必要なアクション: OIC統合の起動に使用されるOracleプロビジョニング済クライアント資格証明の置換 (2026/08/18)

必要なアクション: OIC統合の起動に使用されるOracleプロビジョニング済クライアント資格証明の置換 (2026/08/18)

https://blogs.oracle.com/integration/action-required-replace-oracle-provisioned-client-credentials-used-to-invoke-oic-integrations

投稿者：Ravi Pinto | Director, Product Management, Oracle Integration

Oracle Cloud ServicesアプリケーションからOracleのクライアントIDとクライアントシークレットを使用してOracle Integration（OIC）フローを呼び出しているお客様は、お客様自身が作成した機密アプリケーションに移行する必要があります。

OCI は、Oracle がプロビジョニングした Oracle Cloud Services アプリケーションのクライアント シークレットを表示しなくなりました。以前に取得したシークレットはローテーションされ、使用できなくなります。呼び出し元のアプリケーションがこれらの認証情報のいずれかをまだ使用している場合、OAuth アクセス トークンを取得できなくなり、OIC の呼び出しが失敗する可能性があります。

影響を受けるのは誰ですか？影響を受けるOC1 IDドメインの管理者で、外部アプリケーション、スクリプト、APIゲートウェイ、またはCI/CDジョブがOracleがプロビジョニングしたアプリケーションの認証情報を使用している場合です。これらのアプリケーションを内部的に使用するOracleサービス、および顧客が既に作成しているアプリケーションは影響を受けません。

Oracle Integrationのオーケストレーションにとって、これがなぜ重要なのか？

OIC RESTトリガーはOAuthで保護できます。サービス間呼び出し元は通常、OAuth 2.0クライアント認証情報付与を使用します。つまり、クライアントIDとクライアントシークレットをアイデンティティドメイントークンエンドポイントに提示し、アクセストークンを受け取って、そのトークンをOICエンドポイントに送信します。

クライアントシークレットがOracleがプロビジョニングしたOracle Cloud Servicesアプリケーションから取得された場合、シークレットローテーションによってその認証情報が無効になります。呼び出し元はトークンを取得できないため、OICリクエストは成功しません。これは呼び出し元の認証情報に関する問題であり、OICエンドポイントの変更によるものではありません。

あなたがすべきこと

Oracle Cloud Serviceアプリケーションのクライアントシークレットを漏洩してしまった場合は、以下の手順を実行してください。

  1. 影響を受ける呼び出し元を特定します。クライアントIDとクライアントシークレットを使用してOICアクセストークンを要求するアプリケーション、スクリプト、APIゲートウェイ、およびCI/CDジョブを一覧表示します。各認証情報がOracleがプロビジョニングしたアプリケーションから生成されたものか、顧客が作成した統合アプリケーションから生成されたものかを確認します。
  2. 顧客所有のクライアント アプリケーションを作成します。OCIコンソールで、該当する ID ドメインを開き、[統合アプリケーション]を選択してから、[アプリケーションの追加]、[機密アプリケーション]を選択します。環境固有の明確な名前を使用しますoic-invoker-prod。
  3. OAuth を設定します。アプリケーションをクライアントとして設定し、サービス間呼び出し元に対してクライアント資格情報を有効にし、クライアントタイプが機密であることを確認します。
  4. OICスコープを追加します。トークン発行ポリシーで、対象インスタンスのOracle Integrationアプリケーションを承認済みリソースとして追加します。urn:opc:resource:consumer::allと を選択しますic/api/。
  5. ServiceInvokerロールを割り当てます。Oracleクラウドサービスで、対象のOracle Integrationアプリケーションを開き、新しい機密アプリケーションをそのServiceInvokerアプリケーションロールに割り当てます。
  6. 認証情報を有効化して保護します。機密アプリケーションを有効化し、クライアントIDとクライアントシークレットを取得します。シークレットは、組織が承認したシークレット管理ソリューションにのみ保存し、ソースコード管理やログには絶対に保存しないでください。
  7. 各呼び出し元を更新してテストしてください。新しい認証情報を使用して、アイデンティティドメイントークンエンドポイントからトークンを要求し、本番環境への切り替えを完了する前に、各環境で代表的なOICエンドポイント呼び出しをテストしてください。

