通过 OKE 上的自定义登录应用程序增强用户体验

您可以在员工登录期间显示组织自己的 URL，而无需使用默认的 OCI IAM 登录页面和 URL，方法是在您自己的域中托管您的自定义登录应用程序。

以保险公司 Unified Insurance 为例，该公司在 Oracle Cloud 上托管服务。Unified Insurance 为 Vision Corporation 的员工提供健康保险。Vision Corporation 的员工是健康保险政策的消费者，他们将访问统一保险门户来管理他们的福利。Oracle 是身份提供者，因此其浏览器上显示的 URL 将是标准 Oracle 身份 URL，如下所示：

https://<oracle-customer-identity-domain instance>.identity.oraclecloud.com/ui/<version>/signin

Unified Insurance 可以使用自定义登录应用程序在自己的域中托管服务，将此 URL 替换为特定于 Vision Corporation 的 URL。下面是特定于组织的 URL 的一个示例：

https://visioncorporation.com/employee-signin

在此解决方案手册中，您将了解如何在 Oracle Cloud Infrastructure Kubernetes Engine ( OKE ) 上托管自定义登录应用程序，将默认 OCI IAM 登录页面和 URL 替换为特定于组织的虚名 URL 和登录页面。

使用须知

确定组织的需求并选择适当的解决方案。

企业组织员工的托管登录

定制身份域的托管登录页和身份域登录 UI 的品牌设置。

最终用户或使用者的虚名 URL

使用此解决方案可以为最终用户或消费者支持特定于组织的虚名 URL。

体系结构

以下体系结构设计展示了如何在 OCI Kubernetes Engine (OKE) 上部署和运行定制登录应用程序。

插图 custom-sign-app-arch.png 的说明

custom-sign-app-arch-oracle.zip

以下是实施此解决方案后 Vision Corporation 员工的用户工作流示例：

1. 员工可以使用自己的自助门户应用程序登录以查看其健康保险福利。
2. 他们被带到他们组织的健康保险和福利网站。
3. 地址栏中显示的 URL 特定于他们工作的组织，而不是 Oracle 提供的 URL。

Unified Insurance 可以在 OKE 上托管其定制登录应用程序，从而为 Vision Corporation 提供此体验。

注意：

您需要使用身份域的现成登录 UI 保护的工作示例应用程序才能进行测试。使用定制应用程序登录后，测试器将转到此应用程序。此应用程序可以托管在任何位置，并且必须是 SAML 2.0、OAUTH 或受应用程序网关保护的应用程序。

此体系结构支持以下组件：

• 身份和访问管理 (IAM)

  Oracle Cloud Infrastructure Identity and Access Management (IAM) 是 Oracle Cloud Infrastructure (OCI) 和 Oracle Cloud Applications 的访问控制层。通过 IAM API 和用户界面，您可以管理身份域和身份域中的资源。每个 OCI IAM 身份域代表一个独立的身份和访问管理解决方案或不同的用户群体。

• Kubernetes 引擎

  Oracle Cloud Infrastructure Kubernetes Engine （ OCI Kubernetes Engine 或 OKE ）是一项完全托管、可扩展的高可用性服务，可用于将容器化应用部署到云中。您可以指定应用所需的计算资源，Kubernetes Engine 在现有租户的 Oracle Cloud Infrastructure 上预配这些资源。OKE 使用 Kubernetes 跨主机集群自动部署、扩展和管理容器化应用。

• 负载平衡器

  Oracle Cloud Infrastructure Load Balancing 服务提供从单个入口点到后端多个服务器的自动流量分配。

• 注册表

  Oracle Cloud Infrastructure Registry 是一个由 Oracle 管理的注册表，可帮助您简化开发到生产工作流。通过注册表，您可以轻松地存储、共享和管理开发对象，例如 Docker 映像。Oracle Cloud Infrastructure 的高可用性和可扩展性架构可确保您能够可靠地部署和管理应用。

• 服务网关

  通过服务网关，您可以从 VCN 访问其他服务，例如 Oracle Cloud Infrastructure Object Storage 。从 VCN 到 Oracle 服务的流量通过 Oracle 网络结构传输，不会通过互联网传输。

• Internet 网关

  通过互联网网关，可以在 VCN 中的公共子网与公共互联网之间进行流量传输。

• 虚拟云网络 (VCN) 和子网

  VCN 是一个可定制的软件定义网络，您可以在 Oracle Cloud Infrastructure 区域中设置。与传统的数据中心网络一样，VCN 允许您控制您的网络环境。VCN 可以具有多个不重叠的 CIDR 块，您可以在创建 VCN 后更改这些块。您可以将 VCN 划分为子网，子网可以限定为区域或可用性域。每个子网都包含一系列不与 VCN 中的其他子网重叠的连续地址。可以在创建后更改子网的大小。子网可以是公共子网，也可以是专用子网。

• Docker

  一个允许您快速构建、测试和部署应用的软件平台。Docker 提供了在称为容器的松散隔离环境中打包和运行应用的功能。隔离和安全性允许您在给定主机上同时运行多个容器。

关于必需的服务和角色

此解决方案需要以下服务和角色：

服务名：职责	需要 ...
GitHub：开发人员	Fork 资料档案库并下载定制登录应用程序。
Docker：开发人员	创建 Docker 映像文件。
身份域：应用程序管理员	在身份域中创建、更新、激活、停用和删除应用程序。 为组和用户授予和撤消对应用程序的访问权限。
Oracle Cloud Infrastructure ：创建 OCIR 存储库	创建 OCIR 资料档案库并创建 OKE 集群。
Kubernetes：命令行工具	访问 Kubernetes 命令行工具。
登录应用程序：IDCS_CLIENT_ID 和 IDCS_CLIENT_CREDENTIALS	调用身份域 API。