OCI IAM Identity Domain_APEXアプリケーションとの認証連携/Identity Domain for APEX Apps

by oracle4engineer

Slide 1

Slide 1 text

OCI IAM Identity Domains 2025年7月17日日本オラクル株式会社 APEXアプリケーションとの認証連携(2要素認証込み)

Slide 2

Slide 2 text

Copyright © 2025, Oracle and/or its affiliates 2 Safe harbor statement The following is intended to outline our general product direction. It is intended for information purposes only, and may not be incorporated into any contract. It is not a commitment to deliver any material, code, or functionality, and should not be relied upon in making purchasing decisions. The development, release, timing, and pricing of any features or functionality described for Oracle’s products may change and remains at the sole discretion of Oracle Corporation.

Slide 3

Slide 3 text

アジェンダ Copyright © 2025, Oracle and/or its affiliates 3 【基本編】：APEXアプリとIdentity Domains認証連携(2要素認証込み) 1．APEX側でのサンプルアプリケーションの作成 2．Identity Domains側での設定（APEXアプリケーションとの認証連携設定) 3．Identity Domains側での設定（2要素認証の設定） 4．APEX側での設定 5．動作確認【拡張編】：グループによるアクセス制御 ※基本編を実施済み前提の手順 6．Identity Domains側での設定追加（グループ作成） 7．APEX側での設定変更 8．動作確認

Slide 4

Slide 4 text

Slide 5

Slide 5 text

【基本編】で実現するイメージ Copyright © 2025, Oracle and/or its affiliates 5 ユーザーログイン画面 ID/パスワード 2要素認証画面ワンタイムパスコードなど OCI IAM Identity Domains ユーザー情報 APEXアプリ OpenID Connectによる連携本資料は、ADBのAPEXアプリケーションにアクセスする際の認証および2要素認証(MFA)としてIdentity Domainsを利用するための設定手順になります。 ※本資料ではAPEXアプリケーションとして“販売”サンプルアプリケーションを利用します。 ※APEXアプリケーションとIdentity DomainsはOpenID Connectにより連携します。

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

APEX側でのサンプルアプリケーションの作成 Copyright © 2025, Oracle and/or its affiliates 8 2) ログイン後画面にてブラウザアドレスバーのURLにてoraclecloudapps.comまでのAPEX URLをコピーし控えておきます。 ※このURLは後続の手順で利用します。例）https://g884・・・・・・c-db2・・・・・・・・・・・・・051.adb.ap-tokyo-1.oraclecloudapps.com

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Identity Domains側での設定（APEXアプリケーションとの認証連携設定) Copyright © 2025, Oracle and/or its affiliates 22 1）OCIコンソール(https://www.oracle.com/jp/cloud/sign-in.html)にアクセスします。テナント名(クラウド・アカウント名)を入力し「Next」を選択します。アイデンティティ・ドメインの選択画面が表示される場合には「Default」を選択し、管理者のユーザー名/パスワードを入力し OCIコンソールにログインします。 ※該当ドメインの管理者でログインしても構いません。 ※環境によりドメイン選択画面は表示されません。

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Identity Domains側での設定（APEXアプリケーションとの認証連携設定) Copyright © 2025, Oracle and/or its affiliates 25 4) ドメインのメニュー「詳細」を選択し、ドメインURLの「コピー」を選択しドメインURLを控えておきます。このドメインURLは後続の手順で利用します。 ※ドメインURLは「https://idcs-d92e・・・・・・・・7a34.identity.oraclecloud.com:443」になります。

Slide 26

Slide 26 text

Identity Domains側での設定（APEXアプリケーションとの認証連携設定) Copyright © 2025, Oracle and/or its affiliates 26 5) メニュー「統合アプリケーション」を選択します。統合アプリケーション部分にて「アプリケーションの追加」を選択します。表示されたアプリケーションの追加画面にて「機密アプリケーション」を選択し、「ワークフローの起動」を選択します。

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Slide 29

Slide 29 text

Slide 30

Slide 30 text

Identity Domains側での設定（APEXアプリケーションとの認証連携設定) Copyright © 2025, Oracle and/or its affiliates 30 9) 同画面にて下記項目を入力します。・リダイレクトURL：https://＜上記1.にて控えたURL＞/ords/apex_authentication.callback 例） https://g884・・・・・・c-db2・・・・・・・・・・・・・051.adb.ap-tokyo-1.oraclecloudapps.com/ords/apex_authentication.callback ・ログアウト後のリダイレクトURL： https://＜上記1．にて控えたURL＞/ords/f?p=＜上記1.で控えた販売サンプルアプリの番号＞例） https://g884・・・・・・c-db2・・・・・・・・・・・・・051.adb.ap-tokyo-1.oraclecloudapps.com/ords/f?p=200

