Oracle Internet Directory LDAP統合リファレンス
このトピックでは、Oracle Internet Directory（OID）Lightweight Directory Access Protocol（LDAP）統合に固有のリファレンス情報を提供します。Okta LDAP Agentをインストールする際に、OIDディレクトリをOktaと統合するためにこの情報が必要になります。「Okta LDAP Agentをインストールする」を参照してください。
既知の問題
- セルフサービスによるパスワードリセットを要求し、管理者がリセットした後でパスワードの変更が必要なユーザーは、Okta End-User Dashboardにアクセスするために新しいパスワードを2回入力しなければなりません。
- パスワードの有効期限が切れたユーザーはパスワードを更新できません。このような場合、管理者はパスワードをリセットする必要があります。
- プロビジョニング設定が［Do nothing（何もしない）］である場合は、ユーザーが非アクティブ化されても、Oktaではアクティブなままになります。単一のソースがユーザープロファイル属性を提供する場合、非アクティブ化されたユーザーはソースから接続解除され、Oktaがユーザープロファイル属性のソースになります。
- LDAPサーバーでは、ユーザーが期限切れのパスワードを更新することはできません。これらの更新は管理者が行う必要があります。
統合の構成
エージェントの初期インストールおよび構成を実行する際は、OID統合の次の属性を入力します。
- ［Unique Identifier Attribute（一意の識別子属性）］：entryuuid
- DN属性：entrydn
- ユーザーオブジェクトクラス：inetorgperson
- ユーザーオブジェクトフィルター：（objectclass=inetorgperson）
- *［Account Disabled Attribute（アカウントで無効になっている属性）］：pwdlockout
- *アカウントで無効になっている値：TRUE
- *アカウントで有効になっている値：FALSE
- パスワード属性：userpassword
- ［Group Object Class（グループオブジェクトクラス）］：groupofuniquenames
- ［Group Object Filter（グループオブジェクトフィルター）］：(objectclass=groupofuniquenames)
- ［Member Attribute（メンバー属性）］：uniquemember
スキーマの読み出し
OIDの統合に関する、特別な考慮事項はありません。
AUXクラスの属性を追加するには、補助クラスを補助オブジェクトクラスとしてディレクトリのプロビジョニング構成に追加します。
パスワード変更
ユーザーはOkta End-User Dashboardで［Settings（設定）］を選択してパスワードを変更できます。
ユーザーがパスワードの変更またはリセットを行えるようにするには、をクリックして［LDAP］タブを選択し、［Users can change their LDAP password in Okta（ユーザーはOktaでLDAPパスワードを変更できます）］を選択します。
Oktaは、失敗したパスワード更新操作を検証します。エラーメッセージは［Delegated Authentication（委任認証）］ページに表示されます。
パスワードのリセット
パスワードリセットは、管理者またはユーザーがパスワードを忘れた場合のフローによってトリガーされます。
ユーザーは、期限切れのパスワードを更新できません。期限切れのパスワードをリセットできるのは管理者です。
パスワードの検証
pwdPolicyオブジェクトクラスを使用して、OID固有のパスワードポリシーを実装します。
LDAPインスタンスでパスワードの長さや有効期限などの設定を構成できます。
新しいパスワードがパスワードポリシーの基準を満たさない場合は、パスワードのリセットが失敗する可能性があります。
インポート
OIDの統合に関する、特別な考慮事項はありません。
JITプロビジョニング
OIDジャストインタイム（JIT）のプロビジョニングに関する特別な考慮事項はありません。ユーザーID（UID）については、メール形式を使ってOktaユーザー名のデフォルト設定と一致させます。サインインのトリガーに外部IDプロバイダー（IdP）を使用してはいけません。
JITプロビジョニングを正常に完了するには、次の条件が満たされている必要があります。
- 構成された命名属性（UIDなど）の値がOktaに存在しないこと。
- 構成された命名属性（UIDなど）の値が、JITが有効なすべてのディレクトリで一意であること。
- 必須属性が提示されていること。Oktaのデフォルトはemail、givenName、sn、uidです。
- パスワードが正しいこと。
- ［Account Disabled Attribute（アカウントで無効になっている属性）］が、LDAPサーバーでfalse設定されていること。
JITプロビジョニングが正常に完了すると、LDAP設定ページとProfile Editorで指定されたユーザー属性がインポートされます。追加の必須属性を選択するには、Profile Editorを使用します。
メンバーシップのインポート
デフォルト設定のユーザープロファイルがオブジェクトクラスgroupを使用してグループに追加され、member group属性が割り当てられます。
インポート時にmembership属性がseeAlsoに設定されている場合、ユーザーはseeAlsoユーザー属性に追加されたグループに割り当てられます。
プロビジョニング
ユーザー作成機能はOIDサーバーを使用している場合は利用できません。
ユーザーの作成時または割り当て時にパスワードを設定できるようにするには、LDAPインスタンスでDelAuthを無効にし、LDAP_PUSH_PASSWORD_UPDATESを有効にし、パスワード同期を有効にします。これらの設定により、ユーザーが初めてログインすると、または割り当てられると、LDAPエージェントはPASSWORD_UPDATEアクションを送信します。これらの設定を使用しない場合、パスワードはLDAPインスタンスに転送されません。
ユーザープロファイルの作成時にパスワードを作成して割り当てるには、次の手順を実行します。
- LDAPプッシュパスワードの更新を有効にするには、Oktaカスタマーサポートに連絡してください。
- 次の手順を実行して、委任認証を無効にします。
- Okta Admin Consoleで、に移動します。
- ［Delegated Authentication（委任認証）］ペインで［Edit（編集）］をクリックします。
- ［Enable delegated authentication to LDAP（LDAPへの委任認証を有効にする）］チェックボックスをオフにします。
- ［Save（保存）］をクリックします。
- デフォルト設定を受け入れてすべてのLDAPユーザーパスワードをリセットし、［Disable LDAP Authentication（LDAP認証を無効にする）］をクリックします。
- Okta Admin Consoleでに移動します。