移行チェックリスト

チェック期待される結果
認証情報ソースを確認済み既存の認証情報は、Oracleによって提供されたものか、顧客によって作成されたものかが識別されます。
代替アプリが作成されました発信者および環境専用の機密アプリケーションが存在します。
OAuth設定済みクライアント認証情報と機密クライアントタイプは、必要に応じて有効化されます。
OICスコープが追加されましたurn:opc:resource:consumer::allそして、ic/api/対象となるOICアプリケーション向けに選定されます。
割り当てられたロール機密扱いの申請書には、OIC（責任者）のServiceInvoker役割が記載されています。
リークレットは安全に保管されていますクライアントシークレットは承認されたシークレットストアに保管され、コードやログには公開されません。
エンドツーエンドテストに合格しました呼び出し元はアクセストークンを取得し、目的のOICエンドポイントを呼び出す。
本番切り替え完了本番環境の呼び出し元は新しい認証情報を使用するため、プロビジョニングされたシークレットを参照しなくなります。

実装に関する注意事項

  • 開発、テスト、本番環境では、それぞれ別の機密アプリケーションと機密情報を使用してください。
  • 呼び出し元に一致するOAuthグラントを選択してください。クライアント資格情報は、機密性の高い非対話型サービスクライアント向けです。Oracleでは、その他のユースケース向けに別のグラントも提供しています。
  • 呼び出しに必要なスコープとロールのみを適用してください。
  • 切り替え前に、機密情報の所有権、保管方法、およびローテーションに関する計画を立ててください。
  • トークン要求は、OICエンドポイントとは別にテストしてください。ローテーションされたシークレットまたは無効なシークレットを使用すると、OICエンドポイントに到達する前にトークンが発行されません。

Oracleのドキュメント

Oracle Cloud ServicesアプリケーションからOracleのクライアントIDとクライアントシークレットを使用してOracle Integration（OIC）フローを呼び出しているお客様は、お客様自身が作成した機密アプリケーションに移行する必要があります。

コメント

コメントを投稿

このブログの人気の投稿

Oracle Database 19cサポート・タイムラインの重要な更新 (2024/11/20)

イメージ
Oracle Database 19cサポート・タイムラインの重要な更新 (2024/11/20) https://mikedietrichde.com/2024/11/20/important-update-to-oracle-database-19c-support-timelines/ 長い沈黙は、私が隠れているという意味ではありません。つまり、今はとても忙しいということです。そして、より少ない旅行で、私はあなたのコメントにもブログと返信するより多くの時間を持っていることを願っています。それでも、Oracle Database 19cサポート・タイムラインの非常に重要な更新について説明します。 * 更新された内容 2024年11月19日現在、Oracle Database 19cのサポート・タイムラインが調整されています。 MOSノート: 742060.1 – 現在のデータベース・リリースのリリース・スケジュールを見ると、新しい日付が表示されます。 Premier Support、2029年12月31日まで 2030年1月1日から2032年12月31日までの拡張サポート 2033年1月1日から2034年12月31日までのアップグレード・サポート これは知ることがとても大切です。 他のリリースの更新はありますか。 MOSノートの終わりにある変更ログ: 742060.1 – 現在のデータベース・リリースのリリース・スケジュールでは、Oracle Database 21cの最新の更新も確認できます。このリリースのPremier Support期間は、2027年7月31日まで延長されました。 また、Oracle Database 23aiのパッチ適用終了日は2032年12月31日に設定されています。 Lifetime Support Policy 更新は、Oracle Technology Productsの Oracle Lifetime Support Policy (6ページ)でも確認できます。 From: Oracle Lifetime Support Policy for Oracle Technology Product s – page 6 – Nov 19, 2024 特に、次の表に示す制限事項に注意してください。 Oracle Database 1...
続きを読む

