サインオン・ポリシーの管理

「デフォルトの」サインオン・ポリシー

すべてのアイデンティティ・ドメインに、デフォルト・サインオン・ルールを含むアクティブなデフォルト・サインオン・ポリシーが含まれています。

デフォルトでは、このデフォルト・サインオン・ルールにより、すべてのユーザーがユーザー名とパスワードを使用してアイデンティティ・ドメインにサインインできます。他のサインオン・ルールを追加することで、このポリシーに基づいて構築できます。これらのルールを追加することで、一部のユーザーがアイデンティティ・ドメインにサインインすることを防止できます。または、サインインを許可しますが、アイデンティティ・ドメインによって保護されているリソース(Oracle Cloud Infrastructureコンソールなど)にアクセスするための追加の要素を要求することもできます。

たとえば、デフォルトのサインオン・ポリシーに2つのサインオン・ルールを作成できます。最初のルールでは、拒否されたネットワーク・ペリメータという名前で定義したネットワーク・ペリメータの範囲内のIPアドレスを使用しているユーザーは、アイデンティティ・ドメインにサインインできません。2番目のルールは、特定のグループに属するユーザー(UA開発者グループなど)に、UA開発者グループという名前の2ステップ検証プロセスの一環として、2番目の要素を要求します。他のすべてのユーザーは、2番目の要素を要求されずにサインインできます。

「OCIコンソールのセキュリティ・ポリシー」サインオン・ポリシー

OCIコンソールのセキュリティ・ポリシー・サインオン・ポリシーを使用してMFAを設定するには、「OCIコンソールのセキュリティ・ポリシー」サインオン・ポリシーのあるアイデンティティ・ドメイン」のベスト・プラクティスを参照してください。

追加のサインオン・ポリシー

サインオン・ポリシーを作成し、特定のアプリケーションに関連付けることができます。ユーザーがこれらのアプリケーションのいずれかを使用してアイデンティティ・ドメインへのサインインを試みると、アイデンティティ・ドメインは、アプリケーションにサインオン・ポリシーが関連付けられているかどうかをチェックします。その場合、アイデンティティ・ドメインは、ポリシーに割り当てられたサインオン・ルールの基準を評価します。アプリケーションにサインオン・ポリシーがない場合は、デフォルトのサインオン・ポリシーが評価されます。

ポリシーのサインオン・ルールの優先度

1つのサインオン・ポリシーに複数のサインオン・ルールを定義できるため、アイデンティティ・ドメインは、ルールの評価順序を認識する必要があります。これを行うため、ルールの優先度を設定できます。

前述のデフォルト・サインオン・ポリシーの例のサインオン・ルールを使用すると、最初に拒否されたネットワーク・ペリメータ・サインオン・ルールを評価し、次にUA開発者グループ・サインオン・ルールを評価できます。ユーザーが拒否ネットワーク・ペリメータ・サインオン・ルールの基準を満たす場合(つまり、アイデンティティ・ドメインへのサインイン試行に使用されるIPアドレスがネットワーク・ペリメータで定義したIP範囲内にある場合)、そのユーザーはアイデンティティ・ドメインで保護されているリソースにアクセスできなくなります。ユーザーがこのルールの基準と一致しない場合、次の優先度が高いルールが評価されます。この例では、これはUA開発者グループ・ルールです。ユーザーがUA Developers Groupのメンバーである場合、アイデンティティ・ドメインにサインインするための追加要素を要求されます。ユーザーがUAデベロッパー・グループのメンバーでない場合は、次に高い優先度を持つルールが評価されます。この例では、これはデフォルトのサインオン・ルールです。このルールは、デフォルトですべてのユーザーにアイデンティティ・ドメインへのサインインを許可するため、ユーザーは2番目の要素を要求されずにサインインできます。