OCI IAM Identity Domain_APEXアプリケーションとの認証連携・認可

Identity DomainによるAPEXアプリケーションへの認証認可 Subhead goes here on one line Name
2022年12月07日日本オラクル株式会社クラウド事業統括クラウド・エンジニアリング統括 COE本部セキュリティ&マネージメント・ソリューション部

手順概要 1. APEXアプリケーションの作成（任意） 2. OCI IAM Identity Domainで機密アプリケーションの登録 3. OCI
IAM Identity Domainでグループの作成 4. APEXでWeb資格証明の作成 5. APEXで認証スキームの作成 6. APEXで認可の設定

構成イメージ本資料は、APEXアプリケーションとIdentity Domainの認証連携、およびアプリケーション内の認可設定手順を紹介します。認可の設定では、Identity Domainで2つのグループを作成し、それぞれのグループに属するユーザーがアプリケーション内でアクセスできるページを制御します。 3 Copyright ©
2022, Oracle and/or its affiliates | Confidential: Internal/Restricted/Highly Restricted [Date] OCI IAM Identity Domain 認証 • Autonomous DatabaseのAPEXインスタンスを利用 • アプリケーション内のページごとのアクセス制限（認可）をIdentity Domainのグループ情報に基づいて実装グループA グループB 認証認証連携 (OpenID Connect)

1. APEXアプリケーションの作成（任意） 4 Copyright © 2022, Oracle and/or its affiliates
| Confidential: Internal/Restricted/Highly Restricted [Date]

本手順について本手順では、アプリケーション内のアクセス制限を実装するため、APEXのサンプルアプリケーションをインストールします。既存のアプリケーションがある場合は、本手順は実施しなくても問題ありません。 5 Copyright © 2022, Oracle and/or its
affiliates | Confidential: Internal/Restricted/Highly Restricted [Date]

1. APEXアプリケーションの作成「コピー・アンド・ペースト」のタブを開き、「販売」のサンプル・データ・セットを選択します。「次」ボタンをクリックします。 9 Copyright © 2022, Oracle and/or
its affiliates | Confidential: Internal/Restricted/Highly Restricted [Date]

1. APEXアプリケーションの作成アプリケーションの作成画面にて、任意の名前を入力します。機能のセクションで「すべてをチェック」を選択し、「アプリケーションの作成」ボタンをクリックします。 12 Copyright © 2022,
Oracle and/or its affiliates | Confidential: Internal/Restricted/Highly Restricted [Date]

2. 機密アプリケーションの登録 OCIコンソールメニュー→ アイデンティティとセキュリティ → アイデンティティ → ドメインを選択します 16 Copyright
© 2022, Oracle and/or its affiliates | Confidential: Internal/Restricted/Highly Restricted [Date]

2. 機密アプリケーションの登録機密アプリケーションの追加画面にて、以下情報を入力します。 • 名前：任意例）APEX • アプリケーションURL：APEXアプリケーションのURL（アプリケーション番号まで）
例）https://g884b・・・1051.adb.ap-tokyo- 1.oraclecloudapps.com/ords/f?p=100 認証と許可のセクションにて、「権限付与を認可として実施」にチェックを入れ、「次」ボタンをクリックします。 21 Copyright © 2022, Oracle and/or its affiliates | Confidential: Internal/Restricted/Highly Restricted [Date]

2. 機密アプリケーションの登録 OAuthの構成画面のクライアント構成にて、「このアプリケーションをクライアントとして今すぐ構成します」にチェックを入れます。許可される権限付与タイプにて「認可コード」を選択します。その他以下情報を入力し、「次」ボタンをクリックします • リダイレクトURL：対象APEXアプリURLの"fp・・”を「apex_authentication.callback」に変更したURL
例) https://g884b・・・・1051.adb.ap-tokyo- 1.oraclecloudapps.com/ords/apex_authentication.callba ck • ログアウト後のリダイレクトURL：対象APEXアプリURL 例) https://g884b・・・・1051.adb.ap-tokyo- 1.oraclecloudapps.com/ords/f?p=100 • ログアウトURL：p.18で控えたアイデンティティ・ドメイン URL/oauth2/v1/userlogout 例) https://idcs-d0e4・・・・ 8d9.identity.oraclecloud.com:443/oauth2/v1/userlogout 22 Copyright © 2022, Oracle and/or its affiliates | Confidential: Internal/Restricted/Highly Restricted [Date]

2. 機密アプリケーションの登録アプリケーション詳細画面左下のリソースメニューの「OAuth構成」から、クライアントIDとクライアント・シークレットをコピーしてメモ帳などにメモします。 ※この後の手順で使用します。 25 Copyright © 2022, Oracle
and/or its affiliates | Confidential: Internal/Restricted/Highly Restricted [Date]

本手順について本手順では、APEX_ADMINとAPEX_USERの2つのグループを作成します。 APEX_ADMINグループのユーザーはAPEXアプリケーション内の全てのページにアクセスでき、一方でAPEX_USERグループのユーザーはAPEXアプリケーション内の一部ページにはアクセスができないように制限がかけられることを想定します。 27 Copyright © 2022, Oracle and/or

3. グループの作成 a. APEX_ADMINグループの作成「グループの作成」画面にて、グループ名を入力し、グループに追加するユーザーを選択します。 • グループ名：例）APEX_ADMIN 「作成」ボタンをクリックします。 29
Copyright © 2022, Oracle and/or its affiliates | Confidential: Internal/Restricted/Highly Restricted [Date]

