ノート:

アプリケーション・ゲートウェイを使用したエンタープライズ・アプリケーションのログアウト・フローの更新

はじめに

組織がアイデンティティ・インフラストラクチャを最新化し、シングル・サインオン(SSO)を採用してクラウドおよびオンプレミス・アプリケーション間のアクセスを合理化すると、ログイン・エクスペリエンスに多くの注意が向けられます。しかし、セキュリティとユーザーの満足度の両方において重要な役割を果たす、見落としがちな別の側面があります。ログアウト・フローです。

アプリケーション・ゲートウェイによって保護されるアプリケーション、特にOracleのPeopleSoftアプリケーションや、ヘッダーベースの認証を使用するOracleのJD Edwards EnterpriseOneなどのエンタープライズ・アプリケーションの場合、ログアウト時のデフォルトの動作は直感的ではありません。ユーザーがサインアウトし、同じブラウザ・タブを使用して再度ログインしようとすると、アプリケーションに戻るのではなく、Oracle Cloud Infrastructure (OCI)コンソールにリダイレクトされます。この流れの崩壊は、混乱を引き起こし、ワークフローを混乱させ、システムの信頼性を低下させる可能性があります。

標準ドキュメントではSSO構成について説明していますが、ログアウト・フローなど、完全なユーザー・エクスペリエンスを考慮することも重要です。

完全に最適化されていないログアウト・エクスペリエンスでは、次のことが起こります。

特に、クラウドネイティブ・アプリケーションをレガシー・システムと組み合せるハイブリッド環境では、ログアウト動作を改善することは、洗練された一貫性のある安全なSSOジャーニーを実現するために不可欠です。

このチュートリアルでは、ログアウト・フローの改善に焦点を当てます。初期設定については、次を参照してください。

このチュートリアルでは、アプリケーション・ゲートウェイでSSOを使用する際のエンド・ユーザー・エクスペリエンスを大幅に改善できる、微妙で影響力のある構成を再検討します。また、標準のSSO設定を超えて、エンタープライズ・アプリケーション・ユーザー向けに、よりスムーズで一貫性のあるSSOエクスペリエンスを構築するための構成オプションも検討します。

アプリケーション・ゲートウェイ・ログアウトの仕組み

ユーザーは、2つの異なるメカニズム(アプリケーション・ゲートウェイのログアウトURLの使用とログアウト認証方式で保護されたリソースの使用)を使用して、アプリケーション・ゲートウェイで保護されたアプリケーションからログアウトすることができます。詳細は、アプリケーション・ゲートウェイのログアウトURL、またはログアウト認証メソッドで保護されているリソースのコールを参照してください。

目的

前提条件

タスク1: アプリケーション・ゲートウェイ保護アプリケーションからのログアウトの構成

オプション1: アプリケーション・ゲートウェイ・ログアウトURLを使用したJD Edwards EnterpriseOneのSSOエクスペリエンスの強化

このオプションでは、JD Edwards EnterpriseOneのアプリケーション・ゲートウェイのログアウト設定の更新に焦点を当てています。

  1. JD Edwards EnterpriseOne Server Managerコンソールにログインします。

    JD Edwards EnterpriseOneログイン

  2. 「インスタンスの選択…」にナビゲートし、「EnterpriseOne HTMLサーバー」を選択します。

    JASインスタンス

  3. 「構成」にナビゲートし、「表示」として「詳細」を選択し、「セキュリティ」をクリックします。

    拡張セキュリティ構成

  4. 「Oracle Access Managerの有効化」を選択し、次の形式でOracle Access ManagerのサインオフURLを更新します。

    http(s)://<appgateway_host>:<appgateway_port>/cloudgate/logout.html?postlogouturl=<url_encoded>&state=<state_value>

    アプリケーション・ゲートウェイ・ログアウト設定の更新

  5. 「適用」をクリックすると、構成が保存されます。

  6. 「停止」および「JASサーバーの起動」をクリックして、JD Edwards EnterpriseOneサーバーを再起動します。

  7. アプリケーション・ゲートウェイを再起動し、ログアウト・フローをテストします。

オプション2: ログアウト認証方式で保護されたリソースを使用して、PeopleSoftのSSOエクスペリエンスを強化する

このオプションでは、PeopleSoftのSSOエクスペリエンスを強化するために、ログアウト認証方法によって保護されるリソースに焦点を当てています。アプリケーション・ゲートウェイを使用してPeopleSoft SSOを構成する方法の詳細は、OCI IAMアイデンティティ・ドメインを使用したPeopleSoftアプリケーションのシームレス認証の構成を参照してください。

ノート:アプリケーション・ゲートウェイを使用して、SSO用にOCI IAMを使用してPeopleSoftを正常に構成したとします。このセクションは、ログアウト構成の追加専用です。

  1. SSO設定時に構成されたPeopleSoftインスタンスのエンタープライズ・アプリケーションに移動します。

    「アイデンティティとセキュリティ」、「ドメイン」にナビゲートし、ドメインを選択し、「統合アプリケーション」をクリックして、PeopleSoftのエンタープライズ・アプリケーションを選択します。

    統合されたアプリケーション

    エンタープライズ・アプリケーション

    ノート: Enterprise Application for PeopleSoftの名前は異なる場合があります。これは、PeopleSoftのSSO設定時に作成した名前になります。

