[Oracle Cloud] Identity Domainsを使ってみる④ MFAを有効にする

# はじめに
Identity Domainsが使えるアカウントを触る機会があったので、いろいろと試しています。
今回は、MFA(多要素認証)を試します。

[Identity Domains MFAのマニュアル](https://docs.oracle.com/ja-jp/iaas/Content/Identity/mfa/understand-multi-factor-authentication.htm)

従来のように、IDCSとOCI IAMが分離している場合は、IDCS側のMFAは無償では使えなかったので、OCI側でMFAを有効にするパターンも多かったのではないかと思います。

Identity Domainsになって、IDCSとOCI IAMが統合したことにより、<b>IDCSの高機能なMFAを無償で使えるようになりました。</b>
(SMS認証のみ無償のFreeタイプでは利用できません)

[IAM Identity Domain Typesのマニュアルより](https://docs.oracle.com/en-us/iaas/Content/Identity/sku/overview.htm)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1674918/f80dcfa6-c0a1-74b4-ecbf-372606a0ed8d.png)
※赤枠がFreeで利用可能な機能。緑枠がMFA


# 結果
高機能になった分、従来のOCI IAMの設定とはかなり変わったように思います。
今回、OCI IAMのようにMobile Authenticatorアプリ(Oracle Mobile Authenticatorを利用しました) を利用して試しました。

OCI IAMはパスコードのみ対応していたと思いますが、プッシュ通知に対応しているため、「許可」ボタンを押すだけでいいのは楽でいいです。またデバイスを複数登録できるのも便利になったなと思います。

# さわってみる

## 追加ドメインで、MFAを有効化する

ドメイン管理者でOCIにログインして、ドメインの設定画面に移動

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1674918/fa10c5b8-aee6-f2e6-a549-286b7c0d2d9b.png)

「セキュリティ」リンクを選択

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1674918/98ddc2aa-6955-94ba-f22a-eb95711d97c8.png)

「MFA」リンクを選択して、「モバイル・アプリケーション・パスコード」と「モバイル・アプリケーション通信」のチェックを付けて、「変更の保存」ボタンを押下

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1674918/c6249eaf-9746-eb17-7879-b4bb551cbbd8.png)

## ログオン時にMFAを要求するように設定

ドメインの設定画面から、「セキュリティ」リンクを選択
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1674918/5a9169ad-a8af-6e45-9ceb-e74f1c48dfe2.png)

「サインオン・ポリシー」のリンクを選択。Default-Sign-On Policyを押下

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1674918/5b00f391-5216-8fe3-3417-02821130af16.png)

「Default Sign-On Rule」を編集します

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1674918/a2818ddc-c6c9-458d-aeba-8493a0c8292f.png)

「追加ファクタの要求」にチェックし、「指定されたファクタのみ」を選択して「モバイル・アプリケーション・パスコード」と「モバイル・アプリケーション通知」を選択します

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1674918/afefe4b7-6e8d-878d-d98b-7fcee88d17e7.png)

登録は、「必須」で設定してみます

## ユーザによるMFAの設定

MFAを有効化後に、MFA設定していないユーザを使用してドメインにログインします。

登録を「必須」にしたため、MFAデバイスを登録していない場合、MFAの登録画面に遷移します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1674918/1a50e123-acc0-a97c-0857-e815702bfeee.png)

スマホにインストールしたAuthenticatorを使ってQRコードを読み取ります

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1674918/5db069a1-e589-96ba-e48f-7e736e6612fd.png)

正常に登録されたら、「完了」を押下します

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1674918/13b0b379-342f-a6ad-746f-b1de89554932.png)

一度ログアウトして、再度ログインしてみます。

ログイン後、以下の画面になります

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1674918/f5764f9b-b8b6-deb4-b080-3fdaf640a73f.png)

登録したスマホからAuthenticator (Oracle Mobile Autheticatorを使いました)を起動すると、プッシュ通知が届くので、「許可」ボタンを押すと、OCIにログインできます。

↓は、スマホのAuthenticatorアプリの画面です
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1674918/da4da9ba-252a-e6a2-8414-846027237bbe.png)

# モバイルアプリケーションの追加

登録するデバイスが1つだけだと、紛失時に困ったことになってしまうので、もう一つデバイスを追加してみます。


再度、「マイ・プロファイル」画面に遷移します

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1674918/b82b7435-0875-4edb-c86f-924dcb1c4aab.png)

「セキュリティ」ボタンを押します

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1674918/a94c4009-5ace-7a03-0cc9-100ef00c12f9.png)

「モバイル・アプリケーションの追加」を押下します
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1674918/c26f5afa-11b2-3170-8b23-e4071eee024f.png)

別のスマホ端末から、Auhtenticatorを起動してQRコードを読み込みます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1674918/ef928584-7f3e-0eca-6897-549787a0c63f.png)

追加されました。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1674918/a65b3a6b-6906-16cb-e607-04e07cd2e242.png)


もう一度ログインしてみます。

ログイン後、最初に登録したデフォルトの端末にプッシュ通知が送信されます。「変わりのログイン方法を表示」を開いて、

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1674918/0420b40e-7633-2a28-8e4f-77f8f879f86a.png)

追加で登録したデバイスへのプッシュ通知を選択します

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1674918/c73492d0-ffe1-b9c5-c272-43d78de486a0.png)

追加登録したデバイスにプッシュ通知が届くので、「許可」ボタンを押してログインできることを確認します。

できました！