Configurar o Microsoft Azure EntraID para o Oracle GoldenGate

Ao criar o Perfil de Autorização, o Oracle GoldenGate mapeia os grupos de segurança Entra ID em quatro atribuições para autorização: Segurança, Administrador, Operador e Usuário. O usuário do ID do Entra que pertence ao grupo tem a atribuição mapeada correspondente no Oracle GoldenGate.

No portal do Microsoft Azure EntraID, execute as seguintes tarefas para configurar os grupos de usuários que seriam mapeados com o Oracle GoldenGate:

  1. Crie o usuário e os grupos de segurança apropriados no EntraID. Você precisará de quatro Grupos de segurança que serão mapeados para as respectivas atribuições de usuário do Oracle GoldenGate (Segurança, Admin, Operador, Usuário). Você pode selecionar o nome do grupo, conforme necessário.

    Microsoft EntraID criando grupos que são mapeados para atribuições de usuário do Oracle GoldenGate.

  2. Selecione Adicionar, Aplicativo Empresarial na página Visão Geral.

    Adicione um novo aplicativo empresarial na console EntraID.

  3. Selecione Criar seu próprio aplicativo.

    Selecione Create your own application no menu Overview do EntraID no painel de navegação esquerdo

  4. Nomeie seu aplicativo, selecione Registrar um aplicativo para integração com o ID do Microsoft Entra e selecione Criar.

    Selecione para registrar um aplicativo empresarial no Microsoft EntraID para o perfil de autorização do Oracle GoldenGate

  5. Para registrar o aplicativo, selecione Contas neste diretório organizacional somente (... - Tenant Único).

    img/entraid_registerapp_accountdirectory.png

  6. Volte para a página Visão Geral do ID do Entra, em Gerenciar, selecione Aplicativos empresariais e procure o nome do aplicativo criado anteriormente.

  7. Em Mudança, selecione Usuários e grupos. Selecione Adicionar usuário/grupo.

    Adicionar usuários com base em grupos.

  8. Procure e selecione os grupos a serem designados a este aplicativo e certifique-se de que os grupos selecionados apareçam no painel direito.

    Selecione os grupos a serem adicionados para autorização.

  9. Selecione todos os grupos, selecione Selecionar e Atribuir.

    Observação: Certifique-se de atribuir todos os grupos de segurança Entra ID criados nas etapas anteriores a este aplicativo.

    Designar grupos ao aplicativo Oracle GoldeNGate

  10. (Opcional) Atribua proprietários de aplicativos seguindo estas etapas:

    1. Em Gerenciar, selecione Proprietários.

    2. Selecione Adicionar.

    3. Pesquise e selecione proprietários.

    4. Certifique-se de que os proprietários selecionados sejam exibidos no painel direito.

  11. Registre o Aplicativo criando segredos do cliente:

    1. Voltar para a página Visão Geral do ID do Microsoft Entra

    2. Selecione Registros de aplicativos e, em seguida, Todos os Aplicativos.

      Acesse o aplicativo registrado para determinar seus detalhes.

    3. Pesquise e selecione o nome do aplicativo criado na etapa 2.

    4. Agora, o aplicativo mostra os detalhes. Anote o ID do Aplicativo (cliente) e o ID do Diretório (tenant).

      Anote os detalhes do aplicativo registrado exibidos na seção Detalhes do Aplicativo.

      Observe os valores de ID do Cliente, ID do Tenant e Segredo do Cliente. Esses valores serão usados ao configurar o perfil de autorização no Oracle GoldenGate.

      O ID do Tenant é usado para construir o URI de Descoberta do Tenant, conforme mostrado no seguinte exemplo:

      https://login.microsoftonline.com/{tenantID}/v2.0/.well-known/openid-configuration

    5. Em Gerenciar, selecione Certificados e segredos

    6. Selecione Segredos do cliente e, em seguida, Novo segredo do cliente.

      Adicione um segredo de cliente.

    7. Adicione uma descrição e selecione um período de expiração.

    8. Selecione Adicionar. Anote o Valor do segredo do cliente.

    Anote o valor do segredo do cliente exibido após adicionar o segredo do cliente.

  12. Crie a configuração de token para o Aplicativo Oracle GoldenGate:

    1. Em Gerenciar no painel de navegação, escolha Configuração de token.

    2. Selecione Adicionar reivindicação de grupos, Grupos designados ao aplicativo (...) e Adicionar.

      Criar uma configuração de token

  13. Criar atribuições do Aplicativo de Serviço GoldenGate:

    Criar atribuições de aplicativo para o serviço Oracle GoldenGate

    1. Em Gerenciar no painel de navegação, escolha Atribuições de Aplicativo.

    2. Selecione Criar atribuição de aplicativo e especifique um nome para exibição.

    3. Em Tipos de membro permitidos, selecione Aplicativos.

    4. Defina Valor como urn:ogg:serviceToService e preencha a descrição.

    5. Selecione Deseja ativar esta atribuição de aplicativo? e selecione Aplicar.

  14. Adicionar Permissão de API às Atribuições do Aplicativo de Serviço GoldenGate e conceder consentimento de administrador:

    Solicitar permissões de API para o aplicativo

    1. Em Gerenciar, selecione Permissões de API.

    2. Selecione Adicionar uma permissão.

    3. Selecione APIs que minha organização usa.

    4. Procure o aplicativo criado na Etapa 2.

    5. Selecione as permissões do Aplicativo.

    6. Selecione urn:ogg:serviceToService e selecione Adicionar permissões.

      Adicione a permissão de API para o aplicativo.

