このガイドは Mac コンピュータに適用されます
Okta を使用した Passport について
Okta を使用した Passport により、ユーザーは個別のローカルパスワードではなく、Okta の資格情報を使用して Mac コンピュータにログインできます。Passport は Okta と macOS のログインを接続します。仕組み
Passport は Okta 組織と統合し、macOS のログイン画面でユーザーを認証します。ユーザーが Okta の資格情報を入力すると、Passport は Okta テナントに照らしてそれを検証し、それに応じてローカルの Mac ユーザーアカウントを作成または更新します。- Okta
- Iru Endpoint
Okta アプリケーションの設定
Passport Library Item を設定する際には、Client ID と IDプロバイダーのURL が必要です。Okta では、クライアント識別子が Application ID と表示される場合があります。以下の手順を使用して OIDC アプリを設定し、必要な情報を収集します。1
アプリケーションにアクセスする
Okta 管理コンソールの左側のメニューペインで Applications セクションを展開し、アプリケーション を選択します。
2
アプリ統合を作成する
Create App Integration を選択します。
3
サインイン方法を選択する
Sign-in method で、OIDC - OpenID Connect を選択します。
4
アプリケーションの種類を選択する
Application Type で、Native Application を選択します。
5
次の手順に進む
次へ を選択します。
6
アプリ名を入力する
App integration name フィールドに、Iru Passport などの名前を入力します。
7
Grant type を設定する
Grant type セクションで、Refresh Token のチェックボックスが選択されていないことを確認します。Okta のパスワードが変更された場合に、ログイン中のユーザーに Mac のパスワードを更新するよう Passport がプロンプトを表示するには、このオプションをオフにする必要があります。
ユーザーがパスワード更新のプロンプトを受け取るには、Passport Library Item の Store user password 設定を Securely store password に設定する必要があります。
8
OIE を使用している場合は Advanced オプションにアクセスする
Okta Identity Engine を使用している場合は、Advanced を選択して追加のオプションを表示します。
9
Resource Owner Password を選択する
Other grants セクションで、Resource Owner Password のチェックボックスを選択します。
Okta インスタンスがまだ Classic から Okta Identity Engine（OIE とも呼ばれます）に更新されていない場合、Interaction Code の Grant type やその他のオプションは表示されません。
10
リダイレクト URI を追加する
Sign-in redirect URIs セクションで、Add URI を選択します。
11
リダイレクト URI を入力する
表示された新しいフィールドに、次のように入力します。
Passport Library Item の 認証モード セクションの Redirect URI フィールドにも、同じサインインリダイレクト URI を使用する必要があります。
12
割り当てを設定する
Assignments セクションで、アプリ統合を組織内の全員に割り当てるか、選択したグループのみに割り当てるか、アプリの作成後まで割り当てをスキップするかを選択します。
13
設定を保存する
保存 を選択します。
設定の詳細を収集する
1
安全なドキュメントを準備する
この OIDC アプリの値を保存するために使用できる安全なテキストドキュメントを開きます。これらの詳細は、Passport Library Item を設定するときに必要になります。
2
Client ID をコピーする
作成した OIDC アプリケーションの General タブで、Client ID フィールドの右側にあるクリップボードのようなコピーアイコンを選択します。
3
Client ID を保存する
値を安全なテキストドキュメントに貼り付けます。
4
IDプロバイダーのURL の形式をコピーする
次のテキストから IDプロバイダーのURL の形式をコピーします。
5
IDプロバイダーのURL を保存する
テキストを安全なテキストドキュメントに貼り付けます。
6
ドメインのプレースホルダーを置き換える
安全なテキストドキュメントで、yourOktaDomain を Okta ドメインに置き換えます。
MFA を設定する必要がない場合は、Iru Endpoint タブを開きます。MFA を設定する必要がある場合は、次のセクションに従ってください。
多要素認証を有効にする
Passport で MFA を使用する場合は、Okta と Passport Library Item を更新します。両者の違いについて詳しくは、Okta の記事 Okta Classic と OIE の違いを参照してください。ご使用の Okta エンジンのセクションを展開するか、Okta Identity Engine または Classic Engine のリンクを使用してください。Okta Identity Engine、OIE
Okta Identity Engine、OIE
