Oktaと1Passwordを自動プロビジョニングで接続する手順です。Oktaでは、アプリカタログにある1Passwordのアプリケーションを使います。Unlock with SSOと同じアプリケーションにまとめられるので、SSOを先に設定している場合は、そのアプリケーションにプロビジョニングを加える形になります。Oktaに固有の注意点は2つです。表示名の属性は自分で対応付けないと同期されず、アプリの割り当てとグループの同期には別々のグループを使う必要があります。このページでは、始める前の確認、1Password側での接続情報の発行、Oktaでのアプリケーションの追加、接続と属性の設定、テストとグループの同期、稼働後の管理を説明します。
始める前に確認すること
作業する人は、1Password側で所有者か管理者グループに属している必要があります。Okta側では、<a href="https://www.okta.com/products/lifecycle-management/" target="_blank">Lifecycle Management</a>の機能が契約に含まれていなければなりません。
既存のメンバーのメールアドレスのドメインが、全て許可ドメインに入っているかを確かめます。gmail.comのような公開ドメインは登録できません。
Unlock with SSOを既に使っている場合は、Okta Admin Consoleで1Passwordのアプリケーションを開き、Provisioningタブがあるかを見ます。あればそのアプリケーションを使い、アプリケーションの追加の節を飛ばします。タブのない古いアプリケーションの場合は、SSOとプロビジョニングの両方に使うアプリケーションを新しく追加します。
1Password側で接続情報を発行する
- 1Password.comにサインインし、サイドバーの
統合を選びます。 ユーザープロビジョニングのセクションでOktaを選びます。- ホスト型プロビジョニングをセットアップする操作を選びます。
- 表示されたSCIMのURLとベアラートークンを、1Passwordのアイテムとして保存します。
- この画面を開いたまま、Oktaの作業に移ります。
Oktaにアプリケーションを追加する
Okta Admin Consoleで次の順に進めます。
Applications and ResourcesのApplicationsを開き、Browse App Catalogを選びます。1Password Enterprise Password Managerを検索して選び、Add Integrationを選びます。Domain Nameは、Unlock with SSOを使わないなら空欄のままにします。使う場合は、サインインアドレスの全体（acme.1password.comなど）を入れます。Region Typeで1Passwordのアカウントのリージョンを選び、Subdomainにサインインアドレスの先頭の部分（acmeなど）を入れます。Nextを選び、サインオンの方法を選びます。SSOも使うならOpenID Connect、使わないならBookmark-onlyです。Doneを選びます。
接続と属性を設定する
追加したアプリケーションのProvisioningタブで、3つの設定を順に行います。
APIの接続を設定する
Configure API Integrationを選び、Enable API Integrationをオンにします。Base URLに、控えたSCIMのURLを貼り付けます。1Passwordのサインインアドレスではありません。末尾にスラッシュを付けないでください。API Tokenに、控えたベアラートークンを貼り付けます。- 1Passwordの既存のグループをOktaに取り込みたい場合は、
Import Groupsをオンにします。 Saveを選び、1Passwordの画面に戻って設定を完了させます。
1Passwordへの反映を有効にする
ProvisioningタブのTo Appを開き、Create Users、Update User Attributes、Deactivate Usersの3つを有効にして保存します。3つ目を忘れると、Oktaで無効にした人が1Password側で一時停止されません。
表示名の属性を対応付ける
表示名は既定の対応付けに含まれていないので、属性を追加します。
ProvisioningタブのGo to Profile Editorを選び、Add Attributeを選びます。Display nameにDisplayName、Variable nameとExternal nameにdisplayNameを入れます。External namespaceにurn:ietf:params:scim:schemas:core:2.0:Userを入れて保存します。Mappingsを選び、Oktaのユーザーから1Passwordへの対応付けのタブでdisplayNameにdisplayNameを対応付けます。Save Mappingsを選び、Apply updatesで既存の人にも反映させます。
External namespaceまで入れないと、1Password側の属性として扱われないOktaの表示名が姓名と違う人は、1Password側の名前がOktaの表示名で上書きされます。招待のメールを日本語で送りたい場合は、利用者のプロフィールのPreferred Languageにjaを入れ、同じ手順でpreferredLanguageを追加して対応付けます。
テストしてからグループを同期する
- アプリケーションの
Assignmentsタブで、テスト用のユーザーを1人割り当てます。 - その人の受信箱に招待が届いたことを確かめます。
- 問題がなければ、グループを割り当てて対象を広げます。
Oktaでは、グループの割り当てと、グループそのものの同期が別の操作です。Assignmentsタブでグループを割り当てると、その中の人が1Passwordに作られます。グループを1Passwordにグループとして作るには、Push Groupsタブで同期します。
【注意】 同じグループを、アプリの割り当てと
Push Groupsの両方に使うことはできません。中の人が同じでも、名前の違う2つのグループを用意してください。入れ子のグループは、所属が正しく反映されないことがあるので使いません。
SSOを先に設定していた場合、プロビジョニングを有効にする前から割り当てていた人は、Assignmentsタブでエラーと表示されます。その人の横のProvision Userを選ぶと解消します。
稼働後の管理
既存の1Passwordのメンバーは、メールアドレスが一致すればOktaのユーザーと紐づきます。招待に期限はなく、2日たっても受け入れていない人にはリマインドが届きます。1Passwordに既にあるグループをOktaから管理したい場合は、1Password側で管理対象のグループに加えます。手順は許可ドメインとグループの運用で扱います。
メールアドレスを変えるときは、Assignmentsタブではなく、その人のプロフィールで変えます。同期を止めるには、Oktaのアプリケーションの画面でActiveからDeactivateを選びます。人やグループが作られない場合は、1Password側の統合からホスト型プロビジョニングを開き、IDプロバイダーとの同期のスイッチがオンになっているかを確かめます。