AD LDS LDAP統合リファレンス

このトピックでは、Active Directory Lightweight Directory Services（AD LDS）のLightweight Directory Access Protocol（LDAP）統合に固有の参考情報を提供します。Okta LDAP Agentをインストールする際、AD LDSディレクトリをOktaと統合するためにこの情報が必要になります。「Okta LDAP Agentのインストール」を参照してください。

推奨バージョン

Windows Server 2016

既知の問題

  • 一時パスワードを要求しているユーザーのステータスが、［active（アクティブ）］から［password expired（パスワードの有効期限切れ）］に変わらない。
  • プロビジョニング設定で［Do nothing（何もしない）］と表示されている場合、ユーザーが非アクティブ化されてもOktaではアクティブなままになっている。単一のソースがユーザープロファイル属性を提供する場合、非アクティブ化されたユーザーはソースから切断され、Oktaがユーザープロファイル属性のソースになります。

統合の構成

「Okta LDAP Agentのインストール」に記載されているエージェントの初期インストールおよび構成時の、AD LDS統合の属性は次のとおりです。

  • 一意の識別子属性：distinguishedname
  • DN属性：distinguishedname
  • ユーザーオブジェクトクラス：identityperson
  • ユーザーオブジェクトフィルター：(objectclass=identityperson)
  • *アカウントで無効になっている属性：msds-useraccountdisabled
  • *アカウントで無効になっている値：TRUE
  • *アカウントで有効になっている値：FALSE
  • パスワード属性：unicodepwd
  • グループオブジェクトクラス：group
  • グループオブジェクトフィルター：(objectclass=group)
  • メンバー属性：member

スキーマの読み取り

AUXクラスの属性を追加するには、補助クラスを補助オブジェクトクラスとしてディレクトリのプロビジョニング構成に追加します。

パスワード変更

ユーザーはOkta End-User Dashboardで［Settings（設定）］を選択してパスワードを変更できます。

ユーザーがパスワードの変更またはリセットを行えるようにするには、［Security（セキュリティ）］>［Delegated Authentication（代理認証）］をクリックし、［LDAP］タブを選択してから、［Users can change their LDAP passwords in Okta（ユーザーはOktaでのLDAPパスワードを変更できます）］を選択します。

Oktaに表示されるエラーメッセージは、AD LDSエラーメッセージの値によって決まります。たとえば、AD LDS値2245は、ユーザーがパスワードポリシーの基準を満たさないパスワードを入力した場合に次のエラーメッセージを生成します。

パスワードを更新できません。新しいパスワードに入力した値が、ドメインの要件（長さ、複雑度、履歴）を満たしていません。

パスワードリセット

パスワードリセットは、管理者またはユーザーがパスワードを忘れた場合のフローによってトリガーされます。

新しいパスワードがパスワードポリシーの基準を満たさない場合、パスワードリセットが失敗する可能性があります。

パスワードの検証

AD LDSは、パスワードの検証にローカルシステムのパスワードポリシーまたはドメインのパスワードポリシーを使用します。

インポート

ユーザープロファイルを作成するには、user、inetOrgPerson、person、OrganizationalPersonなどのオブジェクトクラスを使用します。カスタマイズされたプロファイルを使用するには、IdentityPersonのオプションを更新してください。

JITプロビジョニング

AD LDSのジャストインタイム（JIT）プロビジョニングに関する特別な考慮事項はありません。ユーザーID（UID）は、E メール形式を使用してOktaユーザー名のデフォルト設定と一致させます。サインインのトリガーに外部IDプロバイダー（IDP）を使用しないでください。

JITプロビジョニングを正常に完了するには、以下が必要です。

  • 構成された命名属性（UIDなど）の値がOktaに存在していないこと。
  • 構成された命名属性（UIDなど）の値が、JITが有効なすべてのディレクトリで一意であること。
  • 必須属性が提示されていること。Oktaのデフォルトはemail、givenName、sn、uidです。
  • パスワードが正しいこと。
  • ［Account Disabled Attribute（アカウントで無効になっている属性）］が、LDAPサーバーでfalseに設定されていること。

