More than 1 year has passed since last update.

IDCSとOCI IAMの違いを掘り下げる

Last updated at 2023-02-04Posted at 2020-02-04

2021/11にOCI IAM Identity Domainsがリリースされました。新しく払い出されたテナントでは、こちらを使ってください。

1. はじめに

Oracle Cloud Infrastructureのアカウント管理に、IDCS（Identity Cloud Service）と、IAMのどちらを使用するかは悩ましい問題だ。概要は以下の記事を読んでもらうとして、ここではもう少し掘り下げたい。

IDCSとOCI IAMの比較

1-1. TL;DR

OCIにはIDCSとIAMの２つのアカウント管理方法があり、初心者には違いがわかりづらい
一般にはIDCSが推奨されているように思うが、注意点やデメリットもある

1-2. 対象環境

Oracle Cloud Infrastructure

1-3. 参考情報

2. IDCS or IAM

Oracle Cloud Infrastructureを使い始めて、最初に悩むのはログイン方法ではないだろうか。管理コンソールのログイン画面では、以下のように２つの選択肢がある。

アカウントをアクティベーションした段階では、IDCSとIAMの両方のユーザーが作成されているため、どちらも同じユーザー名／パスワードでログインできる。しかし、まったく別のものなので、片方のパスワードを変更しても、それがもう一方には伝搬しない。

管理コンソールで作成済みユーザーを確認すると、初期段階ではIDCSユーザーとIAMユーザーが作成されている。これ以降、ユーザーを追加作成するときは、どちらにするのか決める必要がある。

注意：
IDCSユーザーは正確に言うとIDCS連携済みユーザー（Federated User）だ。IDCS上のユーザー情報と、IAM上のユーザー情報を連携させることで、認証・認可を実現している。

次の図は、Advanced Training (Level 200)のIdentity and Access Management L200（PDF）に載っていた図をカスタマイズしたものだ。IDCSとIAMの関係を描いている。

3. どちらを使用するか考える

2019年まではIDCS利用が推奨されているように感じたが、現在は必ずしもIDCS推奨では無い。純粋に「何をやりたいか」が判断基準になる。

2020/3追記
「サインイン・オプションの理解」というページがマニュアルに追加されていた。みんな戸惑うのだろう。これを読む限りは、必ずしもIDCSが推奨されているわけではなさそうだ。

3-1. IDCS、IAM比較表

次の表はIDCSとIAM比較表だ。それぞれ順番に説明する。

機能	IDCS	IAM
管理コンソールのアクセス元IP制限	可	可（※1）
MFA	有償版IDCSが必要※	無償で利用可能
MFAの種類	SMS, モバイルアプリのパスコード、モバイルアプリ通知、セキュリティ質問、Eメール	モバイルアプリのパスコード
パスワードポリシー	変更可能。有効期限なしも可	変更可能
対象サービス	OCI以外のPaaS	Oracle Cloud Infrastructureのみ
他クラウドサービスとの連携	Oracle Cloud, SAML, OAuthなど	Azure Directory, Okta, SAMLなど
API	IDCS固有（SCIM準拠）	OCI標準

※1. IAMでも、2020/9/1からコンソールアクセス元IPの制限ができるようになった。参考:Network source restrictions for signing in to the Console
※2. IDCS Enterprise User（有償版）の価格は、1ユーザー/月あたり、Monthly Flex：3.2ドル（2020年9月現在）。
https://www.oracle.com/cloud/security/pricing.html

3-2. 管理コンソールのアクセス元IP制限と多要素認証（MFA）

最初の判断基準が「アクセス元IP制限」と「MFA」の２つだろう。いろいろな記事で取り上げられている。

以前、管理コンソールのアクセス元IPをホワイトリストで制限できるのはIDCSだけだったが、現在はIAMでも利用できる。MFAはどちらでも利用できるが機能に違いがある。

IDCS

IAM

3-2-1. 管理コンソールのアクセス元IP制限について

管理コンソールのアクセス元IPを制限するには、次のいずれかの機能を使用する。

IAMのNetwork Source Restrictions
IDCSのネットワーク・ペリメータ

マニュアルリンク：

インターネットにはNAT経由で接続することがほとんどなので、NATで使用するパブリックIPをホワイトリストとして指定する。すると、それ以外のIPアドレスからは管理コンソールにアクセスできなくなる。間違って設定するとリカバリーが大変なので気をつけること。

企業の場合、ネットワーク部門に確認するのがいいだろう。ある程度歴史のある企業では、複数持っていることが普通なので注意したい。また以下のサイトでも簡単に現在のパブリックIPを確認できる。

3-3. ほかのPaaSを利用するか

IAMはOracle Cloud Infrastructureのサービスだけを管理できるのに対し、IDCSではBlockchainやJava CloudなどのPaaSも利用できる。

以下のスクリーンショットはIDCSとIAMでログインしたときの管理コンソールの違いだ。IDCSでは、「その他のOracle Cloudサービス」メニューに「プラットフォーム・サービス」「クラシック・データ管理サービス」「クラシック・インフラストラクチャ・サービス」が表示されている。

