Okta 認証

新しい Orchestrator インスタンスを認識するように Okta を設定する

注:

Okta SAML の設定には次の手順が有効です。次に示す手順は、 設定例のおおまかな説明です。詳細な手順については、 Okta の公式ドキュメントをご覧ください。

1. Okta にログインします。次の設定が [Classic UI] ビューで行われます。これは、ウィンドウの右上隅のドロップダウンから変更できます。

   図 1. クラシック インターフェイス

   

2. [ Application (アプリケーション )] タブで、[ 新しいアプリを作成] を選択します。[ Create a New Application Integration (新しいアプリケーション統合を作成 )] ウィンドウが表示されます。

3. サインオン方式として SAML 2.0 を選択し、[作成] を選択します。

   図 2. [Create a New Application Integration] ウィンドウ

   

4. 新しい統合に対して、[General Settings] (一般設定) ウィンドウでアプリケーション名を入力します。

5. [SAML Settings (SAML 設定)] ウィンドウの [General (全般)] セクションに、次の例に従って入力します。

   • シングル サインオン URL: Orchestrator インスタンスの URL + /identity/Saml2/Acs.たとえば、https://orchestratorURL/identity/Saml2/Acs です。

   • [Use this for Recipient URL and Destination URL] (これを受信者 URL と宛先 URLに使用する) チェック ボックスを有効化します。

   • Audience URI (オーディエンス URL): https://orchestratorURL/identity

   • Name ID Format (名前 ID 形式): EmailAddress (メール アドレス)

   • Application Username (アプリケーションのユーザー名): Email (メール アドレス)

     注:

     Orchestrator インスタンスの URL を入力する際は常に、URL の最後にスラッシュを入れないようにしてください。必ず https://orchestratorURL/identity のように入力し、https://orchestratorURL/identity/ のようには入力しないでください。

6. [Show Advanced Settings (詳細設定を表示)] を選択して、[Attribute Statements (属性ステートメント)] セクションに入力します。

   • [名前] フィールドを http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress に設定して、[値] ドロップダウンから「user.email」を選択します。

     図 3. [Attribute statements (optional)] セクション

     

7. Okta 証明書をダウンロードします。

8. [Feedback (フィードバック)] セクションで、適切なオプションを選択して、[Finish (終了)] を選択します。

9. [ Sign On (サインオン )] タブの [Settings (設定 )] セクションで、[ Setup Instructions (設定手順)] を選択します。Orchestrator の SAML 2.0 向け設定を完了するために必要な手順を記載した新しいページにリダイレクトされます。 Identity Provider Sign-On URL、 Identity Provider Issuer、 X.509 Certificate です。

   注:

   何らかの理由で ID プロバイダーに関する情報が失われた場合、[Sign On (サインオン)] > [Settings (設定)] > [View Setup Instructions (設定手順を表示)] にいつでも移動することができます。

ユーザーをアプリケーションに割り当てる

ユーザーが OKTA 認証を使用するには、新たに作成されたアプリケーションに割り当ててもらう必要があります。

1. Okta にログインします。

2. [Application] (アプリケーション) ページで、新たに作成したアプリケーションを選択します。

3. [割り当て] タブで、[割り当て] > [ユーザーに割り当て] を選択し、必要な権限を付与するユーザーを選択します。

   図 4. [Assign Orchestrator25 to People] ウィンドウ

   

4. 新たに追加されたユーザーが [People] (ユーザー) タブに表示されます。

Okta 認証を利用するように Orchestrator および Identity Server を設定する

1. Orchestrator でユーザーを定義し、[ユーザー] ページで有効なメール アドレスを設定します。

2. 署名証明書をインポートします。

   • For Windows deployments, import the signing certificate provided by the Identity Provider to the Windows certificate store using Microsoft Management Console.
   • For Azure deployments, upload the certificate provided by the Identity Provider from in the Azure portal. (TLS/SSL settings > Public Certificates (.cer) > Upload Public Key Certificate). Refer to Frequently Encountered Orchestrator Errors to adjust your web app configuration if you are unable to use OKTA authentication and encounter the following error message: An error occurred while loading the external identity provider. Please check the external identity provider configuration.

3. Log in to the Management portal as a system administrator.

4. [セキュリティ] に移動します。

5. [SAML SSO] の [設定] を選択します。

   [SAML SSO の構成] ページが開きます。

6. 以下のように設定します。

   • 任意で、連携の有効化後に、SAML 連携を使用したサインインのみをユーザーに許可する場合は、[このプロバイダーを使用した自動ログインを強制] チェックボックスをオンにします。

   • [サービス プロバイダーのエンティティ ID] パラメーターを https://orchestratorURL/identity に設定します。

   • Set the Identity Provider Entity ID parameter to the value obtained by configuring Okta authentication (refer to step 9).

   • Set the Single Sign-On Service URL parameter to the value obtained by configuring Okta authentication (refer to step 9).

   • [未承諾の認証応答を許可] チェック ボックスを選択します。

   • [戻り先 URL] パラメーターを https://orchestratorURL/identity/externalidentity/saml2redirectcallback に設定します。[戻り先 URL] パラメーターで、URL の最後に /identity/externalidentity/saml2redirectcallback を必ず付加します。このパスは Okta から直接 Orchestrator 環境に到達できる、Okta 固有のものです。

   • [SAML バインドの種類] パラメーターを HTTP redirect に設定します。

   • [署名証明書] セクションの [ストア名] リストから [マイ] を選択します。

   • Windows のデプロイの場合は、[ストアの場所] リストから LocalMachine を選択します。Azure Web アプリのデプロイの場合は、CurrentUser を選択します。

   • In the Thumbprint field, add the thumbprint value provided in the Windows certificate store. Details.

     注:

     すべての https://orchestratorURL を、Orchestrator インスタンスの URL に置き換えます。

     Orchestrator インスタンスの URL の最後にスラッシュを入れないでください。「https://orchestratorURL/identity/」ではなく、必ず「https://orchestratorURL/identity」のように入力します。

7. [保存] を選択して、外部 ID プロバイダーの設定に加えた変更を保存します。

   ページが閉じ、[セキュリティ設定] ページに戻ります。

8. [SAML SSO] の左側にあるトグルを選択し、連携を有効化します。

9. IIS サーバーを再起動します。