ミリ秒の問題: BCCグループとOCIが市場データ・パフォーマンスを再定義する方法(AWSに対するベンチマークを使用) (2025/11/13)

イメージ
ミリ秒の問題: BCCグループとOCIが市場データ・パフォーマンスを再定義する方法(AWSに対するベンチマークを使用) (2025/11/13) https://blogs.oracle.com/cloud-infrastructure/post/milliseconds-matter-bcc-group-and-oci-vs-aws 投稿者： Steven Riley | Senior Cloud Architect William Bierds | Business Analyst and Systems Engineer - BCC Group International Travis Liles | Master Principal Cloud Architect Puru Patel | Cloud Architect - FSI これは、BCC グループと Oracle Cloud Infrastructure (OCI) 間の市場データ パートナーシップを紹介するブログ シリーズの第 2 部です。   はじめに 金融市場データアプリケーションは、トレーダー、金融機関、そして市場参加者が情報に基づいた意思決定を行えるよう、リアルタイムデータを提供することで、取引エコシステムにおいて重要な役割を果たしています。 前回のブログ で述べたように、取引環境において最適なパフォーマンスを確保するには、市場データを超低レイテンシかつ高い信頼性で配信する必要があります。 今日の急速に変化する金融市場において、クラウドは市場データ・アプリケーションにとって強力な推進力として台頭しています。適切なネットワークとインフラストラクチャがあれば、企業は実行時間の短縮、可用性の向上、そして堅牢なセキュリティを実現できます。しかし、企業によるクラウド導入は遅れており、ワークロードのクラウド移行計画を中止しているケースもあります。そこで、BCCグループとOracle Cloud Infrastructure（OCI）のパートナーシップが注目されています。 BCCグループは、主力市場データアプリケーションであるONE PlatformをOCI上に導入しました。このブログでは、以下の点について説明します。 このパートナーシップがなぜこれほど相乗効果をもたらすのかを探る OC...
続きを読む

OCI Object Storageアクセス制御ポリシーの構成 (2024/04/25)

イメージ
OCI Object Storageアクセス制御ポリシーの構成 (2024/04/25) https://blogs.oracle.com/cloud-infrastructure/post/configuring-oci-object-storage-access-control-policies 投稿者： Ashutosh Mate | Sr. Principal Solutions Architect Oracle Cloud Infrastructure (OCI) Identity and Access Management (IAM)ポリシーは、OCI Object Storageサービスのデータを含むOCIリソースへのアクセスを制御するために使用される強力なツールです。OCI IAMポリシーは、常に直感的に構成できるわけではないため、このブログ投稿では、OCI IAMポリシーを使用してOCI Object Storageのバケットおよびオブジェクトへのアクセスを制御する方法について説明します。正確なポリシーを設定するのに役立つサンプル・ポリシーとヒントを提供します。 OCI Object Storageを保護するためのポリシーの使用 に関する記事を読んで、基本的な知識を身に付けましょう。この投稿では、OCIオブジェクト・ストレージを保護するための特定のアクセス制御ポリシー設定について説明します。 概要 OCI IAMポリシーにより、OCIクラウド・リソースへの安全なアクセスが可能になります。OCI IAMポリシーでは、なんらかのアクションを実行できます。クラウド・リソースには暗黙的な拒否設定があります。つまり、ポリシーがリソースに適用されるまでは、デフォルトではアクションは許可されません。次の基本的なポリシー構文では、アクションが許可されます。 Allow <subject> to <verb> <resource-type> in <location> where <conditions> 図1: ポリシー形式 subject subjectは、動詞で説明されているアクションを実行できるユーザーを指定します。ポリシー・サブジェクトはグループである必要があります。セキュリティ・プリンシパルま...
続きを読む