指名パートナーとして OAuth 2.0 でアプリケーションを認証する方法

VMware Cloud Partner Navigator では、OAuth 2.0 を使用して、指名パートナー組織のリソースに対する委譲された安全なアクセス権をアプリケーションに付与できるようにします。VMware Cloud Partner Navigator は、アプリケーションに直接発行されるアクセストークンを介してアクションを許可する OAuth 2.0 サーバ間アプリケーションをサポートします。

OAuth 2.0 とは

OAuth 2.0 は、リソースへの安全なアクセス権をアプリケーションに付与するための認証プロトコルです。クライアントは、アクセストークンを介して認証されます。アクセストークンにはスコープが設定され、アプリケーションがアクセスできるリソースが定義されます。OAuth 2.0 の詳細については、https://tools.ietf.org/html/rfc6749#page-8を参照するか、https://aaronparecki.com/oauth-2-simplified/の『OAuth 2.0 Simplified』というブログ記事を参照してください。

VMware Cloud Partner Navigator での OAuth の動作

VMware Cloud Partner Navigator では、OAuth 2.0 クライアント認証情報の認証タイプがサポートされています。これにより、ユーザー認証なしで組織のリソースにアプリケーションがアクセスできるようになります。アプリケーションの認証情報を入力するには、VMware Cloud Partner Navigator でサーバ間 OAuth 2.0 アプリケーションを作成し、そのアクセストークンの範囲を定義します。次に、アプリケーションは提供された OAuth 認証情報を使用してアクセストークンを取得し、範囲で定義されているリソースにアクセスします。範囲は、指名パートナーのロールと権限の説明に従って、組織ロールの観点から定義されます。

OAuth アプリケーションを作成するユーザー

パートナー管理者ユーザーのみが、指名パートナー組織で OAuth アプリケーションを作成できます。

OAuth サーバ間アプリケーションを設定する方法

OAuth アプリケーションを設定するプロセスは 2 段階です。まず、お客様の組織に OAuth アプリケーションを作成し、そのアクセストークンの範囲を定義します。次に、アプリケーションから組織のリソースへのアクセスを有効にするために、作成されたのと同じ組織にアプリケーションを追加します。異なる組織で作成された OAuth アプリケーションを追加することはできません。

OAuth アプリケーションを作成するには、次の手順を実行します。

VMware Cloud Partner Navigator ツールバーで、[組織] > [OAuth アプリケーション] の順にクリックします。
[アプリケーションの作成] > [続行] の順にクリックします。
OAuth アプリケーションの詳細を入力し、その範囲を定義します。
1. アプリケーションの名前と説明を入力します。
2. OAuth アプリケーションのアクセストークンの有効期間を設定します。
3. OAuth アプリケーションのアクセストークンの範囲を定義するには、組織ロールを選択します。
4. [作成] をクリックします。
受け取った認証情報をコピーするか、JSON ファイルをダウンロードして、[続行] をクリックします。

この時点で、OAuth アプリケーションは VMware Cloud Partner Navigator 組織内に作成されていますが、そのリソースへのアクセス権はまだ付与されていません。アクセス権を付与するには、アプリケーションを組織に追加する必要があります。

OAuth アプリケーションを組織に追加するには、次の手順を実行します。

VMware Cloud Partner Navigator ツールバーで、[ID およびアクセス権の管理] > [OAuth アプリケーション] の順にクリックします。
[アプリケーションの追加] をクリックします。
組織を選択し、OAuth アプリケーションを参照して選択します。

このページには、OAuth アプリケーションインスタンスに割り当てられる組織ロールとサービスロールが一覧表示されます。
OAuth アプリケーションの詳細を確認し、[追加] をクリックします。

OAuth アプリケーションが VMware Cloud Partner Navigator 組織に追加され、そのリソースへのアクセス権が付与されます。

アプリケーションのアクションを承認するには、スクリプトの API 呼び出しで指定された OAuth 認証情報を使用します。

OAuth アプリケーションを管理する方法

実行できる OAuth 管理機能のリストについては、次の表を参照してください。


目的	手順
組織へのアクセス権がある OAuth アプリケーションを表示する。	[ID およびアクセス権の管理] > [OAuth アプリケーション] の順にクリックします。
同じ組織で作成された OAuth アプリケーションを追加する	[ID およびアクセス権の管理] > [OAuth アプリケーション] の順にクリックします。 [OAuth アプリケーションの追加] をクリックします。組織を選択します。 [OAuth アプリケーション] ドロップダウンメニューから、この組織へのアクセス権を付与するアプリケーションを選択します。アプリケーションの詳細を確認し、[追加] をクリックします。
追加された OAuth アプリケーションによる組織のリソースへのアクセスを制限する	[ID およびアクセス権の管理] > [OAuth アプリケーション] の順にクリックします。 OAuth アプリケーションのリストから、組織のリソースへのアクセスを禁止するアプリケーションを選択します。 [削除] をクリックします。
組織内で作成されたアプリケーションを表示する。	[組織] > [OAuth アプリケーション] をクリックします。ここでは、組織内で作成されたすべてのアプリケーションを表示できます。
組織内で作成された既存の OAuth アプリケーションを管理する。	[組織] > [OAuth アプリケーション] をクリックし、管理するアプリケーションを選択します。 OAuth アプリケーションを変更するには、[編集] をクリックします。注：アプリケーションの範囲を変更した場合、変更は組織にすでに追加されているアプリケーションのインスタンスと同期されません。以前に追加したアプリケーションインスタンスの範囲を更新するには、最初に [ID およびアクセス権の管理] > [OAuth アプリケーション] からそれらを削除してから、再度追加する必要があります。アプリケーションを削除するには、[削除] をクリックします。注：このアクションを元に戻すことはできません。これらのクライアント認証情報を使用しているアプリケーションは保護対象リソースにアクセスできなくなり、認証情報は無効になります。