ロールベースのアクセス・コントロールの手動構成

• ユーザーに対するカスタム属性の作成
• カスタム・ロールの割当て
• ドメイン統合アプリケーションの作成
• カスタム要求の定義
  • アイデンティティ・ドメイン統合アプリケーションの作成
  • JWTトークンの新規要求の作成
• Autonomous AI DatabaseスキーマのIAMログインの有効化
• 接続ファイルの作成

1. ハンバーガー・メニューをクリックし、「アイデンティティとセキュリティ」に移動して「ドメイン」を選択します。「名前」で、「デフォルト」ドメインをクリックします。
2. 「スキーマ管理」タブに移動し、「ユーザー属性」を選択します。
   
   
   図rbac-user-attributes.pngの説明
   
   
3. 「属性の追加」をクリックし、次を指定します:
   • 表示名: ORDS RBAC
   • 名前:rbac_ords
   • 説明:ORDSのロール・ベースのアクセス制御
   • データ型: 文字列配列

   フィールドの先頭をデフォルトの状態のままにできます。

   
   
   
   図role-based-add-attributes-dialog.pngの説明
   
   

   「追加」をクリックします。カスタム属性を追加しました。

4. 検索フィールドに「カスタム」と入力して、新しく追加した属性を検索します。リストにORDS RBAC属性が表示されます。
   
   
   図rbac-filter.pngの説明
   
   

   「属性の編集」をクリックします。

5. FQN (完全修飾名)の値をコピーしてメモします。
   
   
   図rbac-fqn.pngの説明
   
   

   この例では、FQNはurn:ietf:params:scim:schemas:idcs:extension:custom:User:rbac_ordsです。

1. 「アイデンティティ」→「ドメイン」→「デフォルト」に移動します。「ユーザー管理」タブをクリックし、表示されるユーザーのリストからユーザー名を選択します。
   
   
   
   図rbac-edit-user.pngの説明
   
   

   「Edit user」をクリックします。「その他の情報」フィールドにスクロールし、「ORDS RBAC」の下にSQL Developer、 SODA Developerと入力します。

   ORDSロールの詳細は、「Oracle REST Data Servicesのユーザー・ロールについて」のこの章を参照してください。

   
   
   
   図rbac-other-information-field.pngの説明
   
   

   ロールを追加した後、「変更の保存」をクリックします。

1. 「アイデンティティ」→「ドメイン」→「デフォルト」に移動します。
2. 「統合アプリケーション」タブをクリックし、「アプリケーションの追加」を選択します。
3. 「機密アプリケーション」をクリックし、「ワークフローの起動」を選択します。
   • アプリケーションの名前を入力します: アイデンティティ・ドメイン統合アプリケーション
   • 「Description(摘要)」: 「This is a domain integrated application」と入力します。

   「送信」をクリックします。

4. アイデンティティ・ドメイン統合アプリケーション・ページで、「OAuth構成」タブを選択します。
5. 「リソース・サーバー構成」で「OAuth構成の編集」をクリックします。「OAuth構成の編集」ダイアログで、次のフィールドを指定します:
   • 「クライアント構成」で、デフォルト値「このアプリケーションをクライアントとして今すぐの構成します」を選択します。
   • 「認可」で、「クライアントの資格証明」を選択します。構成のリストアをデフォルトの状態に保ちます。
   • 「アプリケーション・ロールの追加」を選択します。
     
     
     
     図rbac-edit-oauth-config-identity-domain.pngの説明
     
     
   • 「アプリケーション・ロールの追加」ダイアログで、「Identity Domain Administrator」をクリックし、「追加」を選択します。
     
     
     
     図rbac-edit-app-roles.pngの説明
     
     
   • アプリケーション・ロールを追加した後、「送信」をクリックします。
   • アプリケーションをアクティブ化します。
     ノート
     
     統合アプリケーションの「一般情報」セクションの「クライアントID」および「クライアント・シークレット」をノートにとります。

     
     

