メインコンテンツへスキップ

Oktaを使用したOAuth2ドメインの設定方法

  • 更新

    概要

    Oktaを使用したOauth2ドメインの設定方法について説明します。

    OAuth2ドメインを設定することで、TDV Serverに対するシングルサインオンが可能となります。

    TDV SSO Manager Okta.gif

    TDV SSO WebUI Okta.gif

    TDV SSO Studio Okta.gif

     

    検証環境

    製品 バージョン
    TDV Server

    8.7.0
    TDV Studio

     

    Oktaの設定

    アプリケーション作成

    左のメニュー一覧からApplications > Applicationsをクリックします。

     

    Craete App Integrationをクリックします。

     

    OIDC - OpenID Connectを選択します。

     

    下にApplication typeの選択欄が現れるので、Web Applicationを選択して、Nextをクリックします。

    okta_app4.png

     

    アプリケーションの名前を入力し、Refresh Tokenにチェックを入れます。

    okta_app5.png

     

    Sign-in redirect URIsには以下の3種類のURLを登録します。

    • http://<TDVのHostname>:9400/oauth2studiocallback
      • Studioのログインで使用
    • http://<TDVのHostname>:9400/manager
      • Managerのログインで使用
    • http://<TDVのHostname>:9400/webui
      • WebUIのログインで使用

    TDVのHostnameの確認・変更方法については以下の記事をご参照ください。

    Hostnameの変更手順について

    HTTPSでログインする場合は以下のURLも登録します。

    • https://<TDVのHostname>:9402/oauth2studiocallback
    • https://<TDVのHostname>:9402/manager
    • https://<TDVのHostname>:9402/webui

    localhostでManagerやWebUIにログインする場合は以下のURLも登録します。

    • http://localhost:9400/manager
    • http://localhost:9400/webui

    okta_app6.png

     

    本手順では、AssignmentsでAllow everyone in your organization to accessを選択し、Federation Broker Modeを有効にしてSaveをクリックします。

    この値は運用方針に合わせて適切な値を選択してください。

    okta_app7.png

     

    グループ作成

    Oktaのグループを作成します。

    既存のグループを使用する場合は、この手順はスキップしてください。

     

    左のメニューからDirectory > Groupsをクリックします。

    okta_group1.png

     

    Add groupをクリックします。

    okta_group2.png

     

    Nameにグループ名を入力します。

    例として、グループ名をdeveloperとし、後の手順でこのグループに所属するユーザーにTDVの「開発者」の権限を付与します。

    okta_group3.png

     

    グループが作成されたことを確認し、グループ名をクリックします。

    okta_group5.png

     

    既にユーザーが存在する場合は、Assign peopleからユーザーをグループに追加します。

    okta_group4.png

     

    Federation Broker Modeが有効になっていない場合は、グループにアプリケーションを割り当てます。

    本手順では、アプリケーション作成時にFederation Broker Modeを有効にしているためこの手順はスキップしています。

    Applicationsタブに移動し、Assign applicationsをクリックします。

     

    okta_group6.png

     

    先ほど作成したアプリケーションを選択し、Doneをクリックします。

    okta_group7.png

     

    ユーザー作成

    先ほど作成したグループにユーザーを作成します。

    既にユーザーが存在する場合はこの手順はスキップしてください。

     

    左のメニューからDirectory > Peopleをクリックします。

    okta_user1.png

     

    Add personをクリックします。

    okta_user2.png

     

    必要な情報を入力してSaveをクリックします。

    この時、Groupsで先ほど作成したグループを指定します。

    okta_user3.png

     

    ユーザーが作成されたことを確認し、ユーザー名をクリックします。

    okta_user4.png

     

    Set Password & Activateをクリックします。

    okta_user6.png

     

    Set Password & Activateをクリックします。

    reset_pass.png

     

    パスワードをコピーしてCloseをクリックします。

    このパスワードは初回ログイン時に使用します。

    okta_user5.png

    APIアクセスクレーム作成

    OktanのグループからAPIアクセスクレームを作成し、TDVのクレームと紐づけることで、TDVのアクセス権限が付与された状態でTDVにログインすることができます。

     

    Oktaの左のメニューからSecurity > API をクリックします。

    okta_values1.png

     

