ベスト・プラクティスとして、作成する、ストライプに固有のすべてのエンティティに対して<stripename>を定義します。ストライプに関連付けられた構成を一意に識別することは、特に複数のストライプが構成されている場合に重要になります。

IDCSで、セカンダリ・ストライプにグループを作成し、セカンダリ・ストライプのユーザーをそのグループに追加します。

1. セカンダリ・ストライプにグループを追加し、stripename_administratorsという名前を付けます。ストライプの命名規則の定義を参照してください。たとえば、stripe2_administratorsという名前を付けます。「完了」をクリックします
   詳細は、『Oracle Identity Cloud Serviceの管理』のグループの作成を参照してください。

   これらの管理者には、Oracle Integrationインスタンスを作成する権限が付与されます。このIDCSグループは、1つのOracle Cloud Infrastructureグループにマップされます。

2. セカンダリ・ストライプのユーザーをそのグループに追加します。

OAuthクライアント資格証明を使用し、IDCSドメイン管理者ロールが割り当てられたIDCS機密アプリケーションを作成します。セカンダリ・ストライプごとに機密アプリケーションを作成する必要があります。

1. IDCS管理者として、セカンダリIDCS管理コンソールにサインインします。
2. 機密アプリケーションを追加します。
   1. 「アプリケーション」タブに移動します。
   2. 「追加」をクリックします。
   3. 「機密アプリケーション」を選択します。
   4. アプリケーションにClient_Credentials_For_SAML_Federationという名前を付けます。
   5. 「次へ」をクリックします
   
   

   
   図add_confidential_application.pngの説明

   
   
3. クライアント設定を構成します。
   1. 「このアプリケーションをクライアントとして今すぐ構成します」をクリックします。
   2. 「認可」で、「クライアント資格証明」を選択します。
      
      

      
      図add_confidential_application_client_tab.pngの説明

      
      
   3. 「Identity Cloud Service管理APIへのクライアント・アクセス権を付与します」で、「追加」をクリックし、アプリケーション・ロール「アイデンティティ・ドメイン管理者」を選択します。
      
      

      
      図add_confidential_application_app_roles.pngの説明

      
      
   4. 「次へ」を2回クリックします。
4. 「終了」をクリックします。アプリケーションを作成したら、そのクライアントIDおよびクライアント・シークレットを書き留めます。この情報は、フェデレーションの今後のステップで必要です。
   
   

   
   図application_added.pngの説明

   
   
5. 「アクティブ化」をクリックし、アプリケーションのアクティブ化を確認します。

フェデレーテッドIDP (IDCS)からユーザーをフェデレートするにはOracle Cloud Infrastructure SAML IDPフェデレーションにグループ・マッピングが必要であり、フェデレーテッド・ユーザーにOracle Cloud Infrastructure権限(ポリシー)を定義して付与するにはOCIネイティブ・グループ・メンバーシップが必要であるため、このグループが必要です。

1. Oracle Cloud Infrastructureコンソールで、ナビゲーション・メニューを開き、「アイデンティティとセキュリティ」をクリックします。「アイデンティティ」で、「グループ」をクリックします

   このOracle Cloud Infrastructureグループは、作成したIDCSグループにマップされます。

2. グループを作成し、oci_stripename_administratorsという名前を付けます。たとえば、oci_stripe2_administratorsという名前を付けます。

IDCSおよびOracle Cloud Infrastructureグループを作成し、必要なクライアント情報を取得したら、IDCSアイデンティティ・プロバイダを作成し、グループをマップします。

1. Oracle Cloud Infrastructureコンソールにサインインします。初期ストライプ(identitycloudservice)のアイデンティティ・ドメインを選択し、そのユーザー資格証明を入力します。

   セカンダリ・ストライプのグループ・マッピングでは、初期ストライプのユーザー・サインインが使用されることに注意してください。複数のストライプを追加すると、このドロップダウンに複数のオプションが追加されるため、これは重要です。

2. ナビゲーション・メニューを開き、「アイデンティティとセキュリティ」、「フェデレーション」の順にクリックします。
3. 「アイデンティティ・プロバイダの追加」をクリックします。
4. 表示された画面で、次のようにフィールドに入力します。

   フィールド	入力
   名前	<stripename>_service
   説明	Federation with IDCS secondary stripe
   タイプ	Oracle Identity Cloud Service
   Oracle Identity Cloud ServiceベースURL	次の形式を使用してこのURLを入力します: https://idcs-xxxx.identity.oraclecloud.com <IDCS-xxxx>のドメイン部分をセカンダリIDCSストライプに置き換えます。
   クライアントID/クライアント・シークレット	セカンダリ・ストライプで作成し、セカンダリ・ストライプでのOAuthクライアントの作成のステップで書き留めたこの情報を入力します。
   強制認証	このオプションを選択します

5. 「続行」をクリックします。
6. 以前に作成したIDCSセカンダリ・ストライプおよびOCIグループをマップします。
   IDCSセカンダリ・ストライプ・グループ(セカンダリ・ストライプ・ユーザーのIDCSグループの作成で作成)およびOCIグループ(セカンダリ・ストライプ・ユーザーのOracle Cloud Infrastructureグループの作成で作成)をマップします。
7. 「プロバイダの追加」をクリックします。
   セカンダリ・ストライプ・フェデレーションが完了しました。グループ・マッピングが表示されていることに注目してください。
   
