Oracle Analytics Cloud:OACのサービス作成時に、別のIdentity Domain、ユーザーをOAC管理ユーザーとして指定する

はじめに
---
Oracle Analytics Cloud (OAC) は、気軽に利用できるPaaS型のAnalyticsサービスです。
OACのサービスを構築、作成するときに、従来のOACが使用するIdentity DomainのDomain管理権限のあるユーザーでOACサービスを作成し、そのまま管理者でそのユーザーを利用する方法の他に、IDプロバイダつまりIdentity DomainとOACの管理権限をもつBIServiceAdministratorに属するユーザーを指定できるようになりました。

この記事を書いている時点でのバージョンは2024 Sep版です

前提
---
<テナント名>(root)にcomp1というコンパートメントを作成済
OracleIdentityCloudServiceとDefaultと２つのIdentity Domainが作成済
OracleIdentityCloudServiceに所属するociadmin1ユーザーでOACサービスを作成。Identity Domain　"Default"に対しての読み取るためのIAMポリシーを持つ(本記事ではOCIのAdministratorsグループに所属)
Defaultにoacuser1というユーザーが作成済、ただしグループへの所属やポリシーは付与されていない

OACのサービスを作成するOracleIdentityCloudServiceに属するociadmin1ユーザー
![g1.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2516153/d9cf8e51-89f5-afae-7300-9c483af04fee.jpeg)

OACサービス作成時に指定するDefaultに属するoacuser1ユーザー
![g2.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2516153/deea2cac-bf81-adea-4c72-885eff407bd3.jpeg)

Identity DomainがDefaultのユーザーでOCI管理コンソールへのログイン
---
OCI管理コンソールにociadmin1ユーザーでログインします。
![g3.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2516153/5fb065c0-1ca5-22d0-2fc0-bbbe061fbbb9.jpeg)


OACサービスの作成
---
メニューからアナリティクスとAIをクリックし、アナリティクス・クラウドをクリックします
インスタンスの作成をクリックし、OACインスタンスの作成画面を表示します
名前、説明を入力します
コンパートメントに作成で、OACインスタンスを作成するコンパートメントを指定します
容量タイプ、OCPU数、ライセンス、エディションをそれぞれ選択します
![g4.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2516153/bb65b09d-3b4f-4706-bb3a-2c84fe3ebb09.jpeg)

Identity Domainと、OAC管理ユーザーを指定するために、"拡張オプションの表示"をクリックします
![g5.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2516153/d709e49e-6280-4bfe-21ea-405ca337ec88.jpeg)

"拡張オプション"をクリックすると、ネットワーク・アクセスおよびアイデンティティ管理、データ暗号化が表示されます。
アイデンティティ管理で、Identity Domainがあるコンパートメントを選択します。OACで利用するアイデンティ・ドメインを指定します。"Default"を選択します。管理ユーザーで"Default"に所属するユーザーの一覧がリストされるので、OACの管理者ユーザーを選択します。oacuser1を選択します。
作成をクリックします。
![g7.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2516153/0bf7f875-162b-db67-2a4d-ef50e60a540e.jpeg)

OACインスタンスの作成が開始します。本記事では凡そ10分弱で作成が完了しました。
![g8.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2516153/68794d16-012e-6fbb-323f-20d87160df4c.jpeg)

作成後、アクセス情報でURLを書き留めておきます
![g9.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2516153/ecfb9055-0ff0-6e0e-c6e8-9369fb29f316.jpeg)


OACにアクセスしてみる
---
ブラウザで書き留めたURLを開きます
OACを作成時に指定したoacuser1でアクセスします
![g10.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2516153/a9611653-34a0-8f19-27a9-e8d4fc021d2a.jpeg)

OACにアクセスできました。左上部のメニューアイコンをクリックするとメニューで管理権限でアクセスできるコンソールも表示されます
![g11.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2516153/fb5d84e4-c089-29b0-d594-a73a1ab25c53.jpeg)

別のブラウザもしくはサインアウトして、あらためて書き留めたURLを開きます。
OACを作成をしたociadmin1でアクセスします
![g12.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2516153/131561d3-5756-3609-2e60-ed593cc9cd57.jpeg)

Defaultドメインにはociadmin1ユーザーが存在しないためエラーとなります
![g13.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2516153/b9628832-5301-4531-7d29-2bcbb662ca77.jpeg)


まとめ
---
従来では、OACを作成したユーザーがOACの管理者になりましたが、OACのサービスを作成したユーザーと、OACの管理者権限を持つユーザーを分けることができるようになり、OACサービスを作成したユーザーはOACサービスの認可権限をもたずOACの起動、停止、スケールアップ、ダウンのみ実行できます。
また指定したOACの管理権限をもつBIServiceAdministratorに属するユーザーはOACのシステム管理作業を実施できるけれど、OACの起動、停止、スケールアップ、ダウンはできない。という作業を切り分けることが可能となります。

以上