  2. 「SSO構成」および「SSO構成を編集」をクリックします。

    SSO設定の編集

  3. 「SSO構成の編集」で、「ログアウト」の「リソースの追加」をクリックし、次の情報を入力して「リソースの追加」をクリックします。

    • リソース名: logoutと入力します。
    • リソースURL:アプリケーションURLの形式でリソースURLを入力します。
    • URL問合せ文字列: cmd=logoutと入力します。
    • 「正規表現の使用」を選択します。

    PSPログアウト・リソース

  4. 同様に、PSC Logout URLのログアウト・リソースをもう1つ作成します。

    PSCログアウト・リソース

  5. ここで、「期限切れ」の「リソースの追加」をクリックし、次の情報を入力して「リソースの追加」をクリックします。

    • リソース名: PSP Expireと入力します。
    • リソースURL:アプリケーションURLの形式でリソースURLを入力します。
    • URL問合せ文字列: cmd=expireと入力します。
    • 「正規表現の使用」を選択します。

    PSP失効生産資源

  6. 同様に、PSC Expireに対してもう1つの「リソースの期限切れ」を作成します。

    PSC生産資源の失効

  7. ここで、作成したリソースの認証ポリシーを追加し、「リソース」の下のログアウト・リソースを選択し、「認証方法」の下の「フォーム+ログアウト」を選択します。「サインアウト後のURL」で、PeopleSoftランディング・ページURLを追加します。

    認証ポリシー・ログアウト・リソース

    ノート:次のリソースについてもステップ7に従います。

    • PeopleSoftコンポーネント(PSC)ログアウトリソース
    • PeopleSoft Portal (PSP)リソースの期限切れ
    • PSC生産資源の失効

  8. 「認証ポリシー」リストで、これらの作成済リソースをすべて高い優先度に移動します。順序は、最後に「ログアウト」、「期限切れ」、pscおよび「デフォルト」リソースである必要があります。

    リソース優先度

  9. 「停止」および「PeopleSoftサーバーの起動」をクリックして、PeopleSoftサーバーを再起動します。

  10. アプリケーション・ゲートウェイを再起動し、ログアウト・フローをテストします。

タスク2: ログアウト用のOCI IAMセッション設定の構成

この設定は、前述の構成とは独立して機能し、特にOCI IAM内のサインアウト・エクスペリエンスを管理します。このオプションは、ユースケースに単一のエンタープライズ・アプリケーションが含まれている場合、またはすべてのユーザーがサインアウト時に、統一された会社のランディング・ページに一貫してリダイレクトされるようにする場合にのみ有効にすることをお薦めします。これにより、シームレスでブランド化された終了エクスペリエンスが保証されます。

  1. OCIコンソールに移動し、「アイデンティティとセキュリティ」、「ドメイン」に移動して、ドメインを選択します。「設定」を選択し、「セッション設定」をクリックします。

    セッション設定

  2. サインアウトURLを、すべてのユーザーが正常にサインアウトした後にリダイレクトするランディング・ページに更新し、「変更の保存」をクリックします。

    ランディング・ページの更新

タスク3: カスタム・リダイレクトを使用したユーザー・オンボーディングの処理

多くの組織でよく見られるパターンは、特に新規ユーザーが初めてパスワードをリセットまたは設定するときに、ユーザー・オンボーディング・エクスペリエンスを合理化する必要があることです。デフォルトでは、ユーザーが同じブラウザ・タブでこれらのアクションを完了すると、OCI IAMに「サインインを続行」オプションが表示され、/myconsoleランディング・ページにリダイレクトされます。

ただし、多くのエンタープライズ環境では、エンド・ユーザーを/myconsoleインタフェースに公開する必要はありません。かわりに、これらの組織は、ユーザーがクリーン・セッションで開始し、サービス・プロバイダ(SP)が開始するSSOフローを使用して特定のエンタープライズ・アプリケーション・ランディング・ページに直接移動することを希望することがよくあります。

このプリファレンスをサポートするために、OCI IAMでは「サインインを続行」オプションを非表示にできるようになりました。この設定を有効にすると、パスワード設定やリセットなどのオンボーディング・ステップを完了しているユーザーには、「サインインを続行」オプションが表示されなくなります。これにより、これらのステップの完了後、ユーザーは/myconsoleにリダイレクトされませんが、かわりに組織のSSOエントリ・ポイントに合せた新しいセッションを開始できます。

この構成により、オンボーディング・エクスペリエンスが向上し、不要なリダイレクトを行わずに、ユーザーが意図したアプリケーションおよび環境に誘導されるようになります。

OCI IAMで「サインインを続行」オプションを無効にするステップに従います:

  1. OCIコンソールに移動し、「アイデンティティとセキュリティ」、「ドメイン」に移動して、ドメインを選択し、「ブランディング」をクリックします。

    ブランディング

  2. 「カスタム・ブランディング」、「サインインを続行」ボタンの非表示」を選択し、OCI IAMランディング・ページで他の設定を更新してルック・アンド・フィールをカスタマイズし、「変更の保存」をクリックします。

    サインイン継続ボタンの非表示

確認

その他の学習リソース

docs.oracle.com/learnで他のラボを確認するか、Oracle Learning YouTubeチャネルで無料のラーニング・コンテンツにアクセスしてください。また、education.oracle.com/learning-explorerにアクセスして、Oracle Learning Explorerになります。

製品ドキュメントについては、Oracle Help Centerを参照してください。