OCI IAM Microsoft Active Directoryブリッジの統合の問題のトラブルシューティング (2023/11/30)

https://blogs.oracle.com/cloud-infrastructure/post/integration-oci-iam-ms-active-directory-bridge

投稿者：Ranjini Rajendran | Senior Cloud Engineer

Oracle Cloud Infrastructure (OCI) Identity and Access Management (IAM)は、Microsoft Active Directory (AD)ブリッジを提供します。これにより、組織はアイデンティティの認可ソースとしてADを維持でき、それらのアイデンティティは、ADと直接統合されていないシステムおよびアプリケーションにアクセスできます。ブリッジは、オンプレミスAD環境とOCI IAM間の接続を確立します。この接続により、OCI IAMアイデンティティ・ドメインへの追加、更新または削除など、AD内のユーザーまたはグループ・レコードに対するすべての変更を同期できます。

Microsoft ADブリッジの初期設定中に発生した最も一般的なエラーは、同期に関連しています。このブログ投稿では、ソース・エンドポイントおよびターゲット・エンドポイントへの正常な接続の確立に役立つ重要な情報、ヒントおよび有用なリンクを提供します。続行する前に、「Microsoft Active Directory (AD)ブリッジについて」に記載されているガイドラインを確認して、ADブリッジ接続を設定することをお薦めします。

ユースケース1: グループが同期していない

潜在的な同期の問題の1つは、ユーザーが同期するが、対応するグループは同期しないことです。このような場合、ログに「ERROR IDBridge - GetResponseAsync: The server cannot handle directory requests」などのエラーが表示されることがあります。この問題に対処するには、Active Directory側のセキュアソケットレイヤー(SSL)構成を調べることをお勧めします。ADブリッジ・コネクタのインストール時に、SSLでADに接続できるように選択できます。後でコンソールからこの設定を変更することはできません。

ただし、次の形式でOracle REST APIを使用することで、このタスクを実行できます。SSLを一時的に無効化し、完全同期または増分同期を実行することで、問題を特定して解決できます。問題を解決した後、SSLを再度有効にできます。

/admin/v1/IdentitySources/appid

{
"schemas": [
   "urn:ietf:params:scim:api:messages:2.0:PatchOp"
],
"Operations": [
   {
     "op": "replace",
     "path": "sslEnabled",
     "value": false
   }
]
}

ユースケース2: Active Directoryドメインのネットワーク・レベルの分離

場合によっては、オンプレミス環境が単一のADドメインで構成され、開発者、QA、本番などの異なる環境がネットワーク・レベルで分離されることがあります。これらの各環境には、同期する必要があるユーザーやグループの独自のセットがあります。ただし、環境ごとに個別のADブリッジ・コネクタが必要な場合、このシナリオでは実行できません。ADブリッジはドメイン名のみを認識でき、これはすべての環境で同じままです。そのため、確立できるADブリッジ接続は1つのみです。

ユースケース3: 階層Active Directory構造

ルートADドメインおよび子ドメインを含む階層Active Directory構造があり、ルート・ドメインにADブリッジを構成している場合、子ドメインからユーザーおよびグループを取得する場合は、想定どおりに機能しないことがあります。これらのユーザーを同期するには、子ドメインごとにADブリッジを個別に構成する必要があります。

ユースケース4: ADブリッジの高可用性の構成

主な目的は、本番環境でADブリッジ構成の高可用性を有効にすることです。高可用性機能をアクティブ化するには、2つの異なるWindowsマシンにADブリッジを設定し、Oracleサポートでサービス・リクエストを送信する必要があります。高可用性が有効になっている場合でも、一方のドメイン・コントローラにアクセスできなくなった場合、もう一方のノードに接続するための自動ドメイン検出はありません。このような場合は、ADブリッジ・コネクタ・エージェントの「ドメイン・コントローラの検出」ボタンを使用して、手動検出を開始できます。

まとめ

これらの例は、Oracle Cloud Infrastructure IAM Microsoft ADブリッジの構成時に発生する可能性のあるいくつかのシナリオを示しています。これらのシナリオがトラブルシューティング時に役立つことを願っています。ADブリッジのインストールドキュメントを参照し、指示された手順に従うと、同期プロセスを正常に確立できます。詳細は、Oracle Identity Cloud Serviceのドキュメントを参照してください。