Office 365向けにシングルサインオンを構成する

シングルサインオン（SSO）を構成して、ユーザーがOkta資格情報を使ってOffice 365に認証できるようにします。

ユーザーが以下のいずれかの方法でOffice 365にサインオンできるようにすることができます。

  • Secure Web Authentication（SWA）
  • WS-Federation：自動
  • WS-Federation：手動（PowerShellを使用）

SWAはOktaが開発したシングルサインオン（SSO）方式です。強力な暗号化と顧客固有の秘密鍵を組み合わせて使用してエンドユーザーの資格情報を保存します。エンドユーザーがアプリをクリックすると、暗号化された資格情報を使って安全にサインインできます。SWAアプリの統合を参照してください。

WS-Federationでは、暗号化されたSOAPメッセージを使用してID情報を転送するメカニズムが定義されます。Office 365用の個別のパスワードは必要ありません。WS-Fedアプリの統合を参照してください。

開始する前の確認事項

  • Office 365をOktaに追加するを完了します。

  • ユーザーをOktaに取り込む（Bring users into Okta）：Active Directory（AD）などのディレクトリやSalesforceなどのアプリからユーザーをインポートできます。現在Oktaでは、完了まで2時間以上かかるインポートをサポートしていません。このタイプのインポートがある場合はサポートに連絡してください。また、Oktaで直接ユーザーを作成することもできます。詳しくは、以下を参照してください。

  • Microsoft Endpoint Manager管理センターでWebサインイン（Web Sign-in）オプションが有効（Enabled）になっているAzure Active Directoryテナントを統合する場合は、その構成設定でOkta orgのURLが許可されることを確認します。ポリシーCSP - 認証については、Microsoftのドキュメントを参照してください。

このタスクを開始する

  1. Office 365向けのSSOを構成するには、次のいずれかの方法を使用できます。

  2. SSOを構成したら、SSO構成をテストする必要があります。

Secure Web Authenticationを使用してSSOを構成する

SWAまたはWS-Federationを使用して、ユーザーがOffice 365にサインインできるようにすることができます。SWAよりも安全であるため、できるだけWS-Federationを使用することをお勧めします。Okta

  1. Admin Consoleで、アプリケーション（Applications） > アプリケーション（Applications）に移動します。

  2. Office 365統合を検索して選択します。
  3. サインオン（Sign On）タブに移動します。
  4. 設定（Settings）セクションの編集（Edit）をクリックします。
  5. サインオン方法（Sign on methods）で、Secure Web Authenticationを選択します。
  6. ユーザー名とパスワードの設定に適切なオプションを選択します。「Secure Web Authentication」を参照してください。
  7. 「OktaからOffice 365にプロファイル属性をマッピングする」での説明に従って、ユーザー名のフォーマットをマッピングします。
  8. 保存（Save）をクリックします。

WS-Federationを使用してSSOを構成する

WS-FederationでSSOを構成する設定には、自動（Automatic）とPowerShellを使用した手動（Manual using PowerShell）の2つがあります。OktaによるWS-Federationの自動構成を許可するか、またはOktaが提供するカスタマイズされたPowerShellスクリプトを使用して手動で構成することができます。バックエンドの手順がOktaによって管理されるため、WS-Federationを自動的に構成することをお勧めします。

署名証明書

Office 365アプリ統合では、WS-Federationのサインオン方法（自動または手動にかかわらず）に署名証明書を使用します。Office 365アプリ統合を作成すると、OktaはアプリレベルのSHA-256署名証明書を自動的に生成します。証明書は10年間有効です。この証明書は、そのアプリインスタンスのみにスコープが制限されていて、証明書が侵害された場合の潜在的な影響を制限します。Office 365アプリへの継続的なアクセスを確保するには、統合の証明書が有効期限切れになる前にOffice 365署名証明書をローテーションするタスクを完了させます。

WS-Federation自動を使用してSSOを構成する

Office 365アプリインスタンスでWS-Federationが自動モードで使用される場合、Oktaは初期構成時と証明書ローテーション時の両方でバックエンドのフェデレーションプロセスを管理します。

