Okta サービスアカウントの権限

ディレクトリの権限を調整する前に、Active Directory（AD）の権限がどのように設定されるかを理解し、環境内の権限の管理方法を計画してください。このタスクの実行に必要なアカウント要件の詳細については、Active Directory統合の前提条件を参照してください。

このトピックは3つの部分に分かれています。サービスアカウントに必要な権限、任意のユースケース、およびリファレンスについて説明します。

必要な権限

既存のアカウントが選択されていない場合は、デフォルトで、Okta AD AgentのインストーラーがOktaServiceというOktaサービスカウントを作成します。このアカウントはDomain Usersグループの権限を継承します。また、OktaServiceは、エージェントの実行中にAuthenticated UsersとEveryone特別IDグループのメンバーになります。デフォルトでは、Authenticated Usersグループは、Pre-Windows 2000 compatible Accessグループのメンバーです。Pre-Windows 2000 Compatible AccessグループからAuthenticated Usersグループを削除すると、増分インポートで問題が発生する可能性があります。増分インポートの問題を解決するためにお勧めの方法は、次のいずれかの変更を行うことです。

OktaサービスアカウントをWindows 2000以前と互換性のあるアクセスグループに追加します。
Oktaサービスアカウントに、同期されたすべてのADオブジェクトに対するすべて読み取り（Read all）権限があることを確認します。

Okta AD Agent管理ユーティリティには、OktaServiceアカウントをドメイン管理者グループに追加するオプションも含まれています。または、適切なユースケースに対して権限が設定されていることを確認します。これにより、サービスアカウントが完全な管理者になりません。

注:

Okta AD Agentを実行するサービスアカウントごとに、これらの権限が必要です。

DirSyncによるインポートの権限

早期アクセスリリース。セルフサービス機能を有効にするを参照してください。

Active Directory DirSyncコントロールによるインポートを使用して、ADとの通信を最適化できます。これにより、増分インポートをより確実に実行し、ADの変更をより速く取り込むことができます。DirSyncによるインポートを使用するには、ディレクトリの変更を複製する権限をエージェントに付与する必要があります。

Server Managerコンソールから権限を付与するには、次の手順を実行します。

Server Managerコンソールにサインインします。
ダッシュボード（Dashboard） > Active Directoryユーザーとコンピューター（Active Directory User and Computers）を選択します。
ドメイン名を右クリックしてプロパティ（Properties）を選択します。
セキュリティ（Security）タブを選択し、追加（Add）をクリックします。このタブは、表示（View）（Advanced Features）メニューから高度な機能（Advanced Features）（View）を選択した場合にのみ表示されます。
ユーザー、コンピューター、サービスアカウント、またはグループの選択（Select User, Computers, Service Accounts, or Groups）ダイアログからOkta ADエージェントサービスアカウントを選択し、OKをクリックします。
アクセス許可エントリー（Permissions Entry）ダイアログで、ディレクトリの変更を複製（Replicating Directory Change）（Replicating Directory Changes）を選択し、OKをクリックします。

コマンドラインから権限を付与するには、統合されたADドメインごとに次のPowerShellスクリプトを実行します。スクリプトを実行するたびに、OktaServiceとDOMAIN_DNS_NAMEがADドメインの適切な値に置換されます。

$Identity = "<DOMAIN\OktaService>"
$RootDSE = [ADSI]"LDAP://<DOMAIN_DNS_NAME>/RootDSE"
$DefaultNamingContext = $RootDse.defaultNamingContext
$UserPrincipal = New-Object Security.Principal.NTAccount("$Identity")
DSACLS "$DefaultNamingContext" /G "$($UserPrincipal):CA;Replicating Directory Changes"

ユースケース

これらは、任意のユースケースのいくつかで必要となる権限です。

ユーザーをプロビジョニングする

サービスアカウントがユーザープロビジョニングを行うには、次の権限が必要です。

対象組織単位（OU）でのユーザーオブジェクトの子の作成権限が必要です。
対象OUでのユーザーオブジェクトの子の削除権限が必要です。
対象OU内のユーザーオブジェクトに対するパスワードリセットのアクセス権の制御が必要です。
次の属性について、対象OU内のユーザーオブジェクトに対するプロパティの書き込み権限が必要です。
- mail
- userPrincipalName
- SAMaccountName
- givenName
- sn
- userAccountControl
- pwdLastSet
- lockoutTime
- cn
- name
Okta内のADユーザープロファイルにマッピングされるその他すべての属性について、対象OU内のユーザーオブジェクトに対するプロパティの書き込み権限が必要です。マッピングは、 https://<org>/admin/universaldirectoryのディレクトリ（Directories）にリスト表示されます。