OCIとADFS間のSSO

1. ブラウザで、次のURLを使用してADFSにサインインします。

   https://adfs.example.com/FederationMetadata/2007-06/FederationMetadata.xml

   ここで、adfs.example.comはADFSホスト名です。
2. FederationMetadata.xmlファイルを保存します。このファイルを使用して、ADFSをOCI IAMに登録します。
3. OCIコンソールで、作業するドメインに移動します。必要なドメインを見つけるには、コンパートメントの変更が必要になる場合があります。「セキュリティ」、「アイデンティティ・プロバイダ」の順にクリックします。
4. 「IdPの追加」をクリックし、「SAML IdPの追加」をクリックします。
5. SAML IdPの名前を入力します(例: ADFS_IdP)。「次へ」をクリックします。
6. 「IdPメタデータの入力」をクリックします。
7. 「SAMLメタデータのエクスポート」をクリックして、OCI IAMサービス・プロバイダ(SP)メタデータをダウンロードします。
   1. 「SAMLメタデータのエクスポート」ページの「自己署名証明書を含むメタデータ」で、「XMLのダウンロード」をクリックします。
      ノート
      
      アイデンティティ・プロバイダがCAによって発行された証明書に対してCRLまたはOCSPチェックを実行する場合は、自己署名証明書でメタデータを使用します。このチュートリアルでは、ADFSは証明書パスの検証時にこれを実行します。
   2. ファイルを適切な場所に保存します。
   3. Metadata.xmlファイルを、ADFSが管理されているWindows Serverに転送します。このファイルを使用して、OCI IAMドメインをADFSに登録します。
   

8. 「SAMLメタデータのエクスポート」ページを閉じます。
9. 「IdPメタデータのインポート」をクリックし、「アップロード」をクリックします。前にADFSから保存したFederationMetadata.xmlファイルを選択し、「開く」、「次へ」の順にクリックします。
10. Mapユーザー・アイデンティティで、次のように設定します。
    • 「リクエストされたNameID形式」で、Email addressを選択します。
    • 「アイデンティティ・プロバイダ・ユーザー属性」で、SAML assertion Name IDを選択します。
    • 「アイデンティティ・ドメイン・ユーザー属性」で、Primary email addressを選択します。
    

11. 「次へ」をクリックします。
12. 「確認および作成」で構成を確認し、「IdPの作成」をクリックします。
13. 「アクティブ化」をクリックします。
14. 「IdPポリシー・ルールに追加」をクリックします。ADFS IdPをIdPポリシーに追加すると、それをOCI IAMサインイン画面に表示できます。

15. 「デフォルト・アイデンティティ・プロバイダ・ポリシー」をクリックして開き、ルールの「アクション」メニュー()をクリックして、「IdPルールの編集」をクリックします。

    

16. 「アイデンティティ・プロバイダの割当て」をクリックし、ADFS_IdPをクリックしてリストに追加します。

    

17. 「変更の保存」をクリックします。

現在、ADFSはOCI IAMにアイデンティティ・プロバイダとして登録されています。

次に、信頼できるリライイング・パーティとしてOCI IAMをADFSに登録します。

まず、OCI IAMをリライイング・パーティとしてADFSに登録します。次に、OCI IAMの請求ルールをリライイング・パーティとして構成します。

リライイング・パーティの登録

1. ADFS管理ユーティリティを開きます。たとえば、Windows 2016 Server Managerユーティリティで、「ツール」をクリックし、「Microsoft Active Directory Federation Services Management」をクリックします。
2. 「アクション」をクリックし、「リライイング・パーティの信頼の追加」をクリックします。

3. リライイング・パーティ信頼の追加ウィザード・ウィンドウで、「開始」をクリックします。

   

4. ファイルからリライイング・パーティに関するデータのインポートを選択し、「参照」をクリックします。

   

5. 以前にOCI IAMからダウンロードしたMetadata.xmlを選択し、「次へ」をクリックします。

6. 表示名(OCI IAMなど)を入力し、オプションで「ノート」に説明を入力します。次へをクリックします

   

7. 「終了」ステップに達するまでデフォルト・オプションに進み、「閉じる」をクリックします。「要求ルールの編集」ウィンドウが開きます。

   

要求ルールの構成

要求ルールは、認証が成功した後にADFSからOCI IAMに送信されるサインイン・ユーザーに関する情報を定義します。ここでは、リライイング・パーティとして機能するOCI IAMの2つの要求ルールを定義します。

• 電子メール: このルールは、ユーザーの電子メール・アドレスがSAMLアサーションのOCI IAMに送信されることを示します。
• Name ID: このルールは、電子メール・ルールの結果がSAMLアサーションのサブジェクトNameID要素のOCI IAMに送信されることを示します。

1. 「要求規則の編集」ウィンドウで、「規則の追加」をクリックします。
2. 要求ルール・テンプレートとして「Incoming Claimの変換」を選択し、「次へ」をクリックします。
3. 「ルール・タイプの選択」ページで、Eメール・ルールに関する次の情報を指定します。
   • クレーム・ルール名: Email
   • 属性ストア: Active Directory
   • LDAP属性の送信要求タイプへのマッピング:
     • LDAP属性: E-Mail-Addresses
     • 送信クレーム・タイプ: E-Mail Address
     

4. 「終了」をクリックします。
5. 「要求規則の編集」ウィンドウで、「規則の追加」をクリックして2番目の要求規則を追加します。
6. 要求ルール・テンプレートとして「要求としてLDAP属性を送信」を選択し、「次へ」をクリックします。
7. 「ルール・タイプの選択」ページで、Name IDルールに関する次の情報を指定します。
   • 要求ルール名: Name ID
   • 受信要求タイプ: E-Mail Address
   • 出力要求タイプ: Name ID
   • 出力名IDの形式: Email
   

8. 「終了」をクリックします。
9. 「Oracle Cloudの要求ルールの編集」ウィンドウで、EメールおよびName IDルールが作成されていることを確認します。
   

これで、ADFSおよびOCI IAMにはSSOを確立するための十分な情報があり、統合をテストできます。

このタスクでは、OCI IAMとADFS間の認証をテストします。認証が成功した場合は、エンド・ユーザーのアイデンティティ・プロバイダを有効にします。

1. ブラウザを再起動し、コンソールURLを入力してOCI IAMコンソールにアクセスします:

   https://cloud.oracle.com

2. クラウド・アカウント名(テナンシ名とも呼ばれる)を入力し、「次」をクリックします。
3. ユーザー名とパスワードでサインインします。
4. ADFS IdPを構成したドメインを選択します。
5. 「セキュリティ」、「アイデンティティ・プロバイダ」の順にクリックします。
6. ADFS IdPエントリをクリックします。
7. IdPの詳細ページで、「その他のアクション」をクリックし、「ログインのテスト」をクリックします。
8. 下部までスクロールし、「ログインのテスト」をクリックします。
9. ADFSのサインイン・ページで、ADFSおよびOCI IAMに存在するユーザーでサインインします。
   

10. 「接続に成功しました」という確認メッセージが表示されます。
    

完了しました。ADFSとOCI IAMの間にSSOが正常に設定されました。

Oracle製品を使用した開発の詳細を確認するには、次のサイトを参照してください:

• Oracle開発者ポータル
• Oracle Cloud Infrastructure