はじめに
今回はOracle Cloud Infrastructure（OCI）のIAM Identity DomainのAPI機能を使って
ユーザを作成し、そのユーザをグループに所属させるところまでをやってみたいと思います。
以前、似たような検証としてAPI Gatewayに認証をかけるということを
やってみたのでこちらも参考にしてみてください。
【OCI】IAM Identity Domainを使ってAPI Gatewayに認証を実装してみる
https://qiita.com/atwits/items/f4076c9f38167b1b6fa1
■今回のAPI機能検証の流れ
①IAM Identity Domainの設定 [*APIをコールするための統合アプリケーションの作成]
②トークン（JWT）の発行 [*APIで使用するための認証トークンの発行]
③ユーザ作成
④グループ検索 [*ユーザを追加するグループのIDを検索]
⑤グループへのユーザ追加
■公式ドキュメント
・トークン取得
https://docs.oracle.com/cd/E83857_01/paas/identity-cloud/rest-api/op-oauth2-v1-token-post.html
・ユーザー作成
https://docs.oracle.com/cd/E83857_01/paas/identity-cloud/rest-api/op-admin-v1-users-post.html
・グループ検索
https://docs.oracle.com/cd/E83857_01/paas/identity-cloud/rest-api/op-admin-v1-groups-id-get.html
・グループ更新（ユーザ追加）
https://docs.oracle.com/cd/E83857_01/paas/identity-cloud/rest-api/op-admin-v1-groups-id-patch.html
◆目次
1.IAM Identity Domainの設定
2.APIの動作検証
1. IAM Identity Domainの設定
それでは早速、IAM Identity Domainの設定に入りますが、
APIをコールするためには統合アプリケーションが必要なので
その設定を行います。
OCIにログインしたら、左上メニュー[Ξ]から
[アイデンティティとセキュリティ] - [ドメイン]を選択します。
次にOracleIdentityCloudServiceドメインを選択します。
ここでは後でAPIのエンドポイントとして使うため、
ドメインURLをコピー（保存）しておき、統合アプリケーションを選択します。
続いてアプリケーションの追加を実行します。
機密アプリケーションを選択して、ワークフローの起動を実行します。
任意の名前（ここではapp_jwt）をつけて次を押します。
「このアプリケーションをリソース・サーバーとして今すぐ構成します」の
ラジオボタンを選択します。
今回は特に使用しませんのでプライマリ・オーディエンスに任意の値を入れます。
そのまま「このアプリケーションをクライアントとして今すぐ構成します」の
ラジオボタンを選択します。
クライアント資格証明を選択します。
ここでは下記を選択します。
クライアント・タイプ: 機密
IDトークン暗号化アルゴリズム: A256CBC-HS512
クライアントIPアドレス: 任意の場所
認可されたリソース: すべて
さらに下にスクロールしてアプリケーション・ロールの追加から
「Identity Domain Administrator」を追加して次に進みます。
最後に「スキップして後で実行」を選択したまま、終了を実行します。
統合アプリケーションの作成が完了したらアクティブ化します。
下の方にスクロースするとクライアントID、クライアント・シークレットがあるので
コピーしておきます。
以上でIAM Identity Domain（統合アプリケーション）の設定は終了です。
2. APIの動作検証
それではAPIの動作検証をしてみます。
[1] トークン（JWT）の発行
最初にAPI実行で必要なアクセストークンを発行します。
[Method] POST
[Endpoint] <ドメインURL>/oauth2/v1/token
[Header]
Content-Type: application/x-www-form-urlencoded
Authorization: Basic <Base64認証値>
[Body]
grant_type=client_credentials&scope=urn:opc:idm:__myscopes__
ドメインURL 例. https://idcs-263db******.identity.oraclecloud.com
■Base64認証値の生成方法
例.
