パスワード同期のトラブルシューティング

ここに記載されている情報を使用して、パスワードの同期の問題を解決してください。

パスワードの同期の問題を解決するための提案を次に示します。

  • Oktaシステム・ログを確認して、パスワード同期イベントの結果、パスワードがアプリケーションまたはActive Directory（AD）にプッシュされたかどうかを確認します。
  • パスワード同期の対象アプリケーションに手動でサインオンして、どのパスワードが機能しているか判別します。
  • OktaからADへの同期で問題がある場合、Okta AD Agentのサービス・アカウントの権限が正しいこと、およびAgent.logファイルにエラーがないことを確認します。
  • Okta AD AgentとPassword Sync Agent（PSA）のログで同期イベントを確認します。
  • 失敗したパスワード同期イベントは、[タスク]ページのタスク・リストに表示されます。

この問題の原因として考えられるのは、組織の[Oktaユーザー名のフォーマット]が[ユーザー・プリンシパル名（UPN）]または[sAMAccountName]に設定されていないことです。AD Password Sync Agentを機能させるには、 [Oktaユーザー名のフォーマット]を[ユーザー・プリンシパル名（UPN）] または[sAMAccountName]に設定する必要があります。[Oktaユーザー名のフォーマット]の設定を確認するには：

  1. 管理コンソールで、[ディレクトリー] > に移動します [ディレクトリー統合]。
  2. [Active Directory]をクリックし、[プロビジョニング]タブをクリックします。
  3. [設定]リストで、[Oktaへ]をクリックします。
  4. [一般]領域で、[Oktaユーザー名のフォーマット]に対して[ユーザー・プリンシパル名（UPN）]または[sAMAccountName]が選択されていることを確認します。

AD Password Syncエージェントを起動し、エージェントが有効になっていないことを示すメッセージが表示された場合は、Okta URL（例：https://mycompany.okta.com）を入力し、[URLを確認]をクリックする必要があります。入力ではhttps://プレフィックスを使用します。


AD Password Syncエージェントを起動し、[基になる接続が閉じられました。SSL/TLSセキュア・チャネルの信頼関係を確立できませんでした]というメッセージが表示された場合、AD Password Syncエージェントのバージョン1.3.0以降がインストールされており、このエージェントによるSSL証明書ピンニングのサポートによってOktaサーバーと通信できない環境となっています。これは、多くの場合、SSLプロキシーに依存する環境で発生します。この場合にインストールを完了できるようにするために、Oktaでは、ドメインokta.comを許可リストに追加して、SSLプロキシー処理をバイパスすることを推奨しています。

また、以下の説明に従ってSSL証明書ピンニングを無効にすることもできますが、これを行うと、エージェントが提供するセキュリティー強化も無効になるため注意が必要です。

SSLピンニングのサポートを無効にするには、Windowsレジストリーを次のように編集します。

  1. [検索]をクリックし、検索ボックスにregeditと入力し、Enterを押します。
  2. [このアプリがデバイスに変更を加えるのを許可しますか？]というメッセージが表示されたら、[はい]をクリックします。
  3. レジストリエディターで、[HKEY_LOCAL_MACHINE] > [SOFTWARE] > [Okta] > [ADパスワード同期]に移動します。
  4. [証明書ピンニングの有効化]設定をダブルクリックし、値を0に変更します。
  5. [OK]をクリックして変更内容を保存します。

SSL証明書ピンニングの詳細については、「Webアプリケーション・セキュリティー・プロジェクトを開く」を参照してください。