はじめに こんにちは、 ネクストモード株式会社 のSaaSおじさん久住です...
はじめに
こんにちは、 ネクストモード株式会社 のSaaSおじさん久住です
ネクストモードではID統合管理(IDaaS）のOktaを利用して各SaaSへのシングル・サインオンやプロビジョニングの一元管理をしています
今回はOktaとActive Directoryの連携について、実際の連携の第一歩である初期セットアップ設定についてご紹介したいと思います
全体の概要については、下記エントリーをご参照ください
前提条件
OktaとADの統合には前提条件がありますので公式ドキュメントをご参照ください
Okta AD AgentのインストールについてはIE10以降しか使えず、Edgeで試そうとしたところ上手くいきませんでした
OktaとADの連携手順
OktaとADの連携のセットアップの手順は下記の通りです
- ADサーバーの構築
- ホストサーバーにOkta AD Agentをインストール
- ユーザー、グループ、属性のインポート設定
セットアップ自体は既存のADができていればすぐできます
ADサーバーの構築
WindowsサーバーへのADの構築は下記をご参照ください
今回はWindows Server2022で構築し、フォレスト・ドメイン機能レベルはWindows Server 2016となっています
ホストサーバーにOkta AD Agentインストール
ADサーバーを構築した後は、AD参加したサーバーにOkta AD Agentをインストールします
ドメインコントローラーにAgentをインストールすることも可能ですが、ドメインコントローラーへの影響をなくすために、実運用では分けることが推奨となっています
ホストサーバーからOkta管理画面にSuper Admininstrator権限を持つユーザーでログインし、Directory→Directory IntegrationsからAdd Active Directoryをクリックします
 |
Set Up Active Directoryをクリックします
 |
Download Agentをクリックして、Okta AD Agentをダウンロードします
 |
後ほど使うOkta Organization URLは後ほど利用するので控えておきましょう
※テナントのURLなのであえて控えておく必要はないかもしれません
 |
ダウンロードしたAgentを展開します
 |
ドメインは自動的に入力されますので、問題なければNextをクリックします
 |
Oktaサービスアカウントを作成します
このウィザードの中で新規に作成することが推奨となりますが、既存のドメインユーザーを利用することもできます
既存のドメインユーザーを使う場合はパスワードの有効期限をなしにして、Oktaサービスアカウントに必要な権限を付与する等の作業が別途必要があります
 |
Oktaサービスアカウントのパスワードを作成します
 |
プロキシサーバーを経由する構成となっている場合は、プロキシサーバーの情報を入力します
今回は不要のためスキップします
 |
Okta Organization URLを入力してNextをクリックします
 |
Oktaへのログイン画面がポップアップで表示されるのでAD AgentをダウンロードしたOkta管理者ユーザーでログインします
 |
ログイン完了するとOkta AD Agentへの権限付与の承認が求められるのでAllow Accessをクリックします
 |
以上でOkta AD Agentのインストールは完了です
 |
ユーザー、グループ、属性のインポート設定
Okta管理画面上でもAgent Installationが完了したことが確認できるのでNextをクリックします
 |
次にADから同期する対象のユーザー、グループが含まれるOUを選択します
こちらは後ほど変更可能なので一旦変更せずにNextをクリックします
 |
ADユーザーとグループのインポート設定が完了しました
 |
最後にOktaユーザーに付与する属性を選択します
こちらも後ほど変更が可能なので変更せずにNextをクリックします
 |
Doneをクリックして、Oktaでの初期設定も完了です
 |
Windows ServerにOkta AD Agent Managerが追加されています
 |
開くとAgentが起動していることが確認でき、サービスアカウントの情報やドメイン、プロキシサーバー情報が確認・変更することが可能です
 |
OktaとAD連携の初期セットアップ完了！
OktaとADの連携が完了したら、Okta管理画面からAgentの状態やユーザーの同期状況が確認できます
 |
OktaからADへの同期についてはProvisioningタブのTo Appで確認できます
 |
ADからOktaへの同期についてはTo Oktaで確認できます
 |
さいごに
AD統合の初期セットアップはADサーバーがあればそこまで時間がかからず、手順もシンプルで進めることができます
まだOktaとADがAD Agentを介してつながっただけの状態なので、次回から同期する属性や対象ユーザー・グループなど、詳細に見ていこうと思います