CoupaをOktaと統合する

Okta orgでCoupaのSSOとプロビジョニングを構成する方法について説明します。

SSOを構成する

この手順に従って、CoupaをOkta orgと統合します。

Coupaの管理権限のあるユーザーとしてCoupaにサインインします。
上部のメニューバーにあるセットアップ（Setup）をクリックします。
会社設定（Security Controls）セクションのセキュリティ制御（Security Controls）（Company Setup）をクリックします。
SAMLでサインイン（Sign in using SAML）セクションで、SAMLでサインイン（Sign in using SAML）を選択します。
Admin Consoleで、アプリケーション（Applications） > アプリケーション（Applications）に移動します。
アプリのリストでCoupaアプリ統合を見つけ、クリックします。
サインオン（Sign On）タブをクリックします。
サインオン方法（Sign on methods）セクションで、メタデータURL（Metadata URL）をWebブラウザーで開きます。

XMLメタデータをコピーし、metadata.xmlという名前のファイルに保存します。メタデータは以下のようなものになります。

<md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" entityID="http://www.okta.com/exk9...">
  <md:IDPSSODescriptor WantAuthnRequestsSigned="false" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
  ...
</md:EntityDescriptor>

Coupaに戻ります。IdPメタデータのアップロード（Choose File）の横にあるファイルの選択（Choose File）（Upload IdP metadata）をクリックします。metadata.xmlを見つけてアップロードします。
OktaのCoupaアプリ統合のサインオン（Sign On）（Edit）タブにある設定（Settings）セクションで編集（Edit）（Sign On）をクリックします。
デフォルトのリレー状態（Default Relay State）を<your-coupa-login-url>/sessions/saml_postに設定します（たとえば、https://acme.coupacloud.comにサインインする場合、https://acme.coupacloud.com/sessions/saml_postと入力）。
使用するCoupa SAML URL（Your Coupa SAML URL）に以下のいずれかのURLを入力します。
- ステージング環境の場合：https://sso-stg1.coupahost.com/sp/ACS.saml2
- 運用環境の場合：https://sso-prd1.coupahost.com/sp/ACS.saml2
オーディエンスURL（Audience URI）に以下のいずれかの値を入力します。
- ステージング環境の場合：sso-stg1.coupahost.com
- 運用環境の場合：sso-prd1.coupahost.com
保存（Save）をクリックします。
Coupaで、セットアップ（Setup）（Users）にあるすべてのセットアップ項目（All Setup Items）メニューからユーザー（Users）（Setup）を選択します。
SAMLを認証方法として設定したいユーザーを見つけます。ユーザーのアクション（Edit）列にある編集（Edit）（Actions）アイコン（鉛筆）をクリックします。
ログイン（Login）フィールドからメールアドレスをコピーして、シングルサインオンID（Single Sign-On ID）フィールドに貼り付けます。これらのフィールドの値は同じでなければなりません。
下にスクロールして保存（Save）をクリックします。
任意。必要に応じて、他のユーザーのシングルサインオンIDも設定します。

プロビジョニングを構成する

Admin Consoleで、アプリケーション（Applications） > アプリケーション（Applications）に移動します。
Coupaアプリインスタンスを開きます。
プロビジョニング（Provisioning）タブに移動してAPI統合の構成（Configure API Integration）をクリックします。
API統合を有効化（Enable API integration）チェックボックスを選択します。
Coupaで認証（Authenticate with Coupa）をクリックします。ウィンドウが開きます。
Coupaの資格情報を入力します。
Coupaで、設定（Setup）タブに移動します。OAuthフィルターを選択し、OAuth2/OpenID接続クライアント（OAuth2/OpenID Connect Clients）をクリックします。
作成（Create）をクリックします。
以下の値を入力します。
- 付与タイプ（Grant Type）：Authorization Codeに設定します。
- 名前（［Name）］：名前を入力します。
- リダイレクトURL（Redirect URL）：OktaリダイレクトURLを入力します。
- 共有シークレット（Shared Secret）：Enabledに設定します。
- スコープを有効化（Enable Scopes）：core.common.read、core.user.read、core.user.write、offline_access、およびopenidを選択します。
保存（Save）をクリックします。
Oktaで以下の値を入力します。
- APIエンドポイント（API Endpoint）：https://your-instance-name.coupahost.com/apiに設定します。
- OAuthクライアント識別子（OAuth Client Identifier）：先ほど作成したOIDCクライアントから値を入力します。
- OAuthクライアントシークレット（OAuth Client Secret）：先ほど作成したOIDCクライアントから値を入力します。
- グループのインポート（Import Groups）：任意。チェックボックスを選択し、CoupaからOktaにグループをインポートします。
保存（Save）をクリックします。