はじめに

Identity Domainsが使えるアカウントを触る機会があったので、いろいろと試しています。
今回は、MFA(多要素認証)を試します。

従来のように、IDCSとOCI IAMが分離している場合は、IDCS側のMFAは無償では使えなかったので、OCI側でMFAを有効にするパターンも多かったのではないかと思います。

Identity Domainsになって、IDCSとOCI IAMが統合したことにより、IDCSの高機能なMFAを無償で使えるようになりました。
(SMS認証のみ無償のFreeタイプでは利用できません)

※赤枠がFreeで利用可能な機能。緑枠がMFA

結果

高機能になった分、従来のOCI IAMの設定とはかなり変わったように思います。
今回、OCI IAMのようにMobile Authenticatorアプリ(Oracle Mobile Authenticatorを利用しました) を利用して試しました。

OCI IAMはパスコードのみ対応していたと思いますが、プッシュ通知に対応しているため、「許可」ボタンを押すだけでいいのは楽でいいです。またデバイスを複数登録できるのも便利になったなと思います。

ドメイン管理者でOCIにログインして、ドメインの設定画面に移動

「セキュリティ」リンクを選択

「MFA」リンクを選択して、「モバイル・アプリケーション・パスコード」と「モバイル・アプリケーション通信」のチェックを付けて、「変更の保存」ボタンを押下

ドメインの設定画面から、「セキュリティ」リンクを選択

「サインオン・ポリシー」のリンクを選択。Default-Sign-On Policyを押下

「Default Sign-On Rule」を編集します

「追加ファクタの要求」にチェックし、「指定されたファクタのみ」を選択して「モバイル・アプリケーション・パスコード」と「モバイル・アプリケーション通知」を選択します

登録は、「必須」で設定してみます

MFAを有効化後に、MFA設定していないユーザを使用してドメインにログインします。

登録を「必須」にしたため、MFAデバイスを登録していない場合、MFAの登録画面に遷移します。

スマホにインストールしたAuthenticatorを使ってQRコードを読み取ります

正常に登録されたら、「完了」を押下します

一度ログアウトして、再度ログインしてみます。

ログイン後、以下の画面になります

登録したスマホからAuthenticator (Oracle Mobile Autheticatorを使いました)を起動すると、プッシュ通知が届くので、「許可」ボタンを押すと、OCIにログインできます。

↓は、スマホのAuthenticatorアプリの画面です

登録するデバイスが1つだけだと、紛失時に困ったことになってしまうので、もう一つデバイスを追加してみます。

再度、「マイ・プロファイル」画面に遷移します

「セキュリティ」ボタンを押します

別のスマホ端末から、Auhtenticatorを起動してQRコードを読み込みます。

追加されました。

もう一度ログインしてみます。

ログイン後、最初に登録したデフォルトの端末にプッシュ通知が送信されます。「変わりのログイン方法を表示」を開いて、

追加で登録したデバイスへのプッシュ通知を選択します

追加登録したデバイスにプッシュ通知が届くので、「許可」ボタンを押してログインできることを確認します。

できました！