Oracleデータベースのユーザープロビジョニングとデプロビジョニング
Oracleデータベースのユーザープロビジョニングとは何ですか？
Oracleデータベースのユーザープロビジョニング 自動化されたソリューションです IDアクセス管理（IAM) また、さまざまな Oracle DB インスタンス (11g、12c、18c+) にわたるユーザーデータの保守も行います。 Oracle Database プロビジョニングユーザーがデータベースに作成（新規採用）、更新（役割変更）、または削除（退職）されるたびに、関連する Oracle Database アクセスは外部ディレクトリと自動的に同期され、統合アプリケーションは最新の変更に応じて権限とアクセスを付与します。ユーザー同期とデータ同期は、 ユーザープロビジョニング.
プロビジョニング解除とは、データベースからユーザーが削除されるたびに、Active Directory、Google、AWSなどのすべてのリソースとサービス、またはさまざまな統合された下流アプリケーションや対象システムからユーザーのアクセス権限を自動的に削除することです。Oracle DB ユーザーのプロビジョニング解除は、miniOrange への不正アクセスによる深刻なセキュリティリスクを軽減するのに役立ちます。miniOrange は、ユーザーがチームや組織を離れるときに、Oracle Database ユーザーのユーザーアカウントを自動的にプロビジョニング解除します。
この手順ガイドは、Oracle Database のユーザープロビジョニングを構成して、統合されたすべてのアプリケーションでのプロビジョニングを自動化するのに役立ちます。
miniOrangeと異なるデータベース間のユーザープロビジョニング
Oracle DBとminiOrange IdP間のユーザー同期を設定するには、主に3つの手順があります。それらは以下のとおりです。
- A: miniOrange IdPにOracleデータベースを外部ディレクトリとして追加する
- B：ユーザープロビジョニングのためのクエリの設定
- C: ユーザープロビジョニングと属性マッピングの設定
Oracleデータベースのユーザープロビジョニング／デプロビジョニングを設定するための以下のスキーマを検討してください。このスキーマは、シンプルなデータベースのオプション設定方法を説明するために使用しています。この例を参考に、独自のOracleデータベースをminiOrangeの外部ディレクトリとして設定することもできます。
セットアップ例:
| データベースの種類 |
Oracle DB 12c |
| データベース名 |
APPSDB |
| データベースJDBC URL（Oracle用） |
jdbc:oracle:thin:@serverdomain:1521/APPSDB |
| ユーザー情報が保存されるテーブル |
USERS |
ユーザーテーブルの説明:
| コラム |
タイプ |
詳細説明 |
| USERNAME |
VARCHAR |
ユーザー名列 |
| PASSWORD |
VARCHAR |
ユーザーのパスワードを保存します。ユーザー作成時にデフォルトのパスワードを保存します。 |
| ファーストネーム |
VARCHAR |
ユーザーの名 |
| 苗字 |
VARCHAR |
ユーザーの姓 |
| 電子メールアドレス |
VARCHAR |
ユーザーのメールアドレス |
A. miniOrange IdPにOracleデータベースを外部ディレクトリとして追加する
- ステップ1～3を参照してください この文書 Oracleデータベースを追加するには。
B. Oracleデータベースのユーザープロビジョニングクエリを構成する
ユーザープロビジョニングは、インバウンド（Oracle DBからminiOrangeへ）とアウトバウンド（miniOrangeからOracle DBへ）の2つの方向で構成できます。
インバウンドプロビジョニングはユーザーのインポートを扱い、アウトバウンドプロビジョニングはユーザーの作成/削除/更新を扱います。どちらの場合も、属性マッピングが必要です。データベースの列とminiOrange IdPの属性間の属性マッピングは、特別な表記法を使用して行われます。列の値は、この表記法を使用してminiOrange IdPによって推測されます。
- Oracleデータベースのユーザープロビジョニングを設定するには、まず「外部ディレクトリ」セクションに移動する必要があります。ここには、設定済みの外部ディレクトリの一覧が表示されます。
- 構成済みの Oracle データベースの近くにあるドロップダウンをクリックして、 編集.
