株式会社コーソル

コーソルDatabaseエンジニアのブログ

技術ブログ

OCIメモ IDCSからOCI IAM Identity Domainsへの自動アップグレード

Oracle ACE Proの渡部です。 ある特定の期間内に作成されたOCIテナントでは、認証基盤としてIAMとIDCSを併用できました。 ただ、この仕組みは過渡的なものだったようで、IDCSは廃止され、その後継機能としてIAMアイデンティティドメインが導入されました。

IDCSを使用している既存のOCIテナントでは、あるタイミングでIDCSからIAMアイデンティティドメインへのアップグレードが実行されます。 このとき、IDCSで管理していたデータ（ユーザー、グループなど）は、IAMアイデンティティドメインに適切に移行されます。アップグレード後も、アップグレード前と原則的に同様に使用できます。

https://www.oracle.com/a/ocom/docs/security/what-idcs-customers-should-expect-post-migration-ja.pdf

  • 既存のユーザー、ポリシー、設定、アクセスへの影響はありません：既存のセキュリティ コントロールとポリシーは、引き続き期待通りに機能します。機能が削除されることも、ポ リシーの設定が変更されることもありません。セキュリティ設定やユーザーエクスペリエンスに 影響を与えることはありません。

アップグレード前と同様に使用できるということで、使用者としてはあまり気にする必要はないのですが、個人的に仕組みが気になったため、調べた結果をメモしておきます。

なお、IDCSが持つ機能が多数ありますが、弊社で使用している以下に限定して説明します。

  • IDCSユーザー
  • IDCSグループ
  • IDCSグループとIAMグループのグループマッピング

すなわち、上記以外のIDCS機能（SAMLやシングルサインオンなど）には触れません。

OCI IAMアイデンティティドメインとは

前提として、そもそもIAMアイデンティティドメインとは何かを簡単に整理します。

端的には以下のように理解できそうです。

  • OCI IAMに組み込まれたIDCSインスタンス相当のもの。ただし、マルチリージョン対応しており、従来のIDCSよりも「クラウド的」に実装されていると思われる
  • それぞれのIAMアイデンティティドメインで、別個に独立してIAMユーザー、グループを管理できる
  • 1つのOCIテナントに複数のIAMアイデンティティドメインを作成できる
  • どのOCIテナントにも"Default"という名前のIAMアイデンティティドメインがある

IDCS廃止時の移行措置

  • IDCSで管理されていた情報（IDCSユーザーなど）は、 OracleIdentityCloudServiceという名前のアイデンティティドメインに移行される
    • OracleIdentityCloudServiceアイデンティティドメインはルートコンパートメントに存在
  • IDCSグループとIAMグループ間のグループマッピングは、 OracleIdentityCloudServiceアイデンティティドメインのグループマッピングに移行される。
    • このグループマッピングは、OracleIdentityCloudServiceアイデンティティドメインのIAMグループと、DefaultアイデンティティドメインのIAMグループをマッピングする役割を持つ

参考資料

関連記事はありません

プロフィール

On7tWW6m1Ul4

渡部 亮太

・Oracle ACE
・AWS Certified Solutions Architect - Associate
・ORACLE MASTER Platinum Oracle Database 11g, 12c 他多数

カテゴリー

アーカイブ

一覧へ戻る