Oracle Cloud Infrastructureドキュメント

Fusion接続のアイデンティティ・アクセスの設定

AI用のコスト・アドバイザがFusion HCMまたはFusion EPMに接続できるように、機密アプリケーションを作成してアクティブ化します。

重要

Pre-General Availability: 2026-10-27

The following legal notice applies to Oracle pre-GA releases. 著作権およびその他の適用される法律に関する情報は、Oracleの法律上の注意点を参照してください。

Pre-General Availability Draft Documentation Notice

このドキュメントはPre-General Availability (一般提供前)版であり、デモおよび暫定使用のみを目的としたものです。このソフトウェアを使用するハードウェアに限定するものではありません。Oracle Corporationおよびその関連会社は、このドキュメントに関して一切の責任を負わず、いかなる保証もいたしません。また、このドキュメントを使用したことによって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。

このドキュメントは、マテリアルやコード、機能またはサービスを提供することのオラクルによるコミットメント(確約)ではありません。このドキュメントおよびOracleのPre-General Availability(一般提供前) プログラムとサービスは、予告なしにいつでも変更される可能性があります。したがって、購買決定を行う際の判断材料にしないでください。オラクルのPre-General Availability(一般提供前)プログラムおよびサービスの開発、リリース、およびすべての機能の時期は、オラクルの単独の裁量により決定されます。すべてのリリース日または将来のイベントなどの予測は変更される可能性があります。オラクルとのあらゆるライセンス契約またはサービス契約の締結にあたり、今後のオラクルのプログラムまたはサービスの将来の利用可能性を前提としないでください。

追加する接続のFusion HCM準備またはFusion EPM準備を完了します。関連付けられたアイデンティティ・ドメインの管理者にこの手順を完了してもらいます。EPMのセカンダリ・オーディエンス構成には、EPM管理者も必要です。

対応するAI設定フローのコスト・アドバイザで提供される公開署名証明書を使用し、その接続の証明書登録手順に従います。証明書により、アイデンティティ・ドメインは署名済リクエストを検証できます。Cost Advisor for AIが署名キーを管理します。コンソールでは、秘密キー、統合ユーザーのパスワードまたはOAuthクライアント・シークレットを指定しません。

ノート

EPMの場合、OAuthトークンは専用の統合ユーザーを表す必要があります。クライアント資格証明のみのトークンは、このフローの代替ではありません。EPMでのJWT認証の仕組みおよびOAuth 2での認証のユーザー・コンテキストの要件を参照してください。このページのデバイス・コードの例は、別の設定フローです。ここで説明するJWTアサーション構成のかわりにこれを使用しないでください。
  1. 個人マッピングまたは宛先設定のアイデンティティ・アクセス・ステップで、公開署名証明書をダウンロードします。

    設定する接続の証明書を使用します。合意された独立した検証チャネルを介してフィンガープリントを確認し、アイデンティティ・ドメインでサポートされている証明書登録手順を確認します。

    EPMの場合は、「EPMアイデンティティ・ドメインの設定」を開き、cost-advisor-for-ai-epm-public-signing-certificate.pemをダウンロードします。「機密アプリケーションの作成」で、「証明書別名」の横にある「コピー」(oracle-cost-advisor-epm-pub-cert)を選択します。証明書をインポートするときに、この正確な別名を使用します。

    HCMの場合は、「HCMアイデンティティ・ドメインの設定」を開き、cost-advisor-for-ai-hcm-public-signing-certificate.pemをダウンロードします。「機密アプリケーションの作成」で、「証明書別名」oracle-cost-advisor-hcm-pub-certを正確にコピーします。HCMとEPMには、個別の証明書登録要件があります。

  2. OCIコンソールで、「アイデンティティとセキュリティ」を開き、「ドメイン」を選択して、ターゲット環境に関連付けられたアイデンティティ・ドメインを開きます。
    「アイデンティティ・ドメインURL」接続フィールドのドメインのHTTPS URLを記録します。EPMのIAMインタフェースを開く方法の詳細は、IAMインタフェースへのアクセスを参照してください。
  3. 「統合アプリケーション」、「アプリケーションの追加」、「機密アプリケーション」の順に選択します。ワークフローを起動し、接続およびターゲット環境を識別する名前と説明を入力します。
    たとえば、テスト環境にはコスト・アドバイザEPMアップロードJWT統合テストを使用します。JWT認証、証明書の信頼、および認可されたリソースとスコープが設定されるまで、アプリケーションを非アクティブのままにします。
  4. 許可された権限としてJWTアサーション、クライアント・タイプとして信頼済を持つOAuthクライアントとしてアプリケーションを設定します。
    OAuth設定を設定する前にアプリケーションが作成された場合は、OAuth構成を開き、「OAuth構成の編集」を選択してから、「このアプリケーションをクライアントとして今すぐ構成」を選択します。
  5. ダウンロードしたパブリック証明書を機密アプリケーションのクライアント構成にインポートし、その接続に指定された証明書別名を正確に入力します。
  6. 「トークン発行ポリシー」で、「認可されたリソース」を「特定」に設定し、目的の環境のリソースおよびスコープを追加します。
    • Fusion HCM: ターゲットHCM環境のFusion Applicationsリソースを選択し、その承認済スコープを追加します。
    • Fusion EPM: 「リソースの追加」を選択し、ターゲットEPM Cloudサービスを選択して、「スコープの追加」を選択します。そのサービスに対して表示されるスコープを選択します。スコープの形式はurn:opc:serviceInstanceID=<SERVICE_INSTANCE_ID>urn:opc:resource:consumer::allです。

