ノート:

このチュートリアルではOracle Cloudへのアクセスが必要です。無料アカウントにサインアップするには、Oracle Cloud Infrastructure Free Tierの開始を参照してください。
Oracle Cloud Infrastructure資格証明、テナンシおよびコンパートメントの値の例を使用します。演習を完了する場合は、これらの値をクラウド環境に固有の値に置き換えてください。

OCIでのOracle Analytics CloudおよびAPEXアプリケーションのサインオン・ポリシーの構成

イントロダクション

Oracle Cloud Infrastructure Identity and Access Management (OCI IAM)アイデンティティ・ドメインのサインオン・ポリシーは、Oracle Cloud Infrastructure (OCI)にデプロイされたアプリケーションへのアクセスを管理するための重要な要素です。

このチュートリアルは、顧客のユース・ケースにインスピレーションを与え、ISVまたはアプリケーション・サービス・プロバイダがサインオン・ポリシーを実装して、エンドユーザーに配信するアプリケーションへの認証を可能にし、OCIコンソールへのアクセスを妨げる方法の概要を示します。

このチュートリアルでは、Oracle Analytics Cloudアプリケーションと、Autonomous Transaction Processing (ATP)サービスで実行されるAPEXアプリケーションの2つのアプリケーションが使用されます。

目的

アプリケーションのコンパートメントおよびアイデンティティ・ドメインを作成および構成します。
ATPを使用して、1つのOracle Analytics Cloudアプリケーションと1つのAPEXアプリケーションをデプロイします。
これら2つのアプリケーションをOCI IAMアイデンティティ・ドメインと統合します。
アプリケーション・アクセスを許可し、アプリケーション・ユーザーがOCIコンソールにサインオンできないように、サインオン・ポリシーを構成します。

アーキテクチャ

このチュートリアルでは、次のアーキテクチャを使用します。

コンパートメント: このチュートリアル用にアプリケーション・ドメインとOracle Analytics CloudおよびATPインスタンスの両方が作成されるコンパートメント
ドメイン:
- デフォルト・ドメイン
- アプリケーション・ドメイン
グループ:
- アプリケーション・ドメイン:
  - アプリケーション・ユーザーのグループ。ドメイン内のアプリケーションにのみアクセスできます。
  - Oracle Analytics CloudおよびATPプロビジョニング・ユーザーのグループ。ドメイン内のOracle Analytics CloudおよびATPインスタンスのみをプロビジョニングおよび管理できます。
- デフォルト・ドメイン:
  - このチュートリアルで使用するコンパートメント内のすべてのリソースを管理する権限を持つユーザーのグループ。これらは、アプリケーション・ドメインのすべての管理アクティビティを実行します。
サインオン・ポリシー:
- デフォルトのサインオン・ポリシー:
  - ルール1: Oracle Analytics CloudおよびATPプロビジョニング・ユーザーのグループへのアクセスを許可します。
  - ルール2: アクセスを拒否します。
- アプリケーションのサインオン・ポリシー:
  - アプリケーション: Oracle Analytics CloudおよびAPEXアプリケーション。
  - ルール: アプリケーション・ユーザーのグループへのアクセスを許可します。

前提条件

アイデンティティ・ドメインを使用したOCIテナンシへのアクセス
OCI IAMモデル、つまりコンパートメント、アイデンティティ・ドメイン、グループおよびポリシーの理解。
チュートリアルで使用するコンパートメント内のすべてのリソースを管理できるユーザーをデフォルト・ドメインで作成します。

タスク1: コンパートメントの構成

デフォルト・ドメインのOCIコンソールに、テナンシ内のリソースを管理する権限を持つユーザー、またはコンパートメント・レベルでサインインし、そこからチュートリアル・コンパートメントを子コンパートメントとして作成します。
チュートリアルのコンパートメントを作成します。
ログインしているデフォルト・ドメイン・ユーザーが、このコンパートメントに対する管理権限を持つグループに含まれていることを確認します。そうでない場合は、次のテンプレートを使用してポリシーを作成(またはテナンシ管理者に依頼します):
```
Allow group <group to which your user belongs> to manage all-resources in compartment <compartment name>
```

タスク2: アプリケーション・ドメインの構成

この新しく作成されたコンパートメントで、アプリケーション・ユーザーのアイデンティティ・ドメインを作成します。このチュートリアルでは、無料のドメインを使用できます。これは、アプリケーション・ユーザーと管理者ユーザーを分離するため、ベスト・プラクティスです。
新しく作成したドメインで、アプリケーション・ユーザーのグループを作成します。現時点では、このグループにユーザーを追加しないでください。チュートリアルの後半で、テストの実行時に実行します。
Oracle Analytics CloudおよびATPインスタンスをプロビジョニングできるユーザーのグループを作成し、このグループにユーザーを割り当てます。このためにユーザーの作成が必要になる場合があります。

このグループのユーザーが、このチュートリアル用に作成したコンパートメントにOracle Analytics CloudおよびATPインスタンスを作成できるようにするポリシーを作成します。

Allow group <apps_domain>/<oac_provisioning_group> to manage analytics_instances in compartment <compartment name>
Allow group <apps_domain>/<oac_provisioning_group> to manage autonomous_databases in compartment <compartment name>

タスク3: Oracle Analytics Cloudアプリケーションの構成

タスク2で作成したアプリケーション・ドメインに、Oracle Analytics CloudおよびATPインスタンスを管理するグループに追加したユーザーでサインインします。
Oracle Analytics Cloudインスタンスを作成します。OCIコンソールを使用して、アプリケーション・ユーザーが作成および管理されるドメインに属するユーザーにOracle Analytics Cloudインスタンスをプロビジョニングする必要があります。この理由は、Oracle Analytics Cloudのプロビジョニング・プロセスで、ログオン時にプロビジョニングするユーザーがドメインにOracle Analytics Cloudアプリケーションが自動的に作成されるためです。

