ID プロバイダとして Okta (SCIM) を構成する

Omnissa Connect のエンタープライズフェデレーションワークフローで ID プロバイダ (IdP) を構成するには、プロバイダと Omnissa Connect コンソールの両方で作業する必要があります。この手順では、SCIM（System for Cross-domain Identity Management）プロビジョニングを使用した、SAML（Security Assertion Markup Language）プロトコルまたはOIDC（OpenID Connect）プロトコルでの Okta の構成について概説します。

Omnissa Access のロールとは

この手順を支援するために、Omnissa Access テナントが自動的にプロビジョニングされます。Omnissa Access はサービスプロバイダとして機能します。セルフサービスフェデレーションは、ID プロバイダとサービスプロバイダの接続を簡素化するのに役立つ、プレゼンテーションレイヤーを提供します。

Omnissa Identity Service のロールとは

エンタープライズフェデレーションは、SCIM ベースのユーザープロビジョニングと管理に Omnissa Identity Service を使用します。Omnissa Identity Service は、Omnissa 製品およびサービスを、Okta などのサードパーティのクラウドベースの ID プロバイダと統合し、ユーザープロビジョニングと ID フェデレーションを行います。Omnissa Identity Service を使用すると、Omnissa プラットフォーム全体でユーザーを一元管理できます。

注：エンタープライズフェデレーション用に Omnissa Identity Service アプリケーションの個別のインスタンスを構成する必要があります。以前に構成した Omnissa Identity Service アプリケーションは使用できません。

サポートされている認証プロトコル

SCIM プロビジョニングを使用するエンタープライズフェデレーションでは、SAML と OpenID Connect (OIDC) の両方の認証プロトコルをサポートします。

Okta のドキュメント

このトピックでは、Okta を ID プロバイダとして使用する方法について説明しますが、最新の Okta ドキュメントが必要な場合は、Okta のドキュメントサイトを参照してください。

要件

[ドメインの検証] 手順を完了しなければ、Omnissa Connect の [エンタープライズフェデレーションの設定] ウィジェットの [ID プロバイダの構成] 領域にはアクセスできません。
Okta でアプリケーションを統合するには、管理者権限が必要です。

SAML

SCIM プロビジョニング用の SAML プロトコルで Okta を構成するには、Omnissa Connect コンソールと Okta 管理コンソールの両方で作業します。2 つのコンソール間で値を容易にコピーして貼り付けられるように、2 つのブラウザインスタンスを使用することをおすすめします。

注：SAML 設定用に Okta でカスタムアプリケーションを作成することもできますが、構成を簡素化するために、事前構成済みの Omnissa Identity Service アプリケーションをベースラインとして使用することをお勧めします。

