Microsoftに管理者の同意を提供してOktaでの認証を可能にする

Oktaは、Microsoft Office 365テナントと統合するために特定の権限を必要とします。これらの権限により、Oktaがユーザーに代わってMicrosoft Graph APIにアクセスして、SSOとユーザープロビジョニングを実行できます。

開始する前の確認事項

Microsoftテナントのグローバル管理者権限があることを確認してください。

Oktaの権限の必要性を理解する

必要な権限は、Microsoftテナントに登録されている2つの異なるOktaアプリのいずれかに付与されます。使用される特定のアプリは、有効化する機能によって異なります。

有効化される機能 必要なOktaアプリ

ドメインフェデレーション

Okta Graph APIクライアント - フェデレーション

プロビジョニングおよび高度なAPIアクセス

Okta Microsoft Graphクライアント

Okta Office 365アプリ統合内のSSOまたはプロビジョニングの初期構成時に、管理者の同意を付与するように求められます。

ドメインフェデレーションの権限

ドメインのみをフェデレーションする場合、Okta Graph APIクライアント - フェデレーションアプリに次の権限セットが付与されます。

権限 Oktaでできること 注記

User.Read

ユーザーの読み取り

認証には基本ユーザーIDが必要です。

Domain.ReadWrite.All

ドメインデータの読み書き

ドメインの構成と検証に必要です。

RoleManagement.ReadWrite.Directory

ユーザー、グループ、およびサービスプリンシパルへのディレクトリロールの割り当て。

初期セットアップ時に必要です。

プロビジョニングおよび高度なAPIアクセスの権限

OAuthベースアプリ（Microsoft Teams、Viva、Power BIなど）にプロビジョニングまたは高度なAPIアクセスを構成する場合、包括的な権限セットが必要であり、 Okta Microsoft Graphクライアントアプリに付与されます。

プロビジョニングと高度なAPIアクセスは両方とも同じ権限セットを共有しており、ユーザートークン、ライセンス、Directoryオブジェクトを管理するためにMicrosoft Graph APIへの読み取り/書き込みアクセスを必要とします。

権限 Oktaでできること 注記

User.ReadWrite.All

ユーザーの作成、参照、更新、および削除。

User Lifecycle Managementに必要です。

Group.ReadWrite.All

グループの作成、参照、更新、および削除。

グループプッシュおよびグループ管理に必要です。

GroupMember.ReadWrite.All

グループのメンバーの追加または削除。

グループメンバーシップの管理に必要です。

Organization.Read.All

テナントの取得済みライセンスと残りのシートの一覧表示。

ライセンスの利用可能性を確認するために必要です。

Application.Read.All

テナントのアプリ登録とサービスプリンシパルの一覧表示。

統合の構成に必要です。

Application.ReadWrite.All

テナントでのアプリ登録を作成・管理する

Oktaがアプリベースの認証のためにテナントでアプリを作成するために必要です。このアプリは、ユーザーの同期（User Sync）とユニバーサル同期（Universal Sync）のプロビジョニングタイプにのみ使用されます。

AppRoleAssignment.ReadWrite.All

アプリ、グループ、ユーザー向けのアプリロール割り当てを付与・取り消す

Oktaが、プロビジョニング操作を実行するために必要なロール割り当てを使用して、専用プロビジョニングアプリを構成するために必要です。これは、ユーザーの同期（User Sync）とユニバーサル同期（Universal Sync）のプロビジョニングタイプにのみ使用されます。

RoleManagement.ReadWrite.Directory

ユーザー、グループ、およびサービスプリンシパルへのディレクトリロールの割り当て。

管理者ロールの管理に必要です（例: グローバル管理者）

プロビジョニングが使用されていない場合、SSO統合が成功した後にこの権限を安全に取り消すことができます。

Directory.ReadWrite.All

ディレクトリデータの読み取り。

Directory管理に使用されます。

LicenseAssignment.ReadWrite.Allが付与されている場合、この権限を安全に取り消すことができます。

Microsoftに管理者の同意を提供してOktaでの認証を可能にする

管理者の同意は、次の2つの方法で提供できます。

プロビジョニングにMicrosoft管理者の同意を提供する

Office 365アプリのプロビジョニングを初めて有効にする場合は、次の手順に従います。

  1. Okta 管理コンソールで以下を行います。
    1. Applications and Resources > Office 365 > プロビジョニング（Provisioning） > 統合（Integration）に進みます。
    2. API統合を有効化（Enable API integration）チェックボックスを選択します。