    7. A permissão deve aparecer em Permissões configuradas.

      A permissão API é adicionada e mostra em Permissões Configuradas.

    8. Selecione urn:ogg:serviceToService.

    9. No pop-up, note que o consentimento do Administrador necessário está definido como Sim.

      O consentimento do administrador obrigatório está definido como Sim em urg:ogg:serviceToService.

  15. Adicione permissões de API do Microsoft Graph Application.ReadWrite.All ao Aplicativo e conceda o consentimento do Administrador.

    1. Selecione Adicionar uma permissão e depois selecione Microsoft Graph na janela pop-up.

      Adicione permissões e selecione a opção do Microsoft Graph para começar a adicionar permissões de aplicativo.

    2. Selecione Permissões do aplicativo.

      Adicionando as permissões Application.ReadWrite.All.

    3. Pesquise e selecione Application.ReadWrite.All.

    4. Selecione Adicionar permissões.

    5. Execute as mesmas etapas para conceder consentimento para urn:ogg:serviceToService, mas para Application.ReadWrite.All.

  16. Atualize manualmente as propriedades de solicitação de token no Manifesto:

    As seguintes opções não estão disponíveis em outros menus, portanto, elas devem ser definidas manualmente, conforme mostrado na seguinte imagem:

    Atualizando manualmente a solicitação de token no Manifesto.

    Atualizando manualmente a solicitação de token no Manifesto.

    Em Gerenciar, selecione Manifesto.

    1. No JSON /optionalClaims/accessToken/additionalProperties, adicione o valor cloud_displayname.

    2. No JSON /optionalClaims/idToken/additionalProperties, adicione o valor cloud_displayname.

    3. No JSON /optionalClaims/saml2Token/additionalProperties, adicione o valor cloud_displayname.

    4. No JSON /api/requestedAccessTokenVersion, defina o valor como 2.

      Defina o valor da versão da solicitação de token como 2

    5. Salve o manifesto.

      Salve o Manifesto após atualizar manualmente as propriedades JSON.

  17. (Opcional) Crie o URL de redirecionamento para Autenticação de Aplicativo.

    1. Em ID do Microsoft Entra, Aplicativos empresariais, escolha o aplicativo criado na Etapa 2.

    2. Em Gerenciar, selecione Propriedades e, em seguida, selecione o link registro de aplicativo.

      Veja a seguir a imagem das propriedades do URL de redirecionamento entraID

    3. Em Gerenciar, selecione Autenticação e, em seguida, Adicionar uma plataforma.

    4. Selecione Web.

      Configure o URI de redirecionamento.

  18. Na caixa de diálogo Configurar Web, informe Redirecionar URIs.

    Para a implantação do Service Manager, você deve adicionar o caminho /services/v2/authorization para o Service Manager.

    Para cada implantação de Microsserviços, você deve adicionar o caminho /services/v2/authorization para o Serviço de Administração.

    Informe os URIs de Redirecionamento para o Gerenciador de Serviços e Microsserviços.

  19. Selecione Configurar.

A próxima etapa é fazer download do certificado RootCA do Microsoft Azure EntraID e adicioná-lo nos certificados RootCA Compartilhados do Service Manager.

Depois de configurar a Autoridade de Certificação Raiz, você poderá configurar o Perfil de Autorização do Oracle GoldenGate usando os valores criados neste tópico. Consulte Criar um Perfil de Autorização.

Adicionar Certificado de CA Raiz para o Microsoft EntraID Azure

Antes de começar a criar um perfil de autorização no Oracle GoldenGate, adicione uma Autoridade de Certificação Raiz para o Azure. Adicione o Certificado da CA Raiz como Certificados Confiáveis à implantação do Oracle GoldenGate:

  1. Faça download dos Certificados de CA Raiz do Azure no seguinte local:

    https://learn.microsoft.com/en-us/azure/security/fundamentals/azure-ca-details?tabs=root-and-subordinate-cas-list#root-certificate-authorities

    Você precisa apenas das Autoridades de Certificação Raiz.

  2. Converta OS certificados baixados do formato crt para pem usando o comando openssl em qualquer sistema operacional Linux ou Mac OS.

    openssl x509 -in <crt_file> -out <pem_file_name> -outform pem

    Por exemplo:

    openssl x509 -em DigicertRootGlobalCA.crt -out DigicertRootGlobalCA.pem -outform pem

    Supondo que você esteja usando imagens GoldenGate do Oracle GoldenGate on-premises ou do OCI Marketplace, faça upload desses certificados de CA Raiz como certificados confiáveis por meio da interface web do Service Manager.

  3. Localize o Gerenciador de Serviços no menu Gerenciamento de Certificados e selecione Certificados de CA +.

  4. Selecione o botão de upload de arquivo para fazer upload do arquivo .pem convertido.

    Fazendo upload do arquivo .pem do certificado da CA raiz do Microsoft Azure

  5. Especifique um nome exclusivo e certifique-se de que o certificado seja Compartilhado e selecione Enviar.