ノート:

IDCS/アイデンティティ・ドメインでのSAMLベースのIDPのジャストインタイム・プロビジョニングの構成

イントロダクション

SAMLベースのジャストインタイム(JIT)プロビジョニングは、新規ユーザー用のIdentity Cloud Serviceでのアイデンティティのユーザー作成を自動化するのに役立ちます。ユーザー・アカウントは、ユーザーがSSOを介してターゲット・アプリケーションにアクセスしようとすると作成されます。ユーザーの作成とともに、JITはプロビジョニングの一部としてグループ・メンバーシップを付与および取り消すこともできます。JITを使用して、ソース属性(サービス・プロバイダ- SP)をアイデンティティ・プロバイダ- IDPにマップすることで、プロビジョニングされたユーザーを更新することもできます。

IDCSでアイデンティティ・プロバイダのJITプロビジョニングを有効にすることで、ユーザーをより効率的に管理でき、ユーザーを手動で同期する管理コストを削減できます。

JITプロビジョニングを使用する利点

目標

REST APIを介してIDCS/アイデンティティ・ドメインでSAMLベースのIDPのジャストインタイム・プロビジョニングを構成します。

ノート: テナンシがすでにアイデンティティ・ドメインに移行されており、この設定をコンソールで実行する場合は、次のリンクを参照してください: ジャストインタイムSAML IdPの追加。

前提条件

タスク1: IDCS/アイデンティティ・ドメイン・テナンシで構成されたアイデンティティ・プロバイダのリストのフェッチ

タスク2: 構成済のSAML IDPの詳細のフェッチ

タスク1にあるプロバイダIDを使用して、JITプロビジョニングを有効にする構成済SAML IDPの詳細をフェッチします。

タスク3: JITプロビジョニングを有効にするためのIDPプロバイダ設定の更新

PATCH操作を使用してSAML IDPのJITプロビジョニングを有効にするようにIDPプロバイダ設定を更新します。

ノート:

サンプル本文:

{
  "schemas": [
    "urn:ietf:params:scim:api:messages:2.0:PatchOp"
  ],
  "Operations": [
    {
      "op": "replace",
      "path": "jitUserProvEnabled",
      "value": true
    },{
      "op": "replace",
      "path": "jitUserProvCreateUserEnabled",
      "value": true
    },
    {
      "op": "replace",
      "path": "jitUserProvAttributeUpdateEnabled",
      "value": true
    },
    {
      "op": "replace",
      "path": "jitUserProvGroupAssertionAttributeEnabled",
      "value": false
    },
    {
      "op": "replace",
      "path": "jitUserProvGroupSAMLAttributeName",
      "value": "groups"
    },
    {
      "op": "replace",
      "path": "jitUserProvGroupAssignmentMethod",
      "value": "Overwrite"
    }
  ]
}

次の表では、前述のIDPプロパティについて説明します。

アイデンティティ・プロバイダ・プロパティ 説明
jitUserProvEnabled 構成済IDPのSAML JITプロビジョニング機能を使用可能/使用不可にするブール・プロパティ。
jitUserProvCreateUserEnabled ユーザーがまだ存在しない場合に、受信するアサーションに基づくユーザー作成のブール・プロパティ。
jitUserProvAttributeUpdateEnabled ユーザーがすでに存在する場合、受信アサーションに基づくユーザー更新のブール・プロパティ。
jitUserProvGroupAssertionAttributeEnabled SAML属性のIDPから受信したグループ名のリストに基づいて、グループ・メンバーシップをユーザーに割り当てるかどうかを示すブール・プロパティ。
jitUserProvGroupSAMLAttributeName プロパティjitUserProvGroupAssertionAttributeEnabledがtrueの場合に、ユーザーに割り当てるグループを含むSAMLアサーション属性の名前。
jitUserProvGroupAssignmentMethod グループ・メンバーシップをIdentity Cloud Serviceユーザー(上書き/マージ)に割り当てる方法を制御する文字列プロパティ。

この操作をポストして、SAML IDPに対してJITプロビジョニングを有効にし、タスク2で説明したGET操作を実行して、これを確認できます。次の図は、出力の例を示しています。

イメージ 3

これにより、SP属性をIDP属性にマップするために次のエンドポイントで使用されるマップ済属性IDが提供されます。

イメージ 4

タスク4: ユーザー・プロビジョニング用のSAMLアイデンティティ・プロバイダのjitUserProvAttributesマッピングの設定

SAML IDPのJITプロビジョニングを有効にした後、次のステップはサービス・プロバイダ属性をアイデンティティ・プロバイダ属性にマップすることです。この項で説明するRESTエンドポイントとともに、タスク3のマップ済属性IDを使用します。

ノート:

タスク5: jitUserProvAttributesマッピング更新属性の構成

サービス・プロバイダ- SPからアイデンティティ・プロバイダ- IDPへのjitUserProvAttributesマッピング更新属性を構成します。

タスク6: JITプロビジョニングのテスト

  1. 新しいブラウザ・セッションで、コンソールのIDCSへのログインを試みます。
  2. IDCSはログイン画面を表示します。
  3. JITプロビジョニングで有効になった構成済IDPを選択します。
  4. IDCSにより、サインインのためのIDPログイン・ページにルーティングされます。
  5. IDCSに存在しないユーザーの有効な資格証明を入力してください。
  6. ログインに成功すると、IDCSの自分のコンソール画面にルーティングされます。
  7. 管理アカウントを使用して、ユーザーがIDCSで正常に作成されたことを検証します。

承認

作成者 - Chetan Soni (クラウド・ソリューション・エンジニア)

その他の学習リソース

docs.oracle.com/learnで他のラボをご覧いただくか、Oracle Learning YouTubeチャネルでより無料のラーニング・コンテンツにアクセスしてください。また、education.oracle.com/learning-explorerにアクセスして、Oracle Learning Explorerになります。

製品ドキュメントについては、Oracle Help Centerを参照してください。