- これにより、設定済みの外部ディレクトリの編集ページが開きます。
- これで、必要なプロビジョニング機能をすべて設定する準備が整いました。
1. ユーザーのインポート
- これはインバウンドプロビジョニングの例です。ユーザーはデータベースからminiOrangeのデフォルトの外部ディレクトリにインポートされます。選択する属性は、データベースの属性セクションでユーザー ストアとして指定されます。miniOrangeのデフォルトのユーザー ストアにインポートしてユーザーにマッピングする各属性（ユーザー名とパスワードを除く）について、SELECT クエリを指定する必要があります。
- ユーザー名とパスワードの列値に対してSELECTクエリを指定する必要はありません。データベースをユーザーストアとして設定する際に使用した列名を使用して、自動的にインポートされます。
- ユーザー ストアの編集ページで、データベース属性を追加するオプションが表示されるまで下にスクロールしてください。
- 必要な数だけ入力フィールドを追加してください。この例では、USERNAME 列と PASSWORD 列を除き、FIRSTNAME、LASTNAME、EMAIL_ADDRESS の 3 つのデータベース列を使用します。これらの列に対するクエリは次のようになります。
- 名で検索 →
SELECT ‘##FIRSTNAME##’, FIRSTNAME FROM USERS WHERE USERNAME=?
- 姓で検索 →
SELECT ‘##LASTNAME##’, LASTNAME FROM USERS WHERE USERNAME=?
- メールアドレスを検索 →
SELECT ‘##EMAIL_ADDRESS##’, EMAIL_ADDRESS FROM USERS WHERE USERNAME=?
- クエリ内の [ '##COLUMN_NAME##', COLUMN_NAME ] という表記は、一意のユーザー名識別子に基づいて、データベースの列の値でこのフィールドを埋める必要があることを miniOrange に伝えます。
- クエリの追加が完了すると、設定は次のようになります。
2. ユーザーを確認する
- このクエリは、特定のユーザーが既にデータベースに存在するかどうかを確認するために使用されます。既にデータベースに存在するユーザーは、再度作成されません。このクエリの構造は、一意のユーザーを定義するテーブル内のすべての列をチェックするようにする必要があります。
- 今回の例では、USERNAME列の値をminiOrangeの該当フィールドと比較します。
SELECT * FROM USERS WHERE USERNAME='##USERNAME##'
3. ユーザーを作成する
- これらのクエリは、miniOrangeでユーザーが作成されるたびに、データベースにユーザーを作成します。クエリには適切な列名を含める必要があります。ここでは、パスワードはデフォルトの文字列に設定されています（後で変更する必要があります）。
- これらのクエリは、miniOrange IdPからOracle DBにマッピングする必要のある属性を指定するために、同じ表記法を使用しています。これは、アウトバウンドプロビジョニングの一例です。
- この例では、miniOrange から新しく作成されたユーザーのユーザー名、名、姓、およびメールアドレスをデータベースに同期します。また、デフォルトのパスワード文字列 ('defaultPassword123#') を Oracle DB に渡します。
INSERT INTO USERS (USERNAME, PASSWORD, FIRSTNAME, LASTNAME, EMAIL_ADDRESS) VALUES
('##USERNAME##', 'defaultPassword123#', '##FIRSTNAME##','##LASTNAME##','##EMAIL_ADDRESS##')
- この例では、[ '##USERNAME##', '##FIRSTNAME##', '##LASTNAME##' ] という文字列が、miniOrange で新しく作成されたユーザーのユーザー名、名、姓の値に置き換えられます。
4. ユーザーの更新
- これらのクエリは、miniOrangeで関連するユーザー情報が変更されるたびに、データベース内のユーザー情報を更新します。これは、アウトバウンドプロビジョニングの一例です。
- この例では、miniOrangeで更新がトリガーされると、特定のユーザーのすべてのフィールドがデータベース内で更新されます。ユーザー名の値はminiOrangeでは変更できないため、WHERE句で使用されています。
UPDATE USERS SET FIRSTNAME='##FIRSTNAME##', LASTNAME='##LASTNAME##',EMAIL_ADDRESS='##EMAIL_ADDRESS##' WHERE USERNAME='##USERNAME##'
