認可サーバーを構築する
API Access Managementには、Oktaでのカスタム認可サーバーの構築が含まれる場合があります。これらのカスタムサーバーを使用し、APIエンドポイントを保護するための認可ポリシーを作成して適用します。「使用可能なAuthorization Serverのタイプ」を参照してください。
Authorization Serverは、「ステージング」や「本番」などのセキュリティ境界を定義します。各Authorization Server内で、独自のOAuthスコープ・クレーム・アクセスポリシーを定義できます。これにより、アプリとAPIが中央認可ポイントを使用して、属性変換用のOkta Universal Directory、エンドユーザー向けのAdaptive MFA制御、システムイベントの記録、分析データの生成など、OktaのID機能を活用することができます。
中核となるAuthorization Serverは、単なるOAuth 2.0トークンミンティングエンジンです。各Authorization Serverには、一意の発行者URIとトークン用の独自の署名鍵があります。これにより、セキュリティドメイン間の適切な境界が維持されます。
認可サーバーは、OpenID Connectプロバイダーとしても機能します。つまり、Authorization Serverのエンドポイントから、アクセストークンに加えてIDトークンも要求することができます。
はじめに
OktaのOrg Authorization Serverまたはカスタム認可サーバーのどちらを使用する必要があるかは、どのようにして確認しますか？
次の条件に該当する場合にカスタムサーバーを使用します。
- Okta以外のリソースを保護する必要がある。
- ユーザーが従業員、パートナー、エンドユーザー、または他の同様の専門分野かどうかに応じて、異なる認可ポリシーが必要。
従業員、パートナー、ユーザーがすべてシングルサインオンに同じ認証ポリシーを使用できる場合は、組み込みのOrg Authorization Serverを試してください。
クライアントとOkta間のカスタム認証を管理するには：
- クライアントアプリのスコープとクレームを特定し、Oktaに登録します。
- 1つ以上の認可サーバーを作成し、アプリで想定されるスコープとクレームを一致させるよう定義します。
クライアントアプリはスコープ名を認識し、Authorization Serverで定義されたクレームを想定している必要があります。
手順
|
タスク |
説明 |
|---|---|
| Authorization Serverを作成する |
カスタム認可サーバーを使用してOktaとクライアントアプリケーション間のアクセスを管理します。 |
| APIアクセススコープを作成する | スコープは、APIエンドポイントで実行できる高レベルの操作を表します。 |
| APIアクセスクレームを作成する | トークンクレームは、件名または別の件名に関する記述です（名前、ロール、メールアドレスなど）。 |
| アクセスポリシーを作成する | アクセスポリシーは、クライアントがAuthorization Serverを何に対してどのような方法で使用できるかを制御します。 |
|
API呼び出しを発行してAuthorization Serverをテストします。また、トークンのプレビューも可能です。 |
|
|
キーはデフォルトで自動的にローテーションされます。ただし、必要に応じて、管理者が手動でキーをローテーションできるようにAuthorization Serverを設定できます。 |
|
|
サーバーの削除方法。 |