Oracle Identity Cloud Serviceのフェデレート

1. コンソールに移動し、Oracle Cloud Infrastructureのログインとパスワードを使用してサインインします。
2. ナビゲーション・メニューを開き、「アイデンティティとセキュリティ」をクリックします。「Identity」で、「Federation」をクリックします。
3. 「アイデンティティ・プロバイダの追加」をクリックします。

4. 次を入力します:

   1. 名前:このフェデレーション・トラストの一意の名前。これは、コンソールにサインインするときに使用するアイデンティティ・プロバイダ(たとえば、フェデレーテッド・ユーザーの経験のスクリーンショットに示されているABCCorp_IDCSなど)を選択する際に、フェデレーテッド・ユーザーに対して表示される名前です。名前は、テナンシに追加するすべてのアイデンティティ・プロバイダで一意である必要があります。これは後で変更できません。
   2. 説明: わかりやすい説明。
   3. IDCSベースURL: 必須URLを参照してください。
   4. クライアントID: ステップ1のオプションAまたはオプションBから。
   5. クライアント・シークレット: ステップ1のオプションAまたはオプションBから。
   6. アサーションの暗号化:チェックボックスを選択すると、IAMサービスはIdPからの暗号化を認識します。このチェック・ボックスを選択する場合は、IDCSでのアサーションの暗号化も設定する必要があります。詳細は、一般的な概念を参照してください。IDCSでのこの機能の設定の詳細は、Oracle Identity Cloud Serviceのアプリケーションの管理を参照してください。
   7. 強制認証:デフォルトで選択されています。選択すると、ユーザーは、別のセッションにすでにサインインしている場合でも、IdPに資格証明を提供(再認証)する必要があります。
   8. 認証コンテキストのクラス参照:このフィールドは、Government Cloudの顧客に必須です。1つ以上の値が指定されている場合、Oracle Cloud Infrastructure (リライイング・パーティ)は、ユーザーの認証時に、指定された認証メカニズムの1つを使用することをアイデンティティ・プロバイダに要求します。IdPから戻されたSAMLレスポンスには、その認証コンテキストのクラス参照とともに認証ステートメントが含まれている必要があります。SAMLレスポンス認証コンテキストがここで指定された内容と一致しない場合、Oracle Cloud Infrastructure認証サービスは400でSAMLレスポンスを否認します。 メニューには、一般的な認証コンテキストのクラス参照がいくつかリストされています。別のコンテキスト・クラスを使用する場合は、「カスタム」を選択してから、クラス参照を手動で入力します。
   9. リソースを作成する権限がある場合、そのリソースにフリーフォーム・タグを適用する権限もあります。定義済のタグを適用するには、タグ・ネームスペースを使用する権限が必要です。タグ付けの詳細は、リソース・タグを参照してください。タグを適用するかどうかがわからない場合は、このオプションをスキップするか、管理者に連絡してください。タグは後で適用できます。
5. 「続行」をクリックします。

6. Oracle Cloud Infrastructureで、Oracle Identity Cloud ServiceグループとIAMグループ間のマッピングを設定します。特定のOracle Identity Cloud Serviceグループを0、1または複数のIAMグループにマップすることも、その逆も可能です。ただし、個々のマッピングは、1つのOracle Identity Cloud Serviceグループと1つのIAMグループの間のみに存在します。グループ・マッピングへの変更は、通常は数秒以内に有効になります。

   ノート
   
   

   グループ・マッピングを今設定しない場合は、単純に「作成」をクリックして、マッピングを後で追加しなおすことができます。

   グループ・マッピングを作成するには:

   1. 「アイデンティティ・プロバイダ・グループ」の下のリストからOracle Identity Cloud Serviceグループを選択します。

   2. 「OCIグループ」の下のリストから、このグループをマップするIAMグループを選択します。

      ヒント
      
      IAMグループ名の要件:空白なし。許可されている文字:英字、数字、ハイフン、ピリオド、アンダースコアおよびプラス記号(+)。名前は後で変更できません。
   3. 作成するマッピングごとに前述のサブステップを繰り返し、「作成」をクリックします。

まだIAMポリシーを設定していない場合は、組織のOracle Cloud Infrastructureリソースに対するフェデレーテッド・ユーザーのアクセスを制御するために設定します。詳細は、ポリシーの開始および共通ポリシーを参照してください。

フェデレーテッド・ユーザーに、Oracle Cloud InfrastructureコンソールのURL (https://cloud.oracle.com)とテナントの名前を提供します。コンソールにサインインすると、テナント名の入力を求めるプロンプトが表示されます。

Oracle Identity Cloud Serviceのフェデレートの手順を参照してください。

グループのすべてのマッピングも削除されます。

1. テナンシからアイデンティティ・プロバイダを削除します。

   1. ナビゲーション・メニューを開き、「アイデンティティとセキュリティ」をクリックします。「Identity」で、「Federation」をクリックします。

      テナンシのアイデンティティ・プロバイダのリストが表示されます。

   2. アイデンティティ・プロバイダをクリックして詳細を表示します。
   3. 「削除」をクリックします。
   4. プロンプトが表示されたら確認します。
2. Oracle Identity Cloud ServiceアカウントからOCI-V2-<tenancy_name>を削除します。
   1. Oracle Identity Cloud Serviceに移動し、フェデレーテッド・アカウントにサインインします。
   2. 「アプリケーション」をクリックします。アプリケーションのリストが表示されます。

   3. OCI-V2-<tenancy_name>を見つけてその名前をクリックすると、詳細ページが表示されます。

   4. ページの右上隅で、「非アクティブ化」をクリックします。プロンプトが表示されたら確認します。
   5. 「削除」をクリックします。プロンプトが表示されたら確認します。

1. ナビゲーション・メニューを開き、「アイデンティティとセキュリティ」をクリックします。「Identity」で、「Federation」をクリックします。

   テナンシのアイデンティティ・プロバイダのリストが表示されます。

2. Oracle Identity Cloud Serviceフェデレーションに選択した名前をクリックすると、その詳細が表示されます。

3. 「マッピングの追加」をクリックします。

   1. 「アイデンティティ・プロバイダ・グループ」の下のリストからOracle Identity Cloud Serviceグループを選択します。

   2. 「OCIグループ」の下のリストから、このグループをマップするIAMグループを選択します。

   3. さらにマッピングを追加する場合は、「+Anotherマッピング」をクリックします。
   4. 終了したら、「マッピングの追加」をクリックします。

変更は、通常ホーム・リージョン内で数秒以内に有効になります。変更がすべてのリージョンに伝播されるまで数分間待機します。

Oracle Cloud InfrastructureグループにマップされたOracle Identity Cloud Serviceグループのメンバーであるユーザーは、「ユーザー」ページのコンソールにリストされます。これらのユーザーに追加の資格証明を割り当てる方法の詳細は、フェデレーテッド・ユーザーのユーザー機能の管理を参照してください。

グループ・マッピングは更新できませんが、マッピングを削除してから新規のものを追加することはできます。

1. ナビゲーション・メニューを開き、「アイデンティティとセキュリティ」をクリックします。「Identity」で、「Federation」をクリックします。

   テナンシのアイデンティティ・プロバイダのリストが表示されます。

2. アイデンティティ・プロバイダをクリックして詳細を表示します。
3. 削除するマッピングを選択し、「削除」をクリックします。
4. プロンプトが表示されたら確認します。
5. 必要に応じて新しいマッピングを追加します。

変更は、通常ホーム・リージョン内で数秒以内に有効になります。変更がすべてのリージョンに伝播されるまで数分間待機します。

このアクションの結果、フェデレーテッド・ユーザーがOracle Cloud Infrastructureにマップされているグループにメンバーシップを持たなくなった場合、フェデレーテッド・ユーザーのプロビジョニング済ユーザーもOracle Cloud Infrastructureから削除されます。通常、このプロセスには数分かかります。