JITプロビジョニングが正常に完了すると、［LDAP settings（LDAP設定）］ページとプロファイルエディタで指定されたすべてのユーザー属性がインポートされます。追加の必須属性を選択するには、プロファイルエディタを使用します。

メンバーシップのインポート

インポート時にデフォルトのAD LDS設定を使用すると、objectClassグループのユーザーグループがインポートされ、member group属性で指定されたユーザーに追加されます。

インポート時にmembership属性がseeAlsoに設定されている場合、ユーザーはseeAlsoユーザー属性に追加されたグループに割り当てられます。

プロビジョニング

AD LDSのLDAP統合に関する、特別な考慮事項はありません。

ユーザープロファイルの作成時にパスワードを作成して割り当てるには、次の手順を実行します。

  1. LDAPプッシュパスワードの更新を有効にするには、Oktaカスタマーサポートに連絡してください。
  2. 次の手順を実行して、代理認証を無効にします。
    1. Okta Admin Consoleで、［Security（セキュリティ）］>［Delegated Authentication（代理認証）］>［LDAP］に移動します。
    2. ［Delegated Authentication（代理認証）］ペインで［Edit（編集）］をクリックします。
    3. ［Enable delegated authentication to LDAP（LDAPへの代理認証を有効にする）］チェックボックスをオフにします。
    4. ［Save（保存）］をクリックします。
    5. デフォルト設定を受け入れてすべてのLDAPユーザーパスワードをリセットし、［Disable LDAP Authentication（LDAP認証を無効にする）］をクリックします。
  3. Okta Admin Consoleを開き、［Directory（ディレクトリ）］>［Directory Integrations（ディレクトリ統合）］>［LDAP］>［Provisioning（プロビジョニング）］>［To App（アプリへ）］の順にクリックします。
  4. ［Edit（編集）］をクリックし、［Sync Password（パスワードを同期）］の横にある［Enable（有効）］を選択して、［Save（保存）］をクリックします。

    5. ［Sync Password（パスワードを同期）］が有効になると、LDAPエージェントはユーザーが初めてサインインする時にPASSWORD_UPDATEアクションを送信します。

既存のOktaユーザーをLDAPに割り当てるには、次の手順を実行します。

  1. Okta Admin Consoleで、［Directory（ディレクトリ）］>［Directory Integrations（ディレクトリ統合）］>［LDAP］>［Provisioning（プロビジョニング）］>［To App（アプリへ）］の順に進みます。
  2. ［Edit（編集）］をクリックし、［Create Users（ユーザーを作成）］の横にある［Enable（有効）］を選択して、［Save（保存）］をクリックします。
  3. ［Directory（ディレクトリ）］>［Groups（グループ）］をクリックします。
  4. ユーザーを割り当てるOktaグループを選択します。
  5. ［Manage Directories（ディレクトリを管理）］をクリックします。
  6. 左側のペインでLDAPインスタンスを選択し、［Next（次へ）］をクリックします。
  7. ［Provisioning Destination DN（プロビジョニング宛先DN）］フィールドに、新規ユーザーのLDAPコンテナーの完全識別名（DN）を入力します。
  8. ［Confirm Changes（変更を確認）］をクリックします。

トラブルシューティング

LDAPディレクトリ認証に失敗すると、診断と解決に役立つ次のようなメッセージがエージェントログに表示されます。

エージェント：成功

POST initiated with result status=SUCCESS、actionType=USER_AUTH_AND_UPDATE、actionId=ADSttbJoCgX6d8bVs0g3、diagnostic message=、error code=、matched dn=、message=SUCCESS、result code=、vendor=AD_LDS

エージェント：代理認証の失敗

POST initiated with result status=FAILURE、actionType=USER_AUTH_AND_UPDATE、actionId=ADSttkKzNHPmn4Cky0g3、diagnostic message=8009030C: LdapErr: DSID-0C09042A、comment: AcceptSecurityContext error、data 52e、v3839?、error code=49、matched dn=CN=LynxyADLVSWih2Group、CN=UsersGroup、OU=usersLynxy、DC=funnyface、DC=net、DC=local、message=LDAPException(resultCode=49 (invalid credentials)、errorMessage='8009030C: LdapErr: DSID-0C09042A、comment: AcceptSecurityContext error、data 52e、v3839?'、diagnosticMessage='8009030C: LdapErr: DSID-0C09042A、comment: AcceptSecurityContext error、data 52e、v3839?')、result code=invalid credentials、vendor=AD_LDS

