ユーザーをOffice 365にプロビジョニングする

Okta orgから、Office 365のユーザーを作成、更新、デプロビジョニング、同期できます。ユーザーを異なるソースディレクトリからOktaにインポートし、プロファイルマッピングを使用してOffice 365にプロビジョニングできます。Office 365

開始する前の確認事項

この手順を開始する

Office 365でユーザーをプロビジョニングするには、以下のタスクを順番に実行する必要があります。Office 365

  1. OktaからOffice 365へのプロビジョニングをセットアップする

  2. OktaからOffice 365にプロファイル属性をマッピングする

  3. プロビジョニングをテストする

OktaからOffice 365へのプロビジョニングをセットアップする

API統合を有効にし、ユーザーのインポートとプロビジョニングに管理者の同意を得て、ユーザーライフサイクルの段階で設定を構成することで、プロビジョニングの作業を自動化することができます。

API統合を有効にする

Office 365では、Microsoft APIに対して認証を行うために同意が必要です。これにより、OktaでOffice 365アプリでプロビジョニングを行うことができます。

  1. Office 365 > プロビジョニング（Provisioning） > 統合（Integration） > API統合の構成（Configure API Integration）に移動します。
  2. API統合を有効にする（Enable API Integration）をオンにします。

  3. Microsoft Office 365で認証（Authenticate with Microsoft Office 365）をクリックして同意します。Microsoft AzureMicrosoft Azureログイン（ login）］ページにリダイレクトされます。

  4. 承認（Accept）をクリックします。Microsoft Azureポータルでスコープを受け入れると、Oktaにリダイレクトされます。

プロビジョニングのタイプと設定を選択する

これらのプロビジョニングオプションは選択するプロビジョニングタイプによって異なります。プロファイルの同期（Profile Sync）はデフォルトで選択されています。

  1. Office 365 > プロビジョニング（Provisioning） > アプリへ（To App） > 編集（Edit）に移動します。

  2. Office 365プロビジョニングタイプ（Office 365 Provisioning Type）を選択します。

    プロビジョニングタイプはプロファイルの同期（Profile Sync）からライセンスとロールの管理のみ（Licenses & Role Management Only）、ユニバーサル（Universal）またはユーザーの同期（User Sync）から選択して変更することができます。「Office 365のプロビジョニングオプション」を参照してください。

    ユニバーサル同期（Universal Sync）の場合のみ： Active Directoryグループとリソースを同期するには、これらのADインスタンスからフルプロファイル、連絡先、会議室を送信（Send full profile, contacts, and conference rooms from these AD instances）を選択します。Active Directory

  3. 任意。資格情報なしで ユーザー同期（User Sync）またはUniversal Syncのプロビジョニングを有効にすると、権限が不十分であるというエラーが発生する可能性があります。これを修正するには、PowerShellで次の手順に従います。

    1. v1.0およびベータ版のMicrosoft Graph PowerShellモジュールをインストールします。

      Install-Module Microsoft.Graph -Force

      Install-Module Microsoft.Graph.Beta -AllowClobber -Force

    2. Microsoft Hybrid Identity Administratorアカウントで接続します。

      Connect-MgGraph -scopes "Organization.ReadWrite.All,Directory.ReadWrite.All"

    3. DirSyncタイプのステータスを確認します。

      Get-MgOrganization | Select OnPremisesSyncEnabled

    4. テナントIDをorganizationIdという名前の変数に保存します。

      $organizationId = (Get-MgOrganization).Id

    5. DirSyncEnabled属性の最新値を保存します。

      $params = @{onPremisesSyncEnabled = $true}

    6. 更新を実行します。

      Update-MgOrganization -OrganizationId $organizatnnnnionId -BodyParameter $params

    7. コマンドを確認します。

      Get-MgOrganization | Select OnPremisesSyncEnabled

  4. Oktaのユーザーにアプリを割り当てる際に、Microsoft Office 365のユーザーを作成またはリンクするためにユーザーを作成（Create Users）を有効にします。
  5. Oktaのユーザーにアプリを割り当てる際に、Microsoft Office 365のユーザー属性を更新するためにユーザー属性を更新（Update User Attributes）を有効にします。
  6. 作成および更新アクションのプロビジョニングスコープを管理します。
  7. その他のプロビジョニング設定を有効または無効にします。Office 365のプロビジョニングとデプロビジョニングを開始するを参照してください。
  8. 保存（Save）をクリックします。

