Okta IdP
はじめに
シングルサインオン (SSO)は、ユーザーが一度サインインするだけで、再認証なしに複数のアプリケーションやサービスにアクセスできる技術です。
ウェブポータルにフォーラム、チャット、ブログなどの大規模な独立したセクションが含まれている場合、ユーザーは一つのサービスで認証手続きを行うことで、複数回の資格情報入力なしに他のすべてのサービスに自動的にアクセスできます。
SSOは常に、アイデンティティプロバイダーとサービスプロバイダー（「IdP」と「SP」とも呼ばれます）の2つのアプリケーションの共同動作によって保証されます。ONLYOFFICE SSOはSPのみを実装します。多くの異なるプロバイダーがIdPとして機能できますが、この記事ではOktaの実装を考慮します。
OktaでIdPを作成する
-
Oktaにサインアップします。
-
Applications -> Applicationsメニューに移動します。
-
Create App Integrationボタンをクリックします：
-
SAML 2.0オプションを選択し、Nextボタンをクリックします。
-
App nameフィールドに、例えば "IDP Okta Apps" のように、このアプリケーションを他と区別する名前を入力し、Nextボタンをクリックします。
-
以下の表に従ってフィールドに入力します：
注記あなたの独自のドメイン名またはパブリックIPを、
myportal-address.comの代わりに指定してください。アプリケーションの詳細 シングルサインオンURL https://myportal-address.com/sso/acsオーディエンスURI（SPエンティティID） https://myportal-address.com/sso/デフォルトリレーステート https://myportal-address.com名前IDフォーマット EmailAddress アプリケーションユーザー名 Email アプリケーションユーザー名の更新 Create and Update レスポンス Signed アサーション署名 Signed 署名アルゴリズム RSA-SHA256 ダイジェストアルゴリズム SHA256 アサーション暗号化 Encrypted 暗号化アルゴリズム AES128-CBC キー輸送アルゴリズム RSA-OAEP 認証コンテキストクラス X.509 Certificate 
-
Attribute StatementsフォームでAdd Anotherをクリックし、3つのパラメーター（
givenName、sn、mail）を作成し、LDAPディレクトリのフィールドカタログから発行するのに適したValueリストから値を指定します。
-
ワークスペースに移動し、管理者としてサインインして、Settings -> Integration -> Single Sign-Onページを開きます。
-
Enable single sign-on authenticationスイッチを使用してSSOを有効にします。
-
次に、SP Certificatesセクションで証明書を作成する必要があります。それを行うには、対応するセクションでAdd certificateボタンをクリックします。
-
開いたモーダルウィンドウで、新しい自己署名証明書を生成リンクをクリックし、使用目的リストで署名と暗号化オプションを選択します。証明書を保存する前に、公開証明書のテキストをクリップボードにコピーします（Oktaで必要になります）。その後、OKボタンをクリックします。
-
任意のエディターを開き、コピーしたテキストを貼り付け、.pem拡張子でファイルを保存します。
-
Oktaアプリケーション作成フォームに戻ります。暗号化証明書フィールドで、新しく作成した公開キーを選択します。
-
フォームの最後で次へボタンをクリックします。
-
完了ボタンをクリックします。
-
開いたアプリケーションの説明で、メタデータURLフィールドからリンクをコピーします。
-
ワークスペースのシングルサインオンページに戻ります。コピーしたリンクをメタデータXMLのアップロードフィールドに貼り付けます。
ログインボタンのキャプションを指定します。
-
保存ボタンをクリックします。
-
ONLYOFFICE SPメタデータセクションが開き、SPメタデータXMLをダウンロードボタンが表示されます。
-
ログアウトを設定するには、Oktaの設定に戻ります。署名証明書フィールドに、例えばステップ12から証明書を指定します。以下の例に従って、シングルログアウトURLとSP発行者フィールドを記入します。
-
Oktaでユーザーを作成し、ONLYOFFICE SPへのアクセスを提供するには、以下の手順を実行します：
-
Oktaのディレクトリ -> 人々サブメニューに移動します。
-
人を追加ボタンをクリックします。
-
フォームに記入し、保存をクリックします。
-
Applications -> Applications メニューに移動し、作成したアプリケーションをクリックします。
-
Assign -> Assign to People をクリックします。開いたウィンドウで必要なユーザーを選択し、Assign をクリックします。Done をクリックしてウィンドウを閉じます。
-
ONLYOFFICE SPとOkta IdPの動作確認
SP側でのONLYOFFICEへのログイン
-
ONLYOFFICEの認証ページにアクセスします（例：
https://myportal-address.com/Auth.aspx）。 -
シングルサインオン ボタンをクリックします。ボタンが表示されない場合、SSOが有効になっていません。
-
SPとIdPのパラメータが正しく設定されている場合、Okta IdPのログインフォームにリダイレクトされます：
-
ONLYOFFICE SPへのアクセス権を持つユーザーのログインとパスワードを入力し、LOG IN ボタンをクリックします。
-
資格情報が正しければ、ワークスペースのメインページにリダイレクトされます（ユーザーが存在しない場合は自動的に作成され、IDPで変更された場合はデータが更新されます）。