    選択したリソースからスコープ全体をコピーします。例から作成したり、別の環境のスコープを使用しないでください。アプリケーション構成を保存します。

  7. EPM接続の場合、アイデンティティ・ドメイン管理者に、署名証明書がユーザー・アサーションに対しても信頼されていることを確認します。

    管理者にドメインの証明書の信頼構成を確認してもらいます。承認済の構成手順でユーザー・アサーションの証明書がまだ登録されていない場合は、アイデンティティ・ドメインに必要な形式を使用して、同じパブリック証明書を「セキュリティ」、「信頼できるパートナ証明書」に登録します。「信頼できるパートナ証明書のインポート」を参照してください。

    EPM接続の設定情報を使用して、証明書の別名、フィンガープリント、インポート日および有効期限の記録を保持します。このレコードを使用して、証明書を識別し、接続を維持する際にその有効性をレビューします。

  8. EPM接続の場合、機密アプリケーションをアクティブ化する前に、同じEPM Cloudサービスのセカンダリ・オーディエンスを設定します。
    1. EPMサービスのアイデンティティ・ドメインで、「Oracle Cloud Services」を選択し、機密アプリケーションの認可リソースで選択したサービスを開きます。
    2. OAuth構成を選択し、OAuth構成を編集します。
    3. セカンダリ・オーディエンスの追加を有効にし、そのEPM環境のHTTPSベースURLを、/epmcloudまたはその他のパス、問合せ文字列またはフラグメントなしで追加します。
    4. 変更を保存して発行します。
    EPMの手順については、セカンダリ・オーディエンスの構成を参照してください。このEPM固有のステップは、HCM抽出の準備の一部ではありません。
  9. 機密アプリケーションに戻ります。設定および証明書の有効性をレビューし、「アクション」、「アクティブ化」の順に選択します。アプリケーションがアクティブであることを確認します。
    EPMの場合、アクティブ化の前に、アイデンティティ・ドメインおよびEPM管理者に、JWTアサーション権限付与タイプ、信頼できるクライアント・タイプ、公開証明書と有効期限、認可されたEPMサービスおよびスコープ、およびEPMセカンダリ・オーディエンスを検証してもらいます。Cost Advisor for AIは、秘密署名キーの制御を保持します。
  10. アイデンティティ・ドメインのURL、OAuthクライアントIDを記録し、Cost Advisor for AIの次のステップのOAuthスコープを完了します。

    クライアントIDは、機密アプリケーションを識別します。証明書別名またはクライアント・シークレットではありません。アクティブ化日を接続設定情報とともに記録します。

    EPMの場合、承認されたEPM環境のURLと、これらの値を含む正確な統合ユーザー名を保持します。コスト・アドバイザの宛先設定に入力します。

機密アプリケーションがアクティブで、接続の詳細の準備ができました。EPMの場合、ターゲット・サービスのセカンダリ・オーディエンスも設定されます。

AIのコスト・アドバイザに戻り、アイデンティティ・アクセス完了チェック・ボックスを選択して、「次へ」を選択します。HCM個人マッピングまたはEPM宛先に進みます。

EPM統合の検証では、クライアント・アサーションとユーザー・アサーションの両方が受け入れられること、アクセス・トークンが専用の統合ユーザーを表し、そのユーザーが必要なファイル操作を実行できることを確認するように管理者に依頼します。選択したEPMサービスに認可が制限されていることを確認します。

EPMでのJWT認証の動作

JWTはJSON Web Tokenの略です。このEPM接続では、JWTアサーションは、統合ユーザーのパスワードを送信せずにアイデンティティを確立するために使用される、デジタル署名された短期間の文です。

AIのコスト・アドバイザでは、OAuthアクセス・トークンをリクエストするときに2つのアサーションを使用します。

  • クライアント・アサーションは、アイデンティティ・ドメイン内のAIのコスト・アドバイザに登録された機密アプリケーションを識別します。
  • ユーザー・アサーションは、AIのコスト・アドバイザがかわりに動作する専用のEPM統合ユーザーを識別します。

アイデンティティ・ドメインは、インポートされたパブリック署名証明書を使用して、署名を含むアサーションを検証します。リクエストが有効で認可されている場合、アイデンティティ・ドメインはOAuthアクセス・トークンを発行します。AI用コスト・アドバイザでは、そのアクセス・トークンを使用してEPM APIをコールします。統合ユーザーのEPMロールおよび権限によって、許可される操作が決まります。

機密アプリケーション、証明書信頼および必要なアクセスを設定します。AI用コスト・アドバイザは、アサーションを作成および署名し、アクセス・トークンを取得します。JWTを手動で作成したり、コンソールに貼り付けたりすることはありません。

詳細は、クライアント・アサーションを参照してください。