クライアントID: ABCDE
クライアント・シークレット: 12345
クライアント・シークレットを「:」でつなげた文字列を作成
→ ABCDE:12345
それをBase64エンコードしたもの
→ QUJDREU6MTIzNDU=
最終的なヘッダーは以下のようなイメージとなります。
Authorization: Basic QUJDREU6MTIzNDU=
上記設定した上でPOSTを実行すると下記のようなレスポンスが返ってきますので
このaccess_tokenをコピーしておきます。
{
"access_token": "eyJ4NXQcN5zdEKfw*****",
"token_type": "Bearer",
"expires_in": 3600
}
[2] ユーザ作成
前述の処理で発行したトークンをヘッダーのauthorization埋め込みます。
Body部分はパラメータが多いので詳しくは公式ドキュメントを参照して頂くとして、
項目としては以下４つくらいを意識して変更してください。
givenName: ファーストネーム
familyName: ラストネーム
userName: ログインID （メールアドレスと一緒にするケースが多い）
emails: メールアドレス
[Method] POST
[Endpoint] <ドメインURL>/admin/v1/Users
[Header]
Content-Type: application/json
authorization: Bearer <トークン>
[Body]
{
"schemas": [
"urn:ietf:params:scim:schemas:core:2.0:User"
],
"urn:ietf:params:scim:schemas:oracle:idcs:extension:user:User": {
"isFederatedUser": false
},
"name": {
"givenName": "FirstName",
"familyName": "LastName"
},
"userName": "xxxx@test.com",
"emails": [
{
"value": "xxxx@test.com",
"type": "work",
"primary": true
}
]
}
実行して処理が正常に完了するとユーザが作成されて次のような
レスポンスが返ってきますので、「id」の値をメモっておきます。
→ "id": "86546b***",
{
"idcsCreatedBy": {
"type": "App",
"display": "app_jwt",
"value": "81870d***",
"ocid": "ocid1.domainapp.oc1.ap-tokyo-1.***",
"$ref": "https://idcs-8b3cbe***.identity.oraclecloud.com:443/admin/v1/Apps/81870***"
},
"id": "86546b***",
"urn:ietf:params:scim:schemas:oracle:idcs:extension:user:User": {
"isFederatedUser": false,
"preferredUiLandingPage": "MyApps"
},
"meta": {
"created": "2025-01-23T17:15:17.724Z",
"lastModified": "2025-01-23T17:15:17.724Z",
"version": "12042348f9514415ae2e7863729d4dd2",
"resourceType": "User",
"location": "https://idcs-8b3cbe***.identity.oraclecloud.com:443/admin/v1/Users/86546***"
},
"active": true,
"displayName": "FirstName LastName",
"idcsLastModifiedBy": {
"value": "81870d***",
"display": "app_jwt",
"ocid": "ocid1.domainapp.oc1.ap-tokyo-1.amaaaa***",
"type": "App",
"$ref": "https://idcs-8b3cbe***.identity.oraclecloud.com:443/admin/v1/Apps/81870d***"
},
"name": {
"givenName": "FirstName",
"familyName": "LastName",
"formatted": "FirstName LastName"
},
"urn:ietf:params:scim:schemas:oracle:idcs:extension:userState:User": {
"locked": {
"on": false
}
},
"ocid": "ocid1.user.oc1..aaaaa***",
"userName": "xxxx@test.com",
"emails": [
{
"verified": false,
"primary": false,
"secondary": false,
"value": "xxxx@test.com",
"type": "recovery"
},
{
"verified": false,
"primary": true,
"secondary": false,
"value": "xxxx@test.com",
"type": "work"
}
],
"schemas": [
"urn:ietf:params:scim:schemas:core:2.0:User",
"urn:ietf:params:scim:schemas:oracle:idcs:extension:userState:User",
"urn:ietf:params:scim:schemas:oracle:idcs:extension:user:User"
],
"domainOcid": "ocid1.domain.oc1..aaaaa***",
"compartmentOcid": "ocid1.tenancy.oc1..aaaaa***",
"tenancyOcid": "ocid1.tenancy.oc1..aaaaa***",
"urn:ietf:params:scim:schemas:oracle:idcs:extension:capabilities:User": {
"canUseApiKeys": true,
"canUseAuthTokens": true,
"canUseConsolePassword": true,
"canUseCustomerSecretKeys": true,
"canUseOAuth2ClientCredentials": true,
"canUseSmtpCredentials": true,
