こんにちは、 ネクストモード株式会社 のSaaSおじさん久住です
ネクストモードではID統合管理(IDaaS）のOktaを利用して各SaaSへのシングル・サインオンやプロビジョニングの一元管理をしています
今回はADからOktaへディレクトリ同期済みの環境でOkta AD Password Sync Agentを利用したADからOktaへのパスワード同期を試してみます
ADからOktaへのディレクトリ同期については下記のエントリーを御覧ください
ブログのタイトルが少し回りくどく見えるかと思いますが、これが重要なポイントで、実はAD → Oktaへのパスワード同期はディレクトリ同期だけで完結しています
では、Password Sync Agentがどのようなシーンで必要になるかというと、ADジョイン済みの端末のパスワードを変更した際に、ADパスワードをOktaを介してアプリケーションに同期するケースです
AD Password Sync Agentをインストールするのですが、こちらはADのパスワードをOktaのパスワードに同期するために必要なのではなく、あくまで上記のケースのために必要となります
アプリケーションに同期せずにOktaのみに同期する場合はPassword Sync Agentは必要なく、ADユーザーのパスワードを変更後、Oktaにログインすると変更が反映されます
設定の手順は下記の通りです
公式ドキュメントにも記載がありますので、こちらも御覧ください
ADからOktaへのディレクトリ同期については下記エントリーを参考に設定を進めてください
注意点としてはOktaユーザー名の形式がUPNまたはSAMアカウント名である必要があります
それ以外を選択すると次の手順でインストールするOkta AD Password Sync Agentの実行に失敗してしまいます
次にドメインコントローラー上でOkta AD Password Sync Agentをインストールします
Okta管理画面にログインし、Security → Delegated Authentication に移動し、一番下の方のDownload Okta AD Password Syncをクリックします
Password Sync Agentを展開してインストールを進めていきます
OktaのテナントURLを入力します
インストールするディレクトリを指定する場合は変更します
以上でインストール完了です
インストール完了後はドメインコントローラーを再起動をする必要があります
再起動完了するとPassword Sync Agentが起動していることが確認できます
次にAD委任認証（代理認証）を有効化します
Directory → Directory Integrations から対象のActive Directoryを選択し、Provisioning → Integration → Delegated Authenticationにチェックを入れます
パスワードを同期するアプリケーションの設定を最後に実施します
今回はGoogle WorkspaceへADユーザーのパスワードを同期してみます
OktaのGoogle Workspaceアプリのプロビジョニング設定を実施した後、To AppのSync PasswordのEnableにチェックをいれ、Sync Okta Passwordを選択します
以上で設定は完了です
まずAD側でログイン権限を持つユーザーをOktaに同期されるOU内に作成します
ADからOktaに同期されたら（もしくは強制Importを実施したら）ADユーザーのパスワードで①ADユーザー、②Oktaユーザー、③Google Workspaceのログインを試行すると無事両方ともログインできることが確認できます
次にADユーザーのパスワードの変更を実施します（適宜グループポリシーも変更しておきましょう）
OktaログインはAD委任認証をしているため、変更後のパスワードでログインできます
そして、OktaからPassword SyncしているGoogle Workspaceにも変更後のパスワードでログインできることが確認できました！
今回はOkta AD Password Sync Agentを利用したOktaを介したADユーザーパスワードのアプリケーションへの同期についてご紹介しました
Password Sync Agentという名前でADからOktaへのパスワード同期の際に必ず必要と誤解されやすいです（実際僕も以前勘違いしていました）が、正しく理解して必要なシーンで活用していきましょう！