Omnissa Connect で ID プロバイダを選択します。
1. ブラウザインスタンスを開き、Omnissa Connect コンソールに移動します。
2. [エンタープライズフェデレーションの設定] > [ID プロバイダの構成] に移動して、[開始] を選択します。
3. [ID プロバイダの選択] タブで、これらの設定を選択して、[次へ] を選択します。
  - ID プロバイダ：Okta
  - プロビジョニングタイプ：SCIM ベース
  - 認証プロトコルタイプ：SAML
**Okta アプリケーションカタログに Omnissa Identity Service アプリケーションを追加します。**カスタムアプリケーションを使用している場合は、カスタムアプリケーションの追加方法に関する Okta のドキュメントに従うことをお勧めします。便宜上、このページの OIDC 手順では、Okta でカスタムアプリケーションを作成する方法の概要を説明します。
1. 別のブラウザインスタンスを開き、Okta コンソールに移動し、[アプリケーション] に移動して、[アプリケーションカタログの参照] メニュー項目を選択します。
  - 以降、コピー & ペーストしやすいように、Omnissa Connect ブラウザインスタンスを開いたままにします。
2. Okta アプリケーションカタログで、[Omnissa Identity Service] を検索して、このアプリケーションを選択します。
3. 統合を追加するように選択します。
4. Okta の [Omnissa Identity Service を追加] ページの [全般設定] タブで、アプリケーションの名前を入力します。
  - Omnissa ベース URL が必要です。
  - 次の手順では、この URL を Connect から取得します。
SCIM プロビジョニング用に Okta を設定します。
1. Connect コンソールに移動し、[SCIM プロビジョニング用の ID プロバイダのセットアップ] タブが表示されていることを確認します。
  - Okta に貼り付けるための [テナント URL] をコピーします。
  - [シークレットトークンの]****[生成] メニューオプションを選択し、このプロセスの後半で使用するためにこのシークレットを記録します。
  - このシークレットを紛失した場合、このページで、[シークレットトークン]****[の再生成] を行うように提案されます。
2. Okta インスタンスに移動し、コピーしたテナント URL を [Omnissa Identity Service の追加] ページの [全般設定] タブの [Omnissa ベース URL] フィールドに貼り付けます。
3. Okta で、その他の [全般設定] を完了し、[完了] を選択します。
4. Okta インスタンスを依然として表示しており、追加した Identity Service アプリで作業している場合は、 [プロビジョニング] タブを選択します。
  - [API 統合の構成] をクリックします。
  - [API 統合を有効にする] チェックボックスを有効にします。
  - [API トークン] テキストフィールドに、このプロセスで以前に Connect で生成したシークレットトークンを貼り付けます。
  - [グループのインポート] を有効化します。
  - [API 認証情報のテスト] を選択して、システム間の通信が適切に行われていることを確認します。
  - Okta で設定を保存します。
5. Okta インスタンス、Identity Service アプリケーション、および [プロビジョニング] タブで引き続き作業します。アプリケーションを編集して、ユーザープロビジョニングを制御します。
  - [ユーザーの作成] チェックボックスを有効にします。
  - 必要に応じて、[新しいユーザーを作成するときにパスワードを設定する] を有効にするか無効にするかを決定します。
  - [ユーザー属性の更新] チェックボックスを有効にします。
  - [ユーザーの無効化] チェックボックスを有効にします。
  - 編集内容を保存します。
Okta で SAML を設定します。
1. [ID プロバイダ内での SAML の設定] タブで Connect インスタンスに戻り、一覧表示されている手順のいずれかを実行します。これは、Identity Service アプリケーションを使用しているか、Okta でカスタムアプリケーションを作成しているかによって異なります。
  - Identity Service アプリケーション：[次へ] を選択し、[ID プロバイダ内で SAML を設定する] タブをスキップします。
    - このウィジェットの概要を示す、これらの文字列をコピーする必要はありません。
    - これらの値は、Identity Service アプリケーションによって構成されています。
  - カスタムアプリケーション：[ID プロバイダ内での SAML の設定] タブに記載されている手順に沿って操作します。
    - これらの URL をコピーし、Okta の対応するフィールドに貼り付けます。
    - 完了したら、Omnissa Connect で [次へ] を選択します。
Okta でユーザー属性を構成します。
1. Connect の [ユーザー属性] タブで、一覧表示されている手順のいずれかを実行します。これは、Identity Service アプリケーションを使用しているか、Okta でカスタムアプリケーションを作成しているかによって異なります。
  - Identity Service アプリケーション：[次へ] を選択し、[ユーザー属性] タブをスキップします。
    - これらのユーザー属性は、Identity Service アプリケーションによって構成されています。
  - カスタムアプリケーション：[ユーザー属性] タブに記載されている手順に沿って操作し、Omnissa Connect で [次へ] を選択して、次のタブに移動します。
Omnissa Connect で ID プロバイダを構成します。
1. Okta に移動し、アプリケーションで [サインオン] タブを選択し、[メタデータ URL] をコピーして Connect に貼り付けます。
2. Connect インスタンスに戻り、[ID プロバイダの構成] タブで構成します。
  - [IdP 表示名] テキストフィールドに名前を入力します。[Okta SCIM] を使用できます。
  - [メタデータ] メニューオプションの [URL] ラジオボタンを選択します。
  - Okta からコピーしたメタデータ URL を [メタデータ] テキストフィールドに貼り付けます。
  - [名前 ID の形式] は事前構成されています。
  - [名前 ID の値] は事前構成されています。
  - Omnissa Connect で [次へ] を選択して、次のタブに進みます。
Omnissa Connect でユーザー ID を構成します。
1. [ユーザー ID の設定] タブで、エンタープライズのユーザーが、Omnissa Connect の検出画面から Omnissa Connect にアクセスするときに、本人確認を行う方法を選択します。
  - ユーザー ID は、ユーザーがエンタープライズ ID プロバイダに対して認証する方法とは異なります。
  - 画面に表示される例に従って、正しいものを選択します。
  - すべてのオプションで、選択した値は @DomainName.com で終わる必要があり、ここで、domainName は検証手順で登録した値です。
2. ユーザーが IdP を介して Omnissa Connect にログインするために使用する環境設定（E メールまたは企業ユーザー名）を選択します。
3. [構成] を選択して、プロセスを完了します。

