メインコンテンツへスキップ
このセクションでは、Resource App のエンドツーエンドテスト環境を設定する方法を説明します。Auth0 テナントを Resource App の認可サーバーとして構成すると、SaaS アプリケーションはコードを変更することなく、受信した ID-JAG リクエストを受け付けられるようになります。これにより、SaaS API はそれらのリクエストに応じてアクセストークンを生成できるようになり、AI エージェントやその他のアプリケーションが API をシームレスに利用できるようになります。
このガイドでは、Okta をエンタープライズ IDプロバイダー (IdP) として使用し、テストに使用できる Okta テナントへの管理者アクセス権があることを前提としています。お持ちでない場合は、Okta テナントの作成と設定を参照してください。
Resource App のエンドツーエンドテスト環境を設定するには、次を実行します。
  • Resource App を構成して登録する: これには、Auth0 テナントの構成と、SaaS アプリケーションを Okta に Resource App として登録する作業が含まれます。詳細は、Resource App の設定を参照してください。
  • Requesting App を構成してエンドツーエンドテストを実行する: これには、Auth0 テナントにテスト用の Requesting App を登録し、Okta 側で更新を行って Resource App に関連付ける作業が含まれます。詳細は、Requesting App の設定を参照してください。
  • Auth0 テナントと顧客のエンタープライズ IdP のフェデレーション方法を構成する: このテスト環境では、エンタープライズ IdP は Okta のテスト用テナントであり、エンタープライズ顧客の 1 つを表します。詳細は、エンタープライズ IdP とのフェデレーションと組織の設定を参照してください。
  • Okta で Cross App Access を管理する: Okta Admin Console で、agent-to-app 接続と app-to-app 接続を構成します。詳細は、Okta で Cross App Access を管理するを参照してください。
次の図は、本番運用対応の XAA フローにおける各役割の責務を示しています。

​
Oktaテナントを作成して設定する

Resource App のエンドツーエンドのテスト環境をセットアップするには、Cross App Access 用に Okta テナントを作成して設定する必要があります。
  • Okta Developer website で、Okta Integrator Free Plan に登録します。登録が完了すると、新しい Okta テナントにリダイレクトされます。
  • Okta Admin Console で、Settings > Features に移動します。Early access features で、Cross App Access を有効にします。

​
Resource App の設定

Resource App を設定するには、次の手順を実行します。

​
Auth0 で API を作成する

Auth0 テナントですでにカスタム API を作成している場合は、このセクションをスキップできます。
Auth0 Dashboard で、SaaS API を表すカスタム API を 登録 します。
API を作成したら、必要に応じて Tenant Settings で、そのオーディエンスを Auth0 テナントの Default Audience に設定できます。 また、API Access Policies for Applications を使用して、どのアプリケーションに API へのアクセスを付与するか、またどのスコープを許可するかをきめ細かく制御することもできます。

​
Auth0 で Resource App を作成する

SaaS アプリケーションへのログインに使用するアプリケーションが Auth0 テナントにすでに 1 つ以上ある場合は、このセクションをスキップできます。
Auth0 Dashboard で、エンドユーザーが SaaS アプリケーションの機能にアクセスする際の主要なインターフェースとなるアプリケーション (通常の Web アプリ、SPA、ネイティブアプリなど) を作成します。

​
Okta で Resource App を登録する

有効な Resource App として認められるには、SaaS アプリケーションを Okta Integration Network (OIN) に登録する必要があります。 SaaS アプリケーションを Okta で Resource App として登録する方法は、次の 2 つです。
  • 手早くテスト環境をセットアップするには、OIN にすでに登録されている Todo0 アプリケーションを使用することをお勧めします。Okta Admin Console で Applications > Applications > Browse App Catalog に移動し、Todo0 を検索します。これを選択して、統合を追加します。
  • Okta テナントから、OIN への新しいアプリケーション登録を申請することもできます。詳細については、SSO および SCIM 統合の申請プロセスを参照してください。登録プロセスを迅速化するには、Auth0 または Okta の担当者にお問い合わせください。
本番環境では、エンタープライズ顧客は IdP の設定時に OIN カタログから SaaS アプリケーションをインストールします。
さらに、Resource App に関連付けられている Auth0 テナントの issuer URL を Okta に提供する必要があります。Requesting App は、この issuer URL を使用して Resource App への接続を要求します。詳細については、エンドツーエンドの XAA フローをテストするを参照してください。

​
Requesting App の設定

本番環境では、各 Requesting App は一度設定すれば、Resource App との接続を有効にできます。
Requesting App を設定するには、次の手順が必要です。

​
Auth0 で Requesting App を作成する

エンドツーエンドの環境をテストするには、Requesting App として機能するアプリケーションを作成して登録します。このアプリケーションは、Web アプリケーションのようにクライアントシークレットを保存できる機密クライアントである必要があります。 Auth0 テナントで Requesting App を表すアプリケーションを作成するには、次の手順に従います。
  • Applications > Applications に移動し、Create Application を選択します。
  • 名前を入力し、Regular Web Application を選択します。
  • アプリケーションを作成したら、Settings までスクロールし、Cross App Access トグルを有効にします。
アプリケーションの作成と設定が完了したら、そのアプリケーションの client_id と Auth0 テナントの issuer URL を Okta に提供する必要があります。これにより、client_id で識別される Requesting App と、issuer URL で識別される Resource App の間の接続を確立できます。詳しくは、エンドツーエンドの XAA フローをテストするを参照してください。