下記のスクリーンショットは2020年2月時点もの。「その他のOracle Cloudサービス」のサービスには、OCIネイティブにアクセスできるように変更されたものもある。

IDCSでログインしたとき

IAMでログインしたとき

3-4. ほかのクラウドサービスやID連携が必要か

ID管理サービスのIDCSと、OCIの認証・認可システムのIAMを比較するのはミスマッチだが、IDCSではOracleだけでなく他社のクラウドサービスと連携して、シングルサインオンを実現できる。IDCSの詳細は以下のマニュアルを参照してほしい。

ヒント：
IDCSやOkta、Active Directoryなどの認証機能を提供するサービスをIdP（Identity Provider）と呼ぶ。

IAMだけで利用できるサービスはOCIに限られる。しかし、下記マニュアルにあるようにIDCSやActive Directory、OktaなどのID管理サービスと連携させることで、ほかのサービスを利用できる。つまり「IDCS+IAM」ではなく「ほかのID管理サービス＋IAM」という運用も可能だ。

Oracle Cloud Infrastructure supports federation with Oracle Identity Cloud Service,and Microsoft Active Directory (via Active Directory Federation Services (AD FS)), Microsoft Azure Active Directory, Okta, and other identity providers that supports the Security Assertion Markup Language (SAML) 2.0 protocol.

ただし、下記マニュアルには**「フェデレーテッド・ユーザーがサポートされているのはIDCSとOktaだけ」**という記述がある。

Prerequisites
Management of user capabilities for federated users is supported for Oracle Identity Cloud Service and Okta federations only.

これを解釈すると次のようになるのだろうか。実際にやったことが無いので推測だが．．．。

**IDCSとOkta：**OCIのフェデレーテッド・ユーザー機能を利用でき、OCIコンソールからシングル・サインオンが可能
**それ以外のID管理サービス：**ID管理サービス側からシングル・サインオンしてOCIを利用可能

3-5. IDCS無償版と有償版の違い

IAMの認証機能はシンプルなのに対し、IDCSにはさまざまな機能がある。たとえばバスワードの複雑性は、ともに変更できるが、パスワードの有効期限を変更できるのはIDCSに限られる。

またIDCSには、追加費用なしで使えるFoundationと、追加費用が必要なStandardの２種類がある。それぞれの機能の詳細は以下のマニュアルを参照のこと。

追加費用がかかるStandardは、1ユーザー/月あたり、Monthly Flexで3.2ドルだ（2020/10現在）。PAYGは、登録するユーザー数や機能の必要性によって考えたほうがいいだろう。

3-6. APIの違い

IDCSとIAMでは、REST APIがまったく異なる。このことは自動化するとき、生産性に大きく影響するので注意したい。IAMはOCI標準のREST APIが使用できる。そのためOCI CLIやTerraform、Resource Manager、OCI SDKが利用でき、ほかのOCIサービスと同様に管理できる。

それに対してIDCSは独自のAPIなので、OCI CLIやTerraformは使用できない。SDKは提供されているが、まったく異なるAPI体系なので、別途学習コストが必要だ。OCI REST APIでも一部操作できる機能もあるが、極めて限定されている。

過去実績では、管理コンソールでは操作できても、IDCSのREST APIが公開されていない機能もあった。

IDCSを利用してユーザー管理を自動化するときには、事前の調査を推奨する。

IAM

IDCS

3-7. パスワード・リカバリー

IDCSとIAMでは、パスワード・ポリシーのカスタマイズ可能レベルや、パスワード・リカバリーの操作方法が異なる。よく使用する機能なので、実際に操作して確認すること推奨する。とくにIDCSは操作が複雑なので注意したい。

3-8. 課金情報の表示

現在はIAMのusage-reportsポリシーがあれば課金情報にアクセスできる。そのためIAMログインだからといって課金情報表示のデメリットはない。

~~IDCSとIAMでは課金情報を表示する権限に違いがある。結論を先に言うと以下のとおり。~~

~~IAMでは、Administratorsグループに属していないと課金情報を表示できない~~
~~IDCSでは、Business Admin RoleがあればOCI Classicコンソールを使用して課金情報を表示できる~~

~~いきなりでは理解できないと思うので順に説明する。~~

※NICAREGIさんから、Administratorsに属していなくてもusage-reportsポリシーがあれば「コスト分析（Cost Analysis）」を表示できるとのコメントがありました。

あらためて検証したところ、そのとおりでした。ありがとうございます。私が2019年夏に検証したときは、Administratorsグループ以外のユーザーでは表示できなかったし、マニュアルにも記述があったと記憶している。2019年秋にコンソールが統合されたので、そのあたりでusage-reportsポリシーが導入されたのかも。以前のPDFマニュアルを残しておけばよかった。

ということで、ここから下は参考情報として残しておきます。次は「4.おわりに」へ進んでください。