チュートリアル1: Entra IDギャラリ・アプリケーションを使用してアイデンティティを管理するための認可ソースとしてのEntra ID

Entra ID Galleryのアプリケーション・テンプレートを使用してOCI IAMのアイデンティティを管理するための認可アイデンティティ・ストアとしてEntra IDを構成します。

OCI IAMを構成して、Entra IDがOCI IAMのIDを管理するためのアイデンティティ・ストアとなるようにすること。OCI IAMで、機密アプリケーションを作成します。
OCI IAMアイデンティティ・ドメインのクライアントIDおよびクライアント・シークレットからシークレット・トークンを生成します。これをドメインURLとともにEntra IDで使用します。
Entra IDでアプリケーションを作成し、シークレット・トークンおよびアイデンティティ・ドメインURLを使用してOCI IAMアイデンティティ・ドメインを指定し、Entra IDからOCI IAMにユーザーをプッシュして動作することを証明します。
OCI IAMにプロビジョニングするユーザーおよびグループをEntra IDアプリケーションに割り当てます。

さらに、方法に関する指示
- ユーザーのフェデレーテッド・ステータスを設定して、外部アイデンティティ・プロバイダによって認証されるようにします。
- アカウントが作成または更新されたときに、ユーザーが通知Eメールを受信しないようにします。

1. 機密アプリケーションの作成

この項では、Entra IDからOCI IAMにユーザー・アカウントが同期されるように、アイデンティティ・マネージャとして機能するようにEntra IDを構成します。

作業中のアイデンティティ・ドメインで、「アプリケーション」をクリックします。
「アプリケーションの追加」をクリックし、「機密アプリケーション」を選択して「ワークフローの起動」をクリックします。
アプリケーションの名前(Entra IDなど)を入力し、「次へ」をクリックします。
「クライアント構成」で、「このアプリケーションをクライアントとして今すぐ構成します」を選択します。
「認可」で、「クライアント資格証明」を選択します。
「クライアント・タイプ」で、「機密」を選択します。
下にスクロールし、「トークン発行ポリシー」セクションで、「認可されたリソース」を「特定」に設定します。
「アプリケーション・ロールの追加」を選択します。
「アプリケーション・ロール」セクションで「ロールの追加」をクリックし、「アプリケーション・ロールの追加」ページで「ユーザー管理者」を選択し、「追加」をクリックします。
「次」、「終了」の順にクリックします。
アプリケーションの概要ページで、「アクティブ化」をクリックし、アプリケーションをアクティブ化することを確認します。
機密アプリケーションがアクティブ化されます。

2. ドメインURLの検索およびシークレット・トークンの生成

Entra IDで作成するエンタープライズ・アプリケーションの接続設定の一部として使用するには、次の2つの情報が必要です:

ドメインURL。
クライアントIDおよびクライアント・シークレットから生成されたシークレット・トークン。

ブレッドクラムでアイデンティティ・ドメイン名をクリックして、アイデンティティ・ドメインの概要に戻ります。ドメイン情報の「ドメインURL」の横にある「コピー」をクリックし、URLを編集可能なアプリケーションに保存します。
OCI IAMの機密アプリケーションで、「リソース」の下の「OAuth構成」をクリックします。
下にスクロールし、「一般情報」の下の「クライアントID」および「クライアント・シークレット」を見つけます。
クライアントIDをコピーして格納します
「シークレットの表示」をクリックし、シークレットをコピーして格納します。
シークレット・トークンは、<clientID>:<clientsecret>のbase64エンコーディング、または
```
base64(<clientID>:<clientsecret>)
```
次の例では、Windows、LinuxまたはMacOSでシークレット・トークンを生成する方法を示します。
Windows環境では、CMDを開き、このpowershellコマンドを使用して、base64エンコーディング[Convert]::ToBase64String([System.Text.Encoding]::Unicode.GetBytes('client_id:secret'))"を生成します
Linuxでは、
```
echo -n <clientID>:<clientsecret> | base64 --wrap=0
```
MacOSでは、次を使用します
```
echo -n <clientID>:<clientsecret> | base64
```
シークレット・トークンが返されます。たとえば
```
echo -n 392357752347523923457437:3454-9853-7843-3554 | base64
Nk0NzUyMzcyMzQ1NzMTc0NzUyMzMtNTQzNC05ODc4LTUzNQ==
```
シークレット・トークンの値を書き留めます。

3.Entra IDでのOCIアプリケーションの作成

Entra IDを構成して、IAMのアイデンティティを管理するための認可アイデンティティ・ストアとしてEntra IDを有効にします。

ブラウザで、次のURLを使用してMicrosoft Entra IDにサインインします。
```
https://portal.azure.com
```
「アイデンティティ」、アプリケーションの順にクリックします。
「Enterprise applications」をクリックします。
「Enterprise applications」ページで、「New application」、「Oracle」の順にクリックします。
「Oracle Cloud Infrastructure Console」を選択します。
名前を入力するか、デフォルトの「Oracle Cloud Infrastructure Console」を受け入れます。
「作成」をクリックします。
「Manage」の下の左側のメニューから「Provisioning」を選択します。
「Get started」をクリックし、「Provisioning Mode」を「Automatic」に変更します。
「Tenant URL」に、2. ドメインURLの検索およびシークレット・トークンの生成のOCI IAMドメインURLの後に/admin/v1を続けた値を入力します。つまり、テナントURLは次のようになります
```
https://<domainURL>/admin/v1
```
2. ドメインURLの検索およびシークレット・トークンの生成で生成したシークレット・トークンを入力します。
「接続テスト」をクリックします。このメッセージが表示された場合、接続は成功しています
```
Testing connection to Oracle Cloud Infrastructure Console
The supplied credentials are authorized to enable provisioning
```
「Manage」の下の左側のメニューから「Provisioning」を選択し、「Start provisioning」をクリックします。プロビジョニング・サイクルが開始され、プロビジョニングのステータスが表示されます。

