Oracle GoldenGate用のMicrosoft Azure EntraIDの構成

認可プロファイルを作成する場合、Oracle GoldenGateはEntra IDセキュリティ・グループを認可用の4つのロール(セキュリティ、管理者、オペレータ、ユーザー)にマップします。グループに属するEntra IDユーザーには、Oracle GoldenGateで対応するマップ済ロールがあります。

Microsoft AzureのEntraIDポータルで、次のタスクを実行して、Oracle GoldenGateにマップするユーザー・グループを構成します。

  1. EntraIDに適切なユーザーおよびセキュリティ・グループを作成します。それぞれのOracle GoldenGateユーザー・ロール(セキュリティ、管理、オペレータ、ユーザー)にマップされる4つのセキュリティ・グループが必要です。必要に応じて、グループ名を選択できます。

    Microsoft EntraIDは、Oracle GoldenGateユーザー・ロールにマップするグループを作成します。

  2. 「概要」ページから「追加」、「エンタープライズ・アプリケーション」の順に選択します。

    EntraIDコンソールから新しいエンタープライズ・アプリケーションを追加します。

  3. 「Create your own application」を選択します。

    左側のナビゲーション・ペインのEntraID「Overview」メニューから「Create your own application」を選択します。

  4. アプリケーションに名前を付け、「Microsoft Entra IDと統合するアプリケーションの登録」を選択し、「作成」を選択します。

    Oracle GoldenGate認可プロファイルのエンタープライズ・アプリケーションをMicrosoft EntraIDに登録する場合に選択します

  5. アプリケーションを登録するには、「この組織ディレクトリのみのアカウント(... - 単一テナント)」を選択します。

    イメージ/entraid_registerapp_accountdirectory.png

  6. Entra IDの「概要」ページに戻り、「管理」で「エンタープライズ・アプリケーション」を選択し、前に作成したアプリケーション名を検索します。

  7. 「管理」で、「ユーザーとグループ」を選択します。「Add user/group」を選択します。

    グループに基づくユーザーの追加

  8. このアプリケーションに割り当てるグループを検索して選択し、選択したグループが右側のペインに表示されることを確認します。

    承認に追加するグループを選択します。

  9. すべてのグループを選択し、「選択」、「割当て」の順に選択します。

    ノート:前のステップで作成したすべてのEntra IDセキュリティ・グループをこのアプリケーションに割り当てるようにしてください。

    Oracle GoldeNGateアプリケーションへのグループの割当て

  10. (オプション)次のステップに従って、アプリケーション所有者を割り当てます。

    1. 「管理」で、「所有者」を選択します。

    2. 「追加」を選択します。

    3. 所有者を検索して選択します。

    4. 選択した所有者が右側のペインに表示されることを確認します。

  11. クライアント・シークレットを作成してアプリケーションを登録します:

    1. Microsoft Entra IDの概要ページに戻る

    2. 「アプリケーション登録」を選択し、「すべてのアプリケーション」を選択します。

      登録済アプリケーションにアクセスして詳細を判別します。

    3. ステップ2で作成したアプリケーション名を検索して選択します。

    4. アプリケーションに詳細が表示されます。「アプリケーション(クライアント) ID」および「ディレクトリ(テナント) ID」を書き留めます。

      「アプリケーションの詳細」セクションに表示される登録済アプリケーションの詳細を書き留めます。

      「クライアントID」、「テナントID」および「クライアント・シークレット」の値に注意してください。これらの値は、Oracle GoldenGateで認可プロファイルを構成する際に使用されます。

      テナントIDは、次の例に示すように、テナント検出URIを構築するために使用されます。

      https://login.microsoftonline.com/{tenantID}/v2.0/.well-known/openid-configuration

