Omnissa Connect で Omnissa Identity Service を有効にした後、Okta との統合を設定します。
-
Omnissa Identity Service の [はじめに] ウィザードのステップ 2、[SCIM 2.0 ベースの ID プロバイダの統合] で [開始] をクリックします。
-
[Okta] カードの [設定] をクリックします。
-
ウィザードに従って、Okta との統合を設定します。
手順 1：ディレクトリの作成
Omnissa Identity Service を使用してユーザー プロビジョニングと ID フェデレーションを設定する最初の手順として、Omnissa Connect コンソールで、Okta からプロビジョニングされたユーザーとグループのディレクトリを作成します。
注意：ディレクトリを作成した後、ID プロバイダの選択を変更することはできません。必ず、適切な ID プロバイダを選択してから先に進んでください。
手順
-
ウィザードのステップ 1、[全般情報] で、Omnissa Identity Service のプロビジョニングされたディレクトリに使用する名前を入力します。
名前の長さは最大 128 文字です。使用できるのは、英字（a ～ z、または他の言語で同等の文字）、数字（0 ～ 9）、スペース、ハイフン (-)、アンダースコア (_) のみです。
**重要：**作成したディレクトリの名前を変更することはできません。
-
[ドメイン名] には、
.comや.netなどの拡張子を含む、ソース ディレクトリのプライマリ ドメイン名を入力します。Omnissa Identity Service は現在、1 つのドメインのみをサポートしています。プロビジョニングされたユーザーとグループは、Omnissa サービスでこのドメインに関連付けられます。
ドメイン名の長さは最大 100 文字です。使用できるのは、英字（a ～ z、または他の言語で同等の文字）、数字（0 ～ 9）、スペース、ハイフン (-)、アンダースコア (_)、ピリオド (.) のみです。
例：
-
[保存] をクリックし、選択を確認します。
次のステップ
ユーザーとグループのプロビジョニングを設定します。
手順 2：ユーザーとグループのプロビジョニングの設定
Omnissa Identity Service でディレクトリを作成したら、ユーザーとグループのプロビジョニングを設定します。プロビジョニングに必要な管理者認証情報を生成して Omnissa Identity Service でプロセスを開始し、Okta でプロビジョニング アプリケーションを作成してユーザーとグループを Omnissa Identity Service にプロビジョニングします。Okta Integration Network に含まれる Omnissa Identity Service アプリケーションを使用できます。
前提条件
プロビジョニングのセットアップに必要な権限を持つ Okta の管理者アカウントがあること。
手順
-
Omnissa Connect コンソールでディレクトリを作成した後、ウィザードのステップ 2、[ID プロバイダの構成] で生成された値を確認してコピーします。
Okta でプロビジョニング アプリケーションを構成するには、次の値が必要です。
-
[Omnissa ベース URL]：Omnissa Identity Service テナントの URL。値をコピーします。
-
[トークンの存続期間]：シークレット トークンが有効な期間。
デフォルトでは、Omnissa Identity Service は存続期間が 6 か月のトークンを生成します。トークンの存続期間を変更するには、下矢印をクリックして別のオプションを選択し、[再生成] をクリックして新しい値でトークンを再生成します。
重要： トークンの存続期限を更新すると、以前のトークンが無効になり、Okta からのユーザーとグループのプロビジョニングは失敗します。新しいトークンを再生成し、そのトークンをコピーして Okta アプリケーションに貼り付ける必要があります。
-
[シークレット トークン]：ユーザーを Omnissa Identity Service にプロビジョニングするために Okta で必要なトークン。コピー アイコンをクリックして値をコピーします。
重要：****[次へ] をクリックする前に、トークンをコピーしてください。[次へ] をクリックすると、トークンは表示されなくなり、新しいトークンの生成が必要になります。トークンを再生成すると、以前のトークンが無効になり、プロビジョニングが失敗します。新しいトークンをコピーして Okta アプリケーションに貼り付けてください。
例：
トークンがまもなく期限切れになると、Omnissa Identity Service にバナー通知が表示されます。E メールも受信したい場合は、E メール通知の受信をオプトインしていることを確認します。「E メール通知を有効にする方法」を参照してください。
-
-
Okta でプロビジョニング アプリケーションを作成します。
-
Okta 管理コンソールにログインします。
-
左側のナビゲーション ペインで、[アプリケーション] > [アプリケーション] を選択します。
-
[アプリケーション カタログを参照] をクリックします。
-
[Omnissa Identity Service] アプリケーションを検索して選択します。
-
[統合の追加] をクリックします。
-
[全般設定] タブで、次の値を入力します。
- [アプリケーション ラベル]：アプリケーションの名前を入力します。
- [Omnissa ベース URL]：Omnissa Identity Service ウィザードの [Omnissa ベース URL] の値をコピーして、このテキスト ボックスに貼り付けます。
- [アプリケーションの可視性]：このアプリケーションは IdP によって開始されるフローで使用することを意図していないため、[ユーザーにアプリケーション アイコンを表示しない] チェック ボックスをオンにします。
