はじめに

アイデンティティ・ドメインとは、Oracle Cloud Infrastructure（OCI）でユーザを管理するための仕組みです。
詳しくは、こちらを参考にしてみてください。

ドメインは、ひとつのテナントに複数持つことができるのですが、そのような環境にOracle Analytics Cloud（OAC）をデプロイするとどうなるのか、を試してみました。

複数のドメインを用意する

OCI管理コンソールにログインします。
「アイデンティティとセキュリティ」から「ドメイン」を選択します。

「ドメインの作成」をクリックして、新しいドメインを追加します。

任意の表示名を入力し、ドメイン・タイプを「Free」にして「ドメインの作成」をクリックします。

ドメインが2つできました。

それぞれのドメインにOACの管理ユーザを作成する

それぞれのドメインをクリックして、ユーザとグループを作成します。
ユーザ名であるメールアドレスにぼかしを入れたら、何がなんだかわかりにくくなりましたが、初めから存在していたDefaultドメインに登録されているユーザです。
この内のひとりが、Defualtドメインに作成するOACインスタンスの管理者となります。

2つ目のドメインのユーザはこんな感じです。
やはり、この内のひとりがSecondaryドメインに作成するOACインスタンスの管理者となります。

ポリシーを設定する際のグループの指定方法に注意してください。ドメインを指定しないとデフォルトのドメインと解釈されます。
例：allow group 'Secondary'/'OAC_Admins2' to manage analytics-instances in compartment demo

OACインスタンスを作成する

OCI管理コンソールを一旦サインアウトして、再度サインインします。
ドメインが複数になったことで、最初にログインしたいドメインの選択画面がでてきます。
Defaultドメインを選択してログインします。
ログインアカウントは、DefaultドメインのOAC管理用ユーザです。

OACインスタンスの作成は、いつも通りです。
Defaultドメインに関連付けるOACドメインはOAC1という名前にしました。

OCI管理コンソールを一旦サインアウトして、再度サインインします。
今度は、Secondaryドメインを選択してログインします。
ログインアカウントは、SecondaryドメインのOAC管理用ユーザです。

先程同様にOACインスタンスを作成します。今度はOAC2という名前のインスタンスを作成しました。

しばらく待つと、両方のインスタンスの作成が完了しました。

ログインしてみる

OAC1とOAC2にそれぞれログインしてみます。
OAC1を作成した管理者ユーザでは、当然ながらOAC1インスタンスにログインできますが、OAC2インスタンスにはログインできません。
逆もしかりです。

OAC1の場合

まずは、OAC1です。
手元のExcelファイルをアップロードしてデータセットを作成しました。
そのデータセットのアクションメニューから「検査」を選択し「アクセス」タブに移動しました。

Defaultドメインに登録されたユーザに対して、アクセス権が付与可能であることがわかります。
「コントロール」メニューの「ユーザーとロール」も確認してみます。

OAC2の場合

OAC2でも同じことをしてみました。

「コントロール」メニューの「ユーザーとロール」も確認しました。

OACインスタンスとドメインに関連付けを確認

少なくとも管理コンソールでは、作成したOACインスタンスがどのアイデンティティ・ドメインに関連付けられているかがわかりません。
そこで、Cloud Shellで次のコマンドを実行してみました。（一部割愛）

cloudshell:~ (ap-tokyo-1)$ oci analytics analytics-instance get --analytics-instance-id ocid1.analyticsinstance.oc1.ap-tokyo-1.aaaaaaaacxx2zsn74xvhqj6q7zxhgvjiawkjkw23jzn6rty5fscmy3sdk5wq
{
  "data": {
    "capacity": {
      "capacity-type": "OLPU_COUNT",
      "capacity-value": 1
    },
    "defined-tags": {
      "Oracle-Tags": {
        "CreatedBy": "secondary/hoge@example.com",
        "CreatedOn": "2022-06-23T01:10:39.609Z"
      }

作成したユーザがわかるので、そこから判断できそうです。
実際には、インスタンスのネーミングルールや説明への記載など工夫が必要と思われます。

おわりに

アイデンティティ・ドメインが例えば本番用と開発用に分かれていた場合、それぞれに関連付けてOACインスタンスをデプロイすることで、ユーザやグループが相互に干渉しないようにすることができそうです。

参考情報

Oracle Analytics Cloud:OACのサービス作成時に、別のIdentity Domain、ユーザーをOAC管理ユーザーとして指定する