Active Directoryの代理認証を有効にする
委任認証により、ユーザーは組織のActive Directory（AD）またはWindowsネットワークシングルサインオン（SSO）の資格情報を入力することでOktaにサインインできます。また、LDAP（Lightweight Directory Access Protocol）を使用するユーザーストアの資格情報を使ってOktaにサインインすることもできます。「LDAPの委任認証」を参照してください。
開始する前に
ADインスタンスとOktaを統合します。Active Directory統合を管理するを参照してください。
AD委任認証を有効にする
- Admin Consoleでの順に進みます。
- ADインスタンスを選択します。
- プロビジョニング（Provisioning）タブをクリックして設定（Settings）（Integration）リストから統合（Integration）（Settings）を選択します。
- 委任認証（Delegated Authentication）までスクロールし、Active Directoryへの委任認証を有効にする（Enable delegated authentication to Active Directory）を選択します。
- 任意。委任認証の設定をテストします。
- 委任認証をテスト（Test Delegated Authentication）をクリックします。
- ADのユーザー名とパスワードを入力し、認証する（Authenticate）をクリックします。
- 認証が完了したら、閉じる（Close）をクリックします。
- 保存（Save）をクリックします。
デスクトップシングルサインオンを有効にする
デスクトップシングルサインオン（SSO）を使用する場合、ユーザーがWindowsネットワークにサインインする際は常にOktaおよびOktaを介してアクセスするアプリによって自動的に認証できます。OktaのIWA Webアプリは、MicrosoftのIWAとASP.NETを使用して、指定されたゲートウェイIPからユーザーを認証します。「デスクトップSSO用のOkta IWA Webエージェントをインストールして構成する」を参照してください。
委任認証のシステムログ情報を表示する
ボトルネックを容易に特定できるように、システムログには各委任認証（Del Auth）リクエストの所要時間に関する情報が記録されます。システムログには、次の委任認証プロパティの時間がミリ秒単位で記録されます。
- delAuthTimeSpentAtAgent：エージェントがリクエストの処理に要した合計時間。これには、ドメインコントローラーで費やされた時間が含まれます。
- delAuthTimeSpentAtDomainController：ドメインコントローラーで費やされた時間。
この機能を使用するには、3.1.0以降のバージョンのAD Agentが必要です。
- OktaAdmin Consoleでをクリックします。
- ADインスタンスを選択します。
- ページの上部にあるログを表示（View Logs）をクリックします。
ジャストインタイムプロビジョニング
Active Directoryでのジャストインタイム（JIT）プロビジョニングの使用に関する詳細については、Active Directoryのジャストインタイムプロビジョニングでユーザーを追加および更新するを参照してください。デスクトップSSOでのJITプロビジョニングについては、一般的なカスタマイズ設定を構成するを参照してください。
orgでJITが有効化され、AD統合で委任認証が選択されている場合、ユーザープロファイルの作成とユーザーデータのインポートにはJITが使用されます。
関連項目