23/03/27 16:50

【Okta】Azure ADをIdPとしたOktaとのディレクトリ統合（設定編）

はじめに

こんにちはこんばんは、ディレクトリ統合をこよなく愛するネクストモードのおはらふです

今回は、みんなが大好きなAzure ADをIdPとしてOktaと連携する手順をご紹介いたします
前回のブログにて、この構成を組む背景やメリット等を紹介しましたので、合わせて見ていただけると嬉しいです

Azure ADをIdP（メインとなるID管理基盤）とし、SSOするひとつのアプリとしてOktaと連携するイメージです
もちろんOktaからいつも通り接続先SaaSにログインできます

今回実装する下図の構成では、Azure ADのユーザーをOktaのアプリと連携することでOktaにユーザーが自動作成され、その情報がSaaS側にも連携されます

okta-azuread-summary

Okta公式ドキュメントに手順がありますので、この手順を参考に実装してきます

一部補足があった方が分かりやすい部分もありましたので、その点を中心にご紹介します

Microsoft Azureにログインし、Azure ADにエンタープライズアプリを作りましょう
[エンタープライズアプリケーション] → [新しいアプリケーション] → [独自アプリケーションの作成]から作成できます

残念ながらOktaと検索してもお目当てのものは出てこないので、独自アプリケーションで任意の名前のアプリを作成します

azuread-app

作成後のシングルサインオンの項目から、作業の開始をクリックし画面へ遷移させます
[シングルサインオン方式の選択] では [SAML] を選択しましょう

一旦Oktaで使う証明書のダウンロードのために、シングルサインオンの項目で必須となっている [識別子] と [応答URL] に適当な値をぶっ込みます
Oktaにて証明書をインポートすると正しい値が出力されますので、この手順では適当な値入れましょう！

okta-azuread-saml

[証明書(Base64)] のダウンロードと、 [ログインURL] 、 [Azure AD識別子] のコピーをしておきます

okta-azuread-integration

Oktaの管理者コンソールから [Security] → [identity Providers] → [Add identity provider] へ進み、[SAML 2.0 IdP] を追加します

okta-azuread-idp

設定する値についてはこちらを参考に、同期したい情報等を環境に合わせて設定してください

！！注意事項！！

個人的にはOktaの [ユーザー名] を、公式ドキュメントにあるAzure ADの [メールアドレス] ではなく、[User Principal Name(UPN)] で設定行うことをお勧めします
UPNを設定するために1工程増えますが、自由に設定できる [メールアドレス] より、ドメイン等の制約が厳しい [UPN] の方がトラブル等は少なくなると思います
Azure ADの [UPN] と [メールアドレス] が異なる場合にOktaとのマッピングをする際は、紐付けを誤らないように気をつけてください
プロビジョニングするマッピングと、ログインに利用するマッピングが異なるとうまくログインできなくなります

今回はOkta公式ドキュメントととは違い、Azure ADの [UPN] をOktaの [ユーザー名] にマッピングするやり方で進めていきます

この段階ではUPNのマッピング情報がないため、[IdP username] に [idpuser.email] と一時的に入力しますが、後ほど変更しますので、作業を忘れないように覚えておきます

okta-azuread-settings