52. 「デフォルト・ドメイン」を選択して、デフォルト・ドメインの詳細ページを開きます。

53. ドメインの「概要」ページで、「ドメインURL」をコンピュータ上のノートパッドまたはその他の場所にコピーします。

    たとえば:

    https://idcs-638a9b18aexampleb77becf0f123d691.identity.oraclecloud.com:443

    

54. ステップ25に示すSAMLベースのサインオンの詳細が表示されたAzureポータルの「エンタープライズ・アプリケーション」ページに戻ります。「管理」セクションで「プロビジョニング」を選択します。

    

55. 「プロビジョニング」ページで次のように入力します:

    • プロビジョニング・モード:自動

    • テナントURL:ステップ53からコピーしたURLを次のように編集します。

      • URLの最後に":443"を削除
      • URLの最後に"/admin/v1"を追加します

      たとえば:

      https://idcs-638a9b18aexampleb77becf0f123d691.identity.oraclecloud.com/admin/v1

      URLを編集したら、「テナントURL」フィールドに貼り付けます。

    • シークレット・トークン:ステップ49でOCIコンソールからコピーしたbase64暗号化シークレットを貼り付けます。

    「接続のテスト」を選択し、「保存」を選択して続行します。

    
    重要
    
    接続が成功したことを確認するメッセージを待機します。メッセージはページの右上隅に表示されます。

56. 「プロビジョニング」ページで、「マッピング」セクションの「Microsoft Entra IDユーザーのプロビジョニング」を選択します。

    

57. 「属性マッピング」ページで、「マッピング」セクションを検索し、「新規マッピングの追加」を選択します。

    

58. 「属性の編集」ページで、次のように入力します:

    • マッピング・タイプ:式
    • 式: CBool("true")

    • ターゲット属性: ":isFederatedUser"で終わる文字列を選択します。たとえば:

      urn:ietf:params:scim:schemas:oracle:idcs:extension:user:User:isFederateUser

    「OK」を選択して続行します。

    

59. 「属性マッピング」ページで、「新規マッピングの追加」を再度選択して2番目のマッピングを追加します。

60. 「属性の編集」ページで、次のように入力します:

    • マッピング・タイプ:式
    • 式: CBool("true")

    • ターゲット属性: ":bypassNotification"で終わる文字列を選択します。たとえば:

      urn:ietf:params:scim:schemas:oracle:idcs:extension:user:User:bypassNotification

    「OK」を選択して続行します。

    

61. このタスクのステップ3から6で作成したアプリケーションのAzureの「エンタープライズ・アプリケーション概要」ページにナビゲートし、「ユーザーとグループの割当て」を選択します。

    
    重要
    
    

    すべてのユーザーに次のフィールド値が含まれている必要があります。含まれていない場合、OCIでのユーザー割当てが失敗します。

    • 名
    • 姓
    • 表示名
    • 電子メール・アドレス(OCIアイデンティティ・ドメインに電子メール・アドレスが必要な場合)

    OCIアイデンティティ・ドメインで新規ユーザーを作成するために電子メール・アドレスが必要かどうかを確認するには、アカウント作成のためのユーザーの電子メール・アドレスの必須を参照してください。Azureユーザーの一意の識別子の構成の詳細は、このタスクのステップ24を参照してください。

62. 「ユーザー/グループの追加」を選択し、アイデンティティ・フェデレーションに含めるユーザーおよびグループを追加します。ユーザーおよびグループを入力すると、それらはOCIアカウントと同期されます。