AIWを使用してSAML統合を作成する

SAML統合では、フェデレーション認証標準を使用して、エンド・ユーザーがSAMLアプリにワンクリックでアクセスできるようにします。AIWにより、SAMLリクエストに必要なXMLが生成されます。

開始する前に

アプリ統合で発生する、インライン指示の問題を回避するには、ブラウザーの設定を開き、常にCookieを使用できるサイトのリストにOktaを追加します。サードパーティーのCookieの許可を参照してください。

タスク1：ウィザードを起動する

  1. 管理コンソールで、[アプリケーション] > に移動します。 [アプリケーション]
  2. [アプリ統合を作成]をクリックします。
  3. SAML統合を作成するには、[サインオン方法]として[SAML 2.0]を選択します。
  4. [次へ]をクリックします。

タスク2：一般設定を構成する

  • [アプリ名]： 統合の名前を指定します。
    Info

    注

    この名前には、UTF-8の3バイト文字のみ使用できます。

  • 任意。[アプリのロゴ]：Okta組織の統合に使用するロゴを追加します。ロゴ・ファイルはPNG、JPG、またはGIF形式で、サイズが1MB未満のものを選択する必要があります。背景が透明で横向きのPNG画像を使用すると、最適な効果を得られます。アップスケールを防ぐために、420 x 120ピクセル以上の解像度を使用してください。
  • [アプリの可視性]：統合をエンド・ユーザーのホーム・ページで非表示にするかどうかを選択します。つまり、エンド・ユーザー・デバイスのOkta Mobile Apps Storeで統合を非表示にするかどうかを選択します。

タスク3：SAML設定を構成する

SAML 2.0構成では、組織と対象アプリを結び付けた情報が必要です。各フィールドの入力に関するヘルプは、アプリ固有のドキュメントとOktaツールのヒントで確認できます。

  • [シングル・サインオンURL]：POST操作でSAMLアサーションが送信される宛先。このURLは必須であり、サービス・プロバイダー（SP）のデフォルトのACS URL値として機能します。IDプロバイダー（IdP）は、サインオン要求を開始するときに、このURLを常に使用します。
    • [受信者URLおよび宛先URLに使用]：受信者URLと宛先URLを同じものにする場合、このチェックボックスをオンにします。
      • [受信者URL]：（前述のチェックボックスがオフの場合に表示されます。）アプリケーションでSAMLアサーションを提示する場所。通常は、シングル・サインオンURL（SSO）と同じものになります。
      • [宛先URL]：（前述のチェックボックスがオフの場合に表示されます。）SAMLアサーションの一部としてSAML応答を送信する宛先。アプリケーションで具体的な値を明示的に指定していない限り、これは[シングル・サインオンURL]と同じものにする必要があります。
    • [このアプリに他のSSO URLへの要求を許可する]：SPが開始するサインイン・フローでの使用を目的としています。このオプションを選択すると、複数のACS URLを構成して、SAML応答の送信先を選択可能なアプリケーションに対応できます。各ACS URLエンドポイントを一意に識別するインデックスまたはURLを指定します。AuthnRequestメッセージにインデックスまたはURLが指定されていない場合、SAML応答は、[シングル・サインオンURL]フィールドで指定したデフォルトのACS URLに送信されます。
      • [要求可能なSSO URL]：（前述のチェックボックスがオンの場合に表示されます。）その他のノードを示すSSO URLを入力します。
  • [対象URI（SPエンティティID）]：SAMLアサーションの対象オーディエンス。通常、アプリケーションのエンティティIDを指定します。
  • [デフォルトのRelayState]：SAMLを使用してSPへのサインインが成功した後にユーザーが移動するページ。有効なURLを指定する必要があります。詳細については、SPのドキュメントを参照してください。
  • [名前IDのフォーマット]：SAML応答で送信するユーザー名のフォーマット。使用する形式についてはSPのドキュメントを参照してください。アプリケーションで形式が明示的に指定されていない場合は、デフォルト値（[指定なし]）を使用してください。
  • [アプリケーションのユーザー名]：アプリケーションのユーザー名に使用するデフォルト値。
    • 情報

    重要

    セキュリティーを維持するには、エンド・ユーザーが編集可能なフィールドを使用しないでください。

    • [応答]：[署名済み] または[未署名]を選択して、SAML認証の応答メッセージにIdPによるデジタル署名を行うかどうかを指定します。
    • [アサーション署名] ：[署名済み] または[未署名]を選択して、SAMLアサーションにデジタル署名を行うかどうかを指定します。
    • [署名アルゴリズム]：SAMLアサーションおよび応答にデジタル署名するために使用される署名アルゴリズムを決定します。
    • [ダイジェスト・アルゴリズム]：SAMLアサーションおよび応答にデジタル署名するために使用されるダイジェスト・アルゴリズムを決定します。
    • [アサーション暗号化]：SAMLアサーションを暗号化するかどうかを指定します。