初回セットアップ

WS-Federationを初めて構成する際には、次の手順に従ってドメインを認証して選択します。

  1. Admin Consoleで、アプリケーション（Applications） > アプリケーション（Applications）に移動します。

  2. Microsoft Office 365アプリ統合を検索して選択します。

  3. サインオン（Sign On）タブに移動します。
  4. 設定（Settings）セクションの編集（Edit）をクリックします。
  5. WS-Federationを選択します。
  6. WS-Federationの構成（WS-Federation Configuration）を自動（Automatic）に設定します。
  7. 任意。設定手順を表示（View Setup Instructions）をクリックします。Office 365 WS-Federationを構成するための手順が新しいウィンドウに表示されます。
  8. 任意。手順のフェデレーション認証のためのドメインを準備する（Prepare your domain for federated authentication）セクションを参照して、連携認証用にドメインを適切に準備したことを確認してください。
  9. サインオン（Sign On）タブに戻り、フェデレーションの設定を開始（Start federation setup）をクリックします。Microsoftアカウントログインページにリダイレクトされます。
    1. Microsoftテナントのグローバル管理者としてMicrosoftにサインインします。
    2. 要求した権限を確認して受け入れます。
  10. ドメインをフェデレーション（Federate domains）をクリックします。
  11. 表示されるダイアログで、ドロップダウンリストからフェデレーションするドメインを選択します。
  12. 保存（Save）をクリックします。

既存の構成を編集する

以前にWS-Federationを構成している場合は、次の手順に従って変更を行います。

  1. Admin Consoleで、アプリケーション（Applications） > アプリケーション（Applications）に移動します。

  2. Microsoft Office 365アプリ統合を検索して選択します。

  3. サインオン（Sign On）タブに移動します。
  4. サインオン方法としてWS-Federationが選択されていて、WS-Federationの構成（WS-Federation Configuration）が自動（Automatic）に設定されていることを確認します。
  5. 読み取り専用モードでフェデレーションされた親ドメインと子ドメインを表示するには、選択したドメインを表示（View selected domains）をクリックします。
  6. ドメインを追加または削除するには、検証済みドメインを管理（Manage verified domains）をクリックします。
  7. 別のMicrosoft Office 365アカウントで再認証するには、Microsoftアカウントで再認証（Re-authenticate with Microsoft Account）をクリックします。
  8. 保存（Save）をクリックします。

PowerShellを使用してWS-Federation手動でSSOを構成する

MS Graphフェデレーション機能を有効化した場合は、PowerShellコマンドが異なります。

  1. Admin Consoleで、アプリケーション（Applications） > アプリケーション（Applications）に移動します。
  2. Office 365アプリ統合を検索して選択します。
  3. サインオン（Sign On）タブに移動します。
  4. 設定（Settings）セクションの編集（Edit）をクリックします。
  5. WS-Federationを選択します。
  6. WS-Federationの構成（WS-Federation Configuration）をPowerShellを使用した手動（Manual using PowerShell）に設定します。
  7. 手動のままにする（Continue with Manual）をクリックして、選択内容を確認します。
  8. 設定手順を表示（View Setup Instructions）をクリックして、ドメイン用にカスタマイズされたPowerShellコマンドを表示します。
  9. PowerShellで使用するためにこのコマンドをコピーします。

PowerShellで以下を行います。

  1. Connect-MgGraph -Scopes Directory.AccessAsUser.Allを入力します。
  2. Office 365グローバル管理者のユーザー名とパスワードを入力します。
  3. カスタマイズされたPowerShellコマンドをコピーして入力します。
  4. 次のコマンドを入力し、連携認証が成功したことを確認します：Get-MgDomainFederationConfiguration -DomainId yourdomain.name

SSO構成をテストする

  1. テストユーザーとしてOktaにサインインします。
  2. エンドユーザーダッシュボードからOffice 365を開きます。
  3. ユーザーがOffice 365アカウントに正常にログインしていることを確認します。