Slide 31

Slide 31 text

Slide 32

Slide 32 text

Slide 33

Slide 33 text

Identity Domains側での設定（APEXアプリケーションとの認証連携設定) Copyright © 2025, Oracle and/or its affiliates 33 12) 作成した機密アプリケーションがアクティブ化されたことを確認します。一般情報部分にある「クライアントID」の値をコピーして控えておきます。また、クライアント・シークレット部分にあるシークレットの表示より「コピー」選択し、クライアント・シークレットも控えておきます。 ※控えたクライアントIDとクライアント・シークレットは後続の手順で利用します。

Slide 34

Slide 34 text

Slide 35

Slide 35 text

Identity Domains側での設定（2要素認証の設定） Copyright © 2025, Oracle and/or its affiliates 35 1）MFA要素として「電子メール」を有効化するため、ドメインメニュー「認証」を選択します。ファクタ部分の電子メールが無効になっている場合には「ファクタの有効化または無効化」を選択します。 ※電子メールが有効になっている場合には3)に進みます。

Slide 36

Slide 36 text

Identity Domains側での設定（2要素認証の設定） Copyright © 2025, Oracle and/or its affiliates 36 2）ファクタの有効化または無効化画面にて「電子メール」をチェックONにし、「変更の保存」を選択します。 ※2要素認証の要素を有効化したのみではAPEXアプリケーションへのアクセス時のMFA利用はまだ有効になりません。 MFA利用には後続のサインオンポリシーの設定が必要になります。

Slide 37

Slide 37 text

Slide 38

Slide 38 text

Slide 39

Slide 39 text

Slide 40

Slide 40 text

Identity Domains側での設定（2要素認証の設定） Copyright © 2025, Oracle and/or its affiliates 40 6）サインオン・ルールの追加画面にて、ルール名に「MFA Rule」（任意の値でOK）を入力し、アクション部分にて下記を設定し、「追加」を選択します。（条件部分は何も設定しない。）・追加ファクタの要求にチェック・指定されたファクタのみにチェック・電子メールににチェック・頻度‐セッションごと・・・・・にチェック・登録‐必須にチェック本手順では、条件部分に何も設定していないため、無条件でMFAを要求するルールを設定しています。条件付き（グループなど）でMFA要求する/しないを制御する場合には条件部分をセットします。

Slide 41

Slide 41 text

Slide 42

Slide 42 text

Slide 43

Slide 43 text

Slide 44

Slide 44 text

Slide 45

Slide 45 text

Slide 46

Slide 46 text

Slide 47

Slide 47 text

Slide 48

Slide 48 text

APEX側での設定 Copyright © 2025, Oracle and/or its affiliates 48 3) ワークスペース・ユーティリティ画面にて「Web資格証明」を選択します。 ※今回の場合、Web資格証明はOpenID ConnectによりIdentity Domainsと認証連携する際に利用するIdentity Domains側のキーなどの情報を格納しておくために利用します。

Slide 49

Slide 49 text

Slide 50

Slide 50 text

APEX側での設定 Copyright © 2025, Oracle and/or its affiliates 50 5) Web資格証明作成画面にて下記項目を入力し「作成」を選択します。・名前：任意の名前（例：IdentityDomain_N00）・クライアントIDまたはユーザー名：上記手順で控えたクライアントIDの値・クライアント・シークレットまたはパスワード：上記手順で控えたクライアント・シークレットの値・クライアント・シークレットまたはパスワードの確認：上記手順で控えたクライアント・シークレットの値

Slide 51

Slide 51 text

Slide 52

Slide 52 text

Slide 53

Slide 53 text

Slide 54

Slide 54 text

Slide 55

Slide 55 text

Slide 56

Slide 56 text

APEX側での設定 Copyright © 2025, Oracle and/or its affiliates 56 11) 認証スキームの作成画面にて下記項目を入力し「認証スキームの作成」を選択します。・名前：IdentityDomain_Auth ※任意の名前で構いません。・スキーム・タイプ：ソーシャル・サインイン・認証証明ストア：上記で作成したWeb資格証明（IdentityDomain_N00）・認証プロバイダ：OpenID Connectプロバイダ・検出URL：<上記2.で控えたIdentity Domain URL>/.well-known/openid-configuration 例) https://idcs-d92e・・・・・47a34.identity.oraclecloud.com:443/.well-known/openid-configuration ・有効範囲：profile ・ユーザー名：sub

