Okta Org2OrgとOktaの統合

Okta Org2Orgの統合を使用して、ソースOkta orgからターゲットorgにユーザーを認証し、任意でプロビジョニングできます。この統合はソースorgでインストールおよび構成されます。Okta Org2Orgを使用して複数のソースorgを1つのOktaターゲットorgに接続できます。この統合によって、ユーザーをソースorgからターゲットorgにプッシュできるようになります。

Org2Orgアプリのプロビジョニング機能を利用する場合、OAuth 2.0またはAPIトークンを使用してorg間の接続を保護できます。

Org2Orgが使用される一般的なシナリオは、ハブアンドスポークモデルです。これらのシナリオでは、スポークorgがソースorgであり、ハブorgがターゲットorgです。

org間のフェデレーションを構成する

この手順では、OktaソースorgでOkta Org2Orgを構成することを前提としています。

  1. ソースorgでAdmin Consoleを開き、[Applications(アプリケーション)][Applications(アプリケーション)]に移動します。
  2. [Browse App Catalog(アプリカタログを参照)]をクリックします。
  3. [Search(検索)]フィールドにOrg2Orgと入力し、Okta Org2Orgを選択します。
  4. [Add Integration(統合を追加)]をクリックします。
  5. [General Settings(一般設定)]ページのフィールドに入力し、[Next(次へ)]をクリックします。
  6. [sign-on option(サインオンオプション)]を選択します。[SAML 2.0]を選択した場合、[View Setup Instructions(セットアップ手順を表示)]をクリックして手順に従います。
  7. [Done(完了)] をクリックします。
  8. [Applications(アプリケーション)][Applications(アプリケーション)]に移動します。
    1. Org2Orgアプリを開き、[Sign On(サインオン)]タブに切り替えます。
    2. [View SAML setup Instructions(SAMLのセットアップ手順を表示)]をクリックします。指示に従って、Org2Orgアプリと連携するようにターゲットorgでIdPを作成します。詳細およびセキュリティのベストプラクティスについては、「SAML IDプロバイダーを追加する」を参照してください。
    3. 次の手順で使用するため、IdP Single Sign On URL(IdPのシングルサインオンURL)の値をコピーします。
  9. Org2Orgアプリの[Assignments(割り当て)]タブに切り替えます。次の手順を完了してOrg2Orgアプリにユーザーとグループを割り当てます。
    1. [Assign(割り当て)]をクリックして、[Assign to People(ユーザーに割り当てる)]または[Assign to Groups(グループに割り当てる)]を選択します。
    2. ユーザーまたはグループ名の横にある[Assign(割り当て)]をクリックするか、[Search(検索)]フィールドを使ってユーザーまたはグループを特定し、[Assign(割り当て)]をクリックします。
  10. ソースorgのユーザーがアクセスできるように、ターゲットorgで1つ以上のアプリを構成します。
    1. ターゲットorgでアプリケーションを作成して構成します。

    2. アプリの[General(一般)]タブの[App Embed Link(アプリの埋め込みリンク)]セクションで[Embed Link(埋め込みリンク)]の値をコピーします。

    3. ソースorgでブックマークアプリ統合を作成します。

    4. 次の値を連結してブックマークアプリのURLを作成します。

      • IdP Single Sign On URL(IdPのシングルサインオンURL) (例:https://sourceorg.okta.com/app/okta_org2org/app_ext_id/sso/saml

      • ?RelayState=

      • アプリの[Embed Link(埋め込みリンク)]の値(例:https://targetorg.okta/home/app_name/instance_id/app_id

      たとえば、ブックマークアプリのURLを作成するには、前述の値を次のように連結します。

      https://sourceorg.okta.com/app/okta_org2org/app_ext_id/sso/saml?RelayState=https://targetorg.okta/home/app_name/org_id/app_id

  11. 任意。OAuth 2.0(推奨)またはAPIトークンを使用した、ソースorgからターゲットorgへのプロビジョニングを有効にします。

ソースからターゲットへのプロビジョニングを有効にする

プロビジョニングは必要だが、ユーザー、ユーザープロファイル属性、グループのリアルタイム同期は不要な場合、ターゲットorgに手動でソースorgユーザーを作成してください。

  1. ソースorgで、アクティブユーザーのリストをエクスポートします。Admin Consoleで、[Reports(レポート)]に移動し、[Okta Password Health(Oktaパスワードの健全性レポート)]をクリックします。レポートが生成され、メールアドレスに送信されます。レポートをダウンロードすることもできます。CSVファイルを開いて、[Status(ステータス)]列でフィルタリングしてアクティブユーザーを確認します。