例：
-
[終了] をクリックします。
-
[プロビジョニング] タブを選択して構成します。
-
[API 統合の構成] をクリックします。
-
[API 統合を有効にする] チェック ボックスを選択します。
-
[グループのインポート] チェック ボックスの選択を解除します。
-
Omnissa Identity Service ウィザードで [シークレット トークン] の値をコピーして、[API トークン] テキスト ボックスに貼り付けます。
-
[API 認証情報のテスト] ボタンをクリックして、接続をテストします。
-
「
Omnissa Identity Service was verified successfully!」というメッセージが表示されていることを確認してから続行します。 -
[保存] をクリックします。
[アプリケーションへのプロビジョニング] ページが表示されます。
-
-
[アプリケーションへのプロビジョニング] ページで [編集] をクリックし、次のオプションで [有効] を選択します。
- ユーザーの作成
- ユーザー属性の更新
- ユーザーの非アクティブ化
-
[保存] をクリックします。
-
次のステップ
Omnissa Connect コンソールに戻り、Omnissa Identity Service ウィザードを続行します。
手順 3：SCIM ユーザー属性のマッピング
Okta 管理コンソールで、Okta から Omnissa サービスに同期するユーザー属性をマッピングします。必須属性を含む多くの属性は、Omnissa Identity Service アプリケーションですでにマッピングされています。マッピングを編集したり、新しいマッピングを追加したりできます。 少なくとも、Omnissa Identity Service とそれと統合される Omnissa サービスに必要な属性を同期する必要があります。
Workspace ONE UEM と Omnissa Access に必要な属性
次の SCIM ユーザー属性が必要です。
| Okta 属性 | SCIM ユーザー属性（必須） |
|---|---|
| userName | userName |
| user.email | |
| emailType | (user.email != null && user.email != '') ? 'work' : '' |
| user.firstName | name.givenName |
| user.lastName | name.familyName |
| externalId | externalId 注：この属性は暗黙的に設定されます。手動で追加する必要はありません。 |
| active | active 注：この属性は暗黙的に設定されます。手動で追加する必要はありません。 |
**注：**この表は、必須の SCIM 属性と Okta 属性の一般的なマッピングを示します。SCIM 属性は、ここにリストされているもの以外の Okta 属性にマッピングできます。
これらの属性の詳細と、Workspace ONE 属性へのマッピング方法については、「Omnissa Identity Service のユーザー属性マッピング」を参照してください。
必須の属性に加え、オプションの属性やカスタム属性も同期可能です。サポートされているオプション属性とカスタム属性のリストについては、「Omnissa Identity Service のユーザー属性マッピング」を参照してください。
**重要：**Okta ではグループ属性マッピングを指定して、Omnissa Identity Service に同期することはできません。マッピングできるのはユーザー属性のみです。
Horizon Cloud に必要な属性
Horizon Cloud に必要な SCIM ユーザー属性のリストについては、「Horizon Cloud での Omnissa Identity Service の使用」を参照してください。
手順
-
Omnissa Connect コンソールで、Omnissa Identity Service ウィザードのステップ 3、[SCIM ユーザー属性のマッピング] の、Omnissa Identity Service がサポートしている属性のリストを確認します。
-
Okta 管理コンソールで、Omnissa Identity Service へのユーザー プロビジョニング用に作成したプロビジョニング アプリケーションに移動します。
-
[プロビジョニング] タブを選択します。
-
[AppName 属性マッピング] セクションまでスクロールします。
必須属性を含む最も一般的な属性はすでにマッピングされています。例：
-
マッピングを編集したり、他の属性をマッピングしたりするには、次の手順を実行します。
-
[プロファイル エディタに移動] をクリックします。
-
[プロファイル エディタ] ページの [属性] で、[マッピング] をクリックします。
-
[AppName の Okta ユーザー] タブを選択します。
-
Okta 属性を Omnissa Identity Service 属性（SCIM 属性）にマッピングします。
-
カスタム属性を追加するには、Okta 属性を、customAttribute# という名前の Omnissa Identity Service 属性（SCIM 属性）にマッピングします。
Omnissa Identity Service は、最大 5 つのカスタム属性をサポートします。
-
[マッピングの保存] をクリックします。
-
[今すぐ更新を適用] をクリックします。
-
次のステップ
Omnissa Connect コンソールに戻り、Omnissa Identity Service ウィザードを続行します。
手順 4：認証プロトコルの選択
フェデレーション認証に使用するプロトコルを選択します。Omnissa Identity Service は、OpenID Connect および SAML プロトコルをサポートします。
