Okta MFAを使用してOffice 365向けのAzure AD MFAの要件を満たす

ユーザーが無限サインイン・ループに陥ることがある

以下のシナリオで、エンドユーザーが無限サインイン・ループに陥ることがあります。

1. Oktaサインオン・ポリシーの方がAzure ADポリシーより弱い

   1. 組織レベルのサインイン・ポリシーもアプリレベルのサインイン・ポリシーもMFAを必要としない

      この場合、OktaはユーザーにMFAをプロンプトしませんが、Azure AD条件付きアクセスにはMFAが必要であり、入力されたMFAクレームがOktaによって渡されることが期待されます。その結果、ユーザーが無限認証ループに陥ります。

   2. アプリレベルのサインオンポリシーでは、ユーザーが「ゾーン内」のネットワークからサインインする場合はMFAは必要ありませんが、ユーザーが「ゾーン外」のネットワークからサインインする場合はMFAが必要です。

      この場合、ユーザーがゾーン内のネットワークからサインインしても、MFAは求められません。Azure AD条件付きアクセスにはMFAが必要であり、入力されたMFAクレームがOktaによって渡されることが期待されます。その結果、ユーザーが無限認証ループに陥ります。

2. ユーザーがMFA後すぐにOffice 365にアクセスしない

   ユーザーがOktaでMFAを完了したがすぐにOffice 365にアクセスしない場合、OktaはMFAクレームを渡しません。これにより、ユーザーが無限認証ループに陥ることがあります。無限ループから抜け出すには、ユーザーはWebブラウザを再度開いてMFAをもう一度完了する必要があります。

ユーザーがMFA要件から除外されている場合、Oktaは成功したMFAクレームを誤ってMicrosoftに渡す

これは、Office 365サインオン・ポリシーが特定のエンドユーザー（個人またはグループ）をMFA要件から除外した場合に起こります。

この場合、ユーザーはMFAを求められますが、ポリシーはこのユーザーがMFAを完了することなくサインインできるようにセットアップされているため、Oktaは成功したMFAクレームをAzure AD条件付きアクセスに送ります。Azure AD条件付きアクセスはOkta MFAクレームを受け入れ、ユーザーがMFAを完了することなくサインインすることを許可します。

1. OktaでMFAを構成する

   実装方法に基づいて、以下のいずれか、または両方を行います。

   1. 「多要素認証」で説明されている通り組織レベルのサインオン・ポリシーを構成します。
   2. 「Office 365サインオンポリシーのスタートガイド」で説明されている通りに、WS-Federation Office 365アプリ・インスタンス向けアプリサインオン・ポリシーを構成します。

2. Azure ADでMFAを構成する

   Microsoftドキュメントに従って、AzureADインスタンスでMFAを構成します。

［Setup Instructions（設定手順）］から更新された連携認証スクリプトを実行します。

1. Okta Admin Consoleで［Applications（アプリケーション）］>［Applications（アプリケーション）］に移動します。
2. WS-Federationが行われたOffice 365アプリを開きます。

3. ［Sign On（サインオン）］タブ［View Setup Instructions（設定手順を表示）］をクリックします。

   ［How to Configure Office 365 WS-Federation（Office 365 WS-Federationの設定方法）］ページが開きます。

4. このページで、［ドメインがすでにフェデレーションされている場合］セクションに移動します。
5. このセクションからスクリプトをコピーして、Windows PowerShellで実行します。
6. オプションの［Okta MFA from Azure AD（Azure ADからのOkta MFA）］で、［Enable for this application（このアプリケーションに対して有効にする）］がオンになっていることを確認し、［Save（保存）］をクリックします。
7. 次のPowerShellコマンドを実行して、SupportsMfa値がTrueであることを確認します。
   Connect-MsolService
   Get-MsolDomainFederationSettings -DomainName <yourDomainName>
   結果の例

   コピー

   1
   2
   3
   4
   5
   6
   7
   8
   9
   10
   11
   ActiveLogOnUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/active
   DefaultInteractiveAuthenticationMethod :
   FederationBrandName : Okta                        
   IssuerUri : issueruri
   LogOffUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/signout
   MetadataExchangeUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/mex
   NextSigningCertificate :
   OpenIdConnectDiscoveryEndpoint :
   PassiveLogOnUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/passive                    
   SigningCertificate : <SigningCertificate>
   SupportsMfa : True

この場合、設定を構成する必要はありません。

1. Okta Admin Consoleで［Applications（アプリケーション）］>［Applications（アプリケーション）］に移動します。
2. WS-Federationが行われたOffice 365アプリを開きます。
3. ［Sign On（サインオン）］タブ >［Edit（編集）］をクリックします。
4. オプションの［Okta MFA from Azure AD（Azure ADからのOkta MFA）］で、［Enable for this application（このアプリケーションに対して有効にする）］がオンになっていることを確認し、［Save（保存）］をクリックします。
5. 次のPowerShellコマンドを実行して、SupportsMfa値がTrueであることを確認します。
   Connect-MsolService
   Get-MsolDomainFederationSettings -DomainName <yourDomainName>
   結果の例

   コピー

   1
   2
   3
   4
   5
   6
   7
   8
   9
   10
   11
   ActiveLogOnUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/active
   DefaultInteractiveAuthenticationMethod :
   FederationBrandName : Okta
   IssuerUri : issueruri
   LogOffUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/signout
   MetadataExchangeUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/mex
   NextSigningCertificate :
   OpenIdConnectDiscoveryEndpoint :
   PassiveLogOnUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/passive                    
   SigningCertificate : <SigningCertificate>
   SupportsMfa : True

Office 365がMFAを必要とするAzure AD条件付きアクセスポリシーで構成されている場合、アプリにアクセスを試みるエンドユーザーは、Azure AD MFAの要件を満たすために、OktaによってMFAを求められます。次に、Oktaによって成功したMFAクレームがAzure ADに渡されます。Azure ADによってこのクレームが受け入れられ、エンドユーザーに個別のMFAが求められることなく、アクセスが許可されます。

次の表に示されているように、Azure AD条件付きアクセスMFAが有効になっていて、組織またはアプリレベルあるいは両レベルでOkta MFAが有効になっている場合に、OktaによってMFAクレームが渡されます。