     
     図rbac-client-secret.pngの説明

     
     

• Client ID: 123a1234e1234567aa12345a1abcdefg1
• Client Secret: idcscs-12a1a123-a123-1234-1234-e1a05aabc123
• Domain URL: https://idcs-a123ab1ab12a4bb99a9aa9ab99aabbb9.identity.oraclecloud.com:443

export ACCESS_TOKEN=$(curl -s -i -u"123a1234e1234567aa12345a1abcdefg1: idcscs-12a1a123-a123-1234-1234-e1a05aabc123" -H "Content-Type: application/x-www-form-urlencoded;charset=UTF-8" --request POST https://idcs-a123ab1ab12a4bb99a9aa9ab99aabbb9.identity.oraclecloud.com:443/oauth2/v1/token -d "grant_type=client_credentials&scope=urn:opc:idm:__myscopes__" |
          tail -n +1 | grep -o '"access_token":"[^"]*' | cut -d'"'
        -f4)
 

echo $ACCESS_TOKEN

urn:ietf:params:scim:schemas:idcs:extension:custom:User:rbac_ords

urn:ietf:params:scim:schemas:idcs:extension:custom:User.rbac_ords

curl -i -X POST (DOMAIN URL)/admin/v1/CustomClaims -H"Cache-Control: no-cache" -H"Accept:application/json" -H"Content-Type:application/json" -H"Authorization: Bearer $ACCESS_TOKEN" -d '{
    "schemas": [
        "urn:ietf:params:scim:schemas:oracle:idcs:CustomClaim"
    ],
    "name": "(ROLE CLAIM NAME)",
    "value": "$user.(MODIFIED FQN).*",     
    "expression": true,
    "mode": "always",
    "tokenType": "AT",
    "allScopes": false,
    "scopes": [
    "ssaddin/rbac"
  ]
}'

1. SQLワークシートの「ナビゲータ」タブで、「スキーマ」ドロップダウン・リストからORDS_METADATAを選択します。
2. 「オブジェクト・タイプ」ドロップダウン・リストからPackagesを選択します。
3. 「検索」フィールドにORDS_SECURITYと入力します。検索ファンクションは、ORDS_SECURITYで始まるすべてのエントリを取得します。
4. ORDS_SECURITYパッケージを展開します。
   
   
   
   図run-package.pngの説明
   
   
5. CREATE_JWT_PROFILEを右クリックし、RUNをクリックします。これにより、RUN CODEダイアログが開きます。
   「Run Code…」ダイアログで、次のフィールド値を指定します。

   • P_ISSUER- https://identity.oraclecloud.com/。このフィールドは、null以外の値である必要があり、1つのカンマで入力する必要があります。
   • P_AUDIENCE-ssaddin/。このフィールドはnull以外の値である必要があります。
   • P_JWK_URL- DOMAIN URLに/admin/v1/SigningCert/jwkを付加します。https:// で始まるNULL以外の値で、認可サーバーによって提供された公開検証キーをJSON Web Key (JWK)形式で指定する必要があります。

     OCIコンソールの「アイデンティティとセキュリティ」ナビゲーション・メニューの「ドメイン」メニューにある「ドメイン情報」タブで、「ドメインURL」を表示できます。

   • P_DESCRIPTION - このプロファイルの名称を入力します。たとえば、"RBAC JWT Demo confluence"です。
   • P_ALLOWED_AGE- 「0」
   • P_ALLOWED_SKEW- 「0」
   • P_ROLE_CLAIM_NAME- 「ssaddin.role」

   「ワークシートにコードを挿入」をクリックします。

   
   
   
   図rbac-run-code.pngの説明
   
   

   プロシージャを実行します。

   
   
   
   図rbac-run-code-command.pngの説明
   
   

   出力パネルに「PL/SQL procedure successfully completed」が表示されます。