    3. Microsoftアカウントで認証（Authenticate with Microsoft Account）をクリックします。

      Microsoftアカウントログインページにリダイレクトされます。

  2. Microsoftで以下を行います。
    1. Microsoftテナントのグローバル管理者としてMicrosoftにサインインします。
    2. Okta MicrosoftGraphクライアント（Graph Client）ページに記載されている手順を読んで受け入れます。
  3. Okta 管理コンソールで設定を保存します。

プロビジョニングでの認証のためにMicrosoftに示した管理者の同意を再認証する

Office 365アプリのプロビジョニングを既に有効にしていて、再認証する必要がある場合は、次の手順に従います。

  1. Okta 管理コンソールで以下を行います。
    1. Applications and Resources > Office 365 > プロビジョニング（Provisioning） > 統合（Integration） > 編集（Edit）に進みます。

    2. Microsoftアカウントで再認証（Re-authenticate with Microsoft Account）をクリックします。

      Microsoftアカウントログインページにリダイレクトされます。

  2. Microsoftで以下を行います。
    1. Microsoftテナントのグローバル管理者としてMicrosoftにサインインします。
    2. Okta MicrosoftGraphクライアント（Graph Client）ページに記載されている手順を読んで受け入れます。
  3. Okta 管理コンソールで設定を保存します。

SSOにMicrosoft管理者の同意を提供する

  1. Okta 管理コンソールで以下を行います。
    1. Applications and Resources > Office 365 > サインオン（Sign on） > 編集（Edit）に進みます。
    2. サインオン方法（Sign on Methods）セクションで、WS-Federation > 自動（Automatic）が選択されていることを確認します。
    3. Office 365ドメイン（ Domains ）セクションで、フェデレーションの設定を開始（Start federation setup）をクリックします。Microsoftアカウントログインページにリダイレクトされます。
  2. Microsoftで以下を行います。
    1. Microsoftテナントのグローバル管理者としてMicrosoftにサインインします。
    2. OktaGraph APIクライアント - フェデレーション（Graph API Client - Federation）ページに記載されている手順を読んで受け入れます。
  3. サインオン（Sign On）タブに戻り、ドメインをフェデレーション（Federate domains）をクリックし、Oktaとフェデレーションするドメインを選択します。認証を完了するには、少なくとも1つのドメインをフェデレーションしてください。
  4. 任意。Microsoft Teams、Viva、Power BIなどのアプリでSSOを使用するには、Okta 管理コンソールで次の手順を実行します。
    1. API資格情報（API Credentials）セクションで、管理者が高度なAPIアクセスに同意できるようにする（Allow administrator to consent for Advanced API access）を選択します。
    2. Microsoftアカウントで認証（Authenticate with Microsoft Account）をクリックします。Microsoftアカウントログインページにリダイレクトされます。
    3. Microsoftテナントのグローバル管理者としてMicrosoftにサインインします。
    4. Okta MicrosoftGraphクライアント（Graph Client）ページに記載されている手順を読んで受け入れます。
  5. Okta 管理コンソールで設定を保存します。

SSOにMicrosoft管理者の同意を再認証する

次の場合、Oktaに既存のMicrosoft管理者の同意を再認証する必要があります。

  • Oktaエンドユーザーダッシュボードに新しいOffice 365アプリを追加し、そのアプリにOAuthが必要な場合。
  • Office 365アプリのURLが変更される場合。
  1. Okta 管理コンソールで以下を行います。
    1. Applications and Resources > Office 365 > サインオン（Sign on） > 編集（Edit）に進みます。
    2. サインオン方法（Sign on Methods）セクションで、WS-Federation > 自動（Automatic）が選択されていることを確認します。
    3. Office 365ドメイン（ Domains）セクションで、Microsoftアカウントで再認証（Re-authenticate with Microsoft Account）をクリックします。Microsoftアカウントログインページにリダイレクトされます。
  2. Microsoftで以下を行います。
    1. Microsoftテナントのグローバル管理者としてMicrosoftにサインインします。
    2. OktaGraph APIクライアント - フェデレーション（Graph API Client - Federation）ページに記載されている手順を読んで受け入れます。
  3. 任意。Microsoft Teams、Viva、Power BIなどのアプリでSSOを使用するには、Okta 管理コンソールで次の手順を実行します。
    1. API資格情報（API Credentials）セクションで、管理者が高度なAPIアクセスに同意できるようにする（Allow administrator to consent for Advanced API access）が選択されていることを確認します。
    2. Microsoftアカウントで再認証（Re-authenticate with Microsoft Account）をクリックします。Microsoftのサインインページに転送されます。
    3. Microsoftテナントのグローバル管理者としてMicrosoftにサインインします。
    4. Okta MicrosoftGraphクライアント（Graph Client）ページに記載されている手順を読んで受け入れます。
  4. Okta 管理コンソールで設定を保存します。