ID調整を有効にする

インポート中にダウンストリームアプリとOktaとの間で一致しないアカウントとエンタイトルメントをOktaが調整できるように、アプリのID調整を構成します。

このタスクについて

アプリのID調整を有効にすると、Oktaは、インポート時にそのアプリで見つかったアカウントを Oktaが前回割り当てたアカウントと比較し、違いがあればそれをレビューのために明らかにします。アプリでエンタイトルメントの調整が有効になっている場合、Oktaはアプリ内のエンタイトルメントも比較し、エンタイトルメントの違いのリストをレビューのために提供します。

始める前に

アプリを管理し、そのプロビジョニング設定をするための権限を持つ管理者ロールがあること。
アプリは、プロビジョニング（Oktaへ（To Okta））のインポートに対応している必要があります。

手順

Admin Consoleで、Applications and Resources > アプリケーション（Applications）に移動します。
アプリを選択します。
プロビジョニング（Provisioning）タブに移動します。
設定（Settings）でOktaへ（To Okta）を選択します。
アカウントの調整（Account Reconciliation）で編集（Edit）をクリックします。
調整機能（Reconciliation features）の有効化（Enable）を選択します。
任意。決定者が各決定の理由を提供するよう義務付けるには、すべてのアカウント決定に理由が必要（Require justification for all account decisions）を選択します
任意。自動確認とユーザー一致ルールを設定する場合に選択します。これらは最初のインポートでは実行されません。
任意。アプリでエンタイトルメント管理が有効になっている場合は、エンタイトルメントの調整（Entitlement reconciliation）セクションで調整ルール（Reconciliation rules）を有効にすることで、エンタイトルメントの調整を有効にすることができます。
保存（Save）をクリックします。
アプリでID調整が有効になります。
アプリのインポートを実行して、調整ベースラインを確立します。アプリを初めてオンボーディングする場合は、アカウント調整とエンタイトルメント調整を有効にしますが、自動取り消しルールは設定しないでください。これによりユーザーがアクセスできなくなる可能性があります。

注: ID調整を有効にする前にインポート（Import）タブで確認を保留していたアカウントがアプリにあった場合、それらの未確認アカウントは調整ビューには表示されません。Oktaは、既存の未確認のアカウントを転送することはできません。IDの調整を有効にした後で、新しいインポートを実行（または次回に予定されたインポートを待機）し、Oktaがこれらのアカウントを再度検出し、表示するようにします。

ID調整を有効にした後の最初のインポートで、Oktaはダウンストリームアプリの既存のすべてのエンタイトルメントとアカウントを開始状態として自動的に受け入れ、ログに記録します。オンボーディング中に正当なアクセスが大量に取り消されることのないよう、構成に関係なく、この最初のインポートでは自動取り消しルールは実行されません。後続の各インポート時に見つかった新しい変更のみがドリフトとして検出されます。
アカウントの調整（Account reconciliation）セクションで、ダウンストリームアプリに存在していてもOktaのアカウントと一致しないアカウントがインポートされた場合のOktaの対処方法を定義します。
毎回手動で決定する理由を要求するには、すべての決定に理由が必要（Require justification for all decisions）を選択します。
エンタイトルメントの調整（Entitlement reconciliation）セクションで、ユーザーがダウンストリームアプリで持っているもののOktaと一致しないエンタイトルメント付与があった場合に、Oktaがどう対処するかについてルールを定義します。
これらのルールはデフォルトで無効になっています。調整ルール（Reconciliation rules）を有効に切り替えてから、追加されたエンタイトルメントと削除されたエンタイトルメントを自動的に承認するか拒否するかを選択します。