Skip to main content
Resource App 向け Cross App Access (XAA) は早期アクセス段階です。Enterprise、B2B Pro、B2B Essential のお客様は、Enterprise Connections の機能として利用できます。Free テナントでも、試用期間中は利用できます。この機能を使用すると、Okta のマスターサブスクリプション契約に定める該当の Free Trial 条項に同意したものとみなされます。
このガイドでは、エンタープライズアイデンティティプロバイダー (IdP) として Okta を使用し、テストに使用できる Okta テナントへの管理者アクセス権があることを前提としています。お持ちでない場合は、「Okta テナントを作成して設定する」を参照してください。
Cross App Access (XAA) 用の SAML エンタープライズアイデンティティプロバイダーとして Okta を設定します。Okta テナントをセットアップし、Okta に Resource App と Requesting App を登録した後、Auth0 テナントと Okta をフェデレーションする SAML エンタープライズ接続を設定します。

​
Okta テナントを作成して設定する

Cross App Access 用の Okta テナントを作成して設定するには、次の手順を実行します。
  • Okta Developer のウェブサイトで、Okta Integrator Free Planにサインアップします。サインアップ後、新しい Okta テナントにリダイレクトされます。
  • Okta テナントで Cross App Access が有効になっていない場合は、developers@okta.com にメールで連絡し、Okta テナントでの XAA の有効化を依頼してください。
Cross App Access を有効にしたら、Okta Admin Console の Okta Admin > 設定 > Features で、以下の機能がオンになっていることを確認してください。

​
Okta で Requesting App を登録する

Requesting App を SAML で構成する必要はなく、OIDC を使用することもできます。以下では、Requesting App を SAML アプリケーションとして構成する方法を説明します。

​
Okta で Requesting App を作成する

Requesting App は標準的な SAML アプリケーションです。Okta Admin Console で、アプリケーション > アプリケーション > Create App Integration に移動し、アプリケーションの種類として SAML 2.0 を選択します。
アプリケーション名と、Web アプリケーションに戻るための Single Sign-On URL を入力します。
Requesting App を作成すると、Okta により SAML 2.0 メタデータが割り当てられます。

​
Requesting App をテストユーザーに割り当てる

テストユーザーが Okta で Requesting App にログインできるようにします。 Okta Admin Console で、次の操作を行います。
  1. アプリケーション に移動し、作成した Requesting App を選択します。
  2. Assign > Assign to People を選択し、テストユーザーを選択します。
  3. Save を選択します。

​
Okta で Resource App を登録する

​
Okta で Resource App を作成する

Requesting App と同様に、Resource App は SAML 2.0 アプリケーションです。
  1. アプリケーション > アプリケーション > Create App Integration に移動し、アプリケーションの種類として SAML 2.0 を選択します。
  2. 後で Okta と Auth0 間の SAML 接続を設定する際に使用する接続名を入力します。次に、Configure SAML で以下を設定します。
    • Single Sign On URL フィールドに Auth0 テナントのコールバック URL を設定します。コールバック URL は https://{yourAuth0Domain}/login/callback?connection={yourConnectionName} です。
    • Audience URI (SP Entity ID) には、接続名を使用して urn:auth0:TENANT:CONNECTION 形式で設定します。
    SAML 設定値の詳細については、SAML Identity Provider Configuration Settings を参照してください。
  3. Next を選択し、続けて Finish を選択します。

​
テストユーザーにResource Appを割り当てる

テストユーザーがOktaでResource Appにログインできるようにします。 Okta Admin Consoleで、以下の操作を行います。
  1. アプリケーションに移動し、作成したResource Appを選択します。
  2. Assign > Assign to Peopleを選択し、テストユーザーを選択します。
  3. Saveを選択します。

​
Resource App で Cross-app Access (XAA) を有効にする

Resource Server タブに移動し、Resource App の Cross-app access (XAA) を有効にします。Resource App の認可サーバーの Issuer URL を入力します：https://YOUR_AUTH0_DOMAIN/。
Auth0 では、末尾がスラッシュ / で終わる発行者 URL を持つトークンが発行・受け入れされます。

