【OCI】わかりにくいユーザ管理について

# はじめに
OCIを業務利用し始めてログインできるユーザーを追加する際に、
困惑したのでまとめます。

# OracleCloudのユーザ管理について

**<font color="RoyalBlue">OCI(Oracle Cloud Infrastructure)</font>**と**<font color="RoyalBlue">Oracle Cloud</font>**は同じものだと思っていましたが、
ここがそもそも間違いでした。

**<font color="RoyalBlue">Oracle Cloud</font>**の中に**<font color="RoyalBlue">OCI</font>**というサービスが存在しています。
イメージはこんな感じ
![oraclecloud.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/111276/a1cef1fb-e990-a59a-c421-923e68bbe884.png)


そして**<font color="RoyalBlue">Oracle Cloud</font>**のユーザ管理は**<font color="DarkOrange">2通り</font>**方法があります。

- **<font color="RoyalBlue">Oracle Cloud 全体のユーザ管理 (Oracle Identity Cloud Service)</font>**
- **<font color="RoyalBlue">OCI(Oracle Cloud Infrastructure) のユーザ管理</font>**

**<font color="RoyalBlue">OCI</font>**のログイン方法も**<font color="DarkOrange">2通り</font>**があります。

- **<font color="RoyalBlue">Oracle Cloud 全体のユーザ(Oracle Identity Cloud Service)でログイン</font>**
- **<font color="RoyalBlue">OCI(Oracle Cloud Infrastructure) のユーザでログイン</font>**

サインイン画面だとここで別れてます。
![ログイン画面.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/111276/fffa4994-a151-ff51-1b9a-fef9b493b36e.png)


全体のイメージはこんな感じ
![全体図.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/111276/89dd13c9-196e-9fe4-5a90-d18e0bc9b9ff.png)

## どっちでログインすればいいのか
これが正解だとは思わないですが個人的に、
**<font color="RoyalBlue">OCI(Oracle Cloud Infrastructure) のユーザ</font>**を使用すると、二重管理になってしまうため、
**<font color="RoyalBlue">Oracle Cloud 全体のユーザ管理 (Oracle Identity Cloud Service)</font>**でログインするのが良いと思います。

※OCI-CLIなどで操作するユーザに関してはOCI側のみで作成してます。

# Oracle Identity Cloud Service(IDCS)でログインできる仕組み
OCIのアイデンティティに**<font color="RoyalBlue">フェデレーション</font>**という機能が存在しています。
これを利用することで**<font color="RoyalBlue">Oracle Identity Cloud Service(IDCS)</font>**と連携することができます。

フェデレーションで**<font color="RoyalBlue">IDCS User</font>**を作成すると
**<font color="RoyalBlue">IDCS</font>**と**<font color="RoyalBlue">OCI</font>**に自動でユーザが作成されます。
利用者は**<font color="RoyalBlue">IDCS</font>**のユーザに紐づくパスワードで、**<font color="RoyalBlue">OCI</font>**にログインすることが出来るようになります。

フェデレーションで**<font color="RoyalBlue">IDCS Group</font>**を作成すると
**<font color="RoyalBlue">IDCS</font>**にグループが作成され**<font color="RoyalBlue">IDCS Group</font>**と**<font color="RoyalBlue">OCI</font>**のグループと紐づけされます。

# ユーザの追加方法

ダッシュボードから**<font color="RoyalBlue">「フェデレーション」</font>**をクリック
![1_1.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/111276/1975c2b8-cf89-347f-f0f5-2af373d711e8.png)

**<font color="RoyalBlue">「OracleIdentityCloudService」</font>**をクリック
![1_2.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/111276/cc5f8e17-560f-9b04-2880-77dfcad950c8.png)

## IDCSユーザーの作成

**<font color="RoyalBlue">「IDCSユーザーの作成」</font>**をクリック
![1_3.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/111276/acadfcf6-7715-152c-a59a-9a45c92b9ab3.png)

- ユーザー名
- 電子メール
- 名
- 性

を入力して**<font color="RoyalBlue">「作成」</font>**をクリック
![1_4.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/111276/48f22c62-68cd-3e92-e8ee-9b869039bb4b.png)

## IDCSグループの作成

グループから**<font color="RoyalBlue">「IDCSグループの作成」</font>**をクリック
![1_5.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/111276/f515cca1-7cfe-02ab-1264-f5178e9081c8.png)

- 名前
- 説明
- ユーザーは先ほど作成したユーザーを選択

を入力して**<font color="RoyalBlue">「作成」</font>**をクリック
![1_6.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/111276/7eaa8396-335e-e7ad-f42a-bc03e8f892b9.png)

を入力して**<font color="RoyalBlue">「パスワード・リセットURL」</font>**はコピーしておきます。
![1_4_1.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/111276/80eba0a3-34fc-6ff9-e2ea-6907aaee513e.png)

## IDCSグループとOCIのグループを紐づける

グループ・マッピングから**<font color="RoyalBlue">「マッピングの編集」</font>**をクリック
![1_7.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/111276/666df4d6-a10e-584e-7104-e6a226784dd5.png)

**<font color="RoyalBlue">「マッピングの追加」</font>**をクリック
![1_8.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/111276/af5cb17c-f6bc-a5e8-040d-cbf23b5ee5af.png)

先ほど作成したIDCSグループとOCIグループを選択します。
これでアクセス制御を行うことが出来るようになります。
![1_9.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/111276/69608113-ad6b-f54d-ff8b-27c019bc1500.png)

## 作成したユーザーでログイン

ここでコピーした**<font color="RoyalBlue">「パスワード・リセットURL」</font>**にアクセスしてパスワードを決定する。
その後**<font color="RoyalBlue">「サインインURL」</font>**にアクセスしてログインする。
![1_4_1.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/111276/3ce2c690-96f3-2d48-4739-69a89ed9d815.png)

# ユーザ、グループの削除方法
フェデレーションから**<font color="RoyalBlue">「IDCSユーザ」</font>**を削除することで、OCIのユーザも削除されます。

# OCI,Oracle Cloudの権限管理について

OCIの権限管理はグループに対してのポリシー
Oracle Cloudはダッシュボードからロールの設定を行うことで権限管理ができます。

[OCIの権限管理についてはこちら](https://qiita.com/manaki079/items/81bf91e61b362e403bc1)

# おわりに
OCIのユーザ追加は困惑する箇所があると思いますので、参考になればと思います。
間違っている所などあればご指摘いただけると幸いです。