Entra IDからOCI IAMへのJITプロビジョニング

このチュートリアルでは、Entra IDをIdPとして使用して、OCIコンソールとEntra IDの間のJust-In-Time (JIT)プロビジョニングを構成します。

JITプロビジョニングを設定して、ターゲット・システムへのアクセスをリクエストするときと同様に、実行時にターゲット・システムにアイデンティティを作成できるようにすることができます。

このチュートリアルでは、次のステップについて説明します。

OCI IAMでJIT用にEntra ID IdPを構成します。
Entra IDでOCI IAMアプリケーション構成を更新します。
Entra IDからOCI IAMにプロビジョニングできることをテストします。

ノート

このチュートリアルは、アイデンティティ・ドメインのあるIAMに固有です。

開始する前に

1.Entra IDによって送信されたSAML属性の構成

JITプロビジョニングが機能するには、Entra IDによってSAMLアサーションでOCI IAMに送信される、適切で必要なSAML属性を構成する必要があります。

ブラウザで、次のURLを使用してMicrosoft Entra IDにサインインします。
```
https://entra.microsoft.com
```
「エンタープライズ・アプリケーション」にナビゲートします。
Oracle Cloud Infrastructure Consoleアプリケーションを選択します。
ノート

これは、OCIとMicrosoft Entra ID間のSSOの一部として作成したアプリケーションです。
左側のメニューで、「Single sign-on」を選択します。
「属性と要求」セクションで、「編集」を選択します。
属性が正しく構成されていることを確認します。
- NameID
- Email Address
- First Name
- Last Name
新しい請求が必要な場合は、追加します。
構成されているすべての要求名をノートにとります。たとえば
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
First Nameのクレーム名です。
「グループ」に移動します。Entra IDで使用可能なすべてのグループが表示されます。
OCI IAMに送信するSAMLの一部にするグループのオブジェクトIDをノートにとります。

追加のEntra ID構成

Entra IDでは、グループ名(sAMAccountName)属性に基づいてグループをフィルタできます。

たとえば、SAMLを使用してAdministratorsグループのみを送信する必要があるとします。

グループ請求を選択します。
「グループ要求」で、「拡張オプション」を展開します。
「フィルタ・グループ」を選択します。
- 「一致する属性」で、Display Nameを選択します。
- 「次と一致」で、containsを選択します。
- 「文字列」に、グループの名前(Administratorsなど)を指定します。

このオプションを使用すると、管理者グループのユーザーが他のグループの一部であっても、Entra IDはSAMLの管理者グループのみを送信します。

ノート

これにより、組織はEntra IDからOCI IAMに必要なグループのみを送信できます。

2.OCI IAMでのJIT属性の構成

OCI IAMで、JITのEntra ID IdPを更新します。

サポートされているブラウザを開き、コンソールURLを入力します:

https://cloud.oracle.com
クラウド・アカウント名(テナンシ名とも呼ばれる)を入力し、「次」を選択します。
SSOの構成に使用するアイデンティティ・ドメインを選択します。
ユーザー名とパスワードでサインインします。
ナビゲーション・メニューナビゲーション・メニューを開き、「アイデンティティとセキュリティ」を選択します。
「アイデンティティ」で、「ドメイン」を選択します。
Entra IDをIdPとして構成済のアイデンティティ・ドメインを選択します。
左側のメニューから「セキュリティ」、「アイデンティティ・プロバイダ」の順に選択します。
Entra ID IdPを選択します。
ノート

これは、OCIとMicrosoft Entra ID間のSSOの一部として作成したEntra ID IdPです。
Entra IDのIdPページで、「Configure JIT」を選択します。
「ジャストインタイム(JIT)プロビジョニングの構成」ページで、次の手順を実行します。
- Just-In-Time (JIT)プロビジョニングを選択します。
- 「新しいアイデンティティ・ドメイン・ユーザーの作成」を選択します。
- 「既存のアイデンティティ・ドメイン・ユーザーの更新」を選択します。
「ユーザー属性のマップ」で:
1. NameIDの最初の行は変更しないままにします。
2. その他の属性については、IdPユーザー属性でAttributeを選択します。
3. IdPユーザー属性名を次のように指定します。
  - familyName: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
  - primaryEmailAddress: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
4. 「行の追加」を選択し、http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givennameと入力します。
  アイデンティティ・ドメイン・ユーザー属性の場合は、First nameを選択します。
  Note
  
  The fully qualified display name (FQDN) is from 1. Configure SAML Attributes Sent by Entra ID.
この図は、OCI IAMのユーザー属性(右側)と、Entra IDとOCI IAM間のユーザー属性のマッピングを示しています。
「グループ・マッピングの割当て」を選択します。
「グループ・メンバーシップ属性名」にhttp://schemas.microsoft.com/ws/2008/06/identity/claims/groupsと入力します。
「明示的なグループ・メンバーシップ・マッピングの定義」を選択します。
IdP Group nameで、前のステップのEntra IDにグループのオブジェクトIDを指定します。
アイデンティティ・ドメイン・グループ名で、Entra IDグループをマップするOCI IAMのグループを選択します。
この図は、OCI IAMのグループ属性(右側)と、Entra IDとOCI IAMの間のグループ属性のマッピングを示しています。
「割当ルール」で、次を選択します。
1. グループ・メンバーシップを割り当てる場合: 既存のグループ・メンバーシップとマージします
2. グループが見つからない場合: 存在しないグループを無視します
ノート

組織の要件に基づいてオプションを選択します。
「Save changes」を選択します。

3.Entra IDとOCI間のJITプロビジョニングのテスト

次の手順

Oracle Cloud Infrastructureドキュメント

Entra IDからOCI IAMへのJITプロビジョニング