LDAPの委任認証を有効にする

委任認証では、ユーザーは組織のLDAP（Lightweight Directory Access Protocol）ユーザーストアの資格情報を入力することでOktaにサインインできます。また、ユーザーは組織のActive Directory（AD）の資格情報を使ってOktaにサインインすることもできます。「Active Directoryの委任認証を有効にする」を参照してください。

LDAP委任認証を有効にする

ユーザーがOktaにサインインしたときにLDAPで認証するには、委任認証を有効にします。

前提条件：Okta LDAPエージェントをインストールして構成します。「LDAP統合の管理」を参照してください。

orgにLDAP統合を追加すると、委任認証がデフォルトでオンになります。

  1. Admin Consoleで、［Security（セキュリティ）］［Delegated Authentication（委任認証）］に移動します。
  2. ［LDAP］タブをクリックします。
  3. ［Delegated Authentication（委任認証）］で［Edit（編集）］をクリックします。
  4. ［Enable delegated authentication to LDAP（LDAPへの委任認証を有効にする）］を選択します。
  5. 任意。委任認証の設定をテストします。
  1. ［Test Delegated Authentication（委任認証をテスト）］をクリックします。
  2. LDAPユーザー名とパスワードを入力し、［Authenticate（認証）］をクリックします。
  3. 認証が完了したら、［Close（閉じる）］をクリックします。
  1. ［Save（保存）］をクリックします。

エンドユーザーにLDAPパスワードの変更またはリセットを許可する

OktaでエンドユーザーにLDAPパスワードの変更を許可することができます。ユーザーのパスワードが期限切れの場合、Oktaへの次回のサインイン試行時にパスワードの変更が求められます。

エンドユーザーは、自分の名前のドロップダウンメニューをクリックし、［Settings（設定）］［Account（アカウント）］［Change Password（パスワード変更）］を選択することでOktaダッシュボードからパスワードを変更できます。

この機能を使用するには、バージョン5.3.0以降のOkta LDAP Agentが必要です。この機能は、パスワードの有効期限が切れたときにpwdReset属性をTRUEに正しく設定するすべてのLDAPディストリビューション（OpenLDAPやIBMなど）で機能します。バージョン5.3.0以降をインストールする前に、必ずエージェントの5.3.0より前のバージョンをアンインストールしてください。エージェントのインストール手順については、「LDAP統合」を参照してください。

  1. Admin Consoleで、［Security（セキュリティ）］［Delegated Authentication（委任認証）］に移動します。
  2. ［LDAP］タブをクリックします。
  3. ［Delegated Authentication（委任認証）］で［Edit（編集）］をクリックします。
  4. ［Enable delegated authentication to LDAP（LDAPへの委任認証を有効にする）］を選択します。
  5. ［LDAP Password Policy（LDAPパスワードポリシー）］で［Users can change their LDAP passwords in Okta（ユーザーはOktaでLDAPパスワードを変更できます）］を選択します。
  6. ［Password Rules Message（パスワードルールメッセージ）］フィールドに、エンドユーザーがパスワードを変更する際に従うべきパスワードポリシールールを記述します。
  7. ［Users can reset forgotten LDAP passwords in Okta（ユーザーはOktaでLDAPパスワードを忘れた場合にリセットできます）］を選択します。

新規ユーザーを作成またはインポートしてアクティブ化すると、［Welcome（ようこそ）］ページでセカンダリメールアドレスの入力を求められます。エンドユーザーがアドレスを入力すると、変更の確認を求める確認メールが送信されます。

エンドユーザーがパスワードを忘れた場合や、サインインに失敗した回数が多すぎてLDAPアカウントがロックされた場合は、Okta Sign-In Widget の ［Need Help signing in?（サインインにサポートが必要ですか？）］をクリックします。OktaSign-In Widget で［Forgot password or unlock account（パスワードを忘れた場合、またはアカウントロック解除）］リンクをクリックして、メールまたはSMSでパスワードをリセットします。

  • ［Reset via email（メールでリセット）］： エンドユーザーはユーザー名またはメールアドレスを入力してから、［Send Email（メールを送信）］ボタンをクリックします。その後、ユーザーは24時間以内に有効期限が切れるアカウントのパスワードリセット用メールを受信します。これにより、ユーザーのOktaパスワードとLDAPパスワードの両方がリセットされます。アカウントがロックされたために［Forgot password?（パスワードを忘れた場合）］リンクをクリックしたユーザーは、LDAPパスワードが変更され、アカウントのロックが解除されます。
  • ［Reset via SMS（SMSでリセット）］：エンドユーザーはユーザー名またはメールアドレスを入力してから、［Send Text Message（テキストメッセージを送信）］ボタンをクリックします。これにより、パスワードリセットコードを含むテキストメッセージが表示されます。受信したら、ユーザーは電話からコードを入力し、プロンプトに従ってパスワードをリセットします。
  1. ［Save（保存）］をクリックします。

委任認証のシステムログ情報を表示する

ボトルネックを容易に特定できるように、System Logには各委任認証（Del Auth）リクエストの所要時間に関する情報が記録されます。System Logには、次の委任認証プロパティの時間がミリ秒単位で記録されます。

  • delAuthTimeTotal：Oktaで委任認証に要した合計時間。この時間は、エージェントでの合計時間と、エージェントがリクエストの処理を開始するまでのOktaのキュー待機時間で構成されます。リクエストを処理するのに十分なエージェントがない場合は、キューの待機時間が長くなる可能性があります。
  • delAuthTimeSpentAtAgent：エージェントがリクエストの処理に費やした合計時間。これには、ドメインコントローラーで費やされた時間が含まれます。
  • delAuthTimeSpentAtDomainController：ドメインコントローラーで費やされた時間。
  1. Okta Admin Consoleで［Directory（ディレクトリ）］［Directory Integrations（ディレクトリ統合）］をクリックします。
  2. LDAPインスタンスを選択します。
  3. ページの上部にある［View Logs（ログを表示）］をクリックします。

ジャストインタイムプロビジョニング

組織でジャストインタイム（JIT）が有効化され、LDAP統合で委任認証が選択されている場合、JITはユーザープロファイルの作成とユーザーデータのインポートに使用されます。