23/02/08 11:28

【Okta】Active DirectoryとOktaの連携（AD→Okta同期編）

はじめに

こんにちは、ネクストモード株式会社のSaaSおじさん久住です

ネクストモードではID統合管理(IDaaS）のOktaを利用して各SaaSへのシングル・サインオンやプロビジョニングの一元管理をしています

前回までOktaとActive Directoryの連携設定を進めてきました

今回はADのユーザーやグループをOktaに同期する設定をご紹介します

はじめにインポートのテスト用のADユーザーとセキュリティグループを作成します

AD上で親OU「KusumiCorp」と子OU「users」を作成し、usersにユーザーを作成します

子OU「groups」を作成し、saas-divというセキュリティグループを作成します

作成したユーザーはsaas-divに所属させました

OUの構成を変更したのでOkta上のAD情報を更新します

Applictaions → More → Refresh Application Dataをクリック

これにより、Active Directoryを含むアプリケーションデータが更新され、OU情報が最新化されます

次にDirectory → Directory Integrations → Provisioning → Integrationからインポート対象のユーザー、グループをOU単位で指定します

早期アクセス機能ですが、指定した条件に一致するユーザーやグループをクエリ構文を使ってフィルタすることも可能です

次にADからOktaへのインポート設定をしていきます

項目は大きく下記に分かれます

インポートに関する一般設定です

項目	設定内容	備考
Schedule import	ADからOktaへのインポートのスケジュール設定	Every hour（一時間おき）〜 Every 2days（２日おき）、Neverが選択可能
Okta username format	Oktaユーザー名のフォーマット	Emal Address, SAM Account Name, UPN, Customから選択可能
JIT provisioning	OktaにAD代理認証で初回ログイン時に自動的にADユーザーからOktaユーザーが作成される設定	Delegated authenticationが有効になっていることが必要
USG support	複数のドメインのメンバーを追加することが可能	・JIT provisioningが有効になっていることが必要・USGオブジェクトを含むフォレスト内のすべてのドメインにOkta AD Agentをインストールすることが必要
Do not import users	ユーザーのインポートをスキップ	JITでユーザー作成しつつ、グループはインポートしたい場合に利用する
Activation emails	新たにインポートされたユーザーに招待メールを送ることを抑止できる	Delegated authenticationが有効になっていることが必要

今回は下記のように設定してみました

ADからOktaに2時間おきにインポートされ、インポートしたユーザーには招待メールは送付されない設定としています

この項目ではADからインポートしたユーザーとOktaの既存のユーザーの一致条件を設定することができます

項目	設定内容	備考
Imported user is an exact match to Okta user if	選択肢に一致していた場合にOktaユーザーと同一ユーザーとみなしてをインポート	Okta username, Email等にマッチするか
Allow partial matches	部分一致でインポート
Confirm matched users	自動的に部分一致（Auto-confirm partial matches）もしくは全体一致（Auto-confirm exact matches）を確認する	Auto-confirm partial matchesについてはAllow partial matchesにチェックをいれると利用可能
Confirm new users	・新規ユーザーを自動的に確認しStagedにする（Auto-confirm）・新規ユーザーを自動的にActiveにする（Auto-Active）	設定しない場合は、Directory→Peopleで新規ユーザーを手動で確認、Activeにする必要あり