eDirectory LDAP統合リファレンス

このトピックでは、eDirectory LDAP統合に固有の参考情報を提供します。Okta LDAP Agentをインストールする際、eDirectoryをOktaと統合するためにこの情報が必要になります。 Okta LDAP Agentのインストールを参照してください。

既知の問題

  • プロビジョニング設定で[何もしない]と表示されている場合、ユーザーが非アクティブ化されてもOktaではアクティブなままになっている。単一のソースがユーザー・プロファイル属性を提供する場合、非アクティブ化されたユーザーはソースから切断され、Oktaがユーザー・プロファイル属性のソースになります。
  • ユーザーは、期限切れのパスワードをリセットできません。

統合の構成

Okta LDAP Agentのインストールに記載されているエージェントの初期インストールおよび構成中の、eDirectoryの属性は次のとおりです。

  • 一意の識別子属性：localentryid
  • DN属性：entrydn
  • ユーザー・オブジェクト・クラス：inetorgperson
  • ユーザー・オブジェクト・フィルター：(objectclass=inetorgperson)
  • *アカウントで無効になっている属性：loginDisabled
  • *アカウントで無効になっている値：TRUE
  • *アカウントで有効になっている値：FALSE
  • パスワード属性：userpassword
  • グループ・オブジェクト・クラス：groupofnames
  • グループ・オブジェクト・フィルター：(objectclass=groupofnames)
  • メンバー属性：member

スキーマの読み取り

AUXクラスの属性を追加するには、補助クラスを補助オブジェクト・クラスとしてディレクトリーのプロビジョニング構成に追加します。たとえば、補助オブジェクト・クラスがdcObjectの場合、dc属性がOktaスキーマ属性に追加されます。

パスワード変更

ユーザーはOkta End-User Dashboardで[設定]を選択してパスワードを変更できます。

LDAPインスタンスでeDirectory固有のパスワード設定を使用している場合、ユーザーにセルフサービスのパスワード変更を行うための正しいACL権限がないと、Oktaでパスワードの変更またはリセットが失敗することがあります。 この場合、パスワードの変更は失敗し、「NDSエラー：アクセスなし（-672）」というエラー・メッセージが返されます。

パスワード・リセット

パスワード・リセットは、管理者またはユーザーがパスワードを忘れた場合のフローによってトリガーされます。パスワード・リセットは、特定のACLを追加しなくても機能します。

新しいパスワードがパスワード・ポリシーの基準を満たさない場合、パスワード・リセットが失敗する可能性があります。

インポート

eDirectoryには、他のLDAPサーバーとは異なるmodifyTimestampの小数点以下の精度があります。通常の値は3ですが、eDirectoryの場合は1に設定する必要があります。この値を設定する方法は、次の2つです。

  • eDirectoryのサポートが有効で、LDAPエージェントがバージョン5.6.2以降の場合、インストール・プロセス中に小数点以下の精度を自動的に1に設定する必要があります。これは、[ディレクトリー統合] > [プロビジョニング] > [Oktaへ]ページで変更できます。
  • LDAPエージェントのバージョンが5.6.0または5.6.1の場合、属性generalizedTimeMillisecondDecimalPlacesを更新し、OktaLDAPAgent.confファイルでその値を1に設定して、デプロイされたすべてのエージェントの小数点以下の精度を更新します。
  • 5.6.0より前のバージョンのLDAPエージェントは、eDirectory LDAP統合をサポートしていません。

JITプロビジョニング

eDirectoryのジャスト・イン・タイム（JIT）プロビジョニングに関する特別な考慮事項はありません。ユーザーID（UID）は、メール形式を使用してOktaユーザー名のデフォルト設定と一致させます。サインインのトリガーに外部IDプロバイダー（IDP）を使用しないでください。

JITプロビジョニングを正常に完了するには、以下が必要です。

  • 構成された命名属性（UIDなど）の値がOktaに存在していないこと。
  • 構成された命名属性（UIDなど）の値が、JITが有効なすべてのディレクトリーで一意であること。
  • 必須属性が提示されていること。Oktaのデフォルトはemail、givenName、sn、uidです。
  • パスワードが正しいこと。
  • [アカウントで無効になっている属性]が、LDAPサーバーでfalseに設定されていること。

JITプロビジョニングが正常に完了すると、[LDAP設定]ページとプロファイル・エディターで指定されたすべてのユーザー属性がインポートされます。追加の必須属性を選択するには、プロファイル・エディターを使用します。

メンバーシップのインポート

インポート時にデフォルトのeDirectory設定を使用すると、objectClass groupofnamesのユーザー・グループがインポートされ、member group属性で指定されたユーザーに追加されます。

