プロセスの自動化のための複数のアイデンティティ・ストライプの構成

ベスト・プラクティスとして、作成するストライプに固有のすべてのエンティティに対して<stripename>を定義します。ストライプに関連付けられた構成を一意に識別するには、特に複数のストライプが構成されている場合に重要です。

後続の項では、次のエンティティでstripenameを使用します:

IDCSで、セカンダリ・ストライプにグループを作成し、セカンダリ・ストライプのユーザーをそのグループに追加します。

1. セカンダリ・ストライプにグループを追加し、stripename_administratorsという名前を付けます。たとえば、stripe2_administratorsという名前を付けます。「終了」をクリックします。
   これらの管理者には、プロセス自動化インスタンスを作成する権限が付与されます。このIDCSグループは、IAMグループにマップされます。IDCSおよびIAMグループのマップを参照してください。
2. セカンダリ・ストライプのユーザーをそのグループに追加します。

OAuthクライアント資格証明を使用し、IDCSドメイン管理者ロールが割り当てられたIDCS機密アプリケーションを作成します。セカンダリ・テープごとに機密アプリケーションを作成する必要があります。

1. IDCS管理者として、セカンダリIDCS管理コンソールにサインインします。
2. 機密アプリケーションを追加します。
   1. 「アプリケーション」タブに移動します。
   2. 「追加」をクリックします。
   3. 「機密アプリケーション」を選択します。
   4. アプリケーションにClient_Credentials_For_SAML_Federationという名前を付けます。
   5. 「次へ」をクリックします。
3. クライアント設定を構成します。
   1. 「このアプリケーションをクライアントとして今すぐ構成します」をクリックします。
   2. 「認可」で、「クライアント資格証明」を選択します。
   3. 「Identity Cloud Service管理APIへのクライアント・アクセス権を付与します」で、「追加」をクリックし、アプリケーション・ロール「アイデンティティ・ドメイン管理者」を選択します。
   4. 「次へ」を2回クリックします。
4. 「終了」をクリックします。アプリケーションを作成したら、そのクライアントIDおよびクライアント・シークレットを書き留めます。この情報は、フェデレーションの今後のステップで必要です
5. 「アクティブ化」をクリックし、アプリケーションのアクティブ化を確認します。

フェデレーテッドIDP (IDCS)からユーザーをフェデレートするにはOracle Cloud Infrastructure SAML IDPフェデレーションにグループ・マッピングが必要であり、フェデレーテッド・ユーザーにOracle Cloud Infrastructure権限(ポリシー)を定義して付与するにはOCIネイティブ・グループ・メンバーシップが必要であるため、このグループが必要です。

1. Oracle Cloud Infrastructure Consoleで、ナビゲーション・メニューを開き、「アイデンティティとセキュリティ」をクリックします。「アイデンティティ」で、「グループ」をクリックします。
   このIAMグループは、作成したIDCSグループにマップされます。
2. グループを作成し、oci_stripename_administratorsという名前を付けます。たとえば、oci_stripe2_administratorsという名前を付けます。

IDCSおよびIAMグループを作成し、必要なクライアント情報を取得したら、IDCSアイデンティティ・プロバイダを作成し、グループをマップします。

1. Oracle Cloud Infrastructureコンソールにサインインします。初期ストライプ(identitycloudservice)のアイデンティティ・ドメインを選択し、そのユーザー資格証明を入力します。
   セカンダリ・ストライプのグループ・マッピングでは、初期ストライプのユーザー・サインインが使用されることに注意してください。複数のストライプを追加すると、複数のオプションがこのドロップダウンに追加されるため、これは重要です。
2. ナビゲーション・メニューを開き、「アイデンティティとセキュリティ」、「フェデレーション」の順にクリックします。
3. 「アイデンティティ・プロバイダの追加」をクリックします。
4. 表示されたウィンドウで、次に示すようにフィールドに入力します。

   フィールド	入力する情報
   名前	<stripename>_service
   説明	Federation with IDCS secondary stripe
   タイプ	Oracle Identity Cloud Service
   Oracle Identity Cloud ServiceベースURL	形式を使用して次のURLを入力します。 https://idcs-xxxx.identity.oraclecloud.com <IDCS-xxxx>のドメイン部分をセカンダリIDCSストライプに置き換えます。
   クライアントID/クライアント・シークレット	セカンダリ・ストライプでのOAuthクライアントの作成中に取得したクライアントIDおよびシークレットを入力します。セカンダリ・ストライプでのOAuthクライアントの作成を参照してください。
   強制認証	このオプションを選択します。

