認証
インバウンド認証を設定して、OCIリソースに安全にアクセスするためのエージェントおよびアウトバウンド認証へのアクセスを制御します。
ホスト・アプリケーションで認証を構成します。関連付けられたホスト・デプロイメントは、これらの設定を継承します。クライアントがアプリケーションにアクセスする方法に基づいて、アイデンティティ・ドメインベアラー・トークン、アイデンティティ・ドメイン・ブラウザ・セッション、OCI IAMまたは「認証なし」を選択します。
インバウンド認証
インバウンド認証は、ホストされたエージェントにアクセスできるユーザーを制御します。ホストされるアプリケーションでは、次の認証オプションがサポートされています。
- アイデンティティ・ドメインベアラー・トークン:クライアントは、OCI IAMアイデンティティ・ドメインによって発行されたOAuthアクセス・トークンを送信します。サービスは、ホストされたデプロイメントにリクエストをルーティングする前にトークンを検証します。「アイデンティティ・ドメインBearerトークン認証の設定」を参照してください。
- アイデンティティ・ドメイン・ブラウザ・セッション: OAuth 2.1 Authorization Code flow with Proof Key for Code Exchange (PKCE)を使用します。ブラウザ・ユーザーは、サインインするためにOCIアイデンティティ・ドメインにリダイレクトされます。ホストされたアプリケーション・サービスは、かわりにアクセス・トークンを取得し、セッションCookieを使用するブラウザ・セッションを確立します。アイデンティティ・ドメイン・ブラウザ・セッションを参照してください。
- OCI IAM:クライアントは、OCI IAMリクエスト署名要件に従ってリクエストに署名します。認証を参照してください。
- 認証なし:プラットフォームは、呼出し元を認証せずにリクエストをルーティングします。このオプションは、パブリック・コンテンツまたはアプリケーションが認証を管理する場合に使用します。No authenticationを参照してください。
API構成については、InboundAuthConfigを参照してください。アイデンティティ・ドメイン認証については、IdcsAuthConfigも参照してください。NO_AUTH_CONFIGを使用する場合は、idcsConfigを省略します。
アプリケーションの「構成」タブで、選択した認証タイプを表示します。
認証なしの使用
プラットフォームが受信リクエストを認証する必要がない場合は、「認証なし」を選択します。たとえば、パブリックWebコンテンツ、独自のサインイン・フローを持つアプリケーション、アプリケーションが資格証明を検証するサービス統合などがあります。
エンドポイントに到達できるユーザーは、プラットフォーム管理認証なしでリクエストを送信できます。アクセスに制限が必要な場合は、アプリケーションに認証と認可を実装します。ネットワーク設定は、エンドポイントに到達できるクライアントを決定します。
個別のテナンシ登録は必要ありません。TLS、構成されたパブリック・エンドポイントまたはプライベート・エンドポイント、およびサービス制限が引き続き適用されます。アプリケーションを管理し、そこから他のOCIサービスにアクセスするには、OCI IAM権限が引き続き必要です。
APIを使用する場合は、inboundAuthConfig.inboundAuthConfigTypeをNO_AUTH_CONFIGに設定し、idcsConfigを省略します。更新からinboundAuthConfigを省略すると、現在の認証構成は変更されません。InboundAuthConfigを参照してください。
アイデンティティ・ドメイン・ブラウザのセッション認証を使用し、選択したパスに対してのみパブリック・アクセスが必要な場合は、パブリック・アクセス・パス・パターンを構成します。たとえば、他のパスのサインインを保持しながら、/assets/*へのアクセスを許可できます。アイデンティティ・ドメイン・ブラウザ・セッションを参照してください。
アウトバウンド認証
アウトバウンド認証により、デプロイされたエージェント・アプリケーションは、テナンシ内の他のOCIリソースに安全にアクセスできます。
アクセスは、指定されたリソースに対して特定のアクションを実行するようにエージェント・アプリケーションを(リソース・プリンシパルとして)認可するOCI IAMポリシーを定義することで付与されます。これらのポリシーは、最小権限の原則に基づいてアクセスの範囲を決定します。
デプロイメント後、プラットフォームはエージェント・ワークロードに対してリソース・プリンシパル・セッション・トークン(RPST)を自動的にプロビジョニングします。RPSTはコンテナ・ランタイムにセキュアに注入されるため、アプリケーションはAPIキーやユーザー・トークンなどの存続期間の長い資格証明を使用せずにOCIサービスに対して認証できます。
コンテナ内では、エージェントはリソース・プリンシパル認証プロバイダとともにOCI SDKを使用します。SDKはRPSTを自動的に取得およびリフレッシュし、オブジェクト・ストレージ、Autonomous AI Database、Vault、Streamingなどの認可されたOCIサービスへのセキュアなアクセスを可能にします。