Skip To Content

Okta の構成

OktaPortal for ArcGIS のエンタープライズ ログイン アカウントの ID プロバイダー (IDP) として構成できます。構成プロセスでは、主に次の 2 つの手順を実行します。まず、エンタープライズ IDP を Portal for ArcGIS に登録し、次に、Portal for ArcGIS をエンタープライズ IDP に登録します。

必要な情報

Portal for ArcGIS では、ユーザーが SAML ログインを使用してサイン インするときに、特定の属性情報を IDP から受信する必要があります。NameID は、Portal for ArcGIS とのフェデレーションが機能するように、IDP が SAML レスポンスで送信する必要のある必須の属性です。Portal for ArcGISNameID の値を使用して指定ユーザーを一意に識別するため、ユーザーを一意に識別する定数値を使用することをお勧めします。IDP からユーザーがサイン インすると、Portal for ArcGIS によってユーザー名が NameID の新しいユーザーがユーザー ストアに作成されます。NameID によって送信される値に使用できる文字は、英数字、_ (アンダースコア)、 . (ドット) および @ (アット マーク) です。その他の文字はエスケープされ、Portal for ArcGIS によってアンダースコアが付加されたユーザー名が作成されます。

Portal for ArcGIS では、ユーザーの電子メール アドレス、グループ メンバーシップ、名と姓を SAML ID プロバイダーから取得して入力することができます。

Okta をエンタープライズ IDP として Portal for ArcGIS に登録する

  1. 組織サイトの管理者としてサイン インしていることを確認します。
  2. サイトの上部にある [組織] をクリックして、[設定] をクリックします。
  3. ページの左側にある [セキュリティ] をクリックします。
  4. [ログイン] セクションの [SAML ログイン] で、[SAML ログインの設定] ボタンをクリックして、[1 つの ID プロバイダー] オプションを選択します。[プロパティの指定] ページで、組織名 (たとえば「City of Redlands」) を入力します。ユーザーがポータル Web サイトにアクセスすると、このテキストが SAML サイン イン オプションの一部として表示されます (たとえば、「City of Redlands アカウントを使用」)。
    メモ:

    ポータル用に登録できるのは、1 つの SAML IDP または IDP の 1 つのフェデレーションのみです。

  5. [自動] または [管理者から招待されたとき] のいずれかを選択して、ユーザーが組織に加入できる方法を指定します。1 番目のオプションを選択すると、ユーザーは、管理者から招待されなくても、自分の SAML ログインを使用して組織サイトにサイン インできます。ユーザーのアカウントは、最初にサイン インしたときに自動的に組織サイトに登録されます。2 番目のオプションを選択すると、管理者は、コマンド ライン ユーティリティまたはサンプル Python スクリプトを使用して必要なアカウントを組織サイトに登録する必要があります。ユーザーは、アカウントが登録された時点で、組織サイトにサイン インできるようになります。
    ヒント:

    少なくとも 1 つのエンタープライズ アカウントをポータルの管理者として指定し、最初の管理者アカウントを降格するか削除することをお勧めします。また、ポータル Web サイトの [アカウントの作成] ボタンを無効化することで、ユーザーが自分のアカウントを作成できないようにしておくこともお勧めします。詳細な手順については、「ポータルでの SAML 準拠のアイデンティティ プロバイダーの構成」をご参照ください。

