Azure Active DirectoryをIDプロバイダーにする
Azure Active Directory（AAD）に認証を委任するには、OktaでAADをIDプロバイダー（IdP）として構成する必要があります。
はじめに
Azure Active DirectoryでのOktaエンタープライズアプリの作成を完了し、以下をメモします。
-
ログインURL
-
AADの識別子
-
ダウンロードした証明書（Base64）
この手順を開始する
この手順には次のタスクが含まれます。
この手順では、SAMLを使用してAADをIDプロバイダーとして設定する手順を示します。OpenID Connectの使用については、「OktaでのIDプロバイダーの作成」を参照してください。OpenID Connectを使用してIdPを作成した後、Azureのルーティングルールをセットアップできます。「IDプロバイダーのルーティングルールの構成」を参照してください。
Azure ADをIDプロバイダーとして追加する
-
Admin Consoleで、に移動します。
- ［Add Identity Provider（IDプロバイダーを追加）］をクリックして、［Add SAML 2.0 IdP（SAML 2.0 IdPを追加）］を選択します。
- ［Name（名前）］フィールドに 「AAD」またはIDプロバイダーの名前を入力します。
-
［AUTHENTICATION SETTINGS（認証設定）］セクションの以下のフィールドに入力します。
フィールド 値 ［IdP Username（IdPユーザー名）］ idpuser.email と入力します。
［Filter（フィルター）］ 任意。 ［Only allow usernames that match defined RegEx pattern（定義された正規表現パターンに一致するユーザー名のみを許可）］チェックボックスを選択し、正規表現パターンを入力します。このパターンによりIdPユーザー名がフィルタリングされ、IdPが意図しないユーザーや特権ユーザーを認証するのを防ぐことができます。
［Match against（照合対象）］ ドロップダウンリストからOktaユーザー属性を選択します。例：Oktaユーザー名。 このOktaユーザー属性は、既存のユーザーを検索するためにIdPユーザー名と照合されます。
［Account Link Policy（アカウントリンクポリシー）］
［Automatic（自動）］を選択すると、受信IdPユーザーがOktaの既存のユーザーにリンクされます。 ユーザーを手動でリンクする場合、またはユーザーをリンクしない場合は、［Disable（無効）］を選択します。
［Auto-link Restrictions（自動リンクの制限）］
任意。 指定した特定のグループに自動アカウントリンクを制限できます。
ドロップダウンリストから［Specific Groups（特定のグループ）］を選択し、グループ名を入力します。一致するユーザーが指定されたグループのいずれかに属している場合にのみ、IdPユーザーが自動的にリンクされます。
［If no match is found（一致が見つからない場合）］ 任意。［Create new user (JIT)（新規ユーザー（JIT）を作成）］を選択して、一致しないユーザー用に新しいアカウントを作成します。 -
［JIT Settings（JITの設定）］エリアで以下のフィールドに入力します。
フィールド 値 ［Profile Source（プロファイルソース）］ ［Update attributes for existing users（既存ユーザーの属性を更新）］チェックボックスを選択します。 ［Reactivation Settings（再アクティベーションの設定）］ 任意。 ［Reactivate users who are deactivated in Okta（Oktaで非アクティブ化されたユーザーを再度有効にする）］チェックボックスと［Unsuspend users who are suspended inOkta（Oktaで一時停止されているユーザーの一時停止を解除する）］チェックボックスを選択します。
［Group Assignments（グループの割り当て）］ 任意。 プロビジョニング中のグループ割り当ての動作を定義するオプションを選択します。
ユーザーを特定のグループに割り当てること、SAML属性名とグループフィルターに基づいて欠落しているグループに追加すること、グループの完全同期を実行することができます。
-
［SAML Protocol Settings（SAMLプロトコル設定）］エリアの以下のフィールドに入力します。
フィールド 値 ［IdP Issuer URI（IdP発行者URI）］ 以前に記録した［Azure AD Identifier（Azure AD識別子）］フィールドの値を入力します。 ［IdP Single Sign-On URL（IdPシングルサインオンURL）］ 前に記録したAzure AD［Login URL（ログインURL）］フィールドの値を入力します。 ［IdP Signature Certificate（IdP署名証明書）］ ［Browse files（ファイルを参照）］をクリックし、以前にダウンロードしたIDプロバイダーのPEMまたはDERキー証明書の場所を参照して、［Open（開く）］をクリックします。 - ［Add Identity Provider（IDプロバイダーを追加）］をクリックします。
- ［Identity Providers（IDプロバイダー）］ページで、AAD IDプロバイダーの展開（
）アイコンをクリックし、次のフィールドの値を記録します。- ［Assertion Consumer Service URL（アサーションコンシューマーサービスURL）］
- ［Audience URL（オーディエンスURL）］
IdPとしてAzureを追加した後、そのルーティングルールを構成します。ルーティングルールにより、ユーザーのデバイス、メールドメイン、またはアクセスしようとしているアプリなどに基づき、ユーザーをIdPに導くことができます。「IDプロバイダーのルーティングルールの構成」を参照してください。
Microsoft AzureポータルでOktaアプリを更新する
- Microsoft Azureポータルにサインインし、左上のポータルメニューアイコンをクリックして、［Azure Active Directory］を選択します。
- 左側のメニューで［Enterprise Applications（エンタープライズアプリケーション）］をクリックし、アプリケーションのリストで［Okta］を選択します。
- 左メニューで［Single sign-on（シングルサインオン）］をクリックし、［SAML］をクリックします。
-
［Basic SAML Configuration（基本SAML構成）］エリアで［Edit（編集）］をクリックし、以下のフィールドに入力します。
フィールド 値 ［Identifier (Entity ID)（識別子（エンティティID））］ 手順8で記録したオーディエンスURIの値を入力します。 ［Reply URL (Assertion Consumer Service URL)（返信URL（Assertion Consumer Service URL））］ 手順8で記録したAssertion Consumer Service URLの値を入力します。 - ［Save（保存）］と［Close（閉じる）］をクリックします。