5. 「続行」をクリックします。
6. 以前に作成したIDCSセカンダリ・ストライプおよびOCIグループをマップします。
   IDCSセカンダリ・ストライプ・グループ(セカンダリ・ストライプ・ユーザーのIDCSグループの作成で作成済)およびOCIグループ(セカンダリ・ストライプ・ユーザーのIAMグループの作成で作成済)をマップします。
7. 「プロバイダの追加」をクリックします。
   第2ストライプのフェデレーションが完了しました。グループ・マッピングが表示されます。
8. セカンダリ・ストライプを確認し、セカンダリ・ストライプ管理者およびユーザーの可視性を構成します。
   • テナント管理者は、OCIコンソールですべてのフェデレーテッドIDCSストライプを表示できます。
   • セカンダリ・ストライプ管理者およびその他のすべてのセカンダリ・ストライプ・ユーザーには、フェデレーション下にストライプが表示されません。これを解決するには、セカンダリ・ストライプ・ユーザーのIAMグループ内のフェデレーテッド・ストライプへのアクセス権の付与を参照してください。

With the federation done, set up IAM policies that allow federated users from the secondary IDCS stripe to create Oracle Cloud Infrastructure Process Automation instances. ポリシーは、共通パターンとしてコンパートメントにスコープ指定されます。

1. セカンダリIDCSストライプのOracle Cloud Infrastructure Process Automationインスタンスを作成できるコンパートメントを作成します。コンパートメントにstripename_compartmentという名前を付けます。
   たとえば、stripe2_compartmentというコンパートメントを作成します。
2. フェデレーテッド・ユーザーがコンパートメントにOracle Cloud Infrastructure Process Automationインスタンスを作成できるようにするポリシーを作成します。ポリシーにstripename_adminpolicyという名前を付けます(例: stripe2_adminpolicy)。

   「ポリシー・ビルダー」で、「手動エディタの表示」を選択します。

   • 構文: allow group stripename_administrators to verb resource-type in compartment stripename_compartment
   • ポリシー: allow group oci_stripe2_administrators to manage process-automation-instance in compartment stripe2_compartment

セカンダリ・ストライプ管理者および他のすべてのセカンダリ・ストライプ・ユーザーがフェデレーションの下のストライプを表示できるようにするには、追加のステップを実行します。

1. Oracle Identity Cloud Serviceで、stripe2_federation_administratorsというグループを作成します。
2. そのストライプのOracle Cloud Infrastructureコンソールでフェデレーションを表示でき、ユーザーおよびグループを作成できるグループをグループに追加します。
3. Oracle Cloud Infrastructureコンソールで、適切な権限を持つプライマリ・ストライプ・ユーザーを使用して、oci_stripe2_federation_administratorsというIAMグループを作成します。
4. stripe2_federation_administratorsおよびoci_stripe2_federation_administratorsグループをマップします。
5. 次のステートメントの例を使用して、フェデレーテッド・ストライプへのアクセス権を付与するポリシーを定義します。

   例のいくつかは、セカンダリ・ストライプを識別するwhere句を使用して、特定のフェデレーテッド・ストライプへのアクセス権を付与する方法を示しています。

   フェデレーションのOCIDは、Oracle Cloud Infrastructureコンソールのフェデレーション・ビューから取得できます。

   セカンダリ・ストライプ管理者は次のことを実行できます。	ポリシー文
   グループの作成(使用)	allow group oci_stripe2_federation_administrators to use groups in tenancy
   フェデレーション内のアイデンティティ・プロバイダのリスト(検査)	allow group oci_stripe2_federation_administrators to inspect identity-providers in tenancy セカンダリ・ストライプの管理者がグループを作成する必要がある場合、Where句を含めるときにこのポリシーが必要になることに注意してください。
   特定のフェデレーテッド・ストライプへのアクセス(使用)	allow group oci_stripe2_federation_administrators to use identity-providers in tenancy where target.identity-provider.id=“ocid1.saml2idp.oc1..aaaaaaaaa...”

   前述のIDCSグループにユーザーとしてサインインすると、Oracle Cloud Infrastructureコンソールでユーザーおよびグループを作成し、プライマリ・ストライプの場合と同様に権限を割り当てることができます。

フェデレーション・およびOracle Cloud Infrastructureポリシーが定義されている場合、フェデレーテッド・ユーザーはOracle Cloud Infrastructure ConsoleにサインインしてOracle Cloud Infrastructure Process Automationインスタンスを作成できます。

1. セカンダリ・ストライプからフェデレーテッド・ユーザーとしてサインインします。
   ユーザーは、「アイデンティティ・プロバイダ」フィールドでセカンダリ・ストライプを選択する必要があります。たとえば、stripe2_administratorsです。
2. 承認された管理者は、指定されたコンパートメント(stripe2_compartmentなど)のプロセス自動化インスタンスを停止できます。