    APIのNameをクリックします。

    本手順では、defaultのAPIを使用していますが、新しくAPIを作成しても問題ありません。

    okta_values3.png

     

     

    Claimsタブに移動し、Add Claimをクリックします。

    okta_claim1.png

     

    以下のように設定し、Createをクリックします（デフォルトから変更した値のみ記載しています）。

    • Name：任意の名前を入力
    • Value type：Groupsを選択
    • Filter：ドロップダウンリストからEqualsを選択し、右の空欄にはグループ名を入力

    okta_claim2.png

     

    APIアクセスクレームが作成されたことを確認します。クレーム名は後のTDVの設定で使用します。

    okta_claim3.png

     

    TDVの設定

    ドメイン作成

    Managerにログインし。セキュリティ > ドメイン管理をクリックします。

    tdv_domain1.png

     

    ドメインの追加をクリックします。

    tdv_domain2.png

     

    TypeをOAuth2とし、Nameに任意の名前を入力します。

    Allow OAuth login via TDV toolsにチェックを入れます。

    tdv_domain3.png

     

    各種パラメータをTDVに入力します。

    Issuer Value

    以下の値を入力します。

    https://<sub-domain>.okta.com

     

    Validation

    Autoを選択します。

     

    Claim Info

    どの値でも問題ありません。

    下の空欄も入力する必要はありません。

     

    Auth URL

    APIのNameをクリックします。

    okta_values3.png

     

    Metadata URIをクリックします。

    okta_values4.png

     

    JSON形式のデータが表示されます。

    authorization_endpointの値をTDVドメインのAuth URLに入力します。

    okta_values5.png

     

    Token URL

    token_endpointの値をTDVドメインのToken URLに入力します。

    okta_values6.png

     

    Client ID

    Oktaの左のメニューからApplications > Applicationsをクリックし、先ほど作成したアプリケーションをクリックします。

    okta_values7.png

     

    Client IDの値をTDVドメインのClient IDに入力します。

    okta_values8.png

     

    Client Secret

    先ほどのClient IDと同じページにあるCLIENT SECRETSのSecretの値をTDVドメインのClient Secretに入力します。

    okta_values9.png

     

    パラメータが入力できたことを確認し、OKをクリックします。

    tdv_domain4.png

     

    クレーム作成

    Oktaからログインするユーザーが所属するグループに、権限を付与するための設定を行います。

    この操作を行わない場合、Studioでのログイン時に「アクセスツール」権限を含むすべての権限が付与されていないためログインに失敗します。

     

    セキュリティ > クレーム管理をクリックします。

    claim1.png

     

    クレームの追加をクリックします。

    claim2.png

     

    クレームの情報を入力し、OKをクリックします。

    • ドメイン名：Oauth2ドメインの名前を入力
    • クレーム名：Oktaで作成したAPIアクセスクレームの名前を入力
    • クレーム権：任意の権限を選択します。今回は「開発者」の権限を付与します。

    claim3.png

     

    ログイン方法

    Studio

    TDV Studioを起動し、Oauth2ドメインを選択します。

    studio1.png

     

    接続をクリックします。

    studio2.png

     

    Oktaへのログインが求められるのでユーザー名を入力します。

    studio3.png

     

    パスワードを入力して、確認をクリックします。

    studio4.png

     

    Oktaユーザーが初回ログインの場合、パスワードの変更が求められるので、パスワードを変更します。

    studio5.png

     

    ログインが成功することを確認します。

    studio6.png

     

    Manager

    Managerのログイン画面にアクセスし、DomainにOauth2ドメインの名前を入力し、Sign inをクリックします。

    この時、ユーザー名とパスワードを入力する必要はありません。

    manager1.png

     

    Oktaへのログインが求められるのでユーザーとパスワードを入力してログインします。

    studio3.pngTD

     

    ログインが成功することを確認します。

    manager2.png

     

    WebUI

    WebUIにアクセスすると、Oauth2ドメインがリストされているので、任意のドメインを選択します。

    webui.png

     

    Oktaへのログインが求められるのでユーザーとパスワードを入力してログインします。

    studio3.png

     

    ログインが成功することを確認します。

    webui2.png