​
Okta で Requesting App を登録する

本番環境では、Requesting App の開発者が Okta Integration Network (OIN) に Requesting App を登録します。エンタープライズ顧客は、IdP のセットアップ時に OIN カタログから Requesting App をインストールします。
Okta をエンタープライズ IDプロバイダー (IdP) として使用する場合、有効な XAA Requesting App と見なされるには、アプリケーションを Okta Integration Network (OIN) に登録する必要があります。 Okta で Requesting App を登録するには、2 つの方法があります。
  • すばやくテスト環境をセットアップするには、すでに OIN に登録されている Agent0 アプリケーションの使用をおすすめします。Okta Admin Console で Applications > Applications > Browse App Catalog に移動し、Agent0 を検索します。選択して統合を追加します。
  • OIN への新しいアプリケーションの登録を申請することもできます。詳しくは、Submission process for SSO and SCIM integrations を参照してください。登録プロセスを早めるには、Auth0 または Okta の担当者に連絡してください。
Requesting App は Okta でエンタープライズ従業員を認証するため、Okta でアプリケーションの サインオンポリシー を設定する必要があります。
  1. Applications > Applications に移動し、アプリケーション (例: Agent0) を選択します。
  2. Sign On で Edit を選択し、Redirect URI フィールドに Requesting App のコールバック URL を追加します。使用するテスト用アプリケーションに応じて、Redirect URI の値を調整してください。詳しくは、Test the end-to-end XAA flow を参照してください。
  3. Save を選択します。
最後に、Okta でテストユーザーが Requesting App にログインできるようにします。 Okta Admin Console で、次の操作を行います。
  1. Applications に移動し、アプリケーション (例: Agent0) を選択します。
  2. Assign > Assign to People を選択し、テストユーザーを選択します。
  3. Save を選択します。

​
エンタープライズ IDプロバイダー (IdP) および組織設定とフェデレーションする

本番環境では、各エンタープライズ顧客ごとに一度設定するだけで、Auth0 テナントとのフェデレーションを確立できます。Auth0 は今後のバージョンで セルフサービス SSO をサポートし、SSO セットアップの一環として XAA 構成をエンタープライズ顧客に委任できるようにする予定です。
Resource App の認可サーバーとして機能する Auth0 テナントを、エンタープライズ顧客の Okta テナントとフェデレーションする必要があります。このフェデレーションにより暗号学的な信頼関係が確立され、アプリケーションは顧客の IdP が発行した署名付きアサーション (ID-JAG) を検証して受け入れられるようになります。 Resource App に接続された複数のエンタープライズ顧客に対する XAA のエンドツーエンドフローをテストするには、このセクションの手順を Auth0 テナント内の複数の Okta Workforce Enterprise 接続に対して繰り返すことができます。各接続はそれぞれ異なる Okta テストテナントに対応しており、各テナントは別々のエンタープライズ顧客を表します。

​
Okta Workforce Enterprise 接続を設定する

Resource App の client_id と client_secret を使用して、Auth0 テナントに Okta Workforce Enterprise 接続を作成 します。 Okta Workforce Enterprise 接続を作成する際は、Cross App Access - Resource Application ロールを有効にします。これにより、Resource App は、その接続に関連付けられたエンタープライズ IDプロバイダー (IdP) (この場合は Okta テナント) が発行した ID-JAG を受け入れられるようになります。
Okta Workforce Enterprise 接続を作成したら、接続の設定で Auth0 から提供されるコールバック URL をコピーします。Okta テナント内の Resource App のサインオン ポリシーを設定するには、このコールバック URL が必要です。 Okta Admin Console で、次の操作を行います。
  1. Applications > Applications に移動し、アプリケーション (例: Todo0) を選択します。
  2. Sign On 設定で Edit を選択し、Redirect URI フィールドにコールバック URL を追加します。
  3. Save を選択します。
Okta Workforce Enterprise 接続をテストするには、テストユーザーを作成し、そのユーザーに Requesting App へのログイン権限を付与します。 Okta Admin Console で、次の操作を行います。
  • Applications に移動し、アプリケーション (例: Agent0) を選択します。
  • Assign > Assign to People を選択し、テストユーザーを選択します。
  • Save を選択します。
Auth0 Dashboard で、次の操作を行います。
  • Authentication > Enterprise > Okta Workforce に移動します。
    • 作成した Okta Workforce Enterprise 接続を選択し、Applications タブを開きます。次に、作成した Requesting App をその接続で有効にします。
    • Okta Workforce 接続の一覧に戻ります。接続の右側にある 3 点メニューを選択し、Try を選択します。Okta テナントで認証する画面にリダイレクトされるので、テストユーザーでログインを完了します。

​
組織を設定する

必要に応じて、エンタープライズ顧客に組織を利用させる場合は、組織を作成し、その組織で Okta Workforce Enterprise 接続を有効にします。これにより、対象ユーザーがその組織のメンバーである場合、この接続のスコープ内で XAA を使用して生成されたアクセストークンは、対応する org_id に自動的に関連付けられます。
また、Requesting App の 組織の動作 を設定して、組織の使用を必須にするか許可するかを指定することもできます。まずは Both でテストを開始することをお勧めします。これにより、ユーザーは組織メンバーとしてログインすることも、個人アカウントでサインアップすることもできます。