スマートカードIDプロバイダーを追加する

IdPの名前を入力します。エンドユーザーがサインインすると、この名前が表示されます。

証明書ファイルをアップロードして証明書チェーンを構築します。証明書ファイルは.pemまたは.der形式でなければなりません。

すべてのファイルをアップロードして［Build certificate chain（証明書チェーンを構築）］をクリックします。チェーンとその証明書が表示されます。

現在のチェーンを新しいものと入れ替えるには、［Reset certificate chain（証明書チェーンをリセット）］をクリックします。

このスマートカードIdPに関連付けられているセキュリティ特性を選択します。オプションは［PIN protected（PIN保護）］と［Hardware protected（ハードウェア保護）］です。

Oktaはこれらの特性を使用し、ポリシーでこのIdPがユーザーにどのようにプロンプト表示されるかを決定します。

IdPユーザー名として使用するスマートカード属性をドロップダウンメニューから選択します。Okta式言語を使用してカスタムユーザー名を定義することもできます。「スマートカードのidpUser式」と「式」を参照してください。

ドロップダウンメニューからOkta属性を選択します。Okta内の既存のユーザーを見つけるために［IdP username（IdPユーザー名）］とこの値が照合されます。

任意。［IdP username（IdPユーザー名）］と［Match against criteria（照合対象条件）］を満たす複数のIDの照合を許可する場合は、このチェックボックスを選択します。これにより、エンドユーザーは1つのスマートカードを複数の異なるIDに使用し、対応するアカウントに対して認証することができます。

スマートカードAuthenticatorが構成されているときに、登録中に一致するユーザーアカウントがOktaで見つからなかった場合に何を行うかを選択します。

• ［Deny enrollment（登録を拒否）］：エンドユーザーは登録できません。これは最も安全なオプションです。
• ［Assign Smart Card to the user（ユーザーにスマートカードを割り当てる）］：現在のユーザーにスマートカードを割り当てます。

ユーザーにスマートカードを割り当てるオプションを選択した場合、次の制限が適用されます。

• PIN保護されたスマートカードを使用します。
• 次のプロファイル属性は登録中に更新できません。
  • Username（ユーザー名）
  • Primary Email (プライマリメールアドレス)
  • Secondary email（セカンダリメールアドレス）
  • 複数の識別子として使用される任意のカスタム属性
• 一致またはマッピング属性が制限されている場合、登録要求は拒否されます。
• ユーザーが別のユーザーに属するスマートカードとPINを使って登録を試みるという、未認可のプロファイル更新のリスクに注意してください。

スマートカードが現在のユーザー向けに登録され、すべての属性値がスマートカード値から更新されます。

サインインの試行時に、一致するユーザーアカウントがOktaに見つからない場合に何をするかを選択します。

• ［Redirect to Okta sign-in page（Oktaサインインページにリダイレクト）］：エンドユーザーはOktaサインインページにリダイレクトされます。
• ［Create new user (JIT)（新規ユーザーを作成（JIT）］：Oktaは新しい［Active（アクティブ）］ユーザーをUniversal Directoryに作成します。［JIT settings（JIT設定）］でジャストインタイム（JIT）アカウントの作成方法を指定します。

［Update attributes for existing users（既存のユーザーの属性を更新する）］：スマートカードから取得した対応するマッピング属性で既存のユーザープロファイルを更新します。

次の制限事項が適用されます。

• プロファイル属性の更新には、［If no match is found during sign-in（サインイン時に一致が見つからない場合）］設定を［Create new user (JIT)（新しいユーザーを作成（JIT））］にする必要があります。
• 次のプロファイル属性は更新できません。
  • Username（ユーザー名）
  • Primary Email (プライマリメールアドレス)
  • Secondary email（セカンダリメールアドレス）
  • 複数の識別子として使用される任意のカスタム属性。
• いずれかのマッピング属性が制限されている場合、プロファイルは更新されません。
• 複数のユーザーが条件に一致する場合、プロファイルは更新されません。

スマートカード属性を、Oktaで必要なユーザープロファイル属性にマッピングします。デフォルトで必要なOktaユーザープロファイル属性は、［login（ログイン）］、［first name（名）］、［last name（姓）］、［email（メール）］です。ただし、構成によってはさらにプロファイル属性が必要になる場合があります。

［IdP username（IdPユーザー名）］に選択したスマートカードは、JITユーザーの作成時にUniversal Directoryの［login（ログイン）］属性にマッピングされます。プロファイルエディターのマッピングで、［login（ログイン）］属性にマッピングされている値がユーザー名要件を満たしていることを確認します。

プロファイルエディターで値をマッピングするには、［Edit profile and mappings（プロファイルとマッピングを編集）］をクリックします。「プロファイル属性をマップする」を参照してください。

任意。Oktaに必要な値に加えて、JITアカウントの作成に必要な証明書値をさらに指定できます。これらの値がない証明書はアクセスを拒否されます。

ドロップダウンメニューからスマートカード属性を選択し、対応する必要な証明書値を指定します。Okta Expression Languageを使用してカスタム値を定義することもできます。

属性がさらに必要な場合は、JITアカウントを作成するためにそれらの属性がすべて必要か、その一部が必要かを選択します。