Okta 認証

新しい Orchestrator インスタンスを認識するように Okta を設定する

Note: The following steps are valid for Okta SAML setup. Please note that the following procedure is a broad description of a sample configuration. For a fully detailed how-to, visit the official Okta documentation.

1. Okta にログインします。次の設定が [Classic UI] ビューで行われます。これは、ウィンドウの右上隅のドロップダウンから変更できます。
   
   

   

   
   
2. On the Application tab, select Create New App. The Create a New Application Integration window is displayed.
3. Choose SAML 2.0 as sign-on method and select Create.
   
   

   

   
   
4. 新しい統合に対して、[General Settings] (一般設定) ウィンドウでアプリケーション名を入力します。
5. [SAML Settings (SAML 設定)] ウィンドウの [General (全般)] セクションに、次の例に従って入力します。
   • シングル サインオン URL: Orchestrator インスタンスの URL + /identity/Saml2/Acs。例: https://orchestratorURL/identity/Saml2/Acs
   • [Use this for Recipient URL and Destination URL] (これを受信者 URL と宛先 URLに使用する) チェック ボックスを有効化します。
   • Audience URI (オーディエンス URL): https://orchestratorURL/identity
   • Name ID Format (名前 ID 形式): EmailAddress (メール アドレス)

   • Application Username (アプリケーションのユーザー名): Email (メール アドレス)

     注: Orchestrator インスタンスの URL を入力する際は常に、URL の最後にスラッシュを入れないようにしてください。「https://orchestratorURL/identity/」ではなく、必ず「https://orchestratorURL/identity」のように入力します。
6. Select Show Advanced Settings and fill in the Attribute Statements section:
   • [名前] フィールドを http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress に設定して、[値] ドロップダウンから「user.email」を選択します。
     
     

     

     
     
7. Okta 証明書をダウンロードします。
8. In the Feedback section, select the option that suits you and select Finish.
9. On the Sign On tab, in the Settings section, select Setup Instructions. You are redirected to a new page containing the instructions required to complete your Orchestrator configuration for SAML 2.0: Identity Provider Sign-On URL, Identity Provider Issuer, X.509 Certificate.
   注: 何らかの理由で ID プロバイダーに関する情報が失われた場合、[Sign On (サインオン)] > [Settings (設定)] > [View Setup Instructions (設定手順を表示)] にいつでも移動することができます。

ユーザーをアプリケーションに割り当てる

ユーザーが OKTA 認証を使用するには、新たに作成されたアプリケーションに割り当ててもらう必要があります。

1. Okta にログインします。
2. [Application] (アプリケーション) ページで、新たに作成したアプリケーションを選択します。
3. [Assignments] タブで、[Assign] > [Assign to People] を選択し、必要な権限を付与するユーザーを選択します。
   
   

   

   
   
4. 新たに追加されたユーザーが [People] タブに表示されます。

Okta 認証を利用するように Orchestrator および Identity Server を設定する

1. Orchestrator でユーザーを定義し、[ユーザー] ページで有効なメール アドレスを設定します。
2. 署名証明書をインポートします。
   • Windows デプロイの場合は、Microsoft 管理コンソールを使用して、Windows の証明書ストアに ID プロバイダーから提供された署名済み証明書をインポートします。
   • For Azure deployments, upload the certificate provided by the Identity Provider from in the Azure portal. (TLS/SSL settings > Public Certificates (.cer) > Upload Public Key Certificate). Refer to Frequently Encountered Orchestrator Errors to adjust your web app configuration if you are unable to use OKTA authentication and encounter the following error message: An error occurred while loading the external identity provider. Please check the external identity provider configuration.
3. 管理ポータルにシステム管理者としてログインします。
4. [セキュリティ] に移動します。
5. Select Configure under SAML SSO:

   [SAML SSO の構成] ページが開きます。

6. 以下のように設定します。
   • 任意で、連携の有効化後に、SAML 連携を使用したサインインのみをユーザーに許可する場合は、[このプロバイダーを使用した自動ログインを強制] チェックボックスをオンにします。
   • [サービス プロバイダーのエンティティ ID] パラメーターを https://orchestratorURL/identity に設定します。
   • Set the Identity Provider Entity ID parameter to the value obtained by configuring Okta authentication (refer to step 9).
   • Set the Single Sign-On Service URL parameter to the value obtained by configuring Okta authentication (refer to step 9).
   • [未承諾の認証応答を許可] チェック ボックスを選択します。
   • [戻り先 URL] パラメーターを https://orchestratorURL/identity/externalidentity/saml2redirectcallback に設定します。[戻り先 URL] パラメーターで、URL の最後に /identity/externalidentity/saml2redirectcallback を必ず付加します。このパスは OKTA から直接 Orchestrator 環境に到達できる、OKTA 固有のものです。
   • [SAML バインドの種類] パラメーターを HTTP redirect に設定します。
   • [署名証明書] セクションの [ストア名] リストから [マイ] を選択します。
   • Windows のデプロイの場合は、[ストアの場所] リストから LocalMachine を選択します。Azure Web アプリのデプロイの場合は、CurrentUser を選択します。

   • [拇印] フィールドに、Windows 証明書ストアで提供される拇印値を追加します。詳しくはこちらをご覧ください。

     注:

     すべての https://orchestratorURL を、Orchestrator インスタンスの URL に置き換えます。

     Orchestrator インスタンスの URL の最後にスラッシュを入れないでください。「https://orchestratorURL/identity/」ではなく、必ず「https://orchestratorURL/identity」のように入力します。
7. [保存] を選択して、外部 ID プロバイダーの設定に加えた変更を保存します。

   ページが閉じ、[セキュリティ設定] ページに戻ります。

8. Select the toggle to the left of SAML SSO to enable the integration.
9. IIS サーバーを再起動します。