Documentação do Oracle Cloud Infrastructure

Provisionamento JIT do ADFS para o OCI IAM

Neste tutorial, você configura o Provisionamento Just-In-Time (JIT) entre o OCI e o Microsoft ADFS, onde o ADFS atua como IdP.

Você pode configurar o provisionamento JIT para que as identidades possam ser criadas no sistema de destino durante o runtime, como e quando eles fazem uma solicitação para acessar o sistema de destino.

Este tutorial abrange as seguintes etapas:

  1. Atualize as configurações da Parte Confiável no ADFS.
  2. Atualize o ADFS IdP no OCI IAM para JIT.
  3. Teste se você pode provisionar usuários do ADFS para o OCI IAM.
Observação

Este tutorial é específico do serviço IAM com Domínios de Identidades.
Antes de Começar

Para executar este tutorial, você deve ter o seguinte:

  • Uma conta do Oracle Cloud Infrastructure (OCI) paga ou uma conta de avaliação do OCI. Consulte Oracle Cloud Infrastructure Free Tier.
  • Atribuição de administrador de domínio de identidades para o domínio de identidades do OCI IAM. Consulte Noções Básicas sobre Atribuições de Administrador.
  • Uma instalação do ADFS.
    Observação

    Este tutorial descreve o uso do software ADFS fornecido com o Microsoft Windows Server 2016 R2.
  • Além disso, você deve verificar se:
    • O mesmo usuário existe no OCI e no ADFS.
    • O ADFS está funcionando.
1. Atualizar as Configurações da Parte Confiável no ADFS
  1. Abra o utilitário de gerenciamento ADFS. Por exemplo, no utilitário do Windows 2016 Server Manager, clique em Ferramentas e, em seguida, clique em Microsoft Active Directory Federation Services Management.
  2. Em ADFS, clique em Confiança da Parte Confiável.
  3. Clique com o botão direito do mouse na Confiança de Partição Confiável configurada anteriormente para o OCI chamada OCI IAM no tutorial SSO entre OCI e ADFS.
  4. Escolha Editar Política de Emissão de Reivindicação.
  5. Edite a reivindicação de E-mail para adicionar três regras de reivindicação adicionais para Nome, Sobrenome e Grupo.

    Atributo de nome:

    • Atributo LDAP: Given-Name
    • Tipo de Reivindicação de Saída: Given Name

    Atributo de Último Nome:

    • Atributo LDAP: Surname
    • Tipo de pedido de indenização de saída: Surname

    Atributo de grupo:

    • Atributo LDAP: Token-Groups - Unqualified Names
    • Tipo de pedido de indenização de saída: Group
  6. Clique em OK na página de regras e, em seguida, em OK novamente.

Você pode adicionar atributos adicionais para atender aos seus requisitos de negócios, mas você só precisa deles para este tutorial.

2. Atualizar o ADFS IdP no OCI IAM

Na Console do OCI IAM, configure o ADFS IdP para JIT.

  1. Abra um browser suportado e digite o URL da Console:

    https://cloud.oracle.com

  2. Informe o Nome da Conta do Cloud, também conhecido como nome da tenancy, e clique em Próximo.
  3. Selecione o domínio de identidades que será usado para configurar o SSO.
  4. Entre com seu nome de usuário e senha.
  5. Abra o menu de navegaçãe clique em Identidade e Segurança.
  6. Em Identidade, clique em Domínios.
  7. Selecione o domínio de identidades no qual você já configurou o ADFS como IdP na etapa 1 do tutorial "SSO Entre OCI e ADFS".
  8. Clique em Segurança no menu à esquerda e, em seguida, em Provedores de identidade.
  9. Clique no ADFS IdP.
    Observação

    Este é o ADFS IdP criado como parte do tutorial SSO Entre OCI e ADFS.
  10. Na página ADFS IdP, clique em Configurar JIT.
  11. Na página de provisionamento JIT (Configure Just-in-time):
    • Selecione Ativar provisionamento JIT (Just-In Time).
    • Selecione Criar um novo usuário do domínio de identidades.
    • Selecione Atualizar o usuário do domínio de identidades existente.

    ativar provisionamento just in time

  12. Em Mapear atributos do usuário:
    1. Deixe a primeira linha para NameID inalterada.
    2. Para outros atributos, em IdP user attribute, selecione Attribute.
    3. Forneça o nome do atributo do usuário IdP da seguinte forma:
      • familyName: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
      • primaryEmailAddress: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
    4. Clique em Adicionar Linha:
      • Em IdP user attribute, selecione Attribute.
      • Para o nome do atributo de usuário IdP, digite http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname

      Mapeamento de atributos entre o ADFS e o OCI IAM

  13. Selecione Designar mapeamento de grupo.
  14. Informe o Nome do atributo de associação ao grupo. Use http://schemas.xmlsoap.org/claims/Group.
  15. Selecione Definir mapeamentos explícitos de associação a grupo.
  16. Em IdP, o nome do grupo é mapeado para o nome do grupo de domínio de identidades, faça o seguinte:
    • Em IdP Nome do grupo, forneça o nome do grupo no ADFS que estará presente na asserção SAML enviada pelo ADFS.
    • Em Nome do grupo de domínios de identidade, no OCI IAM, selecione o grupo no OCI IAM a ser mapeado para o grupo correspondente no ADFS.

      Designar mapeamentos de grupo

  17. Em Regras de atribuição, selecione o seguinte:
    1. Ao atribuir associações a grupos: Mesclar com associações a grupos existentes
    2. Quando um grupo não é encontrado: Ignorar o grupo ausente
    Observação

    Selecione opções com base nos requisitos da sua organização.
  18. Clique em Salvar alterações.
3. Testar o Provisionamento JIT entre ADFS e OCI
Nesta seção, você pode testar se o provisionamento JIT funciona entre o ADFS e o OCI IAM
  1. No ADFS, crie um usuário no ADFS que não exista no OCI IAM.
  2. Reinicie seu browser e informe o URL da Console para acessar a Console do OCI:

    cloud.oracle.com

  3. Informe o Nome da Conta do Cloud, também conhecido como nome da tenancy, e clique em Próximo.
  4. Selecione o domínio de identidades no qual a configuração JIT foi ativada.
  5. Nas opções de acesso, clique em ADFS.

    Ícone ADFS na página de acesso

  6. Na página de login do ADFS, forneça as credenciais do usuário recém-criado.
  7. Na autenticação bem-sucedida, uma conta é criada para o usuário no OCI IAM e o usuário acessa a Console do OCI.

    Você pode exibir o novo usuário no domínio do OCI e verificar se ele tem os mesmos atributos de identidade e associações de grupo informados.

O Que Vem a Seguir

Parabéns! Você configurou com sucesso o provisionamento JIT entre o ADFS e o OCI IAM.

Para explorar mais informações sobre desenvolvimento com produtos Oracle, confira estes sites: