OAuth 2を使用したREST APIへのアクセス

ステップ1: コンソールを使用したアイデンティティ・ドメインへの機密アプリケーションの登録

機密アプリケーションをアイデンティティ・ドメイン・コンソールに登録するとき、OAuth 2.0の操作に必要な主要パラメータであるクライアントID、クライアント・シークレットおよびスコープを取得します。OAuth 2.0は委任認可を実装するための標準で、認可はリソースへのアクセスに必要なアクセス・トークンに基づいています。アクセス・トークンは特定のスコープに対して発行できます。スコープによって、アクセス・トークンの動作、およびアクセス・トークンがアクセスできるリソースが定義されます。アイデンティティ・ドメインにWebアプリケーションを登録するときに、スコープを追加します。次の例では、ユーザーの検索、編集、作成および削除をリクエストするのに必要なスコープが追加されます。ただし、監査イベントの管理など、他の作業を実行する場合は他のスコープが必要です。

機密アプリケーションを作成して登録するには、OCIコンソールにアクセスし、次のステップを実行します:

1. ナビゲーション・メニューを開き、「アイデンティティとセキュリティ」をクリックします。「アイデンティティ」で、「ドメイン」をクリックします。
2. 作業するアイデンティティ・ドメインの名前をクリックします。必要なドメインを見つけるには、コンパートメントの変更が必要になる場合があります。次に、「統合アプリケーション」をクリックします。
3. 「アプリケーションの追加」をクリックします。
4. 「アプリケーションの追加」ダイアログ・ボックスで、「機密アプリケーション」を選択し、「ワークフローの起動」をクリックします。
5. 「アプリケーション詳細の追加」ページで、アプリケーションの名前および説明を入力し、「次」をクリックします。
6. 「OAuthの構成」ページの「クライアント構成」で、「今すぐこのアプリケーションをクライアントとして構成します」を選択します。
7. 「Authorization」で、「Allowed Grant Type」として「Client Credentials」のみを選択します。
8. ページの下部で、「アプリケーション・ロールの追加」、「ロールの追加」の順に選択します。
9. 「アプリケーション・ロールの追加」パネルで「Identity Domain Administrator」を選択し、「追加」をクリックします。
10. 「次」をクリックし、「終了」をクリックします。
11. アプリケーションの詳細ページで、「一般情報」まで下にスクロールします。「クライアントID」および「クライアント・シークレット」をコピーし、安全な場所に格納します。
12. アプリケーションが作成された後、「アクティブ化」をクリックします。

ステップ2: Base64クライアントIDおよびクライアント・シークレットのエンコード

Windows

1. ノートパッドを起動して、クライアントIDとクライアント・シークレットをノートパッドに貼り付けます。

2. クライアントIDとクライアント・シークレットを同じ行に入力し、両者の間にコロンを挿入します: clientid:clientsecret

   ノート
   
   空白がclientid:clientsecret属性でないことを確認してください。

3. ファイルをC:\tempに保存し、ファイルにappCreds.txt.という名前を付けます。

4. Windows ExplorerでC:\tempを右クリックし、コンテキスト・メニューから「CMD Prompt Here」を選択します。

5. クライアントIDおよびクライアント・シークレットをエンコードするには、次のコマンドを入力します。

   certutil -encode appCreds.txt appbase64Creds.txt

6. メモ帳でC:\temp\appbase64Creds.txtを開き、内容をコピーしてからファイルを閉じます。

   ノート
   
   セキュリティ上の理由から、appCreds.txtおよびappbase64Creds.txtファイルは終了後に削除してください。

MacおよびLinux

1. 任意のノート・ユーティリティ(Mac Notes、Gedit Linux、Viなど)を起動して、クライアントIDとクライアント・シークレットをノート・ユーティリティに貼り付けます。

2. クライアントIDとクライアント・シークレットを同じ行に入力し、両者の間にコロンを挿入します: clientid:clientsecret.

   ノート
   
   clientid:clientsecretに空白が含まれないようにしてください。
   文。

3. clientid:clientsecret行をコピーします。

4. ターミナルを起動して次のコマンドを入力します。clientid:clientsecretはクリップボードにコピーした値に置き換えてください。

   echo -n "clientid:clientsecret" | base64 -w 0

   ノート
   
   Linuxの場合、コマンドに-w 0を追加して改行を削除します。
5. 返された値をコピーします。

   ノート
   
   返された値が複数の行に分割されている場合は、テキスト・エディタに戻り、結果全体がテキストの折返しがない1行になっていることを確認してください。

ステップ3: アクセス・トークンの取得

このプロセスの次のステップでは、アクセス・トークンをリクエストします。

1. コマンド・プロンプトを起動します。

2. 次のcURLコマンドを入力します。その際にカッコ( < > )内のテキストは適切な値に置き換えてください。

      curl -i
      -H "Authorization: Basic <base64encoded clientid:secret>"
      -H "Content-Type: application/x-www-form-urlencoded;charset=UTF-8"
      --request POST https://<domainURL>/oauth2/v1/token
      -d "grant_type=client_credentials&scope=urn:opc:idm:__myscopes__"

   ノート
   
   UNIX OSを使用している場合は、cURLコマンドの末尾に| awk -F"\"" '{print $4}'を追加して、ベアラー・トークンのみを解析できます。トークンのデフォルトの有効期限は、リクエスト時間から3600秒です。
   ノート
   
   オプションで、次のcURLコマンドを実行して、環境内のAccessTokenValueというUNIX変数を介してアクセス・トークン値にアクセスできるようにします:

      export AccessTokenValue=`curl -i
      -H "Authorization: Basic <base64encoded clientid:secret>"
      -H "Content-Type: application/x-www-form-urlencoded;charset=UTF-8"
      --request POST https://<domainURL>/oauth2/v1/token
      -d "grant_type=client_credentials&scope=urn:opc:idm:__myscopes__" | awk -F"\"" '{print $4}' |  tail -n +16`

   その後、echo $AccessTokenValueコマンドを実行して、アクセス・トークン値を取得できます。

   カッコ内のテキスト	値
   base64encoded clientid: シークレット	Base64クライアントIDおよびクライアント・シークレットのエンコードの項で生成したエンコード済資格証明に置き換えます。clientid:clientsecret資格証明に空白が含まれていないことを確認します。
   IDCS_Service_Instance	アイデンティティ・ドメインURL (たとえば、https://<domainURL>/).)に置き換えます

   ノート
   
   コマンドのurn:opc:idm:__myscopes__スコープは、アイデンティティ・ドメイン・クライアントにより、OAuth認可サーバーからのアクセス・トークンをリクエストするタグとして使用されます。リクエスト側クライアントおよびクライアントのリクエストで指定されるユーザー(ある場合)に付与されたアイデンティティ・ドメイン管理者ロールによって表される権限に基づいて、適用可能なすべてのアイデンティティ・ドメイン・スコープを含むアクセス・トークンが返されます。このスコープは、どのアイデンティティ・ドメイン管理者ロールにも直接は付与されません。

3. レスポンスのaccess_token値をコピーします。実際のトークン(引用符に囲まれたaccess_token値)のみをコピーするようにしてください。

   Status: 200
   "access_token":"eyJ4NXQiOiI4Wk. . ."
   "token":"Bearer",
   "expires_in":3600
   

   ノート
   
   レスポンスにはexpires_in: 3600パラメータが含まれています。これは、トークンを生成した時間から1時間後に、トークンが無効になることを意味します。1時間経過すると、トークンをリフレッシュするか、新しいアクセス・トークンを取得する必要があります。

ステップ4: 環境へのRESTリクエストの実行

OAuth 2.0アクセス・トークンを取得した後、cURLコマンドでそのトークンを使用して、アイデンティティ・ドメインREST APIにRESTリクエストを送信できます。次のコマンドは、アイデンティティ・ドメイン内のユーザーのリストを返します。

   curl -X GET
   -H "Content-Type:application/scim+json"
   -H "Authorization: Bearer <access_token>"
   https://<domainURL>admin/v1/Users