Okta AuthenticatorsOkta Global Session PolicyAuthentication Policies
1
セキュリティセクションにアクセスする
左側のナビゲーションから セキュリティ セクションを展開します。
2
Authenticators を開く
Authenticators を選択します。
3
MFA の方法を確認する
Okta Verify など、少なくとも 1 つの多要素認証の方法が一覧に表示されていることを確認します。
4
必要に応じて認証システムを追加する
多要素認証の方法が一覧に表示されていない場合は、Add authenticator ボタンを選択します。
5
認証システムを選択する
必要な各認証システムの下にある 追加 ボタンを選択します。
6
設定を完了する
認証システムの追加の手順を完了します。
7
追加を確定する
追加 を選択します。
1
セキュリティセクションにアクセスする
左側のナビゲーションから セキュリティ セクションを展開します。
2
Global Session Policy を開く
Global Session Policy を選択します。
3
ポリシーを作成または編集する
Add policy を選択して新しいポリシーを作成するか、既存の Default Policy を編集する場合は次の手順に進みます。
4
既存の Default Policy を編集する
既存の Default Policy を編集するには、Default Rule の アクション 列にある鉛筆アイコンを選択します。
5
MFA の要件を設定する
多要素認証を Required に設定します。
6
MFA のプロンプトの頻度を設定する
Users will be prompted for MFA を At every sign in に設定します。
7
ポリシーを保存する
下にスクロールして、Update rule または Create rule を選択します。
1
セキュリティセクションにアクセスする
左側のナビゲーションから セキュリティ セクションを展開します。
2
Authentication Policies を開く
Authentication Policies を選択します。
3
アプリケーションにアクセスする
アプリケーション を選択します。
4
Passport のポリシーを切り替える
Iru Passport アプリケーションの横にある Switch policy を選択します。
5
Password only ポリシーを選択する
Use this policy for Iru Passport ポリシーで、Password only を選択します。
6
ポリシーを保存する
保存 を選択します。
Classic Engine
Classic Engine
Okta MFA Settings
1
セキュリティセクションにアクセスする
左側のナビゲーションから セキュリティ セクションを展開します。
2
認証を開く
認証 を選択します。
3
Sign On にアクセスする
Sign On を選択します。
4
新しいポリシーを追加する
Add New Okta Sign-on Policy を選択します。
5
ポリシーの詳細を設定する
MFA Required のような Policy name を入力します。
6
ポリシーの説明を追加する
Policy Description を入力します。
7
グループを選択する
この MFA 要件を割り当てるグループを選択します。
8
ポリシーを作成する
Create policy and add rule を選択します。
9
ルール名を入力する
Rule name を入力します。
10
MFA の要件を設定する
多要素認証で Required を選択します。
11
MFA の頻度を設定する
Users will be prompted for MFA 設定で At every sign in を選択します。
12
ルールを作成する
ウインドウの下部にある Create rule を選択します。
Iru Endpoint タブに切り替えて、そこで Passport Library Item の手順を進めます。そのタブの最初から始めてください。完了したら、このタブに戻り、以下の Okta でグループクレームフィルターを設定するに進みます。
Okta でグループクレームフィルターを設定する
Passport の OIDC アプリケーションで Groups claim filter を設定し、Passport が想定するグループクレームを Okta が送信するようにします。この記事では、例として Mac- で始まる名前を使用します。1
アプリケーションにアクセスする
Okta 管理コンソールの左側のメニューペインで、必要に応じて Applications セクションを展開し、アプリケーション を選択します。
2
Passport アプリケーションを選択する
以前に作成した Iru Passport アプリケーションを選択します。
3
Sign On タブを開く
Sign On タブを選択します。
4
ID トークンを編集する
OpenID Connect ID Token セクションで、Edit を選択します。
5
Groups claim filter を設定する
Groups claim filter セクションでは、デフォルト値の groups のままにします。
6
フィルター条件を設定する
中央のフィールドはデフォルトの Starts with のままにします。
7
グループのプレフィックスを入力する
使用している、または使用予定の Okta グループが Mac で始まる場合は、右端のフィールドに Mac と入力します。
8
設定を保存する
保存 を選択します。
