Okta 認証

新しい Orchestrator インスタンスを認識するように Okta を設定する

注:

The below steps are valid for Okta SAML setup. Please note that the below procedure is a broad description of a sample configuration. For a fully detailed how-to, visit the official Okta documentation.

1. Okta にログインします。次の設定が [Classic UI] ビューで行われます。これは、ウィンドウの右上隅のドロップダウンから変更できます。

   

2. [Application (アプリケーション)] タブで、[新しいアプリを作成] をクリックします。[Create a New Application Integration (新しいアプリケーション統合を作成)] ウィンドウが表示されます。

3. サインオン方式として SAML 2.0 を選択し、[作成] をクリックします。

   

4. 新しい統合に対して、[General Settings] (一般設定) ウィンドウでアプリケーション名を入力します。

5. [SAML Settings (SAML 設定)] ウィンドウの [General (全般)] セクションに、次の例に従って入力します。

   • シングル サインオン URL: Orchestrator インスタンスの URL + /identity/Saml2/Acs.たとえば、https://orchestratorURL/identity/Saml2/Acs です。

   • [Use this for Recipient URL and Destination URL] (これを受信者 URL と宛先 URLに使用する) チェック ボックスを有効化します。

   • Audience URI (オーディエンス URL): https://orchestratorURL/identity

   • Name ID Format (名前 ID 形式): EmailAddress (メール アドレス)

   • Application Username (アプリケーションのユーザー名): Email (メール アドレス)

     注:

     Orchestrator インスタンスの URL を入力する際は常に、URL の最後にスラッシュを入れないようにしてください。必ず https://orchestratorURL/identity のように入力し、https://orchestratorURL/identity/ のようには入力しないでください。

6. [Show Advanced Settings] (詳細設定を表示) をクリックして、[Attribute Statements] (属性ステートメント) セクションに入力します。

   • [名前] フィールドを http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress に設定して、[値] ドロップダウンから「user.email」を選択します。

     

7. Okta 証明書をダウンロードします。

8. [Feedback] (フィードバック) セクションで、適切なオプションを選択して、[Finish] (終了) をクリックします。

9. [Sign On] (サインオン) タブの [Settings] (設定) セクションで、[Setup Instructions] (設定手順) をクリックします。Orchestrator の SAML 2.0 向け設定を完了するために必要な手順を記載した新しいページにリダイレクトされます。Identity Provider Sign-On URL、Identity Provider Issuer、X.509 Certificate です。

   注:

   何らかの理由で ID プロバイダーに関する情報が失われた場合、[Sign On (サインオン)] > [Settings (設定)] > [View Setup Instructions (設定手順を表示)] にいつでも移動することができます。

ユーザーをアプリケーションに割り当てる

ユーザーが OKTA 認証を使用するには、新たに作成されたアプリケーションに割り当ててもらう必要があります。

1. Okta にログインします。

2. [Application] (アプリケーション) ページで、新たに作成したアプリケーションを選択します。

3. [割り当て] タブで、[割り当て] > [ユーザーに割り当て] を選択し、必要な権限を付与するユーザーを選択します。

   

4. 新たに追加されたユーザーが [People] (ユーザー) タブに表示されます。

Okta 認証を利用するように Orchestrator および Identity Server を設定する

1. Orchestrator でユーザーを定義し、[ユーザー] ページで有効なメール アドレスを設定します。

2. 署名証明書をインポートします。

   • For Windows deployments, import the signing certificate provided by the Identity Provider to the Windows certificate store using Microsoft Management Console.
   • For Azure deployments, upload the certificate provided by the Identity Provider from in the Azure portal. (TLS/SSL settings > Public Certificates (.cer) > Upload Public Key Certificate). See here how to adjust your web app configuration if you are unable to use OKTA authentication and encounter the following error message: An error occurred while loading the external identity provider. Please check the external identity provider configuration.

3. Log in to the Management portal as a system administrator.

4. Go to Users and select the Security Settings tab.

5. [外部プロバイダー] セクションの [SAML 2.0] の [設定] をクリックします。

   

   [SAML 2.0 を構成] パネルがウィンドウの右側に表示されます。

6. 以下のように設定します。

   • [有効] チェック ボックスを選択します。

   • [サービス プロバイダーのエンティティ ID] パラメーターを https://orchestratorURL/identity に設定します。

   • Set the Identity Provider Entity ID parameter to the value obtained by configuring Okta authentication (see step 9).

   • Set the Single Sign-On Service URL parameter to the value obtained by configuring Okta authentication (see step 9).

   • [未承諾の認証応答を許可] チェック ボックスを選択します。

   • [戻り先 URL] パラメーターを https://orchestratorURL/identity/externalidentity/saml2redirectcallback に設定します。[戻り先 URL] パラメーターで、URL の最後に /identity/externalidentity/saml2redirectcallback を必ず付加します。このパスは Okta から直接 Orchestrator 環境に到達できる、Okta 固有のものです。

   • [SAML バインドの種類] パラメーターを HTTP redirect に設定します。

   • [署名証明書] セクションの [ストア名] パラメーターを My に設定します。

   • Windows のデプロイの場合は、[ストアの場所] パラメーターを LocalMachine に設定します。Azure Web アプリのデプロイの場合は、CurrentUser に設定します。

   • Set the Thumbprint parameter to the thumbprint value provided in the Windows certificate store. Details here.

     注:

     すべての https://orchestratorURL を、Orchestrator インスタンスの URL に置き換えます。

     Orchestrator インスタンスの URL の最後にスラッシュを入れないでください。「https://orchestratorURL/identity/」ではなく、必ず「https://orchestratorURL/identity」のように入力します。

7. [保存] をクリックして、外部 ID プロバイダーの設定に加えた変更を保存します。

8. IIS サーバーを再起動します。