Okta用SAML 2.0を使ったシングルサインオン（SSO）の設定


この手順はビルド7301以下に適用されます

ManageEngine PAM360 は SAML 2.0 をサポートしており、シングルサインオン（SSO）のためのフェデレーテッドID管理ソリューションとの連携を可能にします。PAM360 はサービスプロバイダー（SP）として機能し、SAML 2.0 を使用してIDプロバイダー（IdP）と連携します。連携のプロセスでは、SP と IdP 間の信頼を確立し、シームレスな認証を促進するために、SP の詳細を IdP と交換し、IdP の詳細を SP と交換します。連携後、ユーザーは IdP にログインするだけで、認証情報を再入力することなく IdP の GUI から PAM360 に自動的にアクセスでき、認証プロセスが効率化されます。PAM360 は Okta とのすぐに使える連携を提供しています。

追加情報

PAM360は、セカンダリサーバー向けにSAML SSOを設定することもサポートしており、プライマリーサーバーがダウンした場合でも、ユーザーはセカンダリサーバー経由でPAM360にログインできるため、継続的なアクセスと最小限の中断が保証されます。

このドキュメントでは、次のトピックについて詳しく説明します。

  1. 前提条件
  2. PAM360のアプリケーションとしてのOktaダッシュボードでの追加
  3. PAM360 アプリケーションのユーザーへの割り当て
  4. Okta IdP メタデータファイルのダウンロード

以下の手順に従って PAM360 を Okta とシームレスに連携し、スムーズかつセキュアな SSO および SLO エクスペリエンスを実現してください。

1.前提条件

Okta ダッシュボードで PAM360 を SP として設定するには、「サービスプロバイダー詳細」セクションの「SAML を使用したシングルサインオンの構成」ページに表示されている SP の詳細が必要です。これらの詳細は、OktaダッシュボードでPAM360をSPとして設定するために必要であり、PAM360とOkta間のシームレスな連携を実現します。OktaダッシュボードでPAM360をSPとして設定するために必要なSP詳細を取得する詳細な手順については、こちらのリンクをご参照ください。

2.PAM360のアプリケーションとしてのOktaダッシュボードでの追加

以下の手順に従い、OktaダッシュボードにPAM360をアプリケーションとして追加し、SAML設定を設定してください。

  1. 管理者の認証情報を使用してOkta管理コンソールにログインします。
  2. 左パネルから「Applications」を選択し、「Applications」ページの「Create App Integration」ボタンをクリックします。
    okta-saml-1
  3. 表示された「Create a new app integration」ウィンドウで、「SAML 2.0」を選択し、「Next」をクリックします。「Create SAML Integration」ページが表示されます。
    okta-saml-2

「Create SAML Integration」ページで、以下の設定を完了する必要があります。「General Settings」と「Configure SAML」です。

2.1 一般設定

「Create SAML Integration」ページの「General Settings」で、追加するアプリケーションに関する必須情報を入力する必要があります。このセクションを完了するには、以下の手順に従ってください。

  1. 「App name」フィールドに任意の名前を入力します。この名前は、OktaダッシュボードにおけるPAM360の一意の識別子として使用されます。
    okta-saml-3
  2. アプリケーションのロゴをアップロードする場合は、「App logo」フィールドの横にある「Upload new」アイコンをクリックし、「Browse files」をクリックして、コンピューターから画像を選択し、「Apply」をクリックします。
    okta-saml-4
  3. 「App visibility」チェックボックスを有効にすると、アプリケーションアイコンがユーザーに表示されなくなります。
  4. 「Next」をクリックして次のステップに進みます。

2.2 SAMLの設定

「Configure SAML」ウィンドウの「SAML Settings」で、以下の詳細を入力します。

okta-saml-5
  1. 「Single sign-on URL」 - このフィールドにPAM360の「Assertion Consumer Service (ACS) URL」を入力します。ACS URLは、OktaがSAMLレスポンスを送信するPAM360のエンドポイントURLです。
    1. MSPの場合は、https://<pam-access-url>/saml2の形式でACS URLを入力し、「Use this for Recipient URL and Destination URL」チェックボックスにチェックを入れます。
    2. クライアント組織については、ACS URLを `https://<pam-access-url>/saml2?ORGN_NAME=<org_name>` の形式で入力し、Recipient URLおよびDestination URLを以下のように入力してください。
      • 「Recipient URL」 - https://<pam-access-url>/saml2
      • 「Destination URL」 - https://<pam-access-url>/saml2
  2. 「Audience URI (SP Entity ID)」 - このフィールドにPAM360のエンティティIDを入力します。
  3. 「Default RelayState」 - このフィールドは空白のままにします。
  4. Name ID format - ドロップダウンフィールドから「Unspecified 」を選択します。
  5. 「Application username」 - 表示されているオプションから「None」を選択します。
  6. 「Show Advanced Settings」ボタンをクリックして、SAMLの詳細プロパティを表示します。
    okta-saml-6
  7. 「Signature Certificate」 - このフィールドにPAM360の証明書をアップロードします。
  8. 「Enable Single Logout」 - PAM360がシングルログアウトリクエストを送信できるようにするには、このチェックボックスにチェックを入れます。「Single Logout」が有効になっている場合、ユーザーはPAM360からログアウトすることで、SSOで確立されたすべてのアクティブセッションを終了できます。
  9. 「Single Logout URL」 - このフィールドにPAM360のシングルログアウトサービスURLを入力します。
  10. 「SP Issuer」 - このフィールドにPAM360のエンティティIDを入力します。
  11. 「Signed Requests」 - このチェックボックスを有効にして、PAM360から受信したSAMLリクエストを検証します。
  12. 「Authentication context class」 - ドロップダウンフィールドから目的の認証クラスを選択します。
  13. 「Honor Force Authentication」 - Okta（IdP）でアクティブなセッションを持っている場合でも、ユーザーがPAM360にアクセスする際に再認証を行う場合は、「Yes」を選択します。
    okta-saml-7