注意：慎重に選択してください。プロトコルを選択して認証を構成した後は、ディレクトリを削除しない限り、プロトコルの種類を変更することはできません。
Workspace ONE UEM における特定のユーザー名およびパスワードベースのフローに関する要件（パスワード付与のフロー）
パスワード付与のプロトコルに依存する Workspace ONE UEM のユーザー名およびパスワードベースのフローを使用する場合は、Omnissa Identity Service で認証プロトコルとして OpenID Connect を選択する必要があります。
Workspace ONE UEM の [ディレクトリ サービス] ページの [パスワードの付与] 設定を有効にして、レガシーのパスワード付与プロトコルを使用する権限を付与する必要もあります。「Omnissa Identity Service の Workspace ONE UEM 設定の構成」を参照してください。
これらの要件が適用されるフローの一覧については、「特定の Workspace ONE UEM ユーザー名およびパスワードベースのフローのサポート」を参照してください。
手順
-
ウィザードのステップ 4、[認証プロトコルの選択] で、[OpenID Connect] または [SAML] を選択します。
-
Workspace ONE UEM で基本ユーザーを作成する場合は、[UEM 基本ユーザー認証のセットアップ] を展開し、[UEM の基本ユーザー認証] オプションを有効にします。
詳細については、「Workspace ONE UEM 基本ユーザーの認証の構成」を参照してください。
-
[次へ] をクリックします。
ウィザードの次のステップが、選択したプロトコルの構成に必要な値とともに表示されます。
次のステップ
フェデレーション認証用に Omnissa Identity Service と Okta を構成します。
手順 5：認証の構成 (Okta)
Okta を使用してフェデレーション認証を構成するには、Omnissa Identity Service のサービス プロバイダ メタデータを使用して Okta で OpenID Connect または SAML アプリケーションを設定し、アプリケーションの値を使用して Omnissa Identity Service を構成します。
**重要：**Okta 管理コンソールでユーザー プロビジョニングと ID プロバイダ構成用に個別のアプリケーションを作成してください。プロビジョニングと認証に同じアプリケーションを使用することはできません。
OpenID Connect
認証プロトコルとして OpenID Connect を選択した場合は、次の手順を実行します。
また、詳細情報および最新のユーザー インターフェイスについては、Okta のドキュメント「OIDC アプリ統合を作成する」を参照してください。
手順
-
Omnissa Identity Service ウィザードのステップ 5、[OpenID Connect の構成] で、[リダイレクト URI] の値をコピーします。
この値は、次の手順に進み、Okta 管理コンソールで OpenID Connect アプリケーションを作成するときに必要になります。
-
Okta で OpenID Connect アプリケーションを作成します。
-
Okta 管理コンソールの左側のペインで [アプリケーション] > [アプリケーション] を選択し、[アプリケーション統合の作成] をクリックします。
-
[新しいアプリケーション統合の作成] ウィンドウで、[OIDC - OpenID Connect] を選択します。
-
[アプリケーション タイプ] で [Web アプリケーション] を選択し、[次へ] をクリックします。
注：認証にパスワード付与プロトコルを使用する Workspace ONE UEM フローを有効にする場合は、[Web アプリケーション] ではなく、[ネイティブ アプリケーション] を選択してください。（フローの一覧については、「特定の Workspace ONE UEM ユーザー名およびパスワードベースのフローのサポート」を参照してください。）
-
[新しい Web アプリケーション統合] ページで、次の値を指定します。
[アプリケーション統合名]：アプリケーションの名前を入力します。
[認証タイプ]：[認証コード] を選択します。
注：認証にパスワード付与プロトコルを使用する Workspace ONE UEM フローを有効にする場合は、[認証コード] に加えて、[リソース所有者パスワード] を選択してください。[ログイン リダイレクト URI]：Omnissa Identity Service ウィザードのステップ 5 からコピーした [リダイレクト URI] の値をコピーして貼り付けます。
[割り当て - 制御されたアクセス]：アプリケーションを今すぐグループに割り当てるか、後で割り当てを行うかを選択できます。
例：
-
[保存] をクリックします。
-
-
Okta OpenID Connect アプリケーションのクライアント ID とクライアント シークレットを見つけます。
-
[全般] タブを選択します。
-
[クライアント ID] と [クライアント シークレット] の値を見つけます。
これらの値は次の手順で使用します。
-
-
Omnissa Connect コンソールの Omnissa Identity Service ウィザードに戻り、[OpenID Connect の構成] セクションで構成を完了します。
クライアント ID Okta OpenID Connect アプリケーションからのクライアント ID の値をコピーして貼り付けます。 クライアント シークレット Okta OpenID Connect アプリケーションからのクライアント シークレットの値をコピーして貼り付けます。 構成 URL Okta アプリケーションの OpenID Connect の既知の構成 URL をコピーして貼り付けます。例： https://yourOktaOrg/.well-known/openid-configurationOIDC ユーザー ID 属性 ユーザー検索用に Workspace ONE 属性にマッピングする OpenID Connect 属性を指定します。 Workspace ONE ユーザー ID 属性 ユーザー検索用に OpenID Connect 属性にマッピングする Workspace ONE 属性を指定します。 
