メインコンテンツへスキップ

Okta 編

SSO を実現するには、ご利用中の ID プロバイダと、EQ ポータルの両方に設定が必要です。

ここでは、ID プロバイダとして、Oktaをご利用の場合の、設定方法について説明します。

※最新の設定および設定方法については、公式サイトをご覧ください

Okta Help Center - ホーム

 

【EQポータル設定】

EQ ポータルに管理者ユーザーでログインします。

azure1.png

歯車アイコンをクリックし、「シングルサインオンを有効にする」にチェックを入れます。

azure2.png


「SAML認証設定」をクリックし、 「エンティティ ID」と「ACS URL」を控えておきます。

azure3.png

【Okta設定】

Oktaにログインします。

ログインすると下記画面が表示されますので「Application」を選択し、「Create App Integration」をクリックします。

okta1.png

 

認証方法を選択する画面が表示されますので「SAML 2.0」を選択し、Nextボタンをクリックして次へ進みます。

okta2.png

 

「General Settings」にてApp nameを要求されますので任意の名前を入力し、「Next」ボタンをクリックして次へ進みます。okta3.png

Configure SAMLで下記4つのパラメータ入力を求められます。

  1. Single Sign on URL

  2. Audience URI(SP Entity ID)

  3. Name ID Format

  4. Application username

Oktaでの呼び名とEQポータルでの呼び名の対応は以下のとおりです。
こちらに従ってEQポータルのシングルサインオン設定情報（控えておいた「エンティティ ID」と「ACS URL」）の値をOktaに設定していきます。

Okta

EQポータル

Audience URI(SP Entity ID)

エンティティID

Single Sign on URL

ACS URL

 

EQポータルには認証通過後のユーザー情報としてメールアドレスを返却するのでName ID Formatは「EmailAddress」、Application usernameは「Email」に設定します。

okta4.png

 

Identity Provider Single Sign-On URL

設定完了後、アプリケーション画面に遷移します。ここで「Sign On」タブを選択しクリックします。

okta5.png

 

画面右端に「View SAML setup instructions」というメニューが表示されていますのでクリックします。

okta6.png

 

作成したアプリケーションの簡易版メタデータが表示されますので、Identity Provider Single Sign-On URLの値をコピーし、EQポータルのシングルサインオンURLにペーストします。

okta7.png

EQポータル画面
azure21.png

 

SAML Signing Certificates

アプリケーションの証明書を取得するには先ずアプリケーション画面に遷移します。
ここでSign Onタブを選択しクリックします。

okta8.png

 

画面下方にスクロールしますとSAML Signing Certificatesという項目がありますので、StatusがActiveになっている今回使用する証明書を選択します。選択した証明書のActionメニューから「Download certificate」を選んでクリックし、証明書をダウンロードします。

okta9.png

 

証明書の拡張子はcert、形式はPEMになっていると思われますので内容を確認します。

EQポータル画面に戻ります。

「署名検証を有効にする」にチェックを入れ、ダウンロードしておいた「証明書（Base64）」を「ファイルアップロード」からアップロードします。

azure21.png

 

完了したら、画面右上にある「更新」ボタンを押して設定を保存します。

azure22.png

※設定を保存後、反映までに最大10分程度掛かる場合があります。


以上でアプリケーションの作成は完了です。

完了後はアプリケーションにユーザーをアサインします。
詳細な設定方法についてはOkta公式サイトのヘルプをご覧ください。

 

※ここからの手順は必須ではございませんので、必要な際にご確認ください。

SAML Attribute Statementで姓名を引き渡す

ユーザー名（実態は姓名）のAttributeをStatements経由でシングルサインオン時にEQポータルに渡したいときは一例として下記のように設定することで送信することが出来ます。

okta10.png

 

画面下方にスクロールするとSAML Settingsという項目がありますので、横にある「Edit」ボタンをクリックしてパラメータを編集可能な状態にします。

okta11.png

 

編集状態にするとEdit SAML IntegrationのGeneral Settingsに移動しますが、そのまま画面右下の「Next」ボタンをクリックして次に進みます。

okta12.png


Configuration SAMLに移動します。


okta13.png

画面下方にスクロールしていきAttribute Statements（optional）の欄内にあるAdd Anotherボタンをクリックしてパラメータを追加します。パラメータには姓名の指定が必要で、Valueを「user.firstName」、「user.lastName」とし、その対となるNameに「surname」、「givenname」を指定、さらにName Formatは「Basic」を選択します。

okta14.png

 

パラメータの追加が終わりましたら画面最下部までスクロールし画面右端にあるNextボタンをクリックして次へ進みます。

okta15.png

Feedbackの画面が表示されますが、対応は不要ですので、画面右下端にあるFinishボタンをクリックしてEdit SAML Integrationを終了します。

okta16.png

 

IdP側でAuhthnRequestの署名を検証する

AuthnRequestの署名を検証したい場合、EQポータルとOkta側の双方でAuthnRequestへの署名を有効にしたうえでEQポータルの証明書をダウンロードし、Oktaに適用する必要があります。

下記にOkta側の設定方法の一例を挙げます。

先ず該当アプリケーションの「General」タブを選択しクリックします。

okta17.png


画面下方にスクロールするとSAML Settingsという項目があるので、横にある「Edit」ボタンをクリックしてパラメータを編集可能な状態にします。

okta18.png


編集状態にするとEdit SAML IntegrationのGeneral Settingsに移動しますが、そのまま画面右下の「Next」ボタンをクリックして次に進みます。

okta19.png

 
Configuration SAMLに移動するのでSAML Setting欄内の右下にある「Show Advanced Settings」をクリックし詳細設定を表示できる状態にします。

okta20.png


詳細設定を開くと幾つかのパラメータが表示されます。
先ずSignature Certificateの項目の「Browse files…」ボタンをクリックしてファイル選択ダイアログを開き、EQポータルからダウンロードしたAuthnRequest署名用の証明書ファイルをアップロードします。
加えて「Signed Requests Validate SAML requests with signature certificates.」のチェックボックスにチェックを入れます。これでEQポータルからのシングルサインオンリクエスト時の署名をIdP側で検証を行えるようになります。

okta21.png

 

この記事は役に立ちましたか？
0人中0人がこの記事が役に立ったと言っています
ページの先頭へ戻る