- この例では、miniOrangeとデータベースの両方でユーザー名が同じであるユーザーの情報のみが更新されます。
5。 ユーザーを削除する
- これらのクエリは、miniOrangeでユーザーが削除されるたびに、データベースからユーザーを削除します。これは、アウトバウンドプロビジョニングの一例です。
- この例では、データベースから、ユーザー名列の値がminiOrangeのユーザー名フィールドの値と一致するユーザーを削除します。
DELETE FROM USERS WHERE USERNAME='##USERNAME##'
- この例では、データベースとminiOrangeの両方でユーザー名、名、姓が完全に一致するユーザーのみがデータベースから削除されます。
必要な値を入力したら、下にスクロールして「保存」をクリックし、現在の設定を保存してください。
C. ユーザープロビジョニングと属性マッピングの設定
Oracle DBを外部ディレクトリとして正常に設定し、受信および送信プロビジョニングに必要なすべてのクエリを入力しました。次に、データベースのユーザープロビジョニングを有効にするために、ユーザープロビジョニングセクションを設定する必要があります。
1. Oracle Databaseをデフォルトの外部ディレクトリとして設定する
- 外部ディレクトリのセクションに移動してください。設定済みのすべての外部ディレクトリの一覧が表示されます。パートAで設定した外部ディレクトリが表示されているかどうかを確認してください。
- データベースエントリのドロップダウンをクリックして、 デフォルトにする.
- 上記の手順を完了すると、次の成功メッセージが表示され、データベースがデフォルトの外部ディレクトリとして設定されます。
2. ユーザープロビジョニングセクションに移動します。
- 選択 プロビジョニング 左側のナビゲーションにあります。
- ドロップダウンから、選択します データベース.
- パートBで設定したデータベース属性が表示されているはずです。これらのデータベース属性はまだマッピングされていないため、「miniOrange Attributes」列の値は空白になっています。
3. miniOrangeでデータベース属性をそれぞれのフィールド名にマッピングします。
- Oracleデータベースの属性は、3種類の属性にマッピングできます。
- デフォルトのユーザープロファイル属性
- カスタムユーザープロファイル属性
- カスタム属性
- この例では、データベース用に設定されているすべてのフィールドが、デフォルトのユーザープロファイル属性にマッピングされています。
- データベース属性がデフォルトユーザープロファイル属性にマッピングされている場合、デフォルト属性のリストが表示されます。
- miniOrange IdP 内の必要な属性をすべて対応する値にマッピングします。この例では、マッピングは次のようになります。
4. プロビジョニング機能を有効にする
- ここでは、Oracleデータベースで有効にするプロビジョニング機能を選択する必要があります。
- 必要に応じて、これらの機能の一部またはすべてを選択できます。この例では、基本的な受信および送信プロビジョニング機能を選択します。
5. データベース構成を保存します
- データベース属性をminiOrange IdP属性にマッピングし、必要な機能を有効にしたら、この設定を保存できます。すべてが正しく設定されていれば、次の成功メッセージが表示されます。
6. テスト構成
- プロビジョニング機能を有効にした操作のいずれかを実行することで、設定をテストできます。この例では、OracleデータベースのユーザーをminiOrangeにインポートすることでテストを行います。
- 当初、データベースには以下のユーザーが存在していました。
- miniOrangeに登録されているユーザーは以下の通りです。
- 次に、Oracle DBからminiOrangeにユーザーをインポートします。プロビジョニング→ユーザーのインポートに移動し、 データベース をドロップダウンから選択します。
- ソフトウェアの制限をクリック インポート設定が正しく行われていれば、次のメッセージが表示されます。「ユーザーのインポートに成功しました」
- インポートが成功したかどうかは、「ユーザー」→「ユーザーリスト」に移動することで確認できます。
プロビジョニングレポートの表示
プロビジョニング レポートにアクセスするにはどうすればいいですか?
- MFAデバイスに移動する レポート 左側のナビゲーションパネルで、 プロビジョニング、および選択 プロビジョニングレポート.
- 指定してレポートをフィルタリングする エンドユーザー識別子 (NAIST) と アプリケーション名 基準を選択します。さらに、希望する 期間 レポートの編集が完了したら、 検索 .
- または、直接クリックして 検索 特定のフィルターを適用せずに、時間に基づいてすべてのプロビジョニング レポートを取得します。
その他のリソース
