ベスト・プラクティスとして、作成するストライプに固有のすべてのエンティティに対して<stripename>を定義します。ストライプに関連付けられた構成を一意に識別することは、特に複数のストライプが構成されている場合に重要です。

IDCSで、セカンダリ・ストライプにグループを作成し、セカンダリ・ストライプのユーザーをそのグループに追加します。

1. セカンダリ・ストライプにグループを追加し、stripename_administratorsと入力します。ストライプのネーミング規則の定義を参照してください。たとえば、stripe2_administratorsという名前を付けます。「終了」をクリックします。
   詳細は、『Oracle Identity Cloud Serviceの管理』のグループの作成を参照してください。

   これらの管理者には、Oracle Integrationインスタンスを作成する権限が付与されます。このIDCSグループは、Oracle Cloud Infrastructureグループにマップされます。

2. セカンダリ・ストライプのユーザーをグループに追加します。

OAuthクライアント資格証明を使用し、IDCSドメイン管理者ロールが割り当てられたIDCS機密アプリケーションを作成します。セカンダリ・ストライプごとに機密アプリケーションを作成する必要があります。

1. IDCS管理者として、セカンダリIDCS管理コンソールにサインインします。
2. 機密アプリケーションを追加します。
   1. 「アプリケーション」タブに移動します。
   2. 「追加」をクリックします。
   3. 「機密アプリケーション」を選択します。
   4. アプリケーションにClient_Credentials_For_SAML_Federationという名前を付けます。
   5. 「次」をクリックします。
   
   

   
   

   
   
3. クライアント設定を構成します。
   1. 「このアプリケーションをクライアントとして今すぐ構成します」を選択します。
   2. 「認可」で、「クライアント資格証明」を選択します。
      
      

      
      

      
      
   3. 「Identity Cloud Service管理APIへのクライアント・アクセス権を付与します」の下で、「追加」をクリックし、アプリケーション・ロールの「アイデンティティ・ドメイン管理者」を選択します。
      
      

      
      

      
      
   4. 「次」を2回クリックします。
4. 「終了」をクリックします。アプリケーションを作成したら、そのクライアントIDおよびクライアント・シークレットをメモします。この情報は、フェデレーションの今後のステップで必要になります。
   
   

   
   

   
   
5. 「アクティブ化」をクリックし、アプリケーションのアクティブ化を確認します。

Oracle Cloud Infrastructure SAML IDPフェデレーションにはフェデレーテッドIDP (IDCS)からのユーザーをフェデレートするためのグループ・マッピングが必要で、フェデレーテッド・ユーザーのOracle Cloud Infrastructure権限(ポリシー)を定義および付与するにはOCIネイティブ・グループ・メンバーシップが必要であるため、このグループが必要です。

1. In the Oracle Cloud Infrastructure Console, open the navigation menu and click Identity & Security. Under Identity, click Groups.

   このOracle Cloud Infrastructureグループは、作成したIDCSグループにマップされます。

2. グループを作成し、oci_stripename_administratorsを指定します。たとえば、oci_stripe2_administratorsという名前を付けます。
   
   

   
   

   
   

IDCSおよびOracle Cloud Infrastructureグループが作成され、クライアント情報が必要なため、IDCSアイデンティティ・プロバイダを作成してグループをマップします。

1. Oracle Cloud Infrastructureコンソールにサインインします。初期ストライプ(identitycloudservice)のアイデンティティ・ドメインを選択し、そのユーザー資格証明を入力します。

   セカンダリ・ストライプのグループ・マッピングでは、初期ストライプのユーザー・サインインが使用されることに注意してください。複数のストライプを追加すると、このドロップダウンに複数のオプションが追加されるため、これは重要です。

2. Open the navigation menu and click Identity & Security, then Federation.
3. 「アイデンティティ・プロバイダの追加」をクリックします。
4. 表示された画面で、次のようにフィールドに入力します。

   フィールド	エントリ
   名前	<stripename>_service
   説明	Federation with IDCS secondary stripe
   タイプ	Oracle Identity Cloud Service
   Oracle Identity Cloud ServiceベースURL	次のフォーマットを使用してこのURLを入力します: https://idcs-xxxx.identity.oraclecloud.com <idcs-xxxx>のドメイン部分をセカンダリIDCSストライプに置き換えます。
   クライアントID/クライアント・シークレット	セカンダリ・ストライプで作成し、セカンダリ・ストライプでのOAuthクライアントの作成のステップでメモしたこの情報を入力します。
   強制認証	このオプションを選択します

5. 「続行」をクリックします。
6. 以前に作成したIDCSセカンダリ・ストライプおよびOCIグループをマップします。
   IDCSセカンダリ・ストライプ・グループ(セカンダリ・ストライプ・ユーザーのIDCSグループの作成で作成済)およびOCIグループ(セカンダリ・ストライプ・ユーザーのOracle Cloud Infrastructureグループの作成で作成済)をマップします。
7. 「プロバイダの追加」をクリックします。
   セカンダリ・ストライプのフェデレーションが完了しました。グループ・マッピングが表示されていることがわかります。
   