次に行うこと

この手順では、Okta を IdP として構成し、事前構成された Identity Service アプリケーションを使用して、SCIM ベースのユーザープロビジョニング、SAML ユーザーとグループの要求を選択し、ユーザー識別に使用する値を選択しました。

[セットアップの検証と有効化] に進みます。構成を検証したら、Identity Service アプリケーションでユーザーまたはグループを割り当てると、アプリケーションは IdP 認証情報を使用して Omnissa Connect にシングルサインオンを使用できるようになります。

OIDC

認証に OpenID Connect (OIDC) を使用するには、事前構成済みの Identity Service アプリケーションを使用し、Okta でカスタムアプリケーションを作成する必要があります。

前提条件：Okta の既知のエンドポイント URL

Omnissa Connect でカスタムアプリケーションを追加するときに使用する、Okta の既知のエンドポイント URL を取得します。この URL は OIDC 検出に使用され、Okta ドメインと /.well-known/openid-configuration パスを組み合わせて構成されます。一般的な形式は https://<YOUR_OKTA_DOMAIN>.okta.com/.well-known/openid-configuration です。Okta の既知のエンドポイント URL を見つけるには、次の手順を実行します。

Okta 管理コンソールにログインします。
ユーザー名（現在はコンソールの右上隅にあります）を選択して、Okta ドメインを見つけます。
ユーザー名情報のドロップダウンメニューを選択します。
Okta の既知のエンドポイント URL をコピーし、Okta でのカスタムアプリケーションの作成時に Omnissa Connect に入力できるようにします。

手順

SCIM プロビジョニング用の OpenID Connect (OIDC) プロトコルで Okta を構成するには、Omnissa Connect コンソールと Okta 管理コンソールの両方で作業します。2 つのコンソール間で値を容易にコピーして貼り付けられるように、2 つのブラウザインスタンスを使用することをおすすめします。

