Azure Active Directory向けのOkta MFAを使用する

ユーザーが無限サインインループに陥ることがある

Oktaアプリレベルのサインオンポリシーが、Azure ADポリシーよりも弱い場合、エンドユーザーが無限サインインループに陥ることがあります。これは、次のシナリオで発生する可能性があります。

• アプリレベルのサインオンポリシーでMFAが必要とされない。

  Oktaではアプリにアクセスする際にMFAが求められません。しかし、Azure AD条件付きアクセスにはMFAが必要であり、入力されたMFAクレームがOktaによって渡されることが期待されます。orgレベルで構成されている場合にもOktaによってMFAを求められることがありますが、このMFAクレームはAzure ADに渡されません。

• アプリレベルのサインオンポリシーでは、ユーザーが「ゾーン内」のネットワークからサインインする場合はMFAは必要ありませんが、ユーザーが「ゾーンにない」ネットワークからサインインする場合はMFAが必要です。

  ユーザーがゾーン内のネットワークからサインインしている場合、MFAは求められません。ただし、Azure AD条件付きアクセスにはMFAが必要であり、入力されたMFAクレームがOktaによって渡されることが期待されます。

orgレベルのMFAの一時的なサポート

次の場合、この手順によってorgレベルのMFAを一時的に使用できます。

• orgをOkta Classic EngineからOkta Identity Engineに移行していて、かつ
• orgレベルのサインオンポリシーでMFAを必要としない。

ただし、アプリレベルのOffice 365サインオンポリシーを設定して、この手順で使用するMFAを強制適用することを強くお勧めします。

1. OktaでMFAを構成する：「認証ポリシー」の説明に従って、WS-Federation Office 365アプリインスタンス向けのアプリのサインオンポリシーを構成します。

2. Azure ADでMFAを構成する：Microsoftドキュメントの説明に従って、Azure ADインスタンスでMFAを構成します。

［Setup Instructions（設定手順）］から更新された連携認証スクリプトを実行します。

1. Okta管理コンソールで［Applications（アプリケーション）］>［Applications（アプリケーション）］に移動します。
2. WS-Federationが行われたOffice 365アプリを開きます。

3. ［Sign On（サインオン）］タブ >［Sign On Methods（サインオン方法）］>［WS-Federation］> ［View Setup Instructions（設定手順を表示）］をクリックします。

   ［How to Configure Office 365 WS-Federation（Office 365 WS-Federationの設定方法）］ページが開きます。

4. このページで、［ドメインがすでにフェデレーションされている場合］セクションに移動します。
5. このセクションからスクリプトをコピーして、Windows PowerShellで実行します。
6. オプションの［Okta MFA from Azure AD（Azure ADからのOkta MFA）］で、［Enable for this application（このアプリケーションに対して有効にする）］がオンになっていることを確認し、［Save（保存）］をクリックします。
7. 次のPowerShellコマンドを実行して、SupportsMfa値がTrueであることを確認します。
   Connect-MsolService
   Get-MsolDomainFederationSettings -DomainName <yourDomainName>
   結果の例

   コピー

   1
   2
   3
   4
   5
   6
   7
   8
   9
   10
   11
   ActiveLogOnUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/active
   DefaultInteractiveAuthenticationMethod :
   FederationBrandName : Okta
   IssuerUri : issueruri
   LogOffUri: https://example.okta.com/app/office365/issueruri/sso/wsfed/signout
   MetadataExchangeUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/mex
   NextSigningCertificate :
   OpenIdConnectDiscoveryEndpoint :
   PassiveLogOnUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/passive
   SigningCertificate : <SigningCertificate>
   SupportsMfa : True

この場合、設定を構成する必要はありません。

1. 管理コンソールで、［Applications（アプリケーション）］［Applications（アプリケーション）］に移動します。
2. WS-Federationが行われたOffice 365アプリを開きます。
3. ［Sign On（サインオン）］タブ >［Edit（編集）］をクリックします。
4. オプションの［Okta MFA from Azure AD（Azure ADからのOkta MFA）］で、［Enable for this application（このアプリケーションに対して有効にする）］がオンになっていることを確認し、［Save（保存）］をクリックします。
5. 次のPowerShellコマンドを実行して、SupportsMfa値がTrueであることを確認します。
   Connect-MsolService
   Get-MsolDomainFederationSettings -DomainName <yourDomainName>
   結果の例

   コピー

   ActiveLogOnUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/active
   DefaultInteractiveAuthenticationMethod :
   FederationBrandName : Okta
   IssuerUri : issueruri
   LogOffUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/signout
   MetadataExchangeUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/mex
   NextSigningCertificate :
   OpenIdConnectDiscoveryEndpoint :
   PassiveLogOnUri  : https://example.okta.com/app/office365/issueruri/sso/wsfed/passive
   SigningCertificate : <SigningCertificate>
   SupportsMfa : True

次の表で説明するように、OktaはMFAクレームを渡します。