[Okta] プロビジョニング連動ガイド

Prerequisites

• Okta IAMサービスの**Lifecycle Management（LCM）**ライセンス購読が必要です。
• Okta管理者コンソール（Okta Admin Console）にアクセスしてAppを作成し、ユーザー/グループをアプリに割り当てることができる権限が要求されます。
  • 最小必要権限
    • User
      • Edit users’ application assignments
    • Group
      • Edit groups’ application assignments
    • Application
      • Manage applications
• https://help.okta.com/en-us/content/topics/security/ip-address-allow-listing.htm ページ内のOkta IP range allowlist を参照して該当するテナントのIP帯域を確認し、事前にインバウンドトラフィック例外処理許可をする必要があります。
• ライセンスと共にQueryPie製品がインストールされている必要があります。
• QueryPie Owner/Application Admin Role権限のアカウントがある必要があります。
• Provisioning有効化ステップを先に実行する必要があります。

Integration Steps

上位事前作業がすべて完了すると、以下の順序に従ってSCIM連動を実行します。

OktaカスタムSCIMアプリ生成

1. Oktaサービス に接続して管理者アカウントでログインします。
2. 右上のAdminボタンをクリックして管理者コンソールに接続します。
3. Okta管理者ページの左側パネルでApplications > Applicationsメニューに移動します。
4. Create App Integrationボタンをクリックします。
5. カスタムSCIM連動を目的としてSign-in methodでSAML 2.0オプションを選択した後、Nextボタンをクリックします。
6. General SettingsステップでGeneral Settings内の値を適切に定義した後、下部のNextボタンをクリックします。
   1. App name：識別可能なアプリケーション名を記入します。
   2. App logo：ユーザーが識別可能なロゴをアップロードします。
7. Configure SAMLステップでSAML Settings内の値を適切に定義した後、下部のNextボタンをクリックします。
   1. Single sign-on URL：https://{{querypie.domain}}/saml/sp/acs
   2. Audience URI (SP Entity ID)：https://{{querypie.domain}}/saml/sp/metadata
   3. Attribute Statements (optional)：QueryPie url必須attributeを以下のように記入します。
      1. Name：firstName
         Name format: Unspecified
         Value: user.firstName
      2. Name：lastName
         Name format: Unspecified
         Value: user.lastName
      3. Name：email
         Name format: Unspecified
         Value: user.email
      4. Name：loginId
         Name format: Unspecified
         Value: user.login
8. FeedbackステップでI'm an Okta customer adding an internal appを選択した後、下部のFinishボタンをクリックします。
9. Applicationが生成されると、上部のGeneralタブに移動してApp Settingsメニューの右側Editボタンをクリックします。
10. ProvisioningフィールドをSCIMで選択した後、Saveボタンをクリックします。
11. Okta連動 | OktaでQueryPieアプリケーション連動情報設定およびOkta連動 | QueryPieでOkta連動および同期設定に従ってSSO連動を完了した後、以降のステップを進行してください。

Okta-QueryPie Provisioning連動

1. Oktaで生成したSCIM AppのProvisioningタブに移動します。
2. SCIM Connectionの右側Editボタンを押して以下の値を入力して修正します。
   1. SCIM connector base URL：QueryPieで照会したSCIM Endpoint値を挿入します。
   2. Unique identifier field for users：「userName」
   3. Supported provisioning action：以下の5項目をすべて選択します。
      • Import New Users and Profile Updates
      • Push New Users
      • Push Profile Updates
      • Push Groups
      • Import Groups
   4. Authentication Mode：「HTTP Header」
   5. HTTP Header > Authorization：QueryPieで生成したSCIM専用access token値を挿入します。
3. Test Connector Configurationボタンを押して接続テストを進行します。
4. 「Connector configured successfully」文句と共にポップアップが現れると、Closeボタンをクリックします。

5. 下部のSaveボタンを押して接続設定を保存します。

SCIM API有効化およびチェック

1. Oktaで生成したSCIM AppのProvisioningタブのTo App画面に移動します。
2. Provisioning to App右側のEditボタンをクリックします。
3. 以下の設定のチェックボックスを有効化した後、Saveボタンをクリックして保存します。
   1. Create Users：ユーザーがアプリに割り当てられる時、アプリに追加します。
   2. Update User Attributes：ユーザーのプロファイル更新が発生すると、アプリに反映します。
   3. Deactivate Users：ユーザーが無効化される時、アプリで一緒に無効化します。
4. QueryPie SCIM App Attribute Mappings下部のGo to Profile Editorボタンをクリックします。
5. Attributes下部のMappingsボタンをクリックします。
6. ポップアップウィンドウ上部の2つのタブ中「Okta User to {ユーザーが定義したApp名}」で記載されたタブに移動します。
7. ユーザー任意の設定に合わせて項目をマッピングした後、下部のSave Mappingsボタンをクリックします。
8. 下部のApply updates nowボタンをクリックします。

一部Attributeを追加的に同期する方法

QueryPieプロファイル内のstaticIp、macAddressなど一部attribute項目がSCIM Integration当時に別途importされません。 該当Attributeは以下の通りです：

1. secondEmail
2. mobilePhone
3. postalAddress（SCIMスキーマに合わせて「formatted」で追加されて該当項目をマッピングすればよいです。）
4. staticIp（QueryPie専用カスタム属性）
5. macAddress（QueryPie専用カスタム属性）

該当Attribute情報を一緒に同期が必要な場合、OktaなどのIdPでCustom Attributeを追加してマッピングして同期させることができます。

[OktaでCustom Attributeを設定する例]

1. SCIMアプリのProvisioningタブ > To App下部のGo to Profile Editorをクリックします。

2. Add Attributeボタンをクリックします。

3. 同期に必要なAttributeを新たに登録します。

1. Data type：QueryPieと同様にstringを選択します。
2. Display name：Okta内表記する属性名を記入します。
3. Variable name & External name：同期するcustom attribute変数名を記入します。
   • QueryPieユーザープロファイルでも括弧で変数名確認が可能です。

     

4. External namespace：以下の値を記入します。
   urn:ietf:params:scim:schemas:extension:querypie:2.0:User
5. 以降SaveまたはSave and Add Anotherボタンをクリックして保存します。
6. 次にMappingsボタンをクリックします。

1. プロンプト上部のタブを2番目のタブ（Okta → {APP}）で選択します。

2. 下部に新たに生成したCustom AttributeとIdP内適切なAttributeをマッピングしてSave Mappingsボタンをクリックして設定を保存します。

5. 以降ユーザーをアプリに割り当てます。

ユーザーProvisioningチェック

1. SCIMアプリに戻ってAssignmentsタブでAssignボタンのオプションを通じてユーザーを割り当てます。

1. Assign to People：ユーザー個別単位で割り当て
2. Assign to Groups：ユーザーグループ単位で割り当て
3. QueryPieアプリに戻ってAdministrator > General > User Management > Usersに移動してユーザーが正常プッシュされたかを確認します。

グループProvisioningチェック

1. SCIMアプリに戻ってPush GroupsタブでPush Groupsボタンのオプションを通じてユーザーを割り当てます。
   1. Find groups by name：プッシュするグループ名で検索して割り当て
   2. Find groups by rule：検索ルールを定義して条件に合致するグループ割り当て
2. QueryPieアプリに戻ってAdministrator > General > User Management > Groupsに移動してグループが正常プッシュされたかを確認します。