      [アサーション暗号化] 設定で[暗号化する] を選択すると、次の3つのオプションが表示されます。

      • [暗号化アルゴリズム] ：SAMLアサーションの暗号化に使用する暗号化アルゴリズムを選択します。
      • [キー転送アルゴリズム] ：SAMLアサーションの暗号化に使用するキー転送アルゴリズムを選択します。
      • [暗号化証明書] ：SAMLアサーションの暗号化に使用する公開鍵証明書を参照して[証明書をアップロード] をクリックし、証明書をアップロードします。
        • 情報

        注

        証明書ファイルには.cerファイル拡張子が必要です。

    • [シングル・ログアウトを有効化]：ユーザーが構成済みカスタム・アプリとOktaの両方からシングル・クリックでサインアウトできます（ただし、開いている可能性があるその他のアプリからはログアウトできません）。詳細については、『Profiles for the OASIS Security Mark Up Language (SAML) version 2.0』ガイドの「Single Logout Profile」を参照してください。
      • [シングル・ログアウトを有効化]を指定すると、次の3つのオプションを利用できます。
        • [シングル・ログアウトURL]：サインアウト応答の送信先を指定します。
        • [SP発行者]：サービス・プロバイダーの発行者。
        • [署名証明書]：デジタル署名の検証に使用される公開鍵証明書を決定します。証明書を参照して、[証明書をアップロード]をクリックします。シングル・ログアウト機能を適切に動作させるには、証明書をアップロードする必要があります。
        情報

        注

        SAMLシングル・ログアウトを構成済みの場合、SAML 2.0の設定手順に[IDプロバイダーのシングル・ログアウトURL] のフィールドが表示されます。

    • [認証コンテキスト・クラス]：認証制限のタイプを表します。通常はデフォルトのPasswordProtectedTransportを設定します。詳細については、SPのドキュメントを参照してください。
    • 任意：[強制認証に準拠] ：[はい]が選択されていると、SAML要求のForceAuthn属性がtrueに設定されている場合、ユーザーは、Oktaにサインイン済みであっても資格情報の入力を求められます。デスクトップSSOによって正常にサインインしたユーザーも、資格情報を入力する必要があります。このオプションが[いいえ]に設定されている場合、この属性は無視されます。
    • 任意：[SAML発行者ID] ：発行者IDを上書きする必要がある場合にこのオプションを使用します。1つのアプリケーションで複数のサインインを行う場合、上書きが必要です。このオプションは、追加の属性を必要とする統合がある場合にも使用できます。デフォルト値のhttp://www.okta.com/$(org.externalKey)を上書きする発行者IDを入力します。外部キー は、現在動作しているアプリケーション・インスタンスの設定手順から取得してください。
  • [属性ステートメント（オプション）]：新しいSAML統合を作成したり、既存の統合を変更したりする場合、カスタム属性ステートメントを定義できます。これらのステートメントは、アプリと共有するSAMLアサーションに挿入されます。

    [属性ステートメント（オプション）]セクションの各SAMLアサーションには、次の要素があります。

    • [名前]：アプリケーションが必要とする属性の参照名。このフィールドの最大長は512文字です。[名前]属性は、ユーザーとグループの属性ステートメント全体で一意である必要があります。
    • [名前のフォーマット]：アプリケーションに[名前]属性を付与するときの形式。次の形式を使用できます。
      • [指定なし]：Oktaプロファイルで定義している任意の形式を使用できます。ただし、アプリケーションが解釈できる必要があります。
      • [URI参照]：名前をUniform Resource Identifierの文字列で指定します。
      • [基本]：単純な文字列。その他の形式が指定されていない場合のデフォルト設定。
    • [値]：[名前]要素で定義する属性の値。Okta式言語を使用したカスタム式を作成して、Oktaユーザー・プロファイルの値を参照できます。このフィールドの最大長は1024文字です。
    • [別途追加]をクリックすると、ステートメント行を追加できます。
    • 必要な属性定義が完了するまでこの手順を繰り返します。

    属性ステートメントを追加してSAML統合を作成したら、プロファイル・エディターを使用してプロファイルを更新する必要があります。

    • 管理コンソールで、[ディレクトリー] > に移動します プロファイル・エディターで、作成した統合を見つけます。[プロファイル]をクリックします。
    • [属性]の画面が開きます。[属性を追加]をクリックします。
    • 新しい属性を追加して、[保存]をクリックします。
    • 管理コンソールで、[アプリケーション] > に移動します。 [アプリケーション]でアプリ名をクリックします。
    • 開いた画面で、[一般]タブをクリックします。次に、[SAMLの設定]セクションの[編集]をクリックします。
    • 表示された画面で、[次へ]をクリックします。
    • [属性ステートメント（オプション）]セクションに、手順3で作成した属性の名前を入力します。この値はドロップダウン・ボックスに自動的に入力されません。[値]に、「appuser」+ピリオド+属性名を入力します。たとえば、属性の名前がNewRoleの場合、値にappuser.NewRoleと入力します。
    • 入力したら、[次へ]をクリックします。
    • [アプリケーション]ページで統合の名前をクリックして、[割り当て]タブをクリックします。[割り当て]をクリックし、[グループに割り当て]を選択します。そのウィンドウで、グループの右側にある[割り当て]をクリックします。これらの割り当てはSAMLトレーサーで検証できます。
  • [グループ属性ステートメント（オプション）]：Okta組織でグループを使用してユーザーを分類している場合、アプリと共有するSAMLアサーションにグループ属性ステートメントを追加できます。