​
Okta に AI エージェントを登録する

​
AI エージェント を作成する

Directory > AI エージェント > Register AI Agent に移動し、Register manually を選択します。AI エージェント の名前を入力し、所有者を割り当てます。
この時点で、AI エージェント は STAGED 状態になります。AI エージェント を有効化する前に、以下の手順を完了してください。

​
エージェントの資格情報を追加する

AIエージェントは、Private Key JWT を使用して、アプリケーションに代わって認証を行います。Credentialsタブで、Add public keyを選択します。 自身のキー ペアの公開鍵を指定するか、Generate new keyを選択して秘密キーとキー ID (kid) をダウンロードできます。 資格情報を設定すると、タブの横にチェックマークが表示されます。

​
エージェントの委譲を追加

Delegations タブの User sign-on セクションで、Add Caller を選択します。 リクエスト元のアプリを選択し、Add caller を選択します。
エージェントの委譲を設定すると、タブの横にチェックマークが表示されます。

​
Agent Resource 接続を追加する

Resource connections タブで、Add resource connections を選択し、Resource type に アプリケーション を選択します。 アプリケーション セクションで、作成した Resource App を選択し、このアプリに登録されている AI agent のクライアント ID に、Auth0 テナント内の Agent0 アプリケーションの client_id を設定します。
リソース接続を設定すると、タブの横にチェックボックスが表示されます。

​
Agent を有効化する

Agent’s Actions ドロップダウンで Activate を選択し、MANAGED STATUS が Active になっていることを確認します。

​
Auth0 で SAML エンタープライズ接続を設定する

Auth0 Dashboard で SAML エンタープライズ接続を作成するには、Authentication > Enterprise > SAML に移動し、Create Connection を選択します。 Resource App の Sign On タブから、Sign In URL と X509 Signing Certificate をコピーします。
SAML エンタープライズ接続を作成する際は、Cross App Access - Resource Application ロールを有効化します。これにより、Resource App は、その接続に関連付けられたエンタープライズ IdP (この場合は Okta テナント) が発行した ID-JAG を受け入れられるようになります。 接続が SAML の場合は、Okta テナントを指す OpenID Connect の Issuer or discovery URL も入力する必要があります。発行者 URL には https://{yourOktaDomain} を使用します。
SAML エンタープライズ接続を作成した後、接続設定の Auth0 が提供する Single Sign-On URL が、Okta テナント内の Resource App のサインオンポリシーで設定した Redirect URI と一致していることを確認します。
サードパーティアプリケーションがこの接続に Cross App Access 経由でのみアクセスし、エンタープライズ IdP である Okta でアクセスが承認されるようにする場合は、ドメインレベルに昇格させないでください。昇格させると、この接続は Cross App Access 経由だけでなく、テナント内のすべてのサードパーティアプリケーションで標準のログインフロー (/authorize) にも利用できるようになります。

​
Auth0 で接続をテストする

Auth0 Dashboard で以下の操作を行います。
  • Authentication > Enterprise > SAML に移動します。
  • 作成した Enterprise SAML 接続を開き、アプリケーション タブを選択します。次に、その接続に対して作成した Requesting App を有効にします。
  • Enterprise SAML 接続の一覧に戻ります。対象の接続の右側にある三点メニューを選択し、試す を選択します。テストユーザーでのログインを完了するため、Okta テナントでの認証画面にリダイレクトされます。
  • XAA Resource App に割り当てたユーザーでログインします。
  • ユーザーが正常にログインできたことを確認します。
ユーザーがフェデレーション接続を使用して正常にログインすると、Auth0 にそのユーザーのユーザープロファイルが作成されます。
Auth0 にユーザープロファイルを作成するには、ユーザーが XAA 対応のエンタープライズ接続で少なくとも一度ログインする必要があります。 現時点では、Auth0 は ID-JAG による JIT ユーザー作成をサポートしていません。

​
OIN で Resource App を公開する

設定とエンドツーエンドのフローのテストが完了したら、B2B および SaaS プロバイダーは、Resource App を Okta Integration Network (OIN) に公開することで、エンタープライズ顧客へのリーチを拡大できます。詳しくは、How to Build and List Secure Cross App Access Connections on OIN の手順に従ってください。