作成および更新アクションのプロビジョニングスコープを管理する

OktaがMicrosoft Office 365で管理するユーザーデータのレベルを選択します。

  • ユーザー属性、ライセンス、およびロール（User Attributes, Licenses, and Roles）：属性、ライセンス、ロールを管理するには、このオプションを選択します。これはデフォルトのオプションです。
  • ユーザー属性のみ（User Attributes Only）：ユーザー属性のみを管理するには、このオプションを選択します。

プロファイル属性をOktaからOffice 365にマッピングする

ユーザーのソースがどこであるかによって、ユーザー名の形式が異なります。ユーザーがOffice 365のサインインに成功するには、Office 365のユーザー名が、連携認証するドメインのメールアドレス（username@yourfederated.domain）形式である必要があります。

ユーザー名を変更せずにマッピングする

連携認証するドメインのメールアドレス（username@yourfederated.domain）形式のユーザー名がすでにユーザーにある場合は、そのメールを再フォーマットせずにマッピングできます。

  1. Office 365サインオン（Office 365 Sign on） > 編集（Edit）に移動します。
  2. 資格情報の詳細（Credentials Details） > アプリケーションユーザー名の形式（Application username format） > メール（Email）を選択します。
  3. 保存（Save）をクリックします。

カスタムユーザー名をマッピングする

ユーザーのソースが異なるディレクトリまたはアプリの場合は、ユーザー名の形式が異なる場合があります。Okta式言語を使用して、Office 365に渡されるユーザー名をカスタマイズできます。

  1. Office 365 > サインオン（Sign on） > 編集（Edit）に移動します。
  2. 資格情報の詳細（Credentials Details） > アプリケーションユーザー名の形式（Application username format）で、カスタム（Custom）を選択します。

    表示されたテキストボックスにこの式を入力します。

    String.substringBefore(user.email, "@") + "@yourfederated.domain"
  3. yourfederated.domainは、連携認証するドメインで置き換えます。
  4. プレビュー（Preview）ボックスにOktaユーザーを入力して、マッピングの結果を確認します。
  5. 結果のユーザー名はそのユーザーのOffice 365ユーザー名に一致するはずです。
  6. 保存（Save）をクリックします。

メールアドレスをマッピングする

連携認証するドメインにユーザーのメールアドレスが存在しない場合は、Okta Expression Languageを使用してOffice 365に渡されるメールアドレスをカスタマイズできます。

前提条件

プロビジョニングタイプは、ユーザー同期（User Sync）またはユニバーサル同期（Universal Sync）を選択する必要があります。Office 365のプロビジョニングオプションを参照してください。

  1. ディレクトリ（Directory） > プロファイルエディター > Microsoft Office 365マッピング（Microsoft Office 365 Mappings） > OktaからMicrosoft Office 365（Okta to Microsoft Office 365）に移動します。
  2. source.emailフィールドで、次の式を入力します：String.substringBefore(user.email, "@") + "@yourfederated.domain"
  3. yourfederated.domainは、連携認証するドメインで置き換えます。
  4. プレビュー（Preview）ボックスにOktaユーザーを入力して、マッピングの結果を確認します。
  5. 結果のメールアドレスが、ユーザーのOffice 365メールアドレスと一致する必要があります。
  6. プレビュー（Preview）を終了してマッピングを保存します。
  7. 今すぐ更新を適用（Apply Updates Now）をクリックします。

プロビジョニングをテストする

OktaでテストユーザーにOffice 365を割り当て、Microsoftテナントに表示されることを確認することで、プロビジョニングが正しく構成されていることを確認します。プロビジョニング（Create Users）でユーザーを作成（Create Users）（Provisioning）オプションを選択したことを確認します。

Oktaで以下を行います。

  1. Microsoft Office 365アプリの割り当て（Assignment）タブを開きます。
  2. 割り当て（Assign）をクリックします。
  3. 適切なOffice 365ライセンスをテストユーザーに割り当てます。
  4. 完了（Done）をクリックします。

Microsoftで以下を行います。

  1. アクティブユーザー（Active Users）のリストを開きます。
  2. すべてのテストユーザーが適切なライセンスでリストに表示されていることを確認します。

Oktaで以下を行います。

  1. テストユーザーとしてOktaにログインします。
  2. すべてのOffice 365アプリがユーザーダッシュボードに表示されていることを確認します。

次の手順

Office 365をユーザーやグループに割り当てる