Omnissa Connect で ID プロバイダを選択します。
1. ブラウザインスタンスを開き、Omnissa Connect コンソールに移動します。
2. [エンタープライズフェデレーションの設定] > [ID プロバイダの構成] に移動して、[開始] を選択します。
3. [ID プロバイダの選択] タブで、これらの設定を選択して、[次へ] を選択します。
  - ID プロバイダ：Okta
  - プロビジョニングタイプ：SCIM ベース
  - 認証プロトコルタイプ：OpenID Connect
  - 以降、値をコピーしやすいように、Omnissa Connect ブラウザインスタンスを開いたままにします。
Okta アプリケーションカタログに Omnissa Identity Service アプリケーションを追加します。
1. Okta で事前構成済みの Identity Service アプリケーションを追加するには、別のブラウザインスタンスを開き、Okta コンソールに移動し、[アプリケーション]に移動して、[アプリケーションカタログの参照] メニュー項目を選択します。
2. Okta アプリケーションカタログで、[Omnissa Identity Service] を検索して、このアプリケーションを選択します。
3. 統合を追加するように選択します。
4. Okta の [Omnissa Identity Service を追加] ページの [全般設定] タブで、アプリケーションの名前を入力します。
  - このタブでは、Omnissa ベース URL が必要です。
  - 次の手順では、この URL を Omnissa Connect から取得します。
  - この Okta インスタンスを開いたままにします。
Identity Service アプリケーションを使用して、SCIM プロビジョニング用に Okta を設定します。
1. Connect コンソールに移動し、[SCIM プロビジョニング用の ID プロバイダのセットアップ] タブに移動します。
  - Okta に貼り付けるための [テナント URL] をコピーします。
  - [シークレットトークンの]****[生成] メニューオプションを選択し、このプロセスの後半で使用するためにこのシークレットを記録します。
  - このシークレットを紛失した場合、このページで、[シークレットトークン]****[の再生成] を行うように提案されます。
2. Okta インスタンスに移動し、コピーしたテナント URL を [Omnissa Identity Service の追加] ページの [全般設定] タブの [Omnissa ベース URL] フィールドに貼り付けます。
3. Okta で、その他の [全般設定] を完了し、[完了] を選択します。
4. Okta インスタンスを依然として表示しており、追加した Identity Service アプリで作業している場合は、 [プロビジョニング] タブを選択します。
  - [API 統合の構成] をクリックします。
  - [API 統合を有効にする] チェックボックスを有効にします。
  - [API トークン] テキストフィールドに、このプロセスで以前に Connect で生成したシークレットトークンを貼り付けます。
  - [グループのインポート] チェックボックスを有効化します。
  - [API 認証情報のテスト] を選択して、システム間の通信が適切に行われていることを確認します。
  - 設定を保存します。
5. Okta インスタンス、Identity Service アプリケーション、および [プロビジョニング] タブで引き続き作業します。アプリケーションを編集して、ユーザープロビジョニングを制御します。
  - [ユーザーの作成] チェックボックスを有効にします。
  - 必要に応じて、[新しいユーザーを作成するときにパスワードを設定する] を有効にするか無効にするかを決定します。
  - [ユーザー属性の更新] チェックボックスを有効にします。
  - [ユーザーの無効化] チェックボックスを有効にします。
  - 編集内容を保存します。
Okta でカスタムアプリケーションを作成します。
1. Okta で [アプリケーション] に移動し、[アプリケーション統合の作成] を選択します。
2. [新しいアプリケーション統合の作成] ページで、一覧表示されている構成を設定します。
  - ログイン方法：[OIDC - OpenID Connect] を選択します。
  - アプリケーションタイプ：[Web アプリケーション] を選択します。
  - [次へ] を選択します。
3. Okta によってアプリケーションが作成されたら、アプリケーションの名前を入力します。
  - Okta によって、[ログインリダイレクト URI] の入力が要求されます。
  - リダイレクト URI は Omnissa Connect から取得できます。
  - Okta インスタンスを開いたままにします。
Okta で OIDC を構成します。
1. Connect インスタンスに移動し、[リダイレクト URI で OpenID Connect プロバイダを設定する] タブを選択し、Connect から [リダイレクト URI] をコピーします。
  - [リダイレクト URI] をコピーしたら、[次へ] を選択して、Connect インスタンスの [ユーザー属性] タブに移動します。
2. Okta に戻り、Connect からコピーしたリダイレクト URI を [ログインリダイレクト URI] テキストフィールドに貼り付け、残りの設定を完了します。
  - [ログアウトリダイレクト URI] を構成します。
  - [割り当て] セクションを構成します。
  - 設定を保存します。
Okta でユーザー属性を構成します。
1. Connect に戻り、[次へ] を選択して、[ユーザー属性] タブをスキップします。これは、事前構成された Identity Service アプリケーションによって、必要な属性がすでに構成されているためです。
Omnissa Connect で ID プロバイダを構成します。
1. Connect の [ID プロバイダの構成] タブで、Okta の既知のエンドポイント URL を [構成 URL] テキストフィールドに追加する必要があります（前提条件で取得しました）。
  - また、Okta カスタムアプリケーションの [クライアント ID] と Okta カスタムアプリケーションの **[クライアントシークレット]**も必要です。
  - これらは、既知のエンドポイント URL を追加した後、Okta から取得します。
2. Okta の既知のエンドポイント URL を [構成 URL] に追加します。
3. Okta インスタンスに移動し、Okta カスタムアプリケーションに移動し、[全般] タブを選択して、Connect にエントリするためのクライアント ID とクライアントシークレットをコピーします。
  - [クライアント ID] をコピーします。
  - [クライアントシークレット] をコピーします。
4. Connect に戻り、[クライアント ID] と**[クライアントシークレット]** をそれぞれのテキストフィールドに貼り付け、[次へ] を選択します。
Omnissa Connect でユーザー ID を構成します。
1. [ユーザー ID の設定] タブで、エンタープライズのユーザーが、Omnissa Connect の検出画面から Omnissa Connect にアクセスするときに、本人確認を行う方法を選択します。
  - ユーザー ID は、ユーザーがエンタープライズ ID プロバイダに対して認証する方法とは異なります。
  - 画面に表示される例に従って、正しいものを選択します。
  - すべてのオプションで、選択した値は @DomainName.com で終わる必要があり、ここで、domainName は検証手順で登録した値です。
2. ユーザーが IdP を介して Omnissa Connect にログインするために使用する環境設定（E メールまたは企業ユーザー名）を選択します。
3. [構成] を選択して、プロセスを完了します。