   

   
   

   
   
8. セカンダリストライプを確認し、セカンダリストライプ管理者およびユーザーの表示を構成します。

   • テナント管理者は、OCIコンソールですべてのフェデレーテッドIDCSストライプを表示できます。

   • セカンダリ・ストライプ管理者およびその他のすべてのセカンダリ・ストライプ・ユーザーには、フェデレーションの下にストライプは表示されません。これを解決するには、セカンダリ・ストライプ・ユーザーのためのOracle Cloud Infrastructure Consoleグループのフェデレーテッド・ストライプへのアクセス権の付与を参照してください。

フェデレーションが完了したら、セカンダリIDCSストライプのフェデレーテッド・ユーザーがOracle Integrationインスタンスを作成できるようにするOracle Cloud Infrastructureポリシーを設定します。共通パターンとして、ポリシーはコンパートメントにスコープ指定されます。

1. セカンダリIDCSストライプのOracle Integrationインスタンスを作成できるコンパートメントを作成します。コンパートメントにstripename_compartmentを指定します。
   たとえば、stripe2_compartmentというコンパートメントを作成します。
2. フェデレーテッド・ユーザーがコンパートメントにOracle Integrationインスタンスを作成できるようにするポリシーを作成します。ポリシーにstripename_adminpolicyという名前を付けます(例: stripe2_adminpolicy)。
   「ポリシー・ビルダー」で、「手動エディタの表示」を選択します。

   • 構文: allow group stripename_administrators toverb resource-typein compartmentstripename_compartment

   • ポリシー: allow group oci_stripe2_administrators to manage integration-instances in compartment stripe2_compartment

   このポリシーにより、ポリシーのグループのメンバーであるユーザーは、stripe2_compartmentという名前のコンパートメントにOracle Integrationインスタンス(integration-instance)を作成できます。

追加のステップを実行して、セカンダリ・ストライプ管理者および他のすべてのセカンダリ・ストライプ・ユーザーがフェデレーション下のストライプを表示できるようにします。

1. Oracle Identity Cloud Serviceで、stripe2_federation_administratorsというグループを作成します。
2. フェデレーションを表示できるグループにユーザーを追加し、そのストライプのOracle Cloud Infrastructureコンソールでユーザーとグループを作成します。
3. Oracle Cloud Infrastructureコンソールで、正しい権限を持つプライマリ・ストライプ・ユーザーを使用して、oci_stripe2_federation_administratorsというOracle Cloud Infrastructureグループを作成します。
4. stripe2_federation_administratorsおよびoci_stripe2_federation_administratorsグループをマップします。
5. 次の文の例を使用して、フェデレーテッド・スイプへのアクセス権を付与するポリシーを定義します。
   いくつかの例では、セカンダリ・ストライプを識別するwhere句を使用して、特定のフェデレーテッド・スイプへのアクセス権を付与する方法を示します。フェデレーションのOCIDは、Oracle Cloud Infrastructureコンソールのフェデレーション・ビューから取得できます。

   セカンダリ・ストライプ管理者に許可します....	ポリシー・ステートメント
   グループの作成(使用)	allow group oci_stripe2_federation_administrators to use groups in tenancy
   フェデレーションのアイデンティティ・プロバイダをリストします(調査)	allow group oci_stripe2_federation_administrators to inspect identity-providers in tenancy セカンダリ・ストライプ管理者がグループを作成する必要がある場合は、WHERE句を含めるときにこのポリシーが必要です。
   特定のフェデレーテッドストライプにアクセスする(使用)	allow group oci_stripe2_federation_administrators to use identity-providers in tenancy where target.identity-provider.id=“ocid1.saml2idp.oc1..aaaaaaaaa…”
   特定のセカンダリ・ストライプのアイデンティティ・プロバイダのみを管理(manage)	すべて: allow group oci_stripe2_federation_administrators to manage identity-providers in tenancy 特定のセカンダリ・ストライプのアイデンティティ・プロバイダのみ: allow group oci_stripe2_federation_administrators to manage identity-providers in tenancy where target.identity-provider.id = "ocid1.saml2idp.oc1..aaaaaaaaa…"

フェデレーションおよびOracle Cloud Infrastructureポリシーを定義すると、フェデレーテッド・ユーザーはOracle Cloud Infrastructureコンソールにサインインし、Oracle Integrationインスタンスを作成できます。

1. セカンダリ・ストライプからフェデレーテッド・ユーザーとしてサインインします。
   ユーザーは、「アイデンティティ・プロバイダ」フィールドでセカンダリ・ストライプを選択する必要があります(この場合はidcs-secondary-stripe-service)。
2. 認可された管理者は、指定したコンパートメント(この場合はidcs-secondary-stripe-compartment)にOracle Integrationインスタンスを作成できます。