ノート: OCI APIを使用してOracle Analytics Cloudインスタンスをプロビジョニングした場合は、Oracle Analytics Cloudインスタンスを別のドメインのユーザーとともにプロビジョニングできますが、これは現在のチュートリアルの範囲外です。
Oracle Analytics Cloudインスタンスが、サインインしているアイデンティティ・ドメインにバインドされていることを確認します。これを行うには、タスク2で作成したアイデンティティ・ドメインに移動し、Oracle Cloud Servicesに移動します。OCIにOracle Analytics Cloudプロビジョニング・プロセスによって自動的に作成されたアプリケーションが表示されます。
Oracle Analytics Cloudアプリケーション・ロールをアプリケーション・ユーザー・グループに割り当てます。

タスク4: APEXアプリケーションの構成

ATPインスタンスを作成します。
APEXワークスペースを作成し、APEXアプリケーションのサンプルをインストールします。アプリケーション・ギャラリに移動し、サンプル・アプリケーション(サンプル・カレンダ・アプリケーションなど)のいずれかを選択します。
このOracle Analytics CloudおよびATPプロビジョニング・ユーザーを使用してドメインからサインアウトします。チュートリアルの開始時に使用したユーザーでサインインする必要があります。このユーザーには、チュートリアル・コンパートメント内のすべてのリソースを管理する権限があります。
このガイドに従って、サンプル・アプリケーションをOCIアイデンティティ・ドメインと統合します。
- 前のステップでインストールしたAPEXアプリケーションについて、アプリケーション・ドメインに機密アプリケーションを作成します。
- APEXワークスペースで新しいWeb資格証明を作成します。
- APEXアプリケーションの新しい認証スキームを作成します。

タスク5: サインオン・ポリシーの構成

デフォルト・ドメインにサインインし、アプリケーション・ドメインのデフォルトのサインオン・ポリシーを変更します。Oracle Analytics CloudおよびATPプロビジョニング・グループのメンバーのみにアクセスできるように、デフォルトのサインオン・ルールを変更することから始めます。

ノート: このチュートリアルの目的のために、ルールを次のように単純に保ちますが、本番ユース・ケースではMFAへのアクセスを規定する必要があります。
デフォルトのサインオン・ポリシーに別のサインオン・ルールを追加します。このルールは最初のルールの後に評価され、すべてのユーザーへのドメインへのアクセスが拒否されます。

デフォルト・サインオン・ポリシーには、次に示すように2つのルールが必要です。
アプリケーション・ユーザーがアプリケーションにのみサインオンできるようにする新しいサインオン・ポリシーを作成します。
タスク4で作成されたAPEXアプリケーションとタスク3で自動的にプロビジョニングされたOracle Analytics Cloudアプリケーションの両方を、この新しいポリシーに関連付けます。
このポリシーのサインオン・ルールを作成して、アプリケーション・グループのユーザーがこれらの2つのアプリケーションにサインオンできるようにします。

ノート: ドメインの切替え

Oracle Analytics CloudまたはOracle Integrationベースのアプリケーションのかわりに、カスタムWebアプリケーションをデプロイする必要がある場合は、このタスクのステップ1と2をスキップし、かわりにドメインを切り替えて、OCIコンソールのサインオン・ページで選択されないようにします。

ドメインのメイン・ページで、ドメインを編集し、OCIコンソールのサインオン・ページでドメインが選択されないようにします。これにより、ドメインへのOCI Webコンソール・アクセスが防止されます(アプリケーション・ユーザーとドメイン管理者の両方を含む)。

タスク6: テスト

アプリケーション・ドメインに新しいユーザーを作成し、前のタスクで作成したアプリケーション・グループに追加します。
新しく作成したユーザーでOCIコンソールにサインオンし、アプリケーション・ドメインを選択して、アクセスが拒否されたことを確認します。
新しく作成したユーザーでAPEXアプリケーションにサインオンし、正常にサインオンできることを確認します。
新しく作成したユーザーでOracle Analytics Cloudアプリケーションにサインオンし、正常にサインオンできることを確認します。

次のステップ

サインオン・ポリシーは、OCIのアプリケーション認証の重要な要素であるだけでなく、非常に使いやすいものです。このチュートリアルでは、アプリケーション・ユーザーの認証を完全に制御し、組織にとって意味のあるポリシーを適用することがいかに簡単かを示します。サインオン・ポリシーは、このチュートリアルで使用されている機能以外にも追加機能を提供します(特定のユーザー・グループにMFAを適用するなど)。追加のリソースを確認して、どのサインオン・ポリシーを使用できるかをより深く理解してください。

承認

著者 - Ricardo Malhado (プリンシパル・クラウド・ソリューション・アーキテクト)、Arno Schots (EMEAクラウド・アーキテクト)

その他の学習リソース

docs.oracle.com/learnで他のラボをご覧いただくか、Oracle Learning YouTubeチャネルでより無料のラーニング・コンテンツにアクセスしてください。また、education.oracle.com/learning-explorerにアクセスして、Oracle Learning Explorerになります。

製品ドキュメントについては、Oracle Help Centerを参照してください。

タイトルおよび著作権情報

Configure Sign-on Policies for Oracle Analytics Cloud and APEX Apps on OCI

F82267-01

June 2023