OktaのSAMLベースのSSO認証を適用する ​

Oktaアカウントにサインインします。

Applications > Applicationsに移動し、Create App Integrationをクリックします。

Oktaでアプリケーションを追加する

詳細については、Oktaドキュメントを参照してください。

Sign-in methodとしてSAML 2.0を選択します。

Oktaで新しいアプリケーションを作成する

General settingsタブで一意のApp nameを指定します。 例: Workflow apps。

次へをクリックします。

必要に応じて、App logoをアップロードし、このアプリのエンドユーザーへの表示設定を決定します。

次へをクリックします。

Use this for Recipient URL and Destination URLを選択します。

Name ID formatとしてEmailAddressを選択します。

Application usernameをCustomに設定し、次の式を入力します。 この式は、ユーザーのメールを小文字に変換します:

toLowerCase(user.email)

Application usernameをCustomに設定する

必要に応じて、セッション期間をカスタマイズできます。 デフォルトでは、グループ同期を有効にしていない場合のセッション期間は7日間です。 グループ同期を有効にしている場合、デフォルトのセッションタイムアウトは1日です。

次へをクリックします。

必要に応じて、このインターフェイスをどのように使用したかについてOktaにフィードバックを提供し、Finishをクリックします。

Oktaで、ディレクトリ＞ユーザーに移動し、+ ユーザーを追加をクリックします。

ユーザーの詳細を入力し、保存をクリックします。 または、保存して別のユーザーを追加を選択して、追加のユーザーを追加できます。

ディレクトリ＞グループに移動し、+ グループを追加をクリックして、Oktaインスタンスにグループを追加します。

1つ以上のグループを追加します。 たとえば、Managersという名前のグループを1つ作成し、Membersという名前の別のグループを作成できます。

Managersなどのグループを選択します。

ユーザーを割り当てるをクリックし、このグループに追加するユーザーを選択します。

グループへのユーザーの割り当て

Directory > Profile editor > {App name} Userに移動し、+ Add Attributeをクリックします。

Data typeとしてstring arrayを選択します。

属性を追加する

Display nameとしてWorkato app user groupsを入力します。

Variable nameとしてworkato_app_user_groupsを入力します。

Attribute typeとしてGroupを選択します。

必要に応じて、Group priorityをCombine values across groupsに設定します。

保存をクリックします。

Oktaで、Applications > Applicationsに移動し、アプリを選択します。

Assignments > Assignをクリックし、Assign to groupsを選択します。

Assignをクリックして、このアプリに割り当てるグループを選択する

割り当てるグループを選択します。

Workflow app user groupsの横にあるAdd anotherをクリックし、Workflow apps portalのグループ名を入力します。 これにより、OktaとWorkflow apps portal間でグループ割り当てが同期され、指定したグループに付与されているアプリアクセス権がこのOktaグループに付与されます。 この例では、MembersをSalesグループに割り当てています。

グループを割り当てる

必要に応じて、Add anotherをクリックして1つ以上の追加グループを割り当てます。

Save and go backをクリックしてから、Doneをクリックします。

必要に応じて、追加のOktaグループをこのアプリケーションに割り当てます。

Applications > Applicationsに移動し、対象のアプリを選択します。

Generalタブで、SAML Settingsに移動し、Editをクリックします。

Configure SAMLに移動し、Preview SAML assertionをクリックします。

生成されたアサーションを確認します。 このアサーションには、前のステップで作成したAttribute Statementsが含まれている必要があります。 例:

 <saml2:AttributeStatement>
        <saml2:Attribute Name="workato_app_user_name" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
            <saml2:AttributeValue
                xmlns:xs="http://www.w3.org/2001/XMLSchema"
                xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">
            </saml2:AttributeValue>
        </saml2:Attribute>
        <saml2:Attribute Name="workato_app_user_groups" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
            <saml2:AttributeValue
                xmlns:xs="http://www.w3.org/2001/XMLSchema"
                xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">managers
            </saml2:AttributeValue>
        </saml2:Attribute>
    </saml2:AttributeStatement>

Workatoアカウントにサインインします。

プラットフォーム > Workflow apps portal > 設定 > セキュリティに移動します。

Authentication methodフィールドで、SAML based SSOを選択します。

Workato SAML設定

IdPのメタデータを指定します。 Do you have your identity provider metadata URLフィールドで、YesまたはNoを選択します。

Enforce SAML authentication forフィールドで、すべてのWorkflow appsユーザーにSAML認証を適用するか、特定のドメインにのみ適用するかを決定します。

これらのドメイン外のユーザーは、パスワード認証を使用してサインインできます。 この方法は、IDプロバイダーアカウントを持たない外部ユーザーがWorkflow appsにアクセスできるようにしながら、組織のSSOポリシーに準拠する場合に役立ちます。

必要に応じて、Enable JIT (Just-In-Time) provisioningをクリックし、IDプロバイダー認証後にユーザーをポータルに自動的に追加します。

JITを有効にすると、初めてSSOを通じてWorkatoにサインインするユーザーはポータルに自動的に追加されます。

Enable user groups syncingをクリックし、IdPからユーザーグループを同期します。 IdPを通じてユーザーグループを管理する場合、このステップは必須です。

ユーザーグループ同期はすぐには有効になりません。 グループ同期は、ユーザーがIdPを通じてポータルにサインインするたびに適用されます。

必要に応じて、OktaのSessionNotOnOrAfter属性を変更して、Workflow apps portalのセッション期間をカスタマイズします。 デフォルトでは、グループ同期を有効にしていない場合のセッション期間は7日間です。 グループ同期を有効にしている場合、デフォルトのセッションタイムアウトは1日です。

ステップ1: アプリインテグレーションを作成するのすべての手順を完了している場合、このプロセスはすでに完了しています。

変更を保存をクリックします。