※本記事は、Ravi Pinto による”Action Required: Replace Oracle-Provisioned Client Credentials Used to Invoke OIC Integrations“を翻訳したものです。
原文公開日：2026年8月18日
Oracle Integration（OIC）のフローを起動するために、Oracleプロビジョニング済みOracle Cloud ServicesアプリケーションのクライアントIDおよびクライアント・シークレットを使用しているお客様は、お客様自身で作成した機密アプリケーション（Confidential Application）に移行する必要があります。
OCIでは、Oracleプロビジョニング済みOracle Cloud Servicesアプリケーションのクライアント・シークレットが表示されなくなりました。以前に取得したシークレットはローテーションされ、動作しなくなります。呼び出し側アプリケーションがこれらの資格証明のいずれかを引き続き使用している場合、OAuthアクセス・トークンを取得できなくなり、OICの呼び出しが失敗する可能性があります。
誰に影響しますか? 外部アプリケーション、スクリプト、APIゲートウェイまたはCI/CDジョブがOracleプロビジョニング済みアプリケーションの資格証明を使用するOC1のアイデンティティ・ドメインの管理者が影響を受けます。これらのアプリケーションを内部的に使用するOracleサービス、および顧客によってすでに作成されているアプリケーションには影響しません。
Oracle Integrationのオーケストレーションで、なぜこれが重要なのか
OIC RESTトリガーは、OAuthで保護できます。サービス間の呼び出し元は、通常、OAuth 2.0のクライアント資格証明グラントを使用します。クライアントIDとクライアント・シークレットをアイデンティティ・ドメインのトークン・エンドポイントに提示し、アクセス・トークンを受信して、そのトークンをOICエンドポイントに送信します。
クライアント・シークレットがOracleプロビジョニング済みOracle Cloud Servicesアプリケーションから取得されると、シークレット・ローテーションによってその資格証明が無効になります。呼出し側はトークンを取得できないため、OICリクエストは成功しません。これは、OICエンドポイントに対する変更ではなく、呼び出し元の資格証明の問題です。
必要な対応
Oracle Cloud Serviceアプリケーションのクライアント・シークレットを使っている場合は、次のアクションを実行します。
- 影響を受ける呼び出し元を特定します。 クライアントIDおよびクライアント・シークレットを使用してOICアクセス・トークンをリクエストするアプリケーション、スクリプト、APIゲートウェイおよびCI/CDジョブを洗い出します。それぞれの資格証明が、Oracleプロビジョニング済みアプリケーションまたは顧客作成の統合アプリケーションのどちらから発生したかを確認します。
- 顧客所有のクライアント・アプリケーションを作成します。 OCIコンソールで、関連するアイデンティティ・ドメインを開き、統合アプリケーション→アプリケーションの追加→機密アプリケーションの順に選択します。
oic-invoker-prodなどの明確な環境固有の名前を使用します。 - OAuthを構成します。 アプリケーションをクライアントとして構成し、サービス間の呼び出し元に対してクライアント資格証明を有効にし、クライアント・タイプが機密（Confidential）であることを確認します。
- OICスコープを追加します。 トークン発行ポリシーで、対象インスタンスのOracle Integrationアプリケーションを認可リソースとして追加します。
urn:opc:resource:consumer::allおよびic/api/を選択します。 - ServiceInvokerロールを割り当てます。 Oracleクラウド・サービスで、ターゲットのOracle Integrationアプリケーションを開き、ServiceInvokerアプリケーション・ロールに新しい機密アプリケーションを割り当てます。
- 資格証明を有効化して、安全に管理します。 機密アプリケーションをアクティブ化し、そのクライアントIDおよびクライアント・シークレットを取得します。シークレットは、組織の承認されたシークレット管理ソリューションにのみ格納し、ソース・コントロールやログには格納しません。
- 各発信者を更新およびテストします。 新しい資格証明を使用してアイデンティティ・ドメイン・トークン・エンドポイントからトークンをリクエストし、本番カットオーバーを完了する前にすべての環境で代表的なOICエンドポイント呼出しをテストします。
移行チェックリスト
| チェック項目 | 期待される効果 |
|---|---|
| 資格証明ソースの確認 | 既存の資格証明が、Oracleプロビジョニング済みか顧客作成かを識別する |
| 置換アプリケーションの作成 | 呼び出し元・環境毎に専用の機密アプリケーションが存在する |
| OAuthの構成 | 必要に応じて、クライアント資格証明および機密クライアント・タイプが有効 |
| OICスコープの追加 | urn:opc:resource:consumer::all および ic/api/ がターゲットOICアプリケーションに対して選択されている |
| ロールの割り当て | 機密アプリケーションに、OICのServiceInvokerロールが割り当てられている |
| シークレットを安全に保管 | クライアント・シークレットは、承認されたシークレット・ストアに保持され、コードまたはログには公開されていない |
| End-to-Endテストの実施 | 呼出し元はアクセス・トークンを取得し、目的のOICエンドポイントを呼び出すことができる |
| 本番カットオーバー | 本番環境の呼び出し元は、新しい資格証明を使用し、古いプロビジョニングされたシークレットを参照していない |
実装に関する注意事項
- 開発、テストおよび本番用に個別の機密アプリケーションとシークレットを使用します。
- 呼び出し元に適したOAuthグラントを選択します。クライアント資格証明は、機密で非対話型のサービス・クライアント用です。オラクルのドキュメントには、他のユースケースに対するその他の権限が記載されています。
- 呼出しに必要なスコープおよびロールのみを適用します。
- カットオーバーの前に、シークレットの所有権、ストレージおよびローテーションを計画します。
- OICエンドポイントとは別にトークン・リクエストをテストします。シークレットがローテーションされている、または無効な場合、OICエンドポイントに到達する前にトークン発行を防止します。