サインオン・ポリシーの管理

「デフォルト」サインオン・ポリシー

すべてのアイデンティティ・ドメインには、デフォルト・サインオン・ルールを含むアクティブなデフォルト・サインオン・ポリシーが含まれます。

デフォルトでは、このデフォルト・サインオン・ルールにより、すべてのユーザーがユーザー名とパスワードを使用してアイデンティティ・ドメインにサインインできるようになります。他のサインオン・ルールを追加することで、このポリシーに基づいて構築できます。これらのルールを追加することで、一部のユーザーがアイデンティティ・ドメインにサインインすることを防止できます。または、サインインを許可し、Oracle Cloud Infrastructure Consoleなどのアイデンティティ・ドメインによって保護されているリソースにアクセスするための追加のファクタを要求することもできます。

たとえば、デフォルトのサインオン・ポリシーに2つのサイン・オン・ルールを作成できます。最初のルールでは、定義したネットワーク・ペリの範囲内にあるIPアドレスを使用している場合、すべてのユーザーがアイデンティティ・ドメインにサインインすることを防止します: 「拒否されたネットワーク境界」。2番目のルールは、特定のグループに属するユーザー(UA Developersグループなど)に、2ステップ検証プロセスの一環として2番目の要素を要求します: UA Developersグループ。他のすべてのユーザーは、2番目の要素を要求されずにサインインできます。

OCIコンソールのセキュリティ・ポリシー・サインオン・ポリシー

OCIコンソールのセキュリティ・ポリシー・サインオン・ポリシーを使用してMFAを設定するには、「OCIコンソールのセキュリティ・ポリシーを持つアイデンティティ・ドメイン」サインオン・ポリシーでベスト・プラクティスを参照してください。

追加のサインオン・ポリシー

サインオン・ポリシーを作成して、それらを特定のアプリケーションに関連付けることができます。ユーザーがこれらのアプリケーションのいずれかを使用してアイデンティティ・ドメインへのサインインを試みると、アイデンティティ・ドメインは、アプリケーションにサインオン・ポリシーが関連付けられているかどうかをチェックします。その場合、アイデンティティ・ドメインは、ポリシーに割り当てられたサインオン・ルールの基準を評価します。アプリケーションにサインオン・ポリシーがない場合は、デフォルトのサインオン・ポリシーが評価されます。

ポリシーのサインオン・ルールの優先度

1つのサインオン・ポリシーに複数のサインオン・ルールを定義できるため、アイデンティティ・ドメインは、ルールの評価順序を認識する必要があります。これを行うため、ルールの優先度を設定できます。

前述のデフォルト・サインオン・ポリシーの例のサインオン・ルールを使用して、最初に拒否されたネットワーク・ペリメータ・サインオン・ルールを評価し、次にUA Developers Groupサインオン・ルールを評価できます。ユーザーが拒否されたネットワーク・ペリメーターのサインオン・ルールの基準を満たしている場合(つまり、アイデンティティ・ドメインへのサインイン試行に使用したIPアドレスは、ネットワーク・ペリメーターで定義したIP範囲内にある場合)、ユーザーは、アイデンティティ・ドメインによって保護されたリソースにアクセスできなくなります。ユーザーがこのルールの基準と一致しない場合、次に高い優先度を持つルールが評価されます。この例では、これはUA Developers Groupのルールになります。ユーザーがUA Developersグループのメンバーである場合、アイデンティティ・ドメインにサインインするための追加要素を要求されます。ユーザーがUA Developers Groupのメンバーでない場合、次に高い優先度を持つルールが評価されます。この例では、これはデフォルトのサインオン・ルールです。このルールは、デフォルトですべてのユーザーにアイデンティティ・ドメインへのサインインを許可するため、ユーザーは2番目の要素を要求されずにサインインできます。