OCIとADFS間のSSO

1. ブラウザで、次のURLを使用してADFSにサインインします。

   https://adfs.example.com/FederationMetadata/2007-06/FederationMetadata.xml

   ここで、adfs.example.comはADFSホスト名です。
2. FederationMetadata.xmlファイルを保存します。このファイルを使用して、ADFSをOCI IAMに登録します。
3. OCIコンソールで、作業するドメインに移動します。必要なドメインを見つけるには、コンパートメントの変更が必要になる場合があります。「セキュリティ」、「アイデンティティ・プロバイダ」の順に選択します。
4. 「IdPの追加」、「SAML IdPの追加」の順に選択します。
5. SAML IdPの名前を入力します(例: ADFS_IdP)。「次」を選択します。
6. 「IdPメタデータの入力」を選択します。
7. 「SAMLメタデータのエクスポート」を選択して、OCI IAMサービス・プロバイダ(SP)メタデータをダウンロードします。
   1. 「SAMLメタデータのエクスポート」ページの「自己署名証明書を含むメタデータ」で、「XMLのダウンロード」を選択します。
      ノート
      
      アイデンティティ・プロバイダがCAによって発行された証明書に対してCRLまたはOCSPチェックを実行する場合は、自己署名証明書でメタデータを使用します。このチュートリアルでは、ADFSは証明書パスの検証時にこれを実行します。
   2. ファイルを適切な場所に保存します。
   3. Metadata.xmlファイルを、ADFSが管理されているWindows Serverに転送します。このファイルを使用して、OCI IAMドメインをADFSに登録します。
   

8. 「SAMLメタデータのエクスポート」ページを閉じます。
9. 「IdPメタデータのインポート」、「アップロード」の順に選択します。前にADFSから保存したFederationMetadata.xmlファイルを選択し、「開く」、「次へ」の順に選択します。
10. Mapユーザー・アイデンティティで、次のように設定します。
    • 「リクエストされたNameID形式」で、Email addressを選択します。
    • 「アイデンティティ・プロバイダ・ユーザー属性」で、SAML assertion Name IDを選択します。
    • 「アイデンティティ・ドメイン・ユーザー属性」で、Primary email addressを選択します。
    

11. 「次」を選択します。
12. 「確認および作成」で構成を確認し、「IdPの作成」を選択します。
13. 「アクティブ化」を選択します。
14. 「IdPポリシー・ルールに追加」を選択します。ADFS IdPをIdPポリシーに追加すると、それをOCI IAMサインイン画面に表示できます。

15. 「デフォルト・アイデンティティ・プロバイダ・ポリシー」を選択して開き、ルールの「アクション」メニュー()を選択して、「IdPルールの編集」を選択します。

    

16. 「アイデンティティ・プロバイダの割当て」を選択し、ADFS_IdPを選択してリストに追加します。

    

17. 「Save Changes」を選択します。

現在、ADFSはOCI IAMにアイデンティティ・プロバイダとして登録されています。

次に、信頼できるリライイング・パーティとしてOCI IAMをADFSに登録します。

まず、OCI IAMをリライイング・パーティとしてADFSに登録します。次に、OCI IAMの請求ルールをリライイング・パーティとして構成します。

リライイング・パーティの登録

1. ADFS管理ユーティリティを開きます。たとえば、Windows 2016 Server Managerユーティリティで、「ツール」、「Microsoft Active Directory Federation Services Management」の順に選択します。
2. 「アクション」、「リライイング・パーティ信頼の追加」の順に選択します。

3. 「リライイング・パーティ信頼の追加」ウィザード・ウィンドウで、「開始」を選択します。

   

4. リライイング・パーティに関するデータをファイルからインポートし、「参照」を選択します。

   

5. 以前にOCI IAMからダウンロードしたMetadata.xmlを選択し、「次へ」を選択します。

6. 表示名(OCI IAMなど)を入力し、オプションで「ノート」に説明を入力します。「次」を選択します。

   

7. 「終了」ステップに達するまでデフォルト・オプションに進み、「閉じる」を選択します。「要求ルールの編集」ウィンドウが開きます。

   

要求ルールの構成

要求ルールは、認証が成功した後にADFSからOCI IAMに送信されるサインイン・ユーザーに関する情報を定義します。ここでは、リライイング・パーティとして機能するOCI IAMの2つの要求ルールを定義します。

• 電子メール: このルールは、ユーザーの電子メール・アドレスがSAMLアサーションのOCI IAMに送信されることを示します。
• Name ID: このルールは、電子メール・ルールの結果がSAMLアサーションのサブジェクトNameID要素のOCI IAMに送信されることを示します。

1. 「要求ルールの編集」ウィンドウで、「ルールの追加」を選択します。
2. 要求規則テンプレートとして「LDAP属性を要求として送信」を選択し、「次へ」を選択します。
3. 「ルール・タイプの選択」ページで、Eメール・ルールに関する次の情報を指定します。
   • クレーム・ルール名: Email
   • 属性ストア: Active Directory
   • LDAP属性の送信要求タイプへのマッピング:
     • LDAP属性: E-Mail-Addresses
     • 送信クレーム・タイプ: E-Mail Address
     

4. 「終了」を選択します。
5. 「要求ルールの編集」ウィンドウで、「ルールの追加」を選択して2番目の要求ルールを追加します。
6. 要求ルール・テンプレートとして「Incoming Claimの変換」を選択し、「次へ」を選択します。
7. 「ルール・タイプの選択」ページで、Name IDルールに関する次の情報を指定します。
   • 要求ルール名: Name ID
   • 受信要求タイプ: E-Mail Address
   • 出力要求タイプ: Name ID
   • 出力名IDの形式: Email
   

8. 「終了」を選択します。
9. 「Oracle Cloudの要求ルールの編集」ウィンドウで、EメールおよびName IDルールが作成されていることを確認します。
   

これで、ADFSおよびOCI IAMにはSSOを確立するための十分な情報があり、統合をテストできます。

このタスクでは、OCI IAMとADFS間の認証をテストします。認証が成功した場合は、エンド・ユーザーのアイデンティティ・プロバイダを有効にします。

1. ブラウザを再起動し、コンソールURLを入力してOCI IAMコンソールにアクセスします:

   https://cloud.oracle.com

2. クラウド・アカウント名(テナンシ名とも呼ばれる)を入力し、「次」を選択します。
3. ユーザー名とパスワードでサインインします。
4. ADFS IdPを構成したドメインを選択します。
5. 「セキュリティ」、「アイデンティティ・プロバイダ」の順に選択します。
6. ADFS IdPエントリを選択します。
7. IdPの詳細ページで、「他のアクション」、「ログインのテスト」の順に選択します。
8. 下部までスクロールし、「ログインのテスト」を選択します。
9. ADFSのサインイン・ページで、ADFSおよびOCI IAMに存在するユーザーでサインインします。
   

10. 「接続に成功しました」という確認メッセージが表示されます。
    

完了しました。ADFSとOCI IAMの間にSSOが正常に設定されました。

Oracle製品を使用した開発の詳細を確認するには、次のサイトを参照してください:

• Oracle開発者ポータル
• Oracle Cloud Infrastructure