Skip to main content
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

StorageGRID でOIDC用のOktaアプリケーションを作成する

共同作成者 netapp-pcarriga
PDF

StorageGRID システムのすべての管理ノードに対して、OpenID Connect （OIDC） 用の Okta アプリケーションを作成します。

開始する前に

  • Oktaアプリケーションの作成経験がある、またはOktaのドキュメントにアクセスできる環境にあること。

  • Okta の管理者アクセス権を持っている必要があります。

タスクの内容

Oktaアプリケーションには、すべての管理ノードのサインインおよびサインアウトのリダイレクトURIが含まれている必要があります。リダイレクトURIを使用することで、ユーザーはどの管理ノードにも安全にサインインおよびサインアウトできます。すべての管理ノードに対して単一のOktaアプリケーションを作成することも（推奨）、管理ノードごとに異なるアプリケーションを作成することもできます。

特に指定がない限り、デフォルト設定を使用してください。場合によっては、組織が要求する設定を使用できます。

ステップ1：Oktaアプリケーションを作成する

Okta UIを使用してOktaアプリケーションを作成します。

手順

  1. Oktaで、アプリケーション > *アプリケーション*に移動します。

  2. 「アプリ連携の作成」を選択し、以下の情報を入力してください：

    • サインイン方法：OIDC - OpenID Connect

    • アプリケーションの種類：Webアプリケーション

  3. 「 * 次へ * 」を選択します。

  4. 「アプリ統合」フィールドにアプリケーションの名前を入力してください。

  5. コアグラントに対して、Authorization Code が選択されている（デフォルト）ことを確認してください。

  6. 各管理ノードのサインインおよびサインアウトのリダイレクトURIを追加します。

    • サインインリダイレクトURI： https://<Admin_IP_address_or_FQDN>/api/v4/oidc-callback

    • サインアウトリダイレクトURI： https://<Admin_IP_address_or_FQDN>/api/v4/oidc-logged-out

      メモ 管理インターフェイスに1つ以上のロードバランサーエンドポイントが設定されている場合は、各ポートのリダイレクトURIを追加します。例： https://<Admin_IP_address_or_FQDN>:<port>/api/v4/oidc-callback`および `\https://<Admin_IP_address_or_FQDN>:<port>/api/v4/oidc-logged-out

  7. *保存*を選択します。クライアント ID とクライアントシークレットの値を後で使用するために保存します。

ステップ2：フェデレートグループを追加する

Active Directory Federation Service (AD FS) サーバーのグループを作成するか、既存のグループを StorageGRID に使用します。

手順

  1. GRID Managerで、「構成」>「管理者グループ」>「グループの作成」>「グループの連携」を選択します。

  2. AD FSサーバーグループ名を入力してください。

  3. アクセスモードには「読み書き」を、権限には「ルートアクセス」を選択します。

  4. 「 * グループを作成 * 」を選択します。

ステップ3：AD FSサーバーグループとユーザーをインポートする

AD FSサーバーにOkta Active Directoryクライアントをインストールします。次に、AD FSサーバーのグループとユーザーをインポートします。

手順

  1. Okta で、「Directory」>「Directory Integrations」>「Add Directory」>「Add Active Directory」に移動します。

  2. 「Active Directory の設定」>「エージェントのダウンロード」を選択してください。

  3. セットアップ手順をすぐに実行してください。

    メモ 遅延すると、セットアップが停止し、最初からやり直す必要が生じる可能性があります。

    1. Active Directoryドメインを選択します。

    2. 既存のユーザーをリンクするのではなく、OktaService アカウントを作成します。

    3. ユーザーを含む組織単位と、グループを含む組織単位を選択してください。

    4. Oktaのユーザー名としてAD UPNを使用するユーザープリンシパル名（UPN）を選択してください。例：user@domain.com

  4. Okta AD Agent Management Utility アプリケーションを検索してください。次に、アプリケーションを実行し、ステータスメッセージ `The agent is running`が表示されることを確認してください。

    メモ Okta ADクライアントは、AD FSサーバーの同期とOktaへのインポートを実行する際には常に実行されている必要があります。

  5. Oktaで、「ディレクトリ」>「ディレクトリ統合」に移動します。

  6. 作成したディレクトリ統合を選択します。

  7. 「インポート」>「今すぐインポート」を選択します。

  8. インポートするユーザーを選択し、*割り当ての確認*を選択してください。

  9. 「ディレクトリ」＞「People」に移動し、ユーザーが正常にインポートされたことを確認してください。

    ユーザーのステータスが「アクティブ」でない場合は、*アクティブ化*を選択し、ユーザーのステータスが「アクティブ」になるまでページを更新し続けてください。

  10. ディレクトリ ＞ グループ に移動し、インポートしたユーザーのグループが自動的にインポートされていることを確認してください。

  11. グループを選択し、インポートしたユーザーがそのグループに属していることを確認してください。

ステップ4：クレームを設定する

アクセストークンにAD FSサーバーグループを含めるためのクレームを設定します。次に、クレームにインポートされたユーザーとOktaアプリケーションのインポートされたグループが含まれていることを確認します。

手順

  1. Oktaで、「ディレクトリ」>「グループ」に移動します。

  2. インポートしたユーザーに対して、インポートしたグループを選択してください。

  3. 「アプリケーション」>「アプリケーションの割り当て」>「割り当て」を選択します。

  4. 「Security」＞「API」に移動してください。

  5. *デフォルト*の認証サーバーを選択してください。

  6. 「Claims」>「Add Claim」を選択してください。次に、以下の認証情報を使用してクレームを作成します。

    • 名前：グループ

    • トークンタイプに含める：IDトークン - 常に

    • 値の型: 式

    • 値: Groups.startsWith("active_directory","",100)

    • 対象範囲：あらゆる範囲

  7. 「Security」＞「API」に移動してください。

  8. *デフォルト*の認証サーバーを選択してください。

  9. Token Preview タブを選択し、Request Properties に以下の認証情報を入力します：

    • OAuth/OIDCクライアント：<application name>

    • Grant type：Authorization Code

    • ユーザー：インポートされたユーザー （Eメールアドレス）

    • スコープ：email、profile、openid

  10. [* Execute] を選択します。

    インポートされたグループは、ペイロードの「Preview id_token」タブに表示されます。

次の手順

Oktaアプリケーションを作成した後、"OIDCを使用してSSOを構成する"。