Slide 57

Slide 57 text

Slide 58

Slide 58 text

APEX側での設定 Copyright © 2025, Oracle and/or its affiliates 58 13) 認証スキーム画面で「ログアウト後URL」を選択します。ログアウト後URLの画面にて下記項目を入力し、「変更の適用」を選択します。・移動先：URLにチェックON ・URL： https://＜上記1．にて控えたURL＞/ords/f?p=＜上記1.で控えた販売サンプルアプリの番号＞例） https://g884・・・・・・c-db2・・・・・・・・・・・・・051.adb.ap-tokyo-1.oraclecloudapps.com/ords/f?p=106

Slide 59

Slide 59 text

Slide 60

Slide 60 text

Slide 61

Slide 61 text

Slide 62

Slide 62 text

Slide 63

Slide 63 text

Slide 64

Slide 64 text

動作確認 Copyright © 2025, Oracle and/or its affiliates 64 3）指定したメールアドレスに通知「Activate your profile in account - ＜テナンシ名＞」が届いていることを確認し、本文の「Active Your Account」を選択し、作成したテストユーザーの初期パスワードをセットします。 ※パスワードセット後に「サインインへ進む」を選択せずに、ブラウザタブを閉じます。

Slide 65

Slide 65 text

動作確認 Copyright © 2025, Oracle and/or its affiliates 65 4）開いているブラウザシークレットウィンドウをすべて閉じ、新規にブラウザシークレットウィンドウを開き、販売サンプルアプリケーションのURLにアクセスします。 URL(例)：https://g884・・・・・・c-db2・・・・・・・・・・・・・051.adb.ap-tokyo-1.oraclecloudapps.com/ords/f?p=106 ※アプリケーションの番号↑ アイデンティティ・ドメインのログイン画面が表示されたことを確認し、上記で作成したテストユーザーのID/パスワードを指定し「サインイン」を選択します。

Slide 66

Slide 66 text

動作確認 Copyright © 2025, Oracle and/or its affiliates 66 5）セキュアな検証の有効化画面にて「セキュアな検証の有効化」を選択します。 ※テストユーザーはまだMFA要素が未登録であるため本画面が表示されます。 MFA要素の選択画面にて「電子メール」を選択します。 ※上記にて作成したサインオンポリシーにて要素として「電子メール」のみ選択したため、選択肢は「電子メール」のみになります。

Slide 67

Slide 67 text

動作確認 Copyright © 2025, Oracle and/or its affiliates 67 6）テストユーザーのメールアドレスに通知「One-Time Passcode for accessing your Cloud account in ＜テナンシ名＞」が届いていることを確認し、本文中のパスワードコードをブラウザ画面のコード部分に入力し、「電子メール・アドレスの確認」を選択します。

Slide 68

Slide 68 text

Slide 69

Slide 69 text

Slide 70

Slide 70 text

Slide 71

Slide 71 text

【拡張編】で実現するイメージ Copyright © 2025, Oracle and/or its affiliates 71 本資料は、ユーザーが所属するIdentity Domains側のグループによりAPEXアプリケーションにアクセスさせる/させないを制御するための設定手順になります。 ※この拡張編は基本編を実施済み前提の手順になります。 OCI IAM Identity Domains APEX_User Test-G1 所属グループ〇 × アクセス可アクセス不可 Test-G1 ユーザーA ユーザーB APEXアプリ Identity Domainsグループ「APEX_User」に所属しているユーザーのみAPEXアプリケーションにアクセス許可 (ユーザーAはアクセス可 / ユーザーBはアクセス不可）

Slide 72

Slide 72 text

Slide 73

Slide 73 text

Slide 74

Slide 74 text

Slide 75

Slide 75 text

Slide 76

Slide 76 text

Slide 77

Slide 77 text

Slide 78

Slide 78 text

Slide 79

Slide 79 text

Slide 80

Slide 80 text

Slide 81

Slide 81 text

Slide 82

Slide 82 text

Slide 83

Slide 83 text

APEX側での設定変更 Copyright © 2025, Oracle and/or its affiliates 83 7) 「ソース」タブを選択し、PL/SQLコード部分に下記コードを入力します。 procedure load_dynamic_groups as l_group_names apex_t_varchar2; l_group_count number; begin -- -- get groups count -- l_group_count := apex_json.get_count('groups'); if l_group_count is not null then -- -- add all group names to l_group_names -- for i in 1 .. apex_json.get_count('groups') loop apex_string.push ( p_table => l_group_names, p_value => apex_json.get_varchar2 ( p_path => 'groups[%d].name', p0 => i )); end loop; -- -- save group names in session -- if l_group_names.count > 0 then apex_authorization.enable_dynamic_groups ( p_group_names => l_group_names ); end if; end if; end; OpenID Connectにより連携されたログインした Identity Domainsユーザー情報から所属グループを取得するコードです。