  2. ターゲットorgでCSVファイルからユーザーをインポートします。ソースorgのグループ、アクセスが必要なアプリケーションのすべてのグループにユーザーを割り当てます。

  3. ソースorg用に構成されたIdpに、新しく作成されたユーザーを手動でリンクします。

ユーザーのプロビジョニングおよびリアルタイム同期が必要な場合、次のいずれかの方法を選択します。

OAuth 2.0を使用したプロビジョニング

org間のOAuth 2.0プロビジョニングを有効にするには、Okta APIとAdmin Consoleを連携する必要があります。

  1. ソースorgでAdmin Consoleを開き、[Applications(アプリケーション)][Applications(アプリケーション)]に移動します。

    1. Org2Orgアプリを開きます。
    2. URLからアプリIDをコピーします。たとえば、URLが<sourceorg>/admin/app/okta_org2org/instance/0oa78guhzaGH4KHZt1d7/#tab-importの場合、IDは0oa78guhzaGH4KHZt1d7です。

  2. 前の手順でコピーしたアプリケーションIDを渡し、Org2Orgアプリのキー資格情報を一覧表示します。

  3. 前の手順で取得した資格情報をjwksオブジェクトのkeysエントリとして使用し、ターゲットorgでOAuth 2.0サービスアプリを作成します。
  4. Assign admin roles to public client apps(パブリッククライアントアプリに管理者ロールを割り当てる)]が有効になっている場合は、OAuth 2.0サービスアプリに管理者ロールを割り当てます。そうでない場合は、次の手順に進みます。

    1. ターゲットorgでAdmin Consoleを開き、[Applications(アプリケーション)] [Applications(アプリケーション)] に移動します。OAuth 2.0サービスアプリを開きます。

    2. [Admin roles(管理者ロール)]タブで[Edit assignments(割り当てを編集)]をクリックします。

    3. [+ Add assignment(+割り当てを追加)]をクリックし、[Role(ロール)]ドロップダウンリストで[Group Administrator(グループ管理者)]を選択します。

    4. [+ Add assignment(+割り当てを追加)]をクリックし、[Role(ロール)]ドロップダウンリストで[Group Membership(グループメンバーシップ)]を選択します。

    5. [Save Changes(変更を保存)]をクリックします。

  5. APIスコープに同意を付与して、サービスアプリでユーザーを作成してユーザープロファイルと資格情報を管理できるようにします。
    1. ターゲットorgでAdmin Consoleを開き、[Applications(アプリケーション)][Applications(アプリケーション)]に移動します。OAuth 2.0サービスアプリを開きます。
    2. [Okta API Scopes(APIスコープ)]タブで、okta.groups.manageスコープとokta.users.manageスコープに同意を付与します。
  6. OAuth 2.0サービスアプリに管理者ロールを割り当てます。
  7. 任意。プロビジョニングを有効にして、アカウントの作成、更新、非アクティブ化を自動化します。
    1. ターゲットorgでAdmin Consoleを開き、[Applications(アプリケーション)][Applications(アプリケーション)]に移動します。OAuth 2.0サービスアプリを開き、[General(一般)] タブでクライアントIDをコピーします。
    2. ソースorgで、Okta APIを使用してOAuth 2.0ベースのプロビジョニングを有効にします
    3. ソースorgで、Org2Org用のプロビジョニング設定を構成します。
      1. Admin Consoleで、[Applications(アプリケーション)][Applications(アプリケーション)]に移動します。
      2. Org2Orgアプリを開きます。
      3. [Provisioning(プロビジョニング)]タブで、[Okta Org2Org Attribute Mappings(Okta Org2Orgの属性マッピング)]セクションに移動し、initialStatus属性を見つけます。[Edit(編集)]をクリックします。初期ステータスにおける[Attribute value(属性の値)]の最も一般的な構成は、 [Same value for all users(すべてのユーザーで同一の値)]およびactive_with_passです。
      4. 希望する設定を選択します。
      5. [Save(保存)]をクリックします。
    4. 任意。Org2Orgプロビジョニングをテストします。
      1. [Provisioning to App(アプリにプロビジョニング)]セクションで[Edit(編集)]をクリックし、[Create Users(ユーザーを作成)],、[Update User(ユーザーを更新)][Deactivate Users(ユーザーを非アクティブ化)]を選択します。設定を保存します。
      2. グループにアプリを割り当てます。[Assignments(割り当て)]タブで[Assign(割り当て)][Assign to Groups(グループに割り当てる)]をクリックし、グループを選択して[Save and Go Back(保存して戻る)]をクリックします。[Done(完了)] をクリックします。構成済みグループに属するユーザーを一覧表示するには、ユーザー別で割り当てをフィルタリングします。
      3. ターゲットorgのAdmin Consoleに移動します。[ディレクトリ)[ユーザー]に移動して、ソースorgでOrg2Orgアプリに割り当てられたユーザーがプロビジョニングされていることを確認します。

