すべてのプロダクト
Search

このプロダクト

    Identity as a Service:Okta を SAML ID プロバイダーとして連携

    ドキュメントセンター

    Identity as a Service:Okta を SAML ID プロバイダーとして連携

    最終更新日:May 26, 2026

    このトピックでは、Okta を SAML 2.0 の ID プロバイダー (IdP) として構成し、Okta ユーザーがシングルサインオン (SSO) によって IDaaS EIAM ユーザーポータルにアクセスできるようにする方法を説明します。

    説明

    SAML アプリケーションを作成して構成するには Okta の管理者権限が必要です。また、IDaaS 管理コンソールにアクセスできる、有効化済みの Alibaba Cloud IDaaS EIAM インスタンスも必要です。

    ステップ 1：Okta で SAML アプリケーションを作成

    1. Okta Admin Console で、[Applications] > [Create App Integration] を選択します。

      Create app integration in Okta

    2. Create App Integration ページで、サインイン方法として [SAML 2.0] を選択し、[Next] をクリックします。

    3. [App name] を入力し、[Next] をクリックします。

    4. [SAML Settings] ページで、必要な情報を入力します。[Single sign-on URL] と [Audience URI (SP Entity ID)] は必須項目ですが、実際の値は IDaaS で SAML ID プロバイダーを作成するまで取得できません。ここでは一時的にプレースホルダー値を入力し、後の手順で更新します。

    5. [SAML Settings] ページの設定が完了したら、[Finish] をクリックします。

    6. アプリケーションが作成されたら、[Sign On] タブに移動し、[Metadata URL] フィールドの URL をコピーします。この URL は、IDaaS で SAML ID プロバイダーを作成する際に必要です。

      Metadata URL in Okta Sign On tab

    ステップ 2：IDaaS で SAML ID プロバイダーを作成

    1. IDaaS EIAM コンソールで、Identity Providers > Inbound > Add Inbound をクリックし、SAML Identity Provider を選択して Add をクリックします。

      image

    2. 表示されたダイアログボックスで、Bind SAML Identity Provider セクションで、次の設定を構成します。

      • Display Name：SAML アイデンティティプロバイダーの名前。この名前はサインインページに表示されます。

      • Logon Settings：IdP のメタデータ URL を入力し、Parse をクリックします。システムは自動的に XML を解析し、IdP SSO URL、IdP Entity ID、Signature Verification Certificate を取得します。

    3. Next をクリックして、シナリオ選択ページに進みます。

    4. 要件に合ったアカウント連携シナリオを選択し、Create をクリックします。

      シナリオ

      説明

      Manual Account Binding

      連携が存在しない場合、ユーザーに SAML アカウントと IDaaS アカウントを手動でリンクするように求めます。

      Automatic Account Binding

      IDaaS のフィールド値が SAML レスポンスの NameID と一致し、かつ連携が存在しない場合に、アカウントを自動的に連携します。

      Auto create user

      未登録の SAML ユーザーに対して新しい IDaaS アカウントを作成します。アカウント情報はサインインごとに更新されます。

      Automatically Update Information

      フィールドマッピングのルールに基づき、サインインごとに SAML アサーションの属性を使用してアカウント情報を更新します。

      Automatically Update Information を有効にすると、Field Mapping の設定ページが表示されます。設定の詳細については、「SAML IdP フィールドマッピング設定ガイド」をご参照ください。

    ステップ 3：Okta で SSO 情報を構成

    1. IDaaS EIAM コンソールにログオンします。Identity Providers > IdPs > Inbound を選択し、ステップ 2 で作成した SAML IdPs の Configuration Information ボタンをクリックして、次の値を取得します。

      • [SP ACS URL]：Okta の SAML アプリケーションの [Single sign-on URL] フィールドに対応します。

      • [SP Entity ID]：Okta の SAML アプリケーションの [Audience URI (SP Entity ID)] フィールドに対応します。

    2. Okta 管理コンソールで、アプリケーションの [General] タブに移動し、[SAML 設定] セクションで [編集] をクリックします。[Single sign-on URL] を SP ACS URL の値に置き換え、[Audience URI (SP Entity ID)] を SP Entity ID の値に置き換えます。

    3. Okta アプリケーションの [Assignments] タブに移動し、[Assign] をクリックして、[People] または [Groups] を選択します。これにより、特定のユーザーまたはユーザーグループに対してアプリケーションへのアクセス権を付与できます。

    4. Okta のリクエスト署名を構成します (任意)：

      重要

      Okta 組織で SAML のリクエスト署名が必要な場合にのみ、次の手順を実行してください。リクエスト署名が不要な場合は、このセクションをスキップします。設定が正しくないと、認証に失敗する可能性があります。

      1. Okta アプリケーションの [General] タブに移動し、[SAML Settings] セクションで [Edit] > [Next] をクリックして Configure SAML ページを開きます。[Show Advanced Settings] をクリックし、[Signature Certificate] の下で PEM 形式の証明書を生成します。

      2. Okta アプリケーションの [Sign On] タブに移動し、[Edit] をクリックします。[Show Advanced Settings] セクションで、次の設定を変更します：

        1. [Signed Requests] オプションを有効にします。

        2. NameID フォーマットで [Unspecified] を選択します。IDaaS は動的な NameIDPolicy Format の構成をサポートしていません。別のフォーマットを選択すると、Okta は AuthnRequest の検証エラーを返します。

    ステップ 4：サインインフローの確認

    前述の構成が完了したら、IDaaS ユーザーのサインインフローが想定どおりに動作することを確認します。

    1. IDaaS EIAM ユーザーポータルにアクセスします。その他のサインイン方法の下に、SAML IdPs サインインオプションが表示されます。

    2. サインインオプションをクリックします。ブラウザが Okta にリダイレクトされ、認証が行われます。

      • Okta にサインインしていない場合は、Okta のサインインページが表示されます。サインイン後、ブラウザは IDaaS にリダイレクトされます。

      • すでに Okta にサインインしている場合は、ブラウザは直接 IDaaS にリダイレクトされます。

    3. 認証に成功すると、システムはステップ 2 で構成したアカウント連携シナリオに基づいてアカウントを照合します。IDaaS ユーザーを自動的に照合できない場合は、アカウントを手動で連携するか、ユーザーの自動作成を有効にしてサインインを完了できます。