Slide 84

Slide 84 text

APEX側での設定変更 Copyright © 2025, Oracle and/or its affiliates 84 8) 「ログイン・プロセス」タブを選択し、認証後のプロシージャ名に「load_dynamic_groups」と入力します。「変更の適用」ボタンをクリックします。 ※この手順により、Identity DomainsのユーザーがAPEXアプリケーションにログインするタイミングでユーザーが属している Identity Domainsのグループの情報が取得されます。

Slide 85

Slide 85 text

Slide 86

Slide 86 text

Slide 87

Slide 87 text

Slide 88

Slide 88 text

APEX側での設定変更 Copyright © 2025, Oracle and/or its affiliates 88 12) 表示された認可スキームの作成画面で下記項目を指定し、「認可スキームの作成」を選択します。・名前：Group AuthZ （任意の名前）・スキーム・タイプ：ロールまたはグループ内にある・タイプ：カスタム・名前：アクセス許可するIdentity Domainsグループ名 (例：APEX_User) ・スキームの違反時に・・・・：Not Authorized !!（任意の値)

Slide 89

Slide 89 text

Slide 90

Slide 90 text

Slide 91

Slide 91 text

Slide 92

Slide 92 text

Slide 93

Slide 93 text

Slide 94

Slide 94 text

Slide 95

Slide 95 text

Slide 96

Slide 96 text

Slide 97

Slide 97 text

動作確認 Copyright © 2025, Oracle and/or its affiliates 97 5）次に、グループ「APEX_User」に所属しないテストユーザーを新規作成するため、ユーザー部分の「作成」を選択します。表示された画面にて新規テストユーザーの姓/名/メールアドレス（ユーザーIDとメールアドレスを分ける場合にはユーザーID)を入力し「作成」を選択します。 ※新規作成するテストユーザーはどのグループにも所属させないようにします。

Slide 98

Slide 98 text

動作確認 Copyright © 2025, Oracle and/or its affiliates 98 6）指定したメールアドレスに通知「Activate your profile in account - ＜テナンシ名＞」が届いていることを確認し、本文の「Active Your Account」を選択し、作成したテストユーザー(test_user2)の初期パスワードをセットします。 ※パスワードセット後に「サインインへ進む」を選択せずに、ブラウザタブを閉じます。

Slide 99

Slide 99 text

動作確認 Copyright © 2025, Oracle and/or its affiliates 99 7）開いているブラウザシークレットウィンドウをすべて閉じ、新規にブラウザシークレットウィンドウを開き、販売サンプルアプリケーションのURLにアクセスします。 URL(例)：https://g884・・・・・・c-db2・・・・・・・・・・・・・051.adb.ap-tokyo-1.oraclecloudapps.com/ords/f?p=106 ※アプリケーションの番号↑ アイデンティティ・ドメインのログイン画面にて、グループ「APEX_User」に属しているテストユーザー(test_user1)のID/パスワードを指定し「サインイン」を選択します。

Slide 100

Slide 100 text

Slide 101

Slide 101 text

動作確認 Copyright © 2025, Oracle and/or its affiliates 101 9）開いているブラウザシークレットウィンドウをすべて閉じ、新規にブラウザシークレットウィンドウを開き、販売サンプルアプリケーションのURLに再度アクセスします。 URL(例)：https://g884・・・・・・c-db2・・・・・・・・・・・・・051.adb.ap-tokyo-1.oraclecloudapps.com/ords/f?p=106 ※アプリケーションの番号↑ アイデンティティ・ドメインのログイン画面にて、グループ「APEX_User」に属していないテストユーザー(test_user2)のID/パスワードを指定し「サインイン」を選択します。

Slide 102

Slide 102 text

動作確認 Copyright © 2025, Oracle and/or its affiliates 102 10）セキュアな検証の有効化画面にて「セキュアな検証の有効化」を選択します。 ※テストユーザー(test_user2)はまだMFA要素が未登録であるため本画面が表示されます。 MFA要素の選択画面にて「電子メール」を選択します。 ※上記にて作成したサインオンポリシーにて要素として「電子メール」のみ選択したため、選択肢は「電子メール」のみになります。

Slide 103

Slide 103 text

動作確認 Copyright © 2025, Oracle and/or its affiliates 103 11）テストユーザーのメールアドレスに通知「One-Time Passcode for accessing your Cloud account in ＜テナンシ名＞」が届いていることを確認し、本文中のパスワードコードをブラウザ画面のコード部分に入力し、「電子メール・アドレスの確認」を選択します。