インポート時にmembership属性がseeAlsoに設定されている場合、ユーザーはseeAlsoユーザー属性に追加されたグループに割り当てられます。

プロビジョニング

eDirectory LDAP統合に関する、特別な考慮事項はありません。

ユーザー・プロファイルの作成時にパスワードを作成して割り当てるには、次の手順を実行します。

  1. LDAPプッシュ・パスワードの更新を有効にするには、Oktaカスタマー・サポートに連絡してください。
  2. 次の手順を実行して、委任認証を無効にします。
    1. 管理コンソールで、[セキュリティー] > に移動します [委任認証] > [LDAP]をクリックします。
    2. [委任認証]ペインで[編集]をクリックします。
    3. [LDAPへの委任認証を有効にする] チェック・ボックスをオフにします。
    4. [保存]をクリックします。
    5. デフォルト設定を受け入れてすべてのLDAPユーザー・パスワードをリセットし、[LDAP 認証を無効にする]をクリックします。
  3. 管理コンソールで、[ディレクトリー] > に移動します [ディレクトリー統合] > [LDAP] > [プロビジョニング] > [アプリへ]の順にクリックします。
  4. [編集]をクリックし、[パスワードを同期]の横にある[有効]を選択して、[保存]をクリックします。

    5. [パスワードを同期]が有効になると、LDAPエージェントはユーザーが初めてサインインする時にPASSWORD_UPDATEアクションを送信します。

既存のOktaユーザーをLDAPに割り当てるには、次の手順を実行します。

  1. 管理コンソールで、[ディレクトリー] > に移動します [ディレクトリー統合] > [LDAP] > [プロビジョニング] > [アプリへ]の順にクリックします。
  2. [編集]をクリックし、[ユーザーを作成]の横にある[有効]を選択して、[保存]をクリックします。
  3. [ディレクトリー] > [グループ]をクリックします。
  4. ユーザーを割り当てるOktaグループを選択します。
  5. [ディレクトリーを管理]をクリックします。
  6. 左側のペインでLDAPインスタンスを選択し、[次へ]をクリックします。
  7. [プロビジョニング宛先DN]フィールドに、新規ユーザーのLDAPコンテナーの完全識別名（DN）を入力します。
  8. [変更を確認]をクリックします。

トラブルシューティング

LDAPディレクトリー認証に失敗すると、診断と解決に役立つ次のようなメッセージがエージェント・ログに表示されます。

エージェント：成功

POST initiated with result status=SUCCESS、actionType=USER_AUTH_AND_UPDATE、actionId=ADSuirvHXkjvU4It20g3、diagnostic message=、error code=、matched dn=、message=SUCCESS、result code=、vendor=UNDEFINED

エージェント： 委任認証の失敗

POST initiated with result status=FAILURE、actionType=USER_AUTH_AND_UPDATE、actionId=ADSzbsNoy4eNjPI090g3、diagnostic message=NDS error: failed authentication (-669)、error code=49、matched dn=cn=UserEdirectoryNewOne@edir.com、o=QAUsers、dc=Okta、dc=Com、message=LDAPException(resultCode=49 (invalid credentials)、errorMessage='NDS error: failed authentication (-669)'、diagnosticMessage='NDS error: failed authentication (-669)')、result code=invalid credentials、vendor=UNDEFINED

エージェント： ユーザーなし

POST initiated with result status=FAILURE、actionType=USER_AUTH_AND_UPDATE、actionId=ADSzbmckuuz7LniPk0g3、diagnostic message=、error code=、matched dn=、message=User not found while executing query: (&(objectclass=inetorgperson)(uid=UserEdirectoryNewOne@edir.com333))、result code=、vendor=UNDEFINED

エージェント： パスワードの有効期限切れ

POST initiated with result status=FAILURE、actionType=USER_AUTH_AND_UPDATE、actionId=ADSu99dXaoVG7gFjG0g3、diagnostic message=8009030C: LdapErr: DSID-0C09042A、comment: AcceptSecurityContext error、data 532、v3839?、error code=49、matched dn=CN=delauth2、CN=\#Users、DC=funnyface、DC=net、DC=local、message=LDAPException(resultCode=49 (invalid credentials)、errorMessage='8009030C: LdapErr: DSID-0C09042A、 comment: AcceptSecurityContext error、data 532、v3839?'、diagnosticMessage='8009030C: LdapErr: DSID-0C09042A、comment: AcceptSecurityContext error、data 532, v3839?')、result code=invalid credentials、vendor=AD_LDS

エージェント：ユーザーの非アクティブ化（loginDisabled = TRUE）

POST initiated with result status=FAILURE、actionType=USER_AUTH_AND_UPDATE、actionId=ADSzbyLP2YaxpJyKI0g3、diagnostic message=NDS error: log account expired (-220)、error code=53、matched dn=cn=UserEdirectoryNewOne@edir.com,o=QAUsers、dc=Okta、dc=Com、message=LDAPException(resultCode=53 (unwilling to perform)、errorMessage='NDS error: log account expired (-220)'、diagnosticMessage='NDS error: log account expired (-220)')、result code=unwilling to perform、vendor=UNDEFINED