3. グループの作成 b. APEX_USERグループの作成同じ手順で、もう一つグループを作成します。グループには手順3-aで作成したグループに追加したユーザーとは違うユーザーを追加します。 • グループ名：例）APEX_USER 「作成」ボタンをクリックします。
30 Copyright © 2022, Oracle and/or its affiliates | Confidential: Internal/Restricted/Highly Restricted [Date]

3. グループの作成 c. APEXアプリケーションへのグループの割当てグループの割当て画面にて、手順3-a, 3-bで作成したグループを選択し、「割当て」ボタンをクリックします。 APEXアプリケーションには、この手順で選択されたIdentity Domainのグループに属しているユーザーしかアクセスができなくなります。 33
Copyright © 2022, Oracle and/or its affiliates | Confidential: Internal/Restricted/Highly Restricted [Date]

4. Web資格証明の作成 Web資格証明の作成画面にて以下情報を入力し、「作成」ボタンをクリックします。 • 名前：任意例）Identity Domain Web Credentials
• 静的識別子：例）同上 • 認証タイプ：「基本認証」を選択 • クライアントIDまたはユーザー名：p.25で控えたクライアント IDを入力 • クライアント・シークレットまたはパスワード：p.25で控えたクライアント・シークレットを入力 39 Copyright © 2022, Oracle and/or its affiliates | Confidential: Internal/Restricted/Highly Restricted [Date]

5. 認証スキームの作成認証スキームの作成画面にて、以下情報を入力し、「認証スキームの作成」ボタンをクリックします。 • 名前：任意例）Identity Domain Authentication Schema
• スキーム・タイプ：「ソーシャル・サインイン」を選択 • 資格認証ストア：手順4で作成したWeb資格認証を選択 • 認証プロバイダ：「OpenID Connectプロバイダ」を選択 • 検出URL：<p.18で控えたアイデンティティ・ドメインのURL> /.well-known/openid-configuration 例） https://idcs-d0e・・・・ 8d9.identity.oraclecloud.com:443/.well-known/openid- configuration • 有効範囲：profile,groups • ユーザー名：sub • 追加ユーザー属性：groups 46 Copyright © 2022, Oracle and/or its affiliates | Confidential: Internal/Restricted/Highly Restricted [Date]

5. 認証スキームの作成「ソース」のタブを開き、以下PL/SQL文を入力します。 48 Copyright © 2022, Oracle and/or its
affiliates | Confidential: Internal/Restricted/Highly Restricted [Date] procedure load_dynamic_groups as l_group_names apex_t_varchar2; Begin -- -- add all group name to l_group_names -- For I in 1..apex_json.get_count(‘groups’) loop apex_string.push( p_table=> l_group_names, p_value => apex_json.get_varchar2( p_path=> 'groups[%d].name’, p0 => i)); end loop; -- -- save group name in session -- apex_authorization.enable_dynamic_groups( p_group_names => l_group_names); end;

5. 認証スキームの作成「ログイン・プロセス」のタブを開き、認証後のプロシージャ名に「load_dynamic_groups」と入力します。「変更の適用」ボタンをクリックします。以上の手順で、Identity DomainのユーザーがAPEXアプリケーションにログインすると、同時にユーザーが属している Identity Domainのグループの情報が取得されます。 49 Copyright
© 2022, Oracle and/or its affiliates | Confidential: Internal/Restricted/Highly Restricted [Date]

6. 認可の設定 a. セキュリティ属性の変更セキュリティのタブの「認可」のセクションで以下のように設定し、「変更の適用」ボタンをクリックします。 • 認可スキーム：「アプリケーション認可の必要なし」を選択 • ロールまたはグループ・スキームのソース：「カスタム・コード」
を選択 53 Copyright © 2022, Oracle and/or its affiliates | Confidential: Internal/Restricted/Highly Restricted [Date]

6. 認可の設定 a. セキュリティ属性の変更 Identity Domainのログイン画面が表示されたら、 Identity Domainへのアクセス情報を入力します。初回ログイン時は、アクセス許可の確認画面が表示されるので、「許可」を選択します。
55 Copyright © 2022, Oracle and/or its affiliates | Confidential: Internal/Restricted/Highly Restricted [Date]

6. 認可の設定以下SQL文を実行し、APEXアプリケーションにログインしているユーザーの情報を取得します。 SELECT * FROM APEX_WORKSPACE_SESSION_GROUPS; APEXにログインしたユーザーのIdentity Domain上の
グループ情報が取得できていることを確認します。 58 Copyright © 2022, Oracle and/or its affiliates | Confidential: Internal/Restricted/Highly Restricted [Date]

6. 認可の設定 b. 認可スキームの作成詳細入力画面にて、以下情報を入力し、「認可スキームの作成」ボタンをクリックします。 • 名前：Identity Domainのグループ名を入力 •
スキーム・タイプ：「ロールまたはグループ内にある」を選択 • タイプ：「カスタム」を選択 • 名前：Identity Domainのグループ名を入力例）APEX_USER • スキームの違反時に表示されるエラー・メッセージの指定：任意 63 Copyright © 2022, Oracle and/or its affiliates | Confidential: Internal/Restricted/Highly Restricted [Date]

6. 認可の設定 c. ページの設定画面右に表示される検索ボックスにて「認可」と検索します。認可スキームで手順6-bで作成した認可スキームを選択します。以上の手順で、該当ページは認可スキームで設定したグループに所属しているユーザーしかアクセスが出来なくなります。 65 Copyright ©
2022, Oracle and/or its affiliates | Confidential: Internal/Restricted/Highly Restricted [Date]

OCI IAM Identity Domain_APEXアプリケーションとの認証連携・認可

OCI IAM Identity Domain_APEXアプリケーションとの認証連携・認可

More Decks by oracle4engineer

Other Decks in Technology

Featured

Transcript