APIトークンを使用したプロビジョニング

  1. OktaターゲットorgでAPIトークンを作成します。
    1. Admin Consoleで、[Security(セキュリティ)][API]に移動します。
    2. [トークン]タブをクリックして[Create Token(トークンの作成)]をクリックします。
    3. トークン名としてわかりやすい名前を入力して、[Create Token(トークンを作成)]をクリックします。
    4. トークンの値をクリップボードまたはテキストエディターにコピーします。
    5. [OK, got it(OK、了解)]をクリックします。
  2. ソースorgでAdmin Consoleを開き、[Applications(アプリケーション)][Applications(アプリケーション)]に移動します。
  3. アプリケーションのリストからOkta Org2Orgを選択します。
  4. [Provisioning(プロビジョニング)]タブをクリックし、[Configure API Integration(API統合を構成)]をクリックして[Enable API Integration(API統合を有効化)]を選択します。
  5. 次のフィールドに情報を入力します。
    • Security token(セキュリティトークン):事前にコピーしたセキュリティトークンを貼り付けます。
    • [Prefer Username Over Email(メールよりユーザー名を優先)]:任意。メールアドレスをユーザー名として使用したくない場合にこのオプションを選択します。
    • [Import Groups(グループのインポート)]:任意。接続したorgからグループをインポートしたくない場合はこのチェックボックスをオフにします。
  6. 任意。[Test API Credentials(API資格情報をテスト)]をクリックしてAPI統合をテストします。
  7. [Save(保存)]をクリックします。
  8. 任意。Oktaターゲットorgからソースorgへプロビジョニング設定を変更します。

    1. [Provisioning(プロビジョニング)]タブをクリックし、[Settings(設定)][To App(アプリへ)]を選択します。
    2. [Edit(編集)]をクリックします。
    3. [Create Users(ユーザーを作成)][Update User Attributes(ユーザー属性をアップデート)][Deactivate Users(ユーザーを非アクティブ化)]、または[Sync Password(パスワードを同期化)]チェックボックスを選択します。
    1. [Save(保存)]をクリックします。
  9. 任意。ソースorgからターゲットOkta orgへのプロビジョニング設定を変更します。
    1. [Provisioning(プロビジョニング)]タブをクリックし、[Settings(設定)][To Okta(Oktaへ)]を選択します。
    2. [General(一般)][User Creation & Matching(ユーザーの作成と一致)][Profile & Lifecycle Sourcing(プロファイルおよびライフサイクルソーシング)]、または[Import Safeguard(インポートセーフガード)]エリアで[Edit(編集)]をクリックして設定を編集します。
    3. [Profile & Lifecycle Sourcing(プロファイルおよびライフサイクルソーシング)]エリアの[Allow Okta Org2Org to source Okta users(Okta Org2OrgにOktaユーザーのソーシングを許可)]を選択すると、ソースorgがユーザープロファイルデータのソースとなります。Oktaユーザーをターゲットorgにインポートすると、ソースorgのユーザープロパティに加えられた変更が、そのユーザーが割り当てられているほかのアプリにも適用されます。

    1. [Save(保存)]をクリックします。
    2. 初期ステータス(initialStatus)用にオプションを選択します。この属性は接続orgのユーザーが作成、リンク、または再アクティブ化されたときの、ユーザーのステータスを定義します。active_with_passまたはpending_with passを選択した場合、ユーザー向けに一時パスワードが作成されます。[Okta Password Sync(Oktaパスワード同期)]を有効にした場合、ユーザーがサインインしたときにユーザーの一時パスワードは上書きされます。初期ステータスにおける[Attribute value(属性の値)]の最も一般的な構成は、 [Same value for all users(すべてのユーザーで同一の値)]およびactive_with_passです。[Edit(編集)]をクリックします。希望する設定を選択し、[Save(保存)]をクリックします。

  10. 任意。新しいOktaグループを接続orgにプッシュします。「グループプッシュを管理する」を参照してください。