3.3. 外部ユーザーの OAuth2 トークン作成の管理

Red Hat Ansible Automation Platform は、LDAP、SAML、SSO などの外部プロバイダーを通じて認証されたユーザーが、プログラムによる API アクセス用の OAuth2 トークンを作成することを禁止するセキュリティー初期設定に基づいて設計されています。外部ユーザーがこのようなトークンを生成しようとすると、403: Forbidden' error with the message: '(access_denied) OAuth2 Tokens cannot be created by users associated with an external authentication provider というメッセージが表示されます。

このデフォルトの動作は意図的なセキュリティー対策です。Ansible Automation Platform は、トークン生成を一元的に管理することを重視しています。そのため、外部認証プロバイダーの OAuth 2.0 ユーザートークン生成を有効にする適切な方法を管理者が選択する形になっています。

重要なのは、OAuth2 トークンは Ansible Automation Platform 内で作成され、Ansible Automation Platform 自体がその有効期限を含むライフサイクルを管理する点です。このライフサイクルは、ユーザーの外部アイデンティティープロバイダー (IdP) とのセッションから独立しています。たとえば、ユーザーが Ansible Automation Platform トークンを生成し、その後そのアカウントが外部 IdP で無効になっても、Ansible Automation Platform のトークンは、有効期限が切れるか手動で取り消されるまで有効なままです。この相互関係を認識しておくことが、セキュアな設定を維持するうえで極めて重要です。この認識により、外部ユーザーによるトークン作成を有効にする場合は、補完的な対策が必要であることが明白になるためです。