-
[終了] をクリックして、Omnissa Identity Service と Okta 間の統合の設定を完了します。
SAML
認証プロトコルとして SAML を選択した場合は、次の手順を実行します。
SAML 構成では、「手順 2：ユーザーとグループのプロビジョニングの設定」で作成した Omnissa Identity Service プロビジョニング アプリケーションを使用します。
注：Okta Integration Network の SAML アプリケーション（Omnissa Identity Service アプリケーションを含む）は、アサーションの暗号化や暗号化証明書のアップロードをサポートしていません。暗号化が必要な場合は、Omnissa Identity Service アプリケーションを使用する代わりに、新しいカスタム SAML アプリケーションを作成します。カスタム アプリケーションの作成の詳細については、Okta のドキュメント「SAML アプリ統合を作成する」を参照してください。
手順
-
Okta アプリケーションを構成し、フェデレーション メタデータを取得します。
-
Okta 管理コンソールで [アプリケーション] > [アプリケーション] を選択します。
-
「手順 2：ユーザーとグループのプロビジョニングの設定」で作成したプロビジョニング アプリケーションを検索し、選択します。
-
アプリケーションの [サインオン] タブを選択します。
-
[設定] - [認証情報の詳細] セクションで、[アプリケーション ユーザー名の形式] を [Okta ユーザー名] に設定します。
-
[設定] - [SAML 2.0] - [メタデータの詳細] セクションから、次の手順で使用するために [メタデータ URL] をコピーします。
-
-
Omnissa Connect コンソールで、Omnissa Identity Service ウィザードのステップ 5 の [ID プロバイダ メタデータ] テキスト ボックスに Okta メタデータを貼り付けます。
-
Omnissa Connect コンソールで、必要に応じて [SAML シングル サインオンを構成する] セクションの残りのオプションを構成します。
- [バインディング プロトコル]：SAML バインディング プロトコル（[HTTP POST] または [HTTP リダイレクト]）を選択します。
- [名前 ID の形式]：名前 ID の形式は、常に urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified になります。
- [名前 ID 値]：[userName] を選択します。
詳細オプション
- [SAML 要求のサブジェクトを送信（可能な場合）]：ユーザー ログインのエクスペリエンスを向上させるためにログイン ヒントとしてサブジェクトを ID プロバイダに送信する場合は、このオプションを選択します（使用可能な場合）。
- [SAML シングル ログアウトを使用]：ユーザーが Omnissa サービスからログアウトした後に ID プロバイダ セッションからユーザーをログアウトする場合は、このオプションを選択します。
- [ID プロバイダのシングル ログアウト URL]：ID プロバイダが SAML シングル ログアウトをサポートしていない場合は、このオプションを使用して、Omnissa サービスからログアウトした後にユーザーをリダイレクトする URL を指定できます。このオプションを使用する場合は、[SAML シングル ログアウトを使用] チェック ボックスも選択します。
このオプションを空白のままにすると、ユーザーは、SAML シングル ログアウトを使用して ID プロバイダにリダイレクトされます。 - [暗号化証明書]：Okta で SAML 暗号化を有効にする場合は、この証明書を Okta SAML アプリケーションにアップロードします。
注：Okta は、カスタム SAML アプリケーションの暗号化証明書のみをサポートします。証明書を Omnissa Identity Service アプリケーションにアップロードすることはできません。
-
[終了] をクリックして、Omnissa Identity Service と Okta 間の統合の設定を完了します。
結果
Omnissa Identity Service と Okta の統合が完了しました。
Omnissa Identity Service でディレクトリが作成され、Okta のプロビジョニング アプリケーションからユーザーとグループをプッシュするとポピュレートされます。プロビジョニングされたユーザーとグループは、Omnissa Access や Workspace ONE UEM など、Omnissa Identity Service で使用するために選択した Omnissa サービスに自動的に表示されます。
Omnissa Access、Workspace ONE UEM、または Horizon Cloud の各コンソールでは、ディレクトリを編集することはできません。ディレクトリ、ユーザー、ユーザー グループ、ユーザー属性、および ID プロバイダの各ページは読み取り専用です。
次のステップ
次に、ユーザーとグループをプロビジョニングする Omnissa サービスを選択します。
選択したサービスに Workspace ONE UEM が含まれている場合は、Workspace ONE UEM Console で追加の設定を構成します。
その後、Okta からユーザーとグループをプッシュします。「Omnissa Identity Service へのユーザーのプロビジョニング」を参照してください。
このページは役に立ちましたか?