複数のOracle SaaSおよびPaaS環境でのアクセスの管理 (2024/10/01)

https://blogs.oracle.com/cloud-infrastructure/post/managing-access-across-multiple-oracle-cloud-envs

投稿者： Paul Toal | Field CISO, Senior Director

Oracle Cloud Infrastructure (OCI)での外部アイデンティティの使用について説明した前の記事では、ポイント統合を使用するのではなく、OCIへの単一エントリ・ポイントとしてOCI Identity and Access Management (IAM)を使用することをお薦めします。

IaaSおよびPaaSの複数の環境

この投稿では、この推奨事項を展開して、複数の環境がある場合にアーキテクチャにどのようにアプローチするかについて説明します。たとえば、エンタープライズ・リソース・プランニング(ERP)などのOCIアプリケーションをサブスクライブする場合、デフォルトで2つの環境をプロビジョニングします。1つは本番環境、2つ目はステージング環境です。また、多くのお客様が、開発やテストなどのために他の複数の環境をサブスクライブしています。異なるOCIサービスにサブスクライブする方法と時期によっては、複数のOCIテナンシが存在する場合もあります。次の例のアーキテクチャでは、オラクルのアプローチと推奨事項について説明します。

この例では、Oracle Fusion SaaSアプリケーションの5つのインスタンスを含む1つのOCIテナンシがあります。すべての環境におけるPlatform-as-a-Service (PaaSおよびIaaS)ワークロードを収容する別のOCIテナンシ。最後に、外部アイデンティティ・プロバイダがあります。

アイデンティティに対する正しいソリューション・アプローチを検討する場合は、次の要因を考慮してください。

• 分離: 環境に変更を加えると、他の環境に影響を与えずに、ある環境で変更を行うことが重要です。
• 管理制御: 異なる管理者および管理グループが異なる環境を制御できるようにする機能。
• セキュリティ・コンプライアンス: 開発から本番への不正アクセスの防止など、規制コンプライアンスの遵守に役立つソリューションを設計します。

次の推奨アーキテクチャは、これらの考慮事項のそれぞれに対処するのに役立ちます。

アプリケーションIDは、本番(PROD)、テスト(TEST)および開発(DEV)の3つの個別のOCI IAMアイデンティティ・ドメインに分割されています。これらのドメインは、すべての新しいテナンシで提供されるデフォルトのアイデンティティ・ドメインに追加されます。本番のSoftware-as-a-Service (SaaS)、PaaSおよびIaaSリソースはすべて、PRODアイデンティティ・ドメインと統合されています。すべてのテスト用SaaS、PaaSおよびIaaSリソースがTESTアイデンティティ・ドメインと統合され、他のすべての非本番用SaaS、PaaSおよびIaaS環境がDEVアイデンティティ・ドメインと統合されます。3つのアイデンティティ・ドメインはそれぞれ、外部アイデンティティ・プロバイダのそれぞれのアイデンティティ環境と統合されます。

デフォルトのアイデンティティ・ドメインは、OCIテナンシ管理用に予約されています。OCI管理者は、テナンシの構成を管理するためにデフォルト・ドメインを認証し、コンピュート、ストレージ、ネットワーキング、セキュリティなどのOCIリソースの管理者を割り当てます。アプリケーション・ユーザーをデフォルト・ドメインに追加しないでください。また、ドメインのアイデンティティ管理者以外にも、OCI管理ユーザーをPROD、TESTおよびDEVドメインに追加しないでください。これらの割当てにより、OCI管理ユーザーとアプリケーション・ユーザーの間に明確な分離が生じ、異なる環境間でアプリケーション・ユーザーが明確に分離されます。

テナンシがOracle Identity Cloud Service (IDCS)からOCI IAMアイデンティティ・ドメインに移行されている場合は、デフォルト・ドメインに加えて、OracleIdentityCloudServiceドメインも取得します。この場合、ゲスト・ブログを確認してください: IDCS移行テナンシのOCI IAMに関する5つの考慮事項。これらの環境に関する考慮事項について説明します。

まとめ

より設計上の考慮事項と、このアーキテクチャに対する調整の可能性を必要とするエッジ・ケースは常に存在します。ただし、このブループリントは、OCIのアイデンティティ管理戦略についてお客様と話し合う際の出発点として機能し、現在はお客様のものでもあります。

この情報が役に立つことを願っています。Oracle Cloud Infrastructureの詳細を読むことも、無料トライアルにサインアップすることもできます。さらに、OCI IAMの詳細はこちらをご覧ください。