Auth0アプリケーションをOkta Workforce Enterprise Connectionに接続する

エンタープライズ接続を使用して、OpenID Connect（OIDC）のID プロバイダーとしてOktaに接続する方法を学びます。

Okta Workforce Enterprise 接続は、公式にサポートされている簡素化された統合であり、Auth0でOktaをID プロバイダー (IdP) として実装するための推奨方法です。

この統合により、お客様はOktaを使用して従業員のアプリケーションへのアクセスを管理できます。

また、顧客アイデンティティ管理にAuth0を使用し、社内のワークフォースアイデンティティ管理にOktaを使用している場合、この統合はそれぞれのアイデンティティ領域を管理する効果的な方法です。

Okta Workforce Enterprise 接続がお客様のユースケースに対応していない場合は、OktaをSAML IdPとして設定するか、カスタム認可サーバーを設定することで要件に対応できます。

​

Okta OIDC アプリ統合を作成する

Okta OIDC アプリ統合の作成方法については、Okta Help Center の「Create OIDC app integrations」を参照してください。

Okta OIDC アプリ統合を設定する際は、以下の設定を使用します。

1. Sign-in method で OIDC を選択します。
2. Application type で Web application を選択し、以下のパラメーターを設定します。

Field	Description
Name	アプリケーション名
Sign-in Redirect URIs	https://{YOUR_AUTH0_TENANT}.{YOUR_TENANT_REGION}.auth0.com/login/callback
Trusted Origins	https://{yourDomain}

リダイレクト用の Auth0 ドメイン名を確認する

上記に Auth0 ドメイン名が表示されておらず、カスタムドメイン機能を使用していない場合、ドメイン名はテナント名、リージョンのサブドメイン、auth0.com をドット (.) で連結したものになります。

たとえば、テナント名が exampleco-enterprises で、テナントが US リージョンにある場合、Auth0 ドメイン名は exampleco-enterprises.us.auth0.com となり、Redirect URI は https://exampleco-enterprises.us.auth0.com/login/callback になります。

ただし、テナントが US リージョンにあり、2020 年 6 月より前に作成されている場合、Auth0 ドメイン名は exampleco-enterprises.auth0.com となり、Redirect URI は https://exampleco-enterprises.auth0.com/login/callback になります。

カスタムドメインを使用している場合、Redirect URI は https://<YOUR CUSTOM DOMAIN>/login/callback になります。

3. Okta によってアプリ統合用に生成された Client ID と Client Secret を記録します。

​

Oktaアプリ統合にテストユーザーを追加する

アプリ統合をテストするため、Okta Directoryでテストユーザーを作成します。

1. Okta Admin Dashboardで、Directory > People に移動します。
2. Add Person を選択します。
3. パスワードを含むテストユーザーの情報を入力します。
4. テストユーザーを保存します。
5. Directory で新しいユーザーを選択します。
6. そのユーザーの Applications タブに移動し、Assign Applications を選択します。
7. 前の手順で作成したアプリケーション名を選択します。

​

Auth0 で Okta Workforce Enterprise 接続を作成する

Okta OIDC アプリ統合の Client ID と Client Secret を事前に用意しておいてください。

1. Auth0 Dashboard > Authentication > Enterprise に移動し、Okta Workforce を見つけて + ボタンを選択します。

   

2. 接続の詳細を入力し、Create: を選択します。

項目	説明
Connection name	接続の論理識別子です。テナント内で一意である必要があります。設定後、この名前は変更できません。
Okta Domain	組織の Okta ドメイン名です。
Client ID	登録済みの Okta アプリケーションの一意の識別子です。Okta 管理コンソールで先ほど登録したアプリの Client ID の保存済みの値を入力します。
Client Secret	登録済みの Okta アプリケーションへのアクセスに使用する文字列です。Okta 管理コンソールで先ほど登録したアプリの Client Secret の保存済みの値を入力します。

3. Provisioning ビューで、Auth0 でのユーザープロファイルの作成方法と更新方法を設定します。

項目	説明
Sync user profile attributes at each login	有効にすると、Auth0 はユーザーがログインするたびにユーザープロファイルデータを自動的に同期し、接続元で加えられた変更が Auth0 に自動的に反映されるようにします。
Sync user profiles using SCIM	有効にすると、Auth0 は SCIM を使用してユーザープロファイルデータを同期できるようになります。詳しくは、Configure Inbound SCIM を参照してください。

4. Login Experience ビューに切り替え、この接続を使用したユーザーのログイン方法を設定します。

項目	説明
Home Realm Discovery	ユーザーのメールドメインを、指定した ID プロバイダーのドメインと照合します。詳しくは、Configure Identifier First Authentication を参照してください。
Display connection button	このオプションを使うと、アプリケーションの接続ボタンをカスタマイズするための以下の設定項目が表示されます。
Button display name (Optional)	Universal Login のログインボタンをカスタマイズするためのテキストです。設定すると、ボタンには「{Button display name} で続行」と表示されます。
Button logo URL (Optional)	Universal Login のログインボタンをカスタマイズするための画像 URL です。設定すると、Universal Login のログインボタンに画像が 20px x 20px の正方形で表示されます。

オプション項目は Universal Login でのみ利用できます。Classic Login を使用している場合、Add ボタン、Button display name、Button logo URL は表示されません。

​

Auth0アプリケーションの接続を有効にする

新しいOkta Workforce Enterprise接続を使用するには、Auth0アプリケーションで接続を有効にする必要があります。

​

接続をテストする

これで、接続をテストする準備が整いました。

​

Global Token Revocation を設定する

この接続タイプは Global Token Revocation エンドポイントをサポートしており、準拠した ID プロバイダーが Auth0 のユーザーセッションを無効化し、Refresh Token を無効化するとともに、安全なバックチャネルを使用するアプリケーションに対してバックチャネルログアウトをトリガーできます。

この機能は Okta の Universal Logout と併用できます。

詳細および設定手順については、Universal Logout を参照してください。

​

詳細はこちら

• 拒否された権限への対処
• ID プロバイダーにパラメーターを渡す
• 認証と認可のフロー