エージェント：ユーザーなし

POST initiated with result status=FAILURE, actionType=USER_AUTH_AND_UPDATE, actionId=ADSttml2duHannKQp0g3, diagnostic message=, error code=, matched dn=, message=User not found while executing query: (&(objectclass=identityperson)(uid=LynxyADLDSWith2Group22s@lynxy.com)), result code=, vendor=AD_LDS

エージェント：ユーザーの非アクティブ化（msDS-UserAccountDisabled = TRUE）

POST initiated with result status=FAILURE、actionType=USER_AUTH_AND_UPDATE、actionId=ADSttoAFlo2ktz8nu0g3、diagnostic message=8009030C: LdapErr: DSID-0C09042A、comment: AcceptSecurityContext error、data 533、v3839?、error code=49、matched dn=CN=LynxyADLVSWih2Group、CN=UsersGroup、OU=usersLynxy、DC=funnyface、DC=net、DC=local、message=LDAPException(resultCode=49 (invalid credentials)、errorMessage='8009030C: LdapErr: DSID-0C09042A、comment: AcceptSecurityContext error、data 533、v3839?'、diagnosticMessage='8009030C: LdapErr: DSID-0C09042A、comment: AcceptSecurityContext error、data 533、v3839?')、result code=invalid credentials、vendor=AD_LDS

エージェント：アカウントの有効期限切れ

POST initiated with result status=FAILURE、actionType=USER_AUTH_AND_UPDATE、actionId=ADStxkjhWLW7DX9qN0g3、diagnostic message=8009030C: LdapErr: DSID-0C09042A、comment: AcceptSecurityContext error、data 701、v3839?、error code=49、matched dn=CN=LynxyADLVSUserForChange2、CN=UsersGroup、OU=usersLynxy、DC=funnyface、DC=net、DC=local、message=LDAPException(resultCode=49 (invalid credentials)、errorMessage='8009030C: LdapErr: DSID-0C09042A、comment: AcceptSecurityContext error、data 701、v3839?'、diagnosticMessage='8009030C: LdapErr: DSID-0C09042A、comment: AcceptSecurityContext error、data 701、v3839?')、result code=invalid credentials、vendor=AD_LDS

エージェント：パスワードの有効期限切れ

POST initiated with result status=FAILURE、actionType=USER_AUTH_AND_UPDATE、actionId=ADSu99dXaoVG7gFjG0g3、diagnostic message=8009030C: LdapErr: DSID-0C09042A、comment: AcceptSecurityContext error、data 532、v3839?、error code=49、matched dn=CN=delauth2、CN=\#Users、DC=funnyface、DC=net、DC=local、message=LDAPException(resultCode=49 (invalid credentials)、errorMessage='8009030C: LdapErr: DSID-0C09042A、comment: AcceptSecurityContext error、data 532、v3839?'、diagnosticMessage='8009030C: LdapErr: DSID-0C09042A、comment: AcceptSecurityContext error、data 532, v3839?')、result code=invalid credentials、vendor=AD_LDS

エージェント：アカウントロック

POST initiated with result status=FAILURE, actionType=USER_AUTH_AND_UPDATE, actionId=ADSv4gTD5ihbuqeep0g3, diagnostic message=8009030C: LdapErr: DSID-0C09042A, comment: AcceptSecurityContext error, data 775, v3839?, error code=49, matched dn=CN=test1706 test1706,CN=UsersGroup,OU=usersLynxy,DC=funnyface,DC=net,DC=local, message=LDAPException(resultCode=49 (invalid credentials), errorMessage='8009030C: LdapErr: DSID-0C09042A, comment: AcceptSecurityContext error, data 775, v3839?', diagnosticMessage='8009030C: LdapErr: DSID-0C09042A, comment: AcceptSecurityContext error, data 775, v3839?'), result code=invalid credentials, vendor=AD_LDS