チュートリアル: Datawiza を構成して多要素認証 (MFA) を有効にし、Oracle Hyperion EPM にシングル サインオンする

  • [アーティクル]

このチュートリアルを使用して、Datawiza アクセス プロキシ (DAP) を使用して Oracle Hyperion Enterprise Performance Management (EPM) に対して Microsoft Entra 多要素認証とシングル サインオン (SSO) を有効にします。

詳細については、datawiza.com を参照してください。

DAP を使用してアプリケーションを Microsoft Entra ID と統合する利点:

シナリオの説明

このシナリオでは、保護されたコンテンツへのアクセスを管理するために HTTP Authorization ヘッダーを使用する Oracle Hyperion EPM 統合に重点を置いています。

レガシ アプリケーションでは最新のプロトコルがサポートされていないため、Microsoft Entra SSO との直接的な統合は困難です。 Datawiza Access Proxy (DAP) では、プロトコル遷移によって従来のアプリケーションと最新の ID コントロール プレーンとの間のギャップを橋渡しします。 DAP を使用すると、統合のオーバーヘッドが軽減され、エンジニアリングにかかる時間が短縮され、アプリケーションのセキュリティが向上します。

シナリオのアーキテクチャ

このソリューションには、次のコンポーネントがあります。

  • Microsoft Entra ID - ユーザーが外部と内部のリソースにサインインしてアクセスするのを助ける、ID とアクセスの管理サービス
  • Datawiza アクセス プロキシ (DAP) - ユーザー サインイン フロー用に OpenID Connect (OIDC)、OAuth、または Security Assertion Markup Language (SAML) を実装するコンテナー ベースのリバース プロキシ。 HTTP ヘッダーを介して ID をアプリケーションに透過的に渡します。
  • Datawiza Cloud Management Console (DCMC) - 管理者は、DAP とアクセス制御ポリシーを構成するために UI API と RESTful API を使用して DAP を管理します。
  • Oracle Hyperion EPM: Microsoft Entra ID と DAP によって保護されるレガシ アプリケーション

Microsoft Entra 認証アーキテクチャを使用した Datawiza でサービス プロバイダーによって開始されるフローについてご確認ください。

前提条件

次の前提条件が満たされていることを確認してください。

DAP の使用を開始する

Oracle Hyperion EPM を Microsoft Entra ID と統合するには:

  1. Datawiza Cloud Management Console (DCMC) にサインインします。

  2. [ようこそ] ページが表示されます。

  3. オレンジ色の [作業の開始] ボタンを選択します。

    スクリーンショットは [使用を開始する] ボタンを示しています。

  4. [デプロイ名] の [名前] フィールドと [説明] フィールドに情報を入力します。

    スクリーンショットは [名前] および [説明] フィールド、さらに [次へ] ボタンを示しています。

  5. [次へ] を選択します。

  6. [アプリケーションの追加] ダイアログが表示されます。

  7. [プラットフォーム] で、[Web] を選択します。

  8. [アプリ名] に一意のアプリケーション名を入力します。

  9. [パブリック ドメイン] に、たとえば https://hyperion.example.com を使用します。 テストでは、localhost DNS を使用できます。 ロード バランサーの内側に DAP をデプロイしていない場合は、パブリック ドメイン ポートを使用します。

  10. [リッスン ポート] で、DAP でリッスンされるポートを選択します。

  11. [アップストリーム サーバー] で、保護する Oracle Hyperion 実装の URL とポートを選択します。

  12. [次へ] を選択します。

  13. [アプリケーションの追加] で、情報を入力します。 [パブリック ドメイン]、[リッスン ポート]、[アップストリーム サーバー] のエントリ例を確認してください。

  14. [次へ] を選択します。

  15. [IdP の構成] ダイアログで、関連情報を入力します。

Note

Datawiza Cloud Management Console (DCMC) の [ワンクリック統合] を使用して、構成を完了します。 DCMC が、Microsoft Graph API を呼び出して、Microsoft Entra テナントでお客様に代わってアプリケーション登録を作成します。

  1. ［作成］ を選択します

  2. DAP デプロイ ページが表示されます。

  3. デプロイ用の Docker Compose ファイルを書き留めておきます。 このファイルには DAP イメージが含まれています。また、プロビジョニング キーとプロビジョニング シークレットも含まれていて、DCMC から最新の構成とポリシーをプルします。

    スクリーンショットは DAP デプロイ ページを示しています。

  4. 完了 を選択します。

SSO ヘッダーと HTTP ヘッダー

DAP では ID プロバイダー (IdP) からユーザー属性が取得され、ヘッダーまたは Cookie を使用してアップストリーム アプリケーションに渡されます。

次の手順では、Oracle Hyperion EPM アプリケーションがユーザーを認識できるようにします。 名前を使用して、HTTP ヘッダーを介して IdP からアプリケーションに値を渡すように DAP に指示します。