    5. 「管理」で、「証明書とシークレット」を選択します

    6. 「クライアント・シークレット」を選択し、「新規クライアント・シークレット」を選択します。

      クライアント・シークレットを追加します。

    7. 摘要を追加し、失効期間を選択します。

    8. 「追加」を選択します。クライアント・シークレットの「値」を書き留めます。

    クライアント・シークレットの追加後に表示されるクライアント・シークレット値をノートにとります。

  12. Oracle GoldenGateアプリケーションのトークン構成を作成します。

    1. ナビゲーション・ペインの「管理」で、「トークン構成」を選択します。

    2. 「グループ要求の追加」を選択し、「アプリケーション(...)に割り当てられたグループ」を選択して、「追加」を選択します。

      トークン構成の作成

  13. GoldenGateサービス・アプリケーション・ロールを作成します。

    Oracle GoldenGateサービスのアプリケーション・ロールの作成

    1. ナビゲーション・ペインの「管理」で、「アプリケーション・ロール」を選択します。

    2. 「アプリケーション・ロールの作成」を選択し、表示名を指定します。

    3. 「許可されるメンバー・タイプ」で、「アプリケーション」を選択します。

    4. 「値」をurn:ogg:serviceToServiceに設定し、説明を入力します。

    5. 「このアプリケーション・ロールを有効にしますか。」を選択し、「適用」を選択します。

  14. GoldenGateサービス・アプリケーション・ロールにAPI権限を追加し、管理者同意を付与します:

    アプリケーションのAPI権限のリクエスト

    1. 「管理」で、「API permissions」を選択します。

    2. 「権限の追加」を選択します。

    3. 自分の組織で使用するAPIを選択します。

    4. ステップ2で作成したアプリケーションを検索します。

    5. アプリケーション権限を選択します。

    6. 「urn:ogg:serviceToService」を選択し、「権限の追加」を選択します。

      アプリケーションのAPI権限を追加します。

    7. 権限は、「構成済権限」の下に表示されます。

      「Configured Permissions」の下に表示されているAPIアクセス権が追加されました。

    8. urn:ogg:serviceToServiceで選択します。

    9. ポップアップで、「Admin consent required」が「Yes」に設定されていることを確認します。

      urg:ogg:serviceToServiceでは、「Admin consent required」が「Yes」に設定されています。

  15. Microsoft Graph Application.ReadWrite.All API権限をアプリケーションに追加し、管理同意を付与します。

    1. 「権限の追加」を選択し、ポップアップ・ウィンドウから「Microsoft Graph」を選択します。

      アプリケーション権限の追加を開始するには、権限およびMicrosoft Graphの選択オプションを追加します。

    2. 「アプリケーション権限」を選択します。

      Application.ReadWrite.All権限を追加します。

    3. Application.ReadWrite.Allを検索して選択します。

    4. 「権限の追加」を選択します。

    5. urn:ogg:serviceToServiceと Application.ReadWrite.Allの同意を得る場合と同じ手順を実行します。

  16. Manifestでトークンリクエストのプロパティーを手動で更新します。

    次のオプションは他のメニューでは使用できないため、次の図に示すように手動で設定する必要があります。

    Manifestでトークン・リクエストを手動で更新します。

    Manifestでトークン・リクエストを手動で更新します。

    「管理」で、「マニフェスト」を選択します。

    1. JSON /optionalClaims/accessToken/additionalPropertiesの下に、値cloud_displaynameを追加します。

    2. JSON /optionalClaims/idToken/additionalPropertiesで、値cloud_displaynameを追加します。

    3. JSON /optionalClaims/saml2Token/additionalPropertiesの下に、値cloud_displaynameを追加します。

    4. JSONの/api/requestedAccessTokenVersionでは、値を2に設定します。

      トークン・リクエスト・バージョン値を2に設定します

    5. マニフェストを保存します。

      JSONプロパティを手動で更新した後、マニフェストを保存します。

  17. (オプション)アプリケーション認証のリダイレクトURLを作成します。

    1. 「Microsoft Entra ID」の「エンタープライズ・アプリケーション」で、ステップ2で作成したアプリケーションを選択します。

    2. 「管理」で「プロパティ」を選択し、「アプリケーション登録」リンクを選択します。

      entraIDリダイレクトURLプロパティのイメージは、次のとおりです

    3. 「管理」で、「認証」、「プラットフォームの追加」の順に選択します。

    4. 「Web」を選択します。

      リダイレクトURIを構成します。

  18. 「Webの構成」ダイアログ・ボックスで、Redirect URIsと入力します。

    Service Managerデプロイメントの場合は、Service Managerのパス/services/v2/authorizationを追加する必要があります。

    Microservicesデプロイメントごとに、管理サービスのパス/services/v2/authorizationを追加する必要があります。

    Service ManagerおよびMicroservicesのリダイレクトURIを入力します。

  19. 「構成」を選択します。

次のステップでは、Microsoft Azure EntraIDのRootCA証明書をダウンロードし、Service Managerの共有RootCA証明書の下に追加します。

ルート認証局を設定した後、このトピックで作成した値を使用してOracle GoldenGate認可プロファイルを構成できます。「認可プロファイルの作成」を参照してください。

Microsoft EntraID AzureのルートCA証明書の追加

Oracle GoldenGateで認可プロファイルの作成を開始する前に、Azureのルート認証局を追加する必要があります。Oracle GoldenGateデプロイメントにルートCA証明書を信頼できる証明書として追加します:

  1. 次の場所からAzureルートCA証明書をダウンロードします:

    https://learn.microsoft.com/en-us/azure/security/fundamentals/azure-ca-details?tabs=root-and-subordinate-cas-list#root-certificate-authorities

    必要なのはルート認証局のみです。

  2. 任意のLinuxオペレーティング・システムまたはMac OSでopensslコマンドを使用して、crtからダウンロードした証明書をpem形式に変換します。

    openssl x509 -in <crt_file> -out <pem_file_name> -outform pem

    たとえば:

    openssl x509 -in DigicertRootGlobalCA.crt -out DigicertRootGlobalCA.pem -outform pem

    Oracle GoldenGateオンプレミスまたはOCI MarketplaceのGoldenGateイメージを使用している場合、これらのルートCA証明書をService Manager Webインタフェースを介して信頼できる証明書としてアップロードする必要があります。

  3. 「証明書管理」メニューでサービス・マネージャを検索し、「CA証明書+」を選択します。

  4. ファイル・アップロード・ボタンを選択して、変換された.pemファイルをアップロードします。

    Microsoft AzureルートCA証明書.pemファイルのアップロード

  5. 一意の名前を指定し、証明書が「共有」であることを確認して、「送信」を選択します。