SAMLプロパティを設定した後、「Attribute Statements」（属性ステートメント）を指定します。属性ステートメントは、認証されたユーザーに関する情報を提供するSAMLアサーションの重要な部分です。PAM360は、ユーザーへのアクセスを許可する前に、属性ステートメント内の属性をユーザー名と照合することでユーザーを識別します。OktaとPAM360のユーザー名が異なる場合があるため、フォーマットを指定する必要があります。考えられるシナリオは2つあります。

  1. PAM360環境にADからインポートされたユーザーがいる場合、そのユーザー名はDomain\Username（メールIDプレフィックス）の形式になります。Okta GUIの「Attribute Statements」で、次の詳細を指定します。
    1. 「Name」：属性ステートメントの名前を入力します（例：ADユーザー）。
    2. 「Name Format」：使用可能なオプションから「Unspecified」を選択します。
    3. 「Value」： toUpperCase(substringBefore(substringAfter(user.email, "@"), ".")) + "\" + substringBefore( user.email, "@")
  3. AD連携がない場合は、Oktaではユーザープロファイリングがusername@domain.comの形式で行われるため、属性ステートメントの値としてsubstringBefore(user.email, "@")を入力します。ただし、PAM360では、ユーザー名はユーザー名（メールIDのプレフィックス）としてのみ表示されます。

    注意

    この手順は非常に重要です。OktaでNameIDフォーマットを正しく指定することで、PAM360アプリケーションに割り当てられたユーザーがSAMLシングルサインオンを使用して正常に認証できるようになります。

必要なパラメーターを設定したら、「Preview the SAML Assertion」オプションをクリックして、IdPからPAM360に送信されるSAMLアサーションのサンプルを確認します。次に、「Next」をクリックして次の手順に進みます。フィードバックアンケートに回答し、「Finish」をクリックして、OktaダッシュボードでのSP設定およびSAMLパラメーターの設定を完了します。

3.PAM360 アプリケーションのユーザーへの割り当て

新しく追加したアプリケーション連携（PAM360）を設定したら、Oktaディレクトリ内のユーザーに割り当てる必要があります。

  1. 左パネルから「Applications」ページにアクセスし、「Assign Users to App」ボタンをクリックします。
    okta-saml-8
  2. 「Assign Applications」ページの「Assign Apps to People」タブで、「Applications」セクションからPAM360アプリケーションを選択し、「People」セクションでManage Engine PAM360へのアクセスを付与するユーザーを選択します。
    okta-saml-9
  3. ユーザーを選択したら、「Next」をクリックして続行します。
  4. 「Confirm Assignments」タブで、アプリケーションと割り当てられたユーザーを確認します。
    okta-saml-10
  5. 「Confirm Assignments」ボタンをクリックして、選択したユーザーをManage Engine PAM360との連携に割り当てます。

4.Okta IdP メタデータファイルのダウンロード

PAM360をSPとして設定した後、IdPの詳細をmetadata.xmlファイルとしてダウンロードするには、次の手順に従います。

  1. 「Applications」ページからManage Engine PAM360にアクセスします。
    okta-saml-11
  2. Manage Engine PAM360ページで、「Sign On」タブに切り替え、「View SAML setup instructions」オプションをクリックします。「SAML setup instructions」ページには、PAM360インターフェースでOktaをIdPとして設定するために必要なすべての詳細が記載されています。
  3. ページの末尾までスクロールし、「Optional」フィールドを見つけます。このフィールドに記載されているメタデータをコピーし、XMLファイルとして保存します。
  4. これで、PAM360インターフェースでIdPの詳細を設定する際にこのXMLファイルをアップロードできるようになり、すべてのIdP情報を手動で入力する必要がなくなります。

OktaでPAM360をSPとして設定した後、OktaをPAM360のIdPとして設定し、信頼済みエンティティとして確立する必要があります。PAM360のブラウザウィンドウにアクセスし、ステップ2 ID プロバイダーの詳細の構成から始めて、IDプロバイダーの設定を進めてください。IdPの設定手順の詳細については、こちらのリンクをご覧ください。提供された手順に基づいてOktaをIdPとして設定し、PAM360インターフェースで「SAMLシングルサインオン」を有効にします。