4.Entra IDアプリケーションへのユーザーおよびグループの割当

OCI IAMにプロビジョニングするユーザーをEntra IDアプリケーションに割り当てます。

「Entra ID」の左メニューの「Enterprise applications」をクリックします。
前に作成したアプリケーションOracle Cloud Infrastructure Consoleをクリックします。
「Manage」の左側のメニューで、「Users and Groups」をクリックします。
「ユーザーおよびグループ」ページで、「ユーザー/グループの追加」をクリックします。
「割当ての追加」ページの左側の「ユーザーおよびグループ」で、「選択なし」をクリックします。
「ユーザーおよびグループ」ページが開きます。
リストから1人以上のユーザーまたはグループをクリックして選択します。選択したユーザーが「Selected items」の下にリストされます。
「選択」をクリックします。選択したユーザーおよびグループの数は、「アサイメントの追加」ページに表示されます。
「Add Assignment」ページで、「Assign」をクリックします。
ユーザーとグループ・ページに、選択したユーザーとグループが表示されます。
左側のメニューの「プロビジョニング」をクリックして、グループおよびユーザーをプロビジョニングします。プロビジョニング・ログにステータスが表示されます。
プロビジョニングが成功すると、「Current cycle status」に、増分サイクルが完了したこと、およびOCI IAMにプロビジョニングされたユーザーの数が表示されます。
OCI IAMで、Entra IDからプロビジョニングされたユーザーおよびグループを表示できるようになりました。
ノート

Entra IDのOracle Cloud Infrastructureコンソール・アプリケーションからユーザーを削除すると、そのユーザーはOCI IAMでのみ非アクティブ化されます。

5. フェデレーテッド・ユーザーの追加構成

ユーザーのフェデレーテッド・ステータスを設定して、外部アイデンティティ・プロバイダによって認証されるようにできます。
アカウントが作成または更新されたときにユーザーに送信される通知Eメールを無効にできます。

a。ユーザーのフェデレーテッド・ステータスの設定

フェデレーテッド・ユーザーには、OCIに直接サインインするための資格証明がありません。かわりに、外部アイデンティティ・プロバイダによって認証されます。フェデレーテッド・アカウントを使用してOCIにサインインする場合は、そのユーザーのフェデレーテッド属性をtrueに設定します。

ユーザーのフェデレーテッド・ステータスを設定するには:

ブラウザで、次のURLを使用してMicrosoft Entra IDにサインインします。
```
https://portal.azure.com
```
「アイデンティティ」、アプリケーションの順にクリックします。
「Enterprise applications」をクリックします。
前に作成したアプリケーションOracle Cloud Infrastructure Consoleをクリックします。
「管理」の下の左メニューで、「プロビジョニング」、「プロビジョニングの編集」の順にクリックします。
「プロビジョニング」ページで「マッピング」をクリックします。
「マッピング」で、「Entra IDユーザーのプロビジョニング」をクリックします。
「属性マッピング」で、下にスクロールして「新規マッピングの追加」をクリックします。
「属性の編集」ページで、次の手順を実行します。
- 「マッピング・タイプ」で、Expressionを選択します。
- 「式」に、CBool("true")と入力します。
- 「ターゲット属性」で、urn:ietf:params:scim:schemas:oracle:idcs:extension:user:User:isFederatedUserを選択します。
「OK」をクリックします。
「属性マッピング」ページで、「保存」をクリックします。

これで、ユーザーがEntra IDからOCIにプロビジョニングされると、フェデレーテッド・ステータスがtrueに設定されます。これはユーザーのプロファイル・ページに表示されます。

OCIコンソールで、使用しているアイデンティティ・ドメインに移動し、「ユーザー」をクリックし、ユーザーをクリックしてユーザー情報を表示します。
「フェデレーテッド」は、Yesとして表示されます。

b. アカウント作成または更新の通知の無効化

バイパス通知フラグは、OCIでユーザー・アカウントを作成または更新した後に電子メール通知を送信するかどうかを制御します。アカウントが作成されたことをユーザーに通知しない場合は、バイパス通知フラグをtrueに設定します。

バイパス通知フラグを設定するには:

ブラウザで、次のURLを使用してMicrosoft Entra IDにサインインします。
```
https://portal.azure.com
```
「アイデンティティ」、アプリケーションの順にクリックします。
「Enterprise applications」をクリックします。
前に作成したアプリケーションOracle Cloud Infrastructure Consoleをクリックします。
「管理」の下の左メニューで、「プロビジョニング」、「プロビジョニングの編集」の順にクリックします。
「プロビジョニング」ページで「マッピング」をクリックします。
「マッピング」で、「Entra IDユーザーのプロビジョニング」をクリックします。
「属性マッピング」で、下にスクロールして「新規マッピングの追加」をクリックします。
「属性の編集」ページで、次の手順を実行します。
- 「マッピング・タイプ」で、Expressionを選択します。
- 「式」に、CBool("true")と入力します。
- 「ターゲット属性」で、urn:ietf:params:scim:schemas:oracle:idcs:extension:user:User:bypassNotificationを選択します。
「OK」をクリックします
「属性マッピング」ページで、「保存」をクリックします。

Oracle Cloud Infrastructureドキュメント

チュートリアル1: Entra IDギャラリ・アプリケーションを使用してアイデンティティを管理するための認可ソースとしてのEntra ID