  6. 以下のオプションのいずれかを使用して、IDP のメタデータ情報を入力します。
    • [ファイル] - Okta からフェデレーション メタデータ ファイルのコピーをダウンロードまたは取得し、[ファイル] オプションを使用して、そのファイルを Portal for ArcGIS にアップロードします。
      メモ:
      初めてサービス プロバイダーを Okta に登録する場合は、Portal for ArcGISOkta に登録した後にメタデータ ファイルを取得する必要があります。
    • [設定パラメーター] - URL にもフェデレーション メタデータ ファイルにもアクセスできない場合は、このオプションを選択します。値を手動で入力して、要求されたパラメーター (BASE 64 形式でエンコードされたログイン URL および証明書) を指定します。これらの情報については、Okta 管理者にお問い合わせください。
  7. 必要に応じて高度な設定を構成します。
    • [暗号化アサーション] - Okta の SAML アサーションのレスポンスを暗号化する場合は、このオプションを有効化します。
    • [署名付きリクエストの有効化] - Okta に送信される SAML の認証リクエストに Portal for ArcGIS が署名する場合は、このオプションを有効化します。
    • [ID プロバイダーへのログアウトの反映] - ユーザーが Okta からサイン アウトするログアウト URL を Portal for ArcGIS で使用する場合は、このオプションを有効化します。使用する URL を [ログアウト URL] 設定に入力します。IDP がログアウト URL を署名する必要がある場合、[署名付きリクエストの有効化] をオンにする必要があります。
    • [サイン イン時にプロフィールを更新] - このオプションを有効化すると、ユーザーの givenName および email address 属性が前回のサイン イン以降に変更された場合に ArcGIS Enterprise でこれらの属性が更新されます。
    • [SAML ベースのグループのメンバーシップを有効化] - このオプションを有効化すると、組織のメンバーは、グループ作成処理中に、指定された SAML ベースのエンタープライズ グループを ArcGIS Enterprise グループにリンクすることができます。
    • [ログアウト URL] - 現在サイン インしているユーザーがサイン アウトするのに使用する IDP の URL。
    • [エンティティ ID] - 新しいエンティティ ID を使用してポータルを Okta に対して一意に識別する場合は、この値を更新します。

    [暗号化アサーション][署名付きリクエストの有効化] 設定では、ポータルの Key Store にある samlcert 証明書を使用します。新しい証明書を使用するには、samlcert 証明書を削除してから、「ポータルへの証明書のインポート」に記載された手順に従って新しい証明書を同じエイリアス (samlcert) で作成し、ポータルを再起動します。

  8. 完了したら、[保存] をクリックします。
  9. [サービス プロバイダーのメタデータのダウンロード] をクリックして、ポータルのメタデータ ファイルをダウンロードします。このファイル内の情報は、信頼できるサービス プロバイダーとしてポータルを Okta に登録するために使用されます。

Portal for ArcGIS を信頼できるサービス プロバイダーとして Okta に登録する

  1. 管理者権限のあるメンバーとして Okta 組織にログインします。
  2. [Applications] タブの [Add Application] ボタンをクリックします。
  3. [Create New App] をクリックして、[SAML 2.0] オプションを選択します。[Create] をクリックします。
  4. [General Settings] で、ポータルの配置に使用する [App Name] を入力して、[Next] をクリックします。
  5. [Configure SAML] タブで、次の手順を実行します。
    1. [Single sign on URL] の値 (https://portalhostname.domain.com/portalcontext/sharing/rest/oauth2/saml/signin など) を入力します。この値は、ポータルからダウンロードされたサービス プロバイダーのメタデータ ファイルからコピーできます。
    2. [Audience URI] の値を入力します。デフォルト値は portalhostname.domain.com.portalcontext に設定されています。この値は、ポータルからダウンロードされたサービス プロバイダーのメタデータ ファイルからコピーできます。
    3. [Name ID format][Unspecified] のままにしておきます。
    4. [Advanced Settings] で、[Assertion Signature] オプションを [Unsigned] に変更します。
    5. [Attribute Statements] セクションで、次の属性ステートメントを追加します。

      givenNameuser.firstName に設定

      surnameuser.lastName に設定

      emailuser.email に設定

  6. [Next] をクリックして [Finish] をクリックします。
  7. 新規に作成した SAML アプリケーションの [Sign On] セクションが表示されます。Okta IDP メタデータを取得するには、[Sign On] タブをクリックし、[Identity Provider metadata] リンクをクリックします。
  8. [People] タブを右クリックして、ポータル内でアクセス権を持つ Okta 認証済みユーザーを構成します。