   

   
   図striping_federation.pngの説明

   
   
8. セカンダリ・ストライプを確認し、セカンダリ・ストライプ管理者およびユーザーの可視性を構成します。

   • テナント管理者は、OCIコンソールですべてのフェデレーテッドIDCSストライプを表示できます:

   • セカンダリ・ストライプ管理者およびその他のすべてのセカンダリ・ストライプ・ユーザーには、フェデレーションに含まれるストライプは表示されません。これを解決するには、セカンダリ・ストライプ・ユーザーのためのOracle Cloud Infrastructureコンソール・グループのフェデレーテッド・ストライプへのアクセス権の付与を参照してください。

フェデレーションが完了したら、セカンダリIDCSストライプのフェデレーテッド・ユーザーがOracle Integrationインスタンスを作成できるようにするOracle Cloud Infrastructureポリシーを設定します。ポリシーは、共通パターンとしてコンパートメントにスコープ指定されます。

1. セカンダリIDCSストライプのOracle Integrationインスタンスを作成できるコンパートメントを作成します。コンパートメントにstripename_compartmentという名前を付けます。
   たとえば、stripe2_compartmentという名前のコンパートメントを作成します。
2. フェデレーテッド・ユーザーがコンパートメントにOracle Integrationインスタンスを作成できるようにするポリシーを作成します。ポリシーにstripename_adminpolicyと入力します(例: stripe2_adminpolicy)。
   「ポリシー・ビルダー」で、「手動エディタの表示」を選択します。

   • 構文: allow group stripename_administrators toverb resource-typein compartmentstripename_compartment

   • ポリシー: allow group oci_stripe2_administrators to manage integration-instances in compartment stripe2_compartment

   このポリシーにより、ポリシーのグループのメンバーであるユーザーは、Oracle Integrationインスタンス(integration-instance)をstripe2_compartmentという名前のコンパートメントに作成できます。

追加のステップを実行して、セカンダリ・ストライプ管理者および他のすべてのセカンダリ・ストライプ・ユーザーがフェデレーションに含まれるストライプを表示できるようにします。

1. Oracle Identity Cloud Serviceで、stripe2_federation_administratorsというグループを作成します。
2. そのストライプのOracle Cloud Infrastructureコンソールでフェデレーションを表示でき、ユーザーおよびグループを作成できるユーザーをグループに追加します。
3. Oracle Cloud Infrastructureコンソールで、適切な権限を持つプライマリ・ストライプ・ユーザーを使用して、oci_stripe2_federation_administratorsというOracle Cloud Infrastructureグループを作成します。
4. stripe2_federation_administratorsおよびoci_stripe2_federation_administratorsグループをマップします。
5. 次のステートメントの例を使用して、フェデレーテッド・ストライプへのアクセス権を付与するポリシーを定義します。
   例のいくつかは、セカンダリ・ストライプを識別するwhere句を使用して、特定のフェデレーテッド・ストライプにアクセス権を付与する方法を示しています。フェデレーションのOCIDは、Oracle Cloud Infrastructureコンソールのフェデレーション・ビューから取得できます。

   セカンダリ・ストライプ管理者に次のことを許可します...	ポリシー・ステートメント
   グループの作成(使用)	allow group oci_stripe2_federation_administrators to use groups in tenancy
   フェデレーション内のアイデンティティ・プロバイダのリスト(検査)	allow group oci_stripe2_federation_administrators to inspect identity-providers in tenancy グループを作成するためにセカンダリ・ストライプ管理者が必要な場合、where句が含まれるときにこのポリシーが必要になることに注意してください。
   特定のフェデレーテッド・ストライプへのアクセス(使用)	allow group oci_stripe2_federation_administrators to use identity-providers in tenancy where target.identity-provider.id=“ocid1.saml2idp.oc1..aaaaaaaaa…”
   すべて、または特定のセカンダリ・ストライプ・アイデンティティ・プロバイダのみの管理(管理)	すべて: allow group oci_stripe2_federation_administrators to manage identity-providers in tenancy 特定のセカンダリ・ストライプ・アイデンティティ・プロバイダのみ: allow group oci_stripe2_federation_administrators to manage identity-providers in tenancy where target.identity-provider.id = "ocid1.saml2idp.oc1..aaaaaaaaa…"

フェデレーション・ポリシーおよびOracle Cloud Infrastructureポリシーが定義されている場合、フェデレーテッド・ユーザーはOracle Cloud InfrastructureコンソールにサインインしてOracle Integrationインスタンスを作成できます。

1. セカンダリ・ストライプのフェデレーテッド・ユーザーとしてOracle Cloud Infrastructureコンソールにサインインします。
   ユーザーは、「アイデンティティ・プロバイダ」フィールドでセカンダリ・ストライプを選択する必要があります(この場合はidcs-secondary-stripe-service)。
2. 承認された管理者は、指定したコンパートメント(この場合はidcs-secondary-stripe-compartment)にOracle Integrationインスタンスを作成できます。