了解如何在 Azure AD 与Oracle Identity Cloud Service之间设置 SSO
将E-Business Suite 应用程序移到云中并提供通过 Microsoft Azure 访问应用程序时,用户必须登录 Azure 门户,同时重新输入身份证明以登录E-Business Suite 应用程序。
身份联盟有助于企业减少成本,因为无需在每个身份管理系统中单独创建和管理用户帐户。用户同步过程可确保将身份传播到所有联合系统。
准备工作
体系结构
此体系结构图介绍了一种使用 Oracle 应用程序(例如E-Business Suite)设置 SSO 的模式,Oracle Identity Cloud Service 在应用程序和 Azure AD 之间充当桥。此设置允许用户在使用 Azure AD 作为其身份提供方时,在Oracle Cloud Infrastructure 中托管 Oracle Database 的方案。
此图表显示E-Business Suite 断言者和E-Business Suite 如何与Oracle Identity Cloud Service交互。E-Business Suite 断言者将部署到单独的 Oracle WebLogic Server 实例,并通过 OpenID Connect (OIDC)与Oracle Identity Cloud Service 进行交互。E-Business Suite 断言者将用户的 Web 浏览器重定向到Oracle Identity Cloud Service 和E-Business Suite。
验证流
在 Microsoft Azure 中运行连接到 Oracle Cloud 中的数据库的应用程序时,Azure AD 可以成为身份提供方(IDP)以保存用户身份证明。
下图显示了用户验证流。
插图 ebs-auth-flow.png 的说明
用户直接通过转到E-Business Suite AppsLogin 页或 My Apps 门户来访问E-Business Suite 应用程序。以下步骤说明了不同组件之间的验证流:
- 用户请求对受 Oracle E-Business Suite 保护的资源的访问。
- Oracle E-Business Suite 将用户浏览器重定向到 E-Business Suite 断言者应用程序。
- E-Business Suite 断言者使用Oracle Identity Cloud Service SDK 生成授权 URL,然后将浏览器重定向到Oracle Identity Cloud Service。
- Oracle Identity Cloud Service 会将用户重定向到 Azure AD。
- 用户提供登录应用程序所需的身份证明。
- Azure AD 执行用户验证后,它会生成 SAML 标记,并通过浏览器将其发送到Oracle Identity Cloud Service。
- Oracle Identity Cloud Service 使用验证标记,生成 OpenID Connect (OIDC)标记,并将标记发布到E-Business Suite 断言者。
- E-Business Suite 断言者创建 Oracle E-Business Suite cookie 并将用户浏览器重定向到 Oracle E-Business Suite。
- Oracle E-Business Suite 提供用户请求的受保护资源。
E-Business Suite 断言者的网络安全性和高可用性
要与 Identity Cloud Service 通信,请检查您的E-Business Suite 断言者 VM 是否具有公共 IP 地址或者您的断言者是否位于公共负载平衡器之后,确保断言者可以访问Oracle Identity Cloud Service 标记端点。
为了增加安全性,应将E-Business Suite 断言者虚拟机放置在 Azure 虚拟网络(VNet)中自己的子网中,并配置网络安全组(NSG)来控制网络通信量流。
关于必需的服务、产品和角色
Oracle Identity Cloud Service 管理员必须能够访问Oracle Identity Cloud Service 控制台来配置和激活应用程序。
- Oracle Identity Cloud Service
- Oracle Cloud Infrastructure
- 在 Microsoft Azure 上部署了完全功能的 Oracle E-Business Suite 实例
- Microsoft Azure
这些是每个服务所需的角色。
服务名 : 角色 | 必需... |
---|---|
服务器管理员 | 配置E-Business Suite 并更改安全设置 |
身份域管理员:安全管理员 | 注册应用程序 |
Azure Contributor 或更高版本的授权帐户 | 获取 Azure 订阅 |
应用程序管理员或全局管理员 | 处理 Azure 一端的配置和设置 |
请参阅了解如何为 Oracle 解决方案获取 Oracle Cloud 服务以获取所需的云服务。