    [グループ属性ステートメント（オプション）]セクションで次の操作を行います。

    • SAMLアプリで使用するグループ属性の[名前]を入力します。
    • [名前のフォーマット]を選択します。
    • 式のフィルタリング・オプションを選択します：[次から開始：]、[次と等しい：]、[次を含む：]、または[次の正規表現に一致]
    • OktaのGroupName値との照合に使用し、SAMLアサーションに追加する式を入力します。
    • [別途追加]をクリックすると、グループ・ステートメント行を追加できます。
    • 必要なグループ定義が完了するまでこの手順を繰り返します。

    • 情報

    注

    動的SAML機能では、Okta式言語による属性ステートメントの入力方法や処理方法は変更されません。また、この機能により、Okta Integration NetworkのアプリがSAML属性ステートメントを処理できるようになります。以前、属性ステートメントはアプリ統合ウィザードで作成したアプリでのみ使用可能でした。

  • < >[SAMLアサーションのプレビュー]をクリックすると、SAMLアプリ・ウィザードの[SAMLを構成]セクションで生成したXMLを表示できます。

タスク4：フィードバックを構成する

社内でのご利用のみを目的として統合を追加するOktaのお客様は、次の操作を行ってください。

  • [社内アプリを追加しているOktaユーザーです]を選択します。
  • [これは当社で作成した社内アプリです]のチェックボックスをオンにします。SAMLの構成指示を追加してアプリをOktaと連携させる必要がある場合は、[SAMLを有効にするには、ベンダーに問い合わせる必要があります]のチェックボックスをオンにします。Oktaサポート・チームがお客様のSAML構成を把握できるように、表示されているフィールドに必要な情報をご入力ください。
  • [終了]をクリックします。統合がOkta組織に作成されます。
  • 統合の[設定]ページが表示されます。ここでは、任意のパラメーターを変更して、統合をユーザーに割り当てることができます。

お客様がOkta Integration Network（OIN）を自社の統合に追加する独立系ソフトウェア・ベンダーの場合、次の操作を行ってください。

  • [ソフトウェア・ベンダーです。自社のアプリをOktaと統合したいと考えています]を選択します。
  • [終了]をクリックします。統合がOkta組織に作成されます。
  • 統合の[設定]ページが表示されます。ここでは、任意のパラメーターを変更して、統合をユーザーに割り当てることができます。
  • すべての設定を適切に行ったことを確認し、予備テストを完了したら、[アプリを送信してレビューを依頼]をクリックします。OINマネージャーのサイトが開き、OIN送信プロセスが開始されます。

タスク5：署名証明書を管理する

これは早期アクセス機能です。有効にする場合は、Oktaサポートにお問い合わせください。

SAMLアプリ統合を作成すると、[サインオン]タブに[SAML署名証明書]セクションが表示されます。ここでは、SSOの署名付きSAMLアサーションを検証し、信頼できるIDプロバイダーとしてOktaを指定できるように、アプリ統合を構成する必要があります。

利用可能な証明書が2つ表示される場合があります。その場合、1つはアクティブでもう1つは非アクティブであることにご注意ください、アクティブな証明書はアプリ統合のみを対象にしていますが、非アクティブな証明書は組織全体を対象にしています。アプリのみを対象とする証明書をアクティブのままにしておくことをお勧めします。オプションで、新しい証明書を生成してアクティブ化できます。

SAMLアプリに必要な設定を完了するには、次の手順を実行します。

  1. [アクティブ]にする証明書の[ステータス]を設定します。

    アクティブでない場合は[アクション]メニューの[アクティブ化]で別の証明書を選択するか、[新しい証明書を生成]をクリックして新しい証明書をアクティブ化します。

    2. 重要な注意事項次の手順を実行するまでSSO構成は完了しません。

  2. [SAMLの設定]の[SAMLの設定手順を表示]をクリックします。

  3. アプリケーションに応じて、次のいずれかを行います。

    • IdP設定をコピーして証明書をダウンロードする
    • アプリケーションがIdPメタデータを処理できる場合は、それらのデータをすべてコピーする

次の手順

統合が想定どおりに動作しない場合は、Oktaサポート（support@okta.com）にお問い合わせください。