既存のActive Directory Federation ServicesアプリでOpenID Connectを有効にする

このトピックでは、既存のActive Directory Federation Services（ADFS）アプリでOpenID Connect（OIDC）接続を有効化する方法、およびOIDC構成のADFSアプリでIdentity Engine認証パイプラインを有効化する方法について説明します。

既存のADFSアプリでOIDC接続を有効化する

既存のアプリでOIDCの使用を有効化します。
1. Admin Consoleで、Applications and Resources > アプリケーション（Applications）に移動します。
2. ADFSアプリを選択します。
3. サインオン（Sign On）タブを選択します。
4. 設定（Settings）セクションで編集（Edit）をクリックします。
5. OpenID Connectを選択します。
6. クライアントID（Client ID）とクライアントシークレット（Client secret）を入力します。
7. リダイレクトURI（Redirect URI）フィールドにリダイレクトURIを入力します。URIの末尾にはフォワードスラッシュを使用します（例：https://yourdomain.com/）。
8. 保存（Save）をクリックします。
ADFSグローバル認証ポリシーを編集用に開き、多要素（Multi-factor）タブを選択します。
次の手順に進む前に、Okta MFAプロバイダー（Okta MFA Provider）チェックボックスをオフにして、OKをクリックします。
既存のADFSプラグインをバージョン1.7.0以降にアップグレードします。
アップグレードが完了したら、アプリが正常に機能することを確認します。
1. このファイルをテキストエディターで開きます。
  C:\Users\<adfs_service_account_name>\AppData\Local\Okta\Okta MFA Provider\config\okta_adfs_adapter.json。
  
  「Active Directory Federation Services（ADFS）向けMFAの構成」を参照してください。
2. useOIDCプロパティを検索して、その値をtrueに設定します。
3. 変更を保存してテキストエディターを閉じます。

テキストエディターを使用して、次のMicrosoft Powershellスクリプトをコピーして作成し、ApplyConfigurationSettingChanges.ps1として保存します。必要に応じて、BinDirおよびConfigDir変数の値を環境に合わせて変更してください。

# ApplyConfigurationSettingChanges.ps1
            [System.Reflection.Assembly]::Load("System.EnterpriseServices, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a")

            $BinDir = "C:\Program Files\Okta\Okta MFA Provider\bin"
            $ConfigDir = "C:\Program Files\Okta\Okta MFA Provider\config"

            Start-Service adfssrv

            # Remove Okta MFA Provider
            $providers = (Get-AdfsGlobalAuthenticationPolicy).AdditionalAuthenticationProvider
            $providers.Remove("OktaMfaAdfs") 
            Set-AdfsGlobalAuthenticationPolicy -AdditionalAuthenticationProvider $providers

            # Unregister 
            Unregister-AdfsAuthenticationProvider -Name "OktaMfaAdfs" -Confirm:$false -ErrorAction Stop

            # restart the ADFS service
            Restart-Service adfssrv -Force

            # register MFA adapter again
            $OktaMfaAssamply = [Reflection.Assembly]::Loadfile($BinDir + "\OktaMfaAdfs.dll")
            $typeName = "OktaMfaAdfs.AuthenticationAdapter, OktaMfaAdfs, Version=" + $OktaMfaAssamply.GetName().Version + ", Culture=neutral, PublicKeyToken=3c924b535afa849b"
            Register-AdfsAuthenticationProvider -TypeName $typeName -Name "OktaMfaAdfs" -Verbose -ConfigurationFilePath "$ConfigDir\okta_adfs_adapter.json"

            # restart the service
            Restart-Service adfssrv -Force

            # Enable Okta MFA adapter
            $providers = (Get-AdfsGlobalAuthenticationPolicy).AdditionalAuthenticationProvider
            $providers.Add("OktaMfaAdfs") 
            Set-AdfsGlobalAuthenticationPolicy -AdditionalAuthenticationProvider $providers

管理者としてMicrosoft PowerShellを開き、スクリプトApplyConfigurationSettingChanges.ps1を実行します。
ユーザーが認証できることを確認します。

OIDC構成のADFSアプリでIdentity Engine認証パイプラインを有効化する

早期アクセスリリース。セルフサービス機能を有効にするを参照してください。

Okta Identity Engineは、Okta Orgがアダプティブ認証ポリシーや幅広いAuthenticatorをサポートするために使用する、認証パイプラインです。デフォルトでは、OIDCで構成されたADFSアプリは、Oktaの従来の認証パイプラインを通じて認証されます。

この機能を有効にすると、これらのアプリの認証を代わりにIdentity Engineパイプラインを通じてルーティングできます。「認証ポリシー」を参照してください。

注: この機能は、OIDCを使用するように構成されているADFSアプリにのみ適用されます。MFAをサービスとして使用するADFSアプリには影響しません。

開始する前の確認事項

デフォルトのADFSアプリポリシーでは所有要素が必要となるため、Orgのアプリサインインポリシーを確認してください。Oktaがポリシーを評価する際、ADFSパスワード認証はポリシーの一部として含まれます。一部のユーザーが所有型Authenticator を登録していない場合、この機能を有効にするとサインインできなくなることがあります。

続行する前に、新しいアプリサインインポリシーを作成するか、ADFSアプリに使用するポリシーを決定してから、機能を有効にしてください。

Admin Consoleで設定（Settings） > 機能（Features）に移動します。
OpenID Connect（OIDC）を使用したActive Directory Federation Service（ADFS）アプリのIdentity Engine（Identity Engine in Active Directory Federation Service（ADFS）apps with OpenID Connect（OIDC））機能を探して、有効化します。
ADFSアプリを、新しく作成したアプリサインオンポリシー、またはADFSアプリに適用する既存のポリシーに割り当てます。

これらの手順を完了すると、OIDCで構成されたADFSアプリはIdentity Engineパイプラインを通じて認証されます。

機能を無効にする

従来の認証パイプラインに戻すには、Admin Consoleの設定（Settings） > 機能（Features）で、この機能を無効にします。

元に戻すと、Identity Engineのアプリサインインポリシーの割り当ては無視され、代わりにクラシックアプリのサインオンポリシーが使用されます。