- ［Edit（編集）］をクリックし、［Sync Password（パスワードを同期）］の横にある［Enable（有効）］を選択して、［Save（保存）］をクリックします。
［Sync Password（パスワードを同期）］が有効になると、LDAPエージェントはユーザーが初めてサインインする時にPASSWORD_UPDATEアクションを送信します。
既存のOktaユーザーをLDAPに割り当てるには、次の手順を実行します。
- Okta Admin Consoleでに移動します。
- ［Edit（編集）］をクリックし、［Create Users（ユーザーを作成）］の横にある［Enable（有効）］を選択して、［Save（保存）］をクリックします。
- をクリックします。
- ユーザーを割り当てるOktaグループを選択します。
- ［Manage Directories（ディレクトリを管理）］をクリックします。
- 左側のペインでLDAPインスタンスを選択し、［Next（次へ）］をクリックします。
- ［Provisioning Destination DN（プロビジョニング宛先DN）］フィールドに、新規ユーザーのLDAPコンテナーの完全識別名（DN）を入力します。
- ［Confirm Changes（変更を確認）］をクリックします。
トラブルシューティング
LDAPディレクトリ認証に失敗すると、診断と解決に役立つ次のようなメッセージがエージェントログに表示されます。
エージェント：成功
scanResultsがユーザーおよびグループ情報とともに送信されます。
POST initiated with result status=SUCCESS, actionType=USER_AUTH_AND_UPDATE, actionId=ADSwb4cGS4hdSWYnX0g3, diagnostic message=, error code=, matched dn=, message=SUCCESS, result code=, vendor=OIDAgent: Delauth failure（エージェント：委任認証の失敗）
POST initiated with result status=FAILURE, actionType=USER_AUTH_AND_UPDATE, actionId=ADSwa0ihYKyosvlFe0g3, diagnostic message=, error code=49, matched dn=cn=LynxyOIDExpiredPassword,cn=ExpiredPasswordOID,ou=LynxyUsers,dc=vpc,dc=oktalab,dc=local, message=LDAPException(resultCode=49 (invalid credentials), errorMessage='invalid credentials'), result code=invalid credentials, vendor=OIDAgent: No user（エージェント：ユーザーなし）
POST initiated with result status=FAILURE, actionType=USER_AUTH_AND_UPDATE, actionId=ADSwayJJ1gms5xUTg0g3, diagnostic message=, error code=, matched dn=, message=User not found while executing query: (&(objectclass=inetorgperson)(uid=test@test.com)), result code=, vendor=OIDAgent: Password Expired（エージェント：パスワードの有効期限切れ）
POST initiated with result status=FAILURE, actionType=USER_AUTH_AND_UPDATE, actionId=ADSwa29fIw60TAKOG0g3, diagnostic message=Password Policy Error :9000: GSL_PWDEXPIRED_EXCP :Your Password has expired. Please contact the Administrator to change your password., error code=49, matched dn=cn=LynxyOIDUserForChange222,ou=LynxyUsers,dc=vpc,dc=oktalab,dc=local, message=LDAPException(resultCode=49 (invalid credentials), errorMessage='Password Policy Error :9000: GSL_PWDEXPIRED_EXCP :Your Password has expired. Please contact the Administrator to change your password.', diagnosticMessage='Password Policy Error :9000: GSL_PWDEXPIRED_EXCP :Your Password has expired. Please contact the Administrator to change your password.'), result code=invalid credentials, vendor=OIDAgent: Locked Out（エージェント：ロックアウト）
pwdLockoutがユーザーpwdPolicyに対して1に設定されます。
POST initiated with result status=FAILURE, actionType=USER_AUTH_AND_UPDATE, actionId=ADSwc0y9kr6t2OMJy0g3, diagnostic message=Password Policy Error :9001: GSL_ACCOUNTLOCKED_EXCP : Your account is locked. Contact your OID administrator., error code=53, matched dn=cn=LynxyOIDUserForChange222,ou=LynxyUsers,dc=vpc,dc=oktalab,dc=local, message=LDAPException(resultCode=53 (unwilling to perform), errorMessage='Password Policy Error :9001: GSL_ACCOUNTLOCKED_EXCP : Your account is locked. Contact your OID administrator.', diagnosticMessage='Password Policy Error :9001: GSL_ACCOUNTLOCKED_EXCP : Your account is locked. Contact your OID administrator.'), result code=unwilling to perform, vendor=OID