  1. 左側のナビゲーションから、[アプリケーション] を選択します。

  2. 作成したアプリケーションを特定します。

  3. [属性パス] サブタブを選択します。

  4. [フィールド] で、[Email] を選択します。

  5. [予想] で、[HYPLOGIN] を選択します。

  6. [種類] で、[ヘッダー] を選択します。

    スクリーンショットは [Attribute Pass] (属性パス) タブを示しています。

    Note

    この構成では、Oracle Hyperion によって使用されるサインイン ユーザー名として Microsoft Entra ユーザー プリンシパル名を使用します。 別のユーザー ID については、[マッピング] タブに移動します。

    スクリーンショットはユーザー プリンシパル名を示しています。

SSL の構成

次の手順を使用して SSL を構成します。

  1. [詳細] タブを選択します。

    スクリーンショットは [詳細] タブを示しています。

  2. [SSL] タブで、[SSL を有効にする] を選択します。

  3. [証明書の種類] ドロップダウンで、種類を選択します。 テスト用として、自己署名証明書があります。

    スクリーンショットは [Cert Type] (証明書の種類) ドロップダウンを示しています。

    Note

    ファイルから証明書をアップロードできます。

    スクリーンショットは [詳細設定] にある [オプションの選択] の [ファイル ベース] エントリを示しています。

  4. [保存] を選択します。

ログイン リダイレクト URI とログアウト リダイレクト URI

ログイン リダイレクト URI とログアウト リダイレクト URI を示すには、次の手順に従います。

  1. [詳細オプション] タブを選択します。

  2. [ログイン リダイレクト URI] と [ログアウト リダイレクト URI] については、「/workspace/index.jsp」と入力します。

    スクリーンショットは [Login Redirect URI (ログイン リダイレクト URI) および [Logout Redirect URI] (ログアウト リダイレクト URI) フィールドを示しています。

  3. [保存] を選択します。

Microsoft Entra 多要素認証を有効にする

サインインのセキュリティを強化するために、Microsoft Entra MFA を適用することができます。

詳細については、「チュートリアル: Microsoft Entra MFA を使用してユーザー サインイン イベントをセキュリティで保護する」をご確認ください。

  1. アプリケーション管理者ロールとして、Azure portal にサインインします。
  2. [Microsoft Entra ID]>[管理]>[プロパティ] を選択します。
  3. [プロパティ] で、[セキュリティの既定値の管理] を選択します。
  4. [セキュリティの既定値群を有効にする] で、[はい] を選択します。
  5. [保存] を選択します。

Oracle Hyperion Shared Services コンソールで SSO を有効にする

Oracle Hyperion 環境で SSO を有効にするには、次の手順に従います。

  1. 管理者のアクセス許可を使用して Hyperion Shared Service コンソールにサインインします。 たとえば、http://{your-hyperion-fqdn}:19000/workspace/index.jsp のようにします。

  2. [移動]、[Shared Services コンソール] の順に選択します。

    スクリーンショットは [Shared Service Console] (共有サービス コンソール) オプションを示しています。

  3. [管理]、[ユーザー ディレクトリの構成] の順に選択します。

  4. [セキュリティ オプション] タブを選択します。

  5. [シングル サインオン構成] で、[SSO を有効にする] チェック ボックスをオンにします。

  6. [SSO プロバイダーまたはエージェント] ドロップダウンから、[その他] を選択します。

  7. [SSO メカニズム] ドロップダウンから、[カスタム HTTP ヘッダー] を選択します。

  8. 次のフィールドに、セキュリティ エージェントが EMP に渡すヘッダー名である「HYPLOGIN」を入力します。

  9. [OK] を選択します。

    スクリーンショットは [Configure User Directories] (ユーザー ディレクトリの構成) オプションと [セキュリティ オプション] タブを示しています。

EMP ワークスペースでログオフ後に URL 設定を更新する

  1. [移動] を選択します。

  2. [管理] で、[ワークスペースの設定]、[サーバー設定] の順に選択します。

    スクリーンショットは [ワークスペース設定] および [サーバー設定] オプションを示しています。

  3. [ワークスペース サーバーの設定] ダイアログで、[ログオフ後の URL] について、ユーザーが EPM からサインアウトするときに表示される URL /datawiza/ab-logout を選択します。

  4. [OK] を選択します。

    スクリーンショットは [Post Logoff URL] (ログオフ後の URL) および [OK] ボタンを示しています。

Oracle Hyperion EMP アプリケーションをテストする

Oracle Hyperion アプリケーションのアクセスを確認するために、サインインに Microsoft Entra アカウントを使用するためのプロンプトが表示されます。 資格情報がチェックされ、Oracle Hyperion EPM のホーム ページが表示されます。

次のステップ