本書ではガバメントクラウドにおける、GCASのシングルサインオン機能の利用開始に向けてガバメントクラウド利用組織に求められる対応事項を説明する。 ## GCASシングルサインオンへの移行に伴う既存環境の変化と対応「[ガバメントクラウド利用システムにおけるセキュリティ対策(共通)](https://guide.gcas.cloud.go.jp/general/security-tech/ "ガバメントクラウド利用システムにおけるセキュリティ対策(共通)") - GCAS認証によるCSP環境へのシングルサインオン」で記載したように、GCAS認証によるCSP環境へのシングルサインオン（SSO）では、既存の利用システムのテナンシにあるOCI IAM Identity DomainsとGCASで利用しているGoogle社Cloud Identityを連携させる。 IAM Identity DomainsにおいてCloud Identityは外部Identity Provider（IdP）となる。既存環境のローカルで保有していたユーザー情報の利用は継続可能だが、SSO移行に伴うアカウント情報の集約と一元管理のため、テナンシ管理者を除くIAMユーザーの利用は移行措置期間後、原則禁止とする（これまで例外申請されたAPIキーなどの発行用のIAMユーザーを除く）。 ### SSO対応テンプレート公開スケジュール 2024年3月以前に払い出したテナンシは、SSO利用開始までに必須適用テンプレートを2回適用する必要がある。なお、2024年4月以降に払い出したテナンシは、既にSSOに対応しているので、本必須適用テンプレートは必要ない。 - 2024年3月以前払い出しテナンシ |タスク|2024年
12月|・・|2025年
3月|・・|2025年
6月|・・|2025年
12月 |:--|:--:|:--:|:--:|:--:|:--:|:--:|:--: |SSO対応必須適用テンプレート（1回目）
公開|▲ |SSO未対応/SSO対応環境
並行稼働期間|-----|-----|-----|-----|-----|-----|---> |SSO対応必須適用テンプレート（2回目）
公開|||▲ |必須適用テンプレート（1回目/2回目）
適用目標/期限||||| ▲
目標|| ▲
期限 `時期は前後する場合があります` - 2024年4月以降払い出しテナンシ - SSO対応済み ### 【要対応1】SSO対応必須適用テンプレート（1回目）の適用 1回目の必須適用テンプレートでは、SSOの設定を払い出し済みのテナンシに加える。本テンプレート適用後もSSO未対応ユーザーはこれまで通り利用できる。また、SSO対応の他にバグ対応や機能追加も行われる。なお、必須適用テンプレートの適用はrootユーザーが実施する。必須適用テンプレートの適用手順は、GCASアカウントを取得の上、メンバー専用ページの[【2024年3月以前払出し環境向け】SSO対応必須適用テンプレート（1回目）の適用手順](https://guide.gcas.cloud.go.jp/member/member-oci/sso-transition-apply-mandatory-template/)を参照すること。 #### SSO未対応テナンシのアーキテクチャ現状のSSO未対応テナンシはrootCompartmentのDefaultDomainにrootユーザー（root User）、Adminユーザー（Admin User）、一般ユーザー（一般User）が作られている。また、利用者側の設定により、UserCompartment配下にIdentityDomainを作成し、Userが作られているテナンシもある。 ![](/images/oci_sso-transition-01-01.png) 図1-1. SSO未対応テナンシのアーキテクチャ #### SSO対応必須適用テンプレート（1回目）適用後のアーキテクチャ SSO対応必須適用テンプレート（1回目）を適用すると、rootCompartmentに*テナンシ名*Domainが作成され、Admin_Grp及びポリシーとUser_Grpが作成される。また、GCAS上のカスタムSAMLアプリは、デジタル庁が設定する。 ![](/images/oci_sso-transition-01-02.png) 図1-2. SSO対応必須適用テンプレート（1回目）適用後のアーキテクチャなお、この時点では、SSO未対応ユーザーはこれまで通り利用できる ### 【要対応2】SSO未対応ユーザーからSSO対応ユーザーへの移行（並行稼働期間）並行稼働期間中に以下を実施し，SSO対応ユーザーへ移行する。 