Access Gateway内のIDプロバイダーを構成する

アプリを保護する前に、IDプロバイダー（IdP）をAccess Gateway向けに構成しておく必要があります。

IdPには、Oktaに対応したWorkforce Identity Cloud、またはAuth0に対応したCustomer Identity Cloudを利用できます。Access GatewayとIdPの統合には、SAMLおよびREST APIが使用されます。

次のタスクを実行するには、アプリ管理者およびorg管理者としての権限が必要です。

Workforce Identity CloudをIdPとして使用する

Customer Identity CloudをIdPとして使用する
  1. Access Gateway のOktaサービスアカウントを作成します。
  2. Okta APIトークンを作成します。
  3. Workforce Identity CloudをAccess Gateway 向けのIdPとして使用します。
  1. Auth0クライアントIDとクライアントシークレットを作成する。
  2. Customer Identity CloudをAccess Gateway 向けのIdPとして使用します。

Access GatewayのOktaサービスアカウントを作成する

Oktaでは、 Access Gateway APIキーを作成する際に、専用のサービスアカウントを作成・使用することを推奨します。Oktaは、キーを作成したユーザーの下でAPIキーによって実行されたすべてのアクションをログに記録します。

  1. Admin Consoleで、ディレクトリ（Directory） > ユーザー（People）に進みます。

  2. ユーザーの追加（Add person）をクリックします。
  3. サービスアカウント名を入力します。
  4. ユーザー名（Username）とPrimary Email (プライマリメールアドレス)（Primary email）のプレースホルダーメールを入力します。たとえば、service.admin@domain.com。
  5. セカンダリメール（Secondary email）には管理者のメールアドレスを入力します。
  6. ユーザーのアクティベーションメールを今すぐ送信（Send user activation email now）を選択し、保存（Save）をクリックします。ユーザーアクション保留中（Pending user action）というステータスでアカウントが作成されます。

  7. Admin Consoleで、セキュリティ（Security） > 管理者（Administrators）に移動します。

  8. 管理者を追加（Add administrator）をクリックします。
  9. 管理者を選択（Select admin）ドロップダウンからサービスアカウントを選択します。
  10. ロール（Role）（Application Administrator）ドロップダウンからアプリケーション管理者（Application Administrator）（Role）を選択します。
  11. 編集（Edit）をクリックし、アカウント管理に使用するアプリケーションを構成します。このロールを組織全体に関連付ける（Constrain this role to the entire organization）を選択します。これにより、アカウントがすべてのアプリケーションを管理できるようにするか、アカウントが管理できるアプリケーションのリソースセットを作成できます。「標準ロールへのリソース割り当てを編集する」を参照してください。
  12. リソースセットを保存（Save resource set）をクリックします。
  13. 割り当てを追加（Add assignment）をクリックします。
  14. ロール（Role）（Organization Administrator）ドロップダウンから組織管理者（Organization Administrator）（Role）を選択します。
  15. 保存（Save）をクリックします。
  16. Okta管理者アカウントからサインアウトします。
  17. Oktaから届いたアクティベーションメールを開き、アクティベーションリンクをクリックします。
  18. アカウントのパスワードと秘密の質問を入力します。
  19. 新しいサービスアカウントの資格情報でサインインします。

Okta APIトークンを作成する

  1. Admin Consoleで、セキュリティ（Security） > APIに移動します。

  2. トークンを作成する（Create Token）をクリックします。
  3. トークの目的を特定するトークン名を入力します。
  4. トークンを作成する（Create Token）（Create token）をクリックします。
  5. トークン値（Token Value）をコピーし、安全な場所（パスワードマネージャーなど）に保存します。ウィンドウを閉じた後は、トークンを再度表示することはできません。
  6. 了解（Ok, got it）をクリックします。
  7. Workforce Identity CloudをAccess Gateway 向けのIdPとして使用する手順を続けます。

Auth0クライアントIDとクライアントシークレットを作成する

  1. Customer Identity Cloudのドキュメントに記載されている手順を実行します。
  2. Customer Identity CloudをAccess Gateway 向けのIdPとして使用する手順を続けます。

Access GatewayにIdPを構成する

Access Gateway向けのIdPには、Workforce Identity CloudとCustomer Identity Cloudのいずれかを利用できます。

Workforce Identity CloudをAccess Gateway向けのIdPとして使用する

  1. ブラウザーでAccess Gateway管理者UIコンソールに移動し、管理者としてサインインします。
  2. 設定（Settings）タブを選択します。
  3. IDプロバイダー（Identity Providers）ペインをクリックします。
  4. +をクリックし、 Workforce Identity Cloud を選択します。
  5. 次の情報を入力します。
    • 名前（Name）：IdPのわかりやすい名前を入力します。
    • Okta Org：org名（orgname.oktapreview.com、orgname.okta.comなど）またはカスタムドメインを入力します。orgの管理者インターフェイスURL（orgname-admin.okta.comなど）を使用しないでください。
    • Okta APIトークン（Okta API Token）：Okta APIトークンを作成したら、Okta orgからコピーしたトークン値を貼り付けます。
  6. 検証されていません（Not Validated）をクリックします。このラベルは、Okta APIトークンが正常に検証されると検証済（Validated）に変わります。
  7. Okay（OK）をクリックします。設定（Settings）タブに表示されるIdPのステータスは有効（Valid）である必要があります。
  8. トポロジ（Topology）タブをクリックします。入力した名前でラベル付けされたIdPのアイコンが表示されます。
  9. IdPのアイコンをクリックします。

Customer Identity CloudをAccess Gateway向けのIdPとして使用する

Customer Identity Cloudのユーザーは、使用するプラットフォーム向けのAccess Gatewayバイナリをダウンロードできます。

  1. ブラウザーでAccess Gateway管理者UIコンソールに移動し、管理者としてサインインします。
  2. 設定（Settings）タブを選択します。
  3. IDプロバイダー（Identity Providers）ペインをクリックします。
  4. +をクリックし、 Customer Identity Cloud を選択します。
  5. 次の情報を入力します。
    • 名前（Name）：IdPのわかりやすい名前を入力します。
    • ホスト（Host）：Auth0ホストの名前を入力します（例：https://orgname.sus.auth0.com）。
    • テナント（Tenant）：Auth0テナントの名前を入力します（例：orgname.sus.auth0.com）。
  6. OAuthの構成（OAuth Configuration）セクションに次の情報を入力します。
    • クライアントID（Client ID）フィールドにAuth0クライアントIDを貼り付けます。
    • クライアントシークレット（Client Secret）フィールドにクライアントシークレットを貼り付けます。
  7. クライアントIDとクライアントシークレットの一時的な保存場所として使っていたテキストエディターから、これらの情報を削除します。
  8. 未検証（Not Validated）をクリックします。クライアントIDとクライアントシークレットの値の有効性が確認されると、このラベルは検証済（Validated）に変わります。
  9. Okay（OK）をクリックします。設定（Settings）タブに表示されるIdPのステータスは有効（Valid）である必要があります。
  10. トポロジ（Topology）タブをクリックします。入力した名前でラベル付けされたIdPのアイコンが表示されます。
  11. IdPのアイコンをクリックします。