Active Directory属性のOktaプロパティーへのマッピング
次の表は、Oktaのプロパティが対応するActive Directory(AD)属性にどのようにマッピングされるかを示しています。
Native Active Directory attribute(ネイティブActive Directory属性) :これはAD内の属性名です。
Attribute assigned to the AD app by Okta(OktaによってADアプリに割り当てられた属性):これは、ADがOkta内でアプリとして設定されている場合に、ネイティブAD属性を呼び出すためにOktaが使用する名前です。この値は、アプリのユーザープロファイルに表示されます。
Native Okta attribute(ネイティブOkta属性) :これはネイティブOkta属性名です。
Required by Okta(Oktaで必須):Oktaでは、Oktaユーザープロファイルに特定の基本属性が必要です。[Yes(はい)]は、属性がOktaで必須であることを示します。「プロファイルタイプについて」を参照してください。
Mapping Direction AD to Okta(ADからOktaへのマッピング):AD属性に対応するOktaプロパティがあるかどうかを示します。
Mapping Direction Okta to AD(OktaからADへのマッピング):Oktaプロパティに対応するAD属性があるかどうかを示します。
ネイティブActive Directory属性 |
OktaによってADに割り当てられた属性 |
ネイティブOkta属性 |
Oktaで必須 |
マッピング: ADからOktaへ |
マッピング:OktaからADへ | 備考 |
---|---|---|---|---|---|---|
distinguishedName | dn | dn | はい | はい | はい | |
givenName | firstName | firstName | はい | はい | はい | |
はい | はい | はい | ||||
objectGUID | externalId | externalId | はい | はい | はい | |
objectSid | objectSid | objectSid | はい | はい | はい | |
primaryGroupID | primaryGroupID | primaryGroupID | はい | はい | はい | |
userPrincipalName* | userName | userName、email、login | はい | いいえ | はい |
emailが設定されていない場合にのみ使用します。 Oktaユーザー名基本設定の選択肢の1つとして、 email、UPN、およびsAMAccountNameと一緒に使用できます。選択すると、sAMAccountNameとADドメイン名(命名コンテキスト)を組み合わせてOktaユーザー名が生成され、メールのような値を形成します。 |
sn | lastName | lastName | はい | はい | はい | |
sAMAccountName | sAMAccountName | substringBefore(user.login, \"@\") | いいえ | いいえ | はい | |
c | countryCode | countryCode | いいえ | はい | はい | |
cn | cn | user.firstName + \" \" + user.lastName | いいえ | いいえ | はい | |
co | co | co | いいえ | はい | はい | |
countryCode | adCountryCode | countryCode | いいえ | はい | はい | |
department | department | department | いいえ | はい | はい | |
departmentNumber | departmentNumber | departmentNumber | いいえ | はい | はい | |
displayName | displayName | displayName | いいえ | はい | はい | |
division | division | division | いいえ | はい | はい | |
employeeID | employeeID | employeeID | いいえ | はい | はい | |
employeeNumber | employeeNumber | employeeNumber | いいえ | はい | はい | |
generationQualifier | honorificPrefix | honorificPrefix | いいえ | はい | はい | |
l | city | city | いいえ | はい | はい | |
managerDN | managerDN | managerDN | いいえ |
Workdayやその他のアプリで取得したマネージャー値があり、その値がADでmangerDNと表示される場合は、managerDnマッピングを使用します。この場合、マネージャーのドメインはユーザーと異なる可能性があります。 |
||
managerUPN | managerUpn | managerUpn | いいえ | はい | はい |
Workdayやその他のアプリケーションで取得したマネージャー値があり、その値がADでmanagerUPNと表示される場合は、managerUpnマッピングを使用します。このとき、マネージャーとユーザーのドメインが同じになっている必要があります。 |
middleName | middleName | middleName | いいえ | はい | はい | |
mobile | mobilePhone | mobilePhone | いいえ | はい | はい | |
personalTitle | honorificSuffix | honorificSuffix | いいえ | はい | はい | |
postalCode | postalCode | zipCode | いいえ | はい | はい | |
preferredLanguage | preferredLanguage | preferredLanguage | いいえ | はい | はい | |
st | state | state | いいえ | はい | はい | |
streetAddress | streetAddress | streetAddress | いいえ | はい | はい | |
telephoneNumber | telephoneNumber | telephoneNumber | いいえ | はい | はい | |
title | title | title | いいえ | はい | はい |
-
任意のOktaユーザープロファイルとは異なり、ADアプリのユーザープロファイルスキーマには姓名が必要となります。したがって、現在は、Oktaソースのユーザーであれば姓名を使用せずに作成することができますが、姓名のないADユーザーをOktaにインポートすることはできません。
- Oktaで必須のAD属性がユーザーのプロファイルにない場合、そのユーザーは無視されます。例外はOktaで必須のemail属性です。ADユーザーオブジェクトのemail属性が入力されていない場合は、userPrincipalName値が入力されます。
- isCriticalSystemObject属性がtrueに設定されている場合、そのユーザーは省略されます。この設定は大半がシステムで使用される内部アカウント用ですが、Administrator(管理者)のような様々な組み込みアカウントも含まれています。
- カスタム属性がProfile Editorで必須とマークされていて(つまり、[Add Attribute(属性を追加)]ダイアログで[Attribute required(必須属性)]が選択されている場合)、対応するフィールドがユーザーのADプロファイルに存在しない場合、ユーザーは次のインポート中にデプロビジョニングされます。JITが有効な場合は、ユーザーの次回ログイン時にデプロビジョニングされます。
- managerUPNまたはmanagerDNを誤ってマッピングすると、マネージャー値のユーザーオブジェクトがADで更新できなくなります。
- Workdayやその他のアプリケーションで取得したマネージャー値があり、その値がADでmanagerUPNと表示される場合は、managerUpnマッピングを使用します。このとき、マネージャーとユーザーのドメインが同じになっている必要があります。
- Workdayやその他のアプリで取得したマネージャー値があり、その値がADでmanagerDNと表示される場合は、managerDnマッピングを使用します。この場合、マネージャーのドメインはユーザーと異なる可能性があります。
次のいずれかの条件を満たす場合、システムでは以前にインポートされたユーザーが削除済みとして処理されます。
-
userAccountControl属性が、ユーザーが非アクティブ化されていることを示している(増分インポートまたはJITサインインによって検出されます)。
-
ユーザーがディレクトリからいなくなる(フルインポートによってのみ検出されます)。
上記が発生した場合、対応するOktaユーザー(存在する場合)が非アクティブ化されます。次のフルインポート中にユーザーがOUの選択を解除した場合も、ユーザーは非アクティブ化されます。