1. GCASアカウントの申請 - GCASアカウントが登録されると、OCIの*テナンシ名*DomainにGCASに登録した利用者権限に応じてユーザーが作成され、SSOでOCIにログイン出来る - 必要に応じて、Default DomainのAdminユーザー（Admin User）, 一般ユーザー（一般User）をSSO対応ユーザーへ移行し、ユーザーを削除する 2. *テナンシ名*DomainのUser_Grpに対するポリシーの設定 - User_Grpにはデフォルトでは何もポリシーが設定されていない。Adminユーザー（Admin User）が必要に応じて、ポリシーを設定する 3. UserCompartment配下のIdentityDomainユーザーのポリシー変更 - SSO対応必須適用テンプレート（2回目）を適用すると、UserCompartment配下のIdentityDomainユーザーはログインできなくなり、認証用ユーザーとなる。詳細は[ユーザー管理方法(OCI編)](https://guide.gcas.cloud.go.jp/oci/how-to-manage-users/)を参照。 - 必要に応じて、SSO対応ユーザーへの移行、ポリシーの変更、ユーザーの削除を実施する ![](/images/oci_sso-transition-02-01.png) 図2-1. 並行稼働期間のアーキテクチャ ### 【要対応3】SSO対応必須適用テンプレート（2回目）の適用 SSO対応必須適用テンプレート（2回目）を適用すると、DefaultDomainからAdmin_Grp、User_Grpおよびユーザー、ポリシーが削除され、UserCompartment配下のIdentityDomainにサインオン・ポリシーが設定される。サインオン・ポリシーによって、UserCompartment配下のIdentityDomainユーザーはログインできなくなり、OCIにログインできるユーザーはSSOユーザーのみとなる。（rootユーザー（root User）はSSO非対応）なお、必須適用テンプレートの適用はrootユーザーが実施する。サインオン・ポリシーの設定は現在検討中のため、今後変更となる場合がある。 `SSO対応必須適用テンプレート（2回目）の適用手順は、確定次第追記する。` ![](/images/oci_sso-transition-03-01.png) 図3-1. SSO移行後のアーキテクチャなお、必須適用テンプレート（1回目/2回目）の適用期限である2025年12月以降、SSOに対応していない個別払い出しユーザーの削除状況をガバメントクラウド管理組織から照会する場合がある。 ### 【要対応4】接続元IPアドレスに基づく操作制限実装箇所の見直し ※SSO移行完了までガバメントクラウドでは端末シリアル番号または接続元IPアドレスによるOCIコンソールへのアクセス制御機能をChrome Enterprise Premium（CEP）（旧 BeyondCorp Enterprise（BCE））によって提供する。 CEPを利用する場合は、現状の接続元IPアドレス制限の実施箇所の要否を確認すること。CEPの利用については「[ガバメントクラウド利用システムにおけるセキュリティ対策(共通)](https://guide.gcas.cloud.go.jp/general/security-tech/ "ガバメントクラウド利用システムにおけるセキュリティ対策(共通)") - CEPを利用したアクセス元制御」を参照すること。 ### 【要対応5】管理GUIへのアクセス方法の周知 ※SSO移行完了まで SSO移行後は、OCIコンソールへの直接ログインではなく、GCASにおける認証（GCASで用いるGoogle Workspaceの認証）後、OCIコンソールへのログインとなる。詳細は各CSPの「クラウドサービスの操作方法」を参照すること。 ## 改訂履歴 | 改訂年月日 | 改訂理由 | | ---------- | -------- | | 2024年3月1日 | 新規作成 | | 2024年3月29日 | 【要対応1】【要対応2】の説明文を修正 | | 2024年5月10日 | 【要対応1】の説明文を修正
【要対応2】【要対応4】に記載していた期限を変更 | | 2024年9月2日 | 「BeyondCorp Enterprise（BCE）」から「Chrome Enterprise Premium（CEP）」への改称のため記載を修正 | | 2024年10月31日 |SSO対応テンプレート公開スケジュールを追加
【要対応1～5】タイトル及び内容変更 | | 2024年11月29日 |【要対応1】にメンバー専用ページ【2024年3月以前払出し環境向け】SSO対応必須適用テンプレート（1回目）の適用手順のリンクを追加 |

GCAS-SSOへの移行に伴う対応(OCI編)