Oktaサービスアカウントの権限

ディレクトリの権限を調整する前に、Active Directory（AD）の権限がどのように設定されるかを理解し、環境内の権限の管理方法を計画してください。このタスクの実行に必要なアカウント要件の詳細については、「Active Directory統合の前提条件」を参照してください。

このトピックは3つの部分に分かれています。サービスアカウントに必要な権限、任意のユースケース、およびリファレンスについて説明します。

必要な権限

既存のアカウントが選択されていない場合は、デフォルトで、Okta ADエージェントのインストーラーがOktaServiceというOktaサービスカウントを作成します。このアカウントはDomain Usersグループの権限を継承します。また、OktaServiceは、エージェントの実行中にAuthenticated UsersとEveryone特別IDグループのメンバーになります。デフォルトでは、Authenticated Usersグループは、Pre-Windows 2000 compatible Accessグループのメンバーです。Pre-Windows 2000 Compatible AccessグループからAuthenticated Usersグループを削除すると、増分インポートで問題が発生する可能性があります。増分インポートの問題を解決するためにお勧めの方法は、次のいずれかの変更を行うことです。

OktaサービスアカウントをWindows 2000以前と互換性のあるアクセスグループに追加します。
Oktaサービスアカウントに、同期されたすべてのADオブジェクトに対する［Read all（すべて読み取り）］権限があることを確認します。

Okta AD Agent管理ユーティリティには、OktaServiceアカウントをドメイン管理者グループに追加するオプションも含まれています。または、適切なユースケースに対して権限が設定されていることを確認します。これにより、サービスアカウントが完全な管理者になりません。

Okta ADエージェントを実行するサービスアカウントごとに、これらの権限が必要です。

DirSyncによるインポートの権限

早期アクセスリリース。「セルフサービス機能を有効にする」を参照してください。

Active Directory DirSyncコントロールによるインポートを使用して、ADとの通信を最適化できます。これにより、増分インポートをより確実に実行し、ADの変更をより速く取り込むことができます。DirSyncによるインポートを使用するには、ディレクトリの変更を複製する権限をエージェントに付与する必要があります。

Server Managerコンソールから権限を付与するには、次の手順を実行します。

Server Managerコンソールにサインインします。
［Dashboard（ダッシュボード）］［Active Directory User and Computers（Active Directoryユーザーとコンピューター）］を選択します。
ドメイン名を右クリックして［Properties（プロパティ）］を選択します。
［Security（セキュリティ）］タブを選択し、［Add（追加）］をクリックします。このタブは、［View（表示）］メニューから［Advanced Features（高度な機能）］を選択した場合にのみ表示されます。
［ユーザー、コンピューター、サービスアカウント、またはグループの選択］ダイアログからOkta ADエージェントサービスアカウントを選択し、［OK］をクリックします。
［アクセス許可エントリー］ダイアログで、［Replicating Directory Change（ディレクトリの変更を複製）］を選択し、［OK］をクリックします。

コマンドラインから権限を付与するには、統合されたADドメインごとに次のPowerShellスクリプトを実行します。スクリプトを実行するたびに、OktaServiceとDOMAIN_DNS_NAMEがADドメインの適切な値に置換されます。

$Identity = "<DOMAIN\OktaService>" $RootDSE = [ADSI]"LDAP://<DOMAIN_DNS_NAME>/RootDSE" $DefaultNamingContext = $RootDse.defaultNamingContext $UserPrincipal = New-Object Security.Principal.NTAccount("$Identity") DSACLS "$DefaultNamingContext" /G "$($UserPrincipal):CA;Replicating Directory Changes"

ユースケース

これらは、任意のユースケースのいくつかで必要となる権限です。