"canUseDbCredentials": true
}
}
[3] グループ検索
続いてユーザを追加するグループのIDを検索します。
こちらもトークンはセットします。
[Method] GET
[Endpoint] <ドメインURL>/admin/v1/Groups
[Header]
Content-Type: application/json
authorization: Bearer <トークン>
実行すると下記のようなレスポンスが返りますが
今回はOCI_Administratorsグループにユーザを登録するので
「id」の値をメモっておきます。
→ "id": "f9477***",
{
"schemas": [
"urn:ietf:params:scim:api:messages:2.0:ListResponse"
],
"totalResults": 5,
"Resources": [
{
"displayName": "OCI_Administrators",
"idcsLastModifiedBy": {
"type": "App",
"value": "UnAuthenticated",
"display": "COMPUTEBAREMETAL",
"$ref": "https://idcs-8b3cbe***.identity.oraclecloud.com:443/admin/v1/Apps/UnAuthenticated"
},
"idcsCreatedBy": {
"type": "App",
"display": "COMPUTEBAREMETAL",
"value": "baefd2c10ac14dc7ba22ab9402e1f4b2",
"$ref": "https://idcs-8b3cbe9805e546f0b1b81078839f1b75.identity.oraclecloud.com:443/admin/v1/Apps/baefd2c10ac14dc7ba22ab9402e1f4b2"
},
"urn:ietf:params:scim:schemas:oracle:idcs:extension:group:Group": {
"description": "Group mapped to the Administrators group in the OCI account"
},
"id": "f9477***",
"ocid": "ocid1.group.oc1..aaaaaaaa7onqgwu6i7gniwj4zohwuf7o6kzj3hlwvhhtpo2rowoagg4a333q",
"meta": {
"created": "2019-12-30T12:15:28.646Z",
"lastModified": "2022-01-22T17:50:39Z",
"resourceType": "Group",
"location": "https://idcs-8b3cbe9805e546f0b1b81078839f1b75.identity.oraclecloud.com:443/admin/v1/Groups/f94778e74a704558a423f7c3023758fb"
},
"externalId": "123456",
～～
[4] グループへのユーザ追加
最後に作成したユーザのグループ追加です。
エンドポイントの一番後ろにOCI_AdministratorsグループのIDを設定して
Body部分のvalueに作成したユーザのIDをセットしてPOSTすると
グループにユーザが追加されます。
[Method] PATCH
[Endpoint] <ドメインURL>/admin/v1/Groups/<グループのID>
[Header]
Content-Type: application/json
authorization: Bearer <トークン>
[Body]
{
"schemas": [
"urn:ietf:params:scim:api:messages:2.0:PatchOp"
],
"Operations": [
{
"op": "add",
"path": "members",
"value": [
{
"value": "86546b***",
"type": "User"
}
]
}
]
}
正常にグループ追加が完了すると以下のようなレスポンスが返ります。
{
"displayName": "OCI_Administrators",
"idcsLastModifiedBy": {
"type": "App",
"value": "UnAuthenticated",
"display": "COMPUTEBAREMETAL",
"$ref": "https://idcs-8b3cb***.identity.oraclecloud.com:443/admin/v1/Apps/UnAuthenticated"
},
"idcsCreatedBy": {
"type": "App",
"display": "COMPUTEBAREMETAL",
"value": "baefd***",
"$ref": "https://idcs-8b3cbe***.identity.oraclecloud.com:443/admin/v1/Apps/baefd***2"
},
"urn:ietf:params:scim:schemas:oracle:idcs:extension:group:Group": {
"description": "Group mapped to the Administrators group in the OCI account"
},
"id": "f9477***",
"ocid": "ocid1.group.oc1..aaaaa***",
"meta": {
"created": "2019-12-30T12:15:28.646Z",
"lastModified": "2022-01-22T17:50:39Z",
"resourceType": "Group",
"location": "https://idcs-8b3cbe***.identity.oraclecloud.com:443/admin/v1/Groups/f9477***"
},
"externalId": "123456",
"schemas": [
"urn:ietf:params:scim:schemas:core:2.0:Group",
"urn:ietf:params:scim:schemas:oracle:idcs:extension:group:Group"
],
"domainOcid": "ocid1.domain.oc1..aaaaa***",
"compartmentOcid": "ocid1.tenancy.oc1..aaaaa***",
"tenancyOcid": "ocid1.tenancy.oc1..aaaaa***"
}
以上でAPI動作検証は終了です。
おわり
以上、IAM Identity DomainのAPI機能を使って簡単にユーザ作成、グループ追加ができました。