OktaとUnlock with SSOを接続する手順です。Oktaでは、アプリカタログにある1Passwordのアプリケーションを使います。1Password側の入力欄はClient IDとOkta well-known URLの2つだけで、クライアントシークレットはありません。そのため、Entra IDのような期限切れの管理は要りません。代わりに、Oktaのアプリケーションに入れるサインインアドレスを誤ると、リダイレクトのエラーで接続できなくなります。このページでは、始める前の確認、Oktaでのアプリケーションの追加、1Password側の入力、自分の割り当て、テストと保存、設定後のつまずきを説明します。対象者と猶予期間の設定は導入前の確認とロールアウト設計で扱います。
始める前に確かめること
作業する人は、1Password側で所有者か管理者グループに属し、Okta側で管理者である必要があります。1Passwordのメールアドレスと、Oktaでサインインするメールアドレスは一致していなければなりません。
自動プロビジョニングで既にOktaと接続している場合は、そのとき追加した1Passwordのアプリケーションに、SSOの設定を加えます。アプリケーションを新しく追加する必要はありません。プロビジョニングの側の手順はOktaとの統合で扱います。
手元に、自社の1Passwordのサインインアドレスを用意しておきます。acme.1password.comのような形で、リージョンによって末尾が1password.caか1password.euになります。
Oktaにアプリケーションを追加する
Okta Admin Consoleにサインインし、次の順で進めます。
Applications and ResourcesのApplicationsを開き、Browse App Catalogを選びます。1Password Enterprise Password Managerを検索して選び、Add Integrationを選びます。Domain Nameに、サインインアドレスをhttps://を付けずに全て入れます。Region Typeで1Passwordのアカウントのリージョンを選び、Subdomainにはサインインアドレスの先頭の部分（acmeなど）だけを入れます。Nextを選び、OpenID Connectを選んでDoneを選びます。Sign Onタブを開き、Client IDの値を控えます。
プロビジョニングで追加済みのアプリケーションを使う場合は、そのアプリケーションのGeneralタブでDomain Nameをサインインアドレスの全体に直して保存します。続けてSign Onタブの設定を編集し、OpenID Connectを選んで保存し、Client IDを控えます。
1Password側で接続の詳細を入力する
- 1Password.comのサイドバーで
ポリシーを選び、シングルサインオン（SSO）の管理を開きます。 個人情報プロバイダを選択の画面でOktaを選び、次へを選びます。詳細を入力の画面で、接続の方法は既定のAutomaticのままにします。Client IDに、控えておいた値を貼り付けます。Okta well-known URLに、自社のOktaのドメインに/.well-known/openid-configurationを付けたURLを入れます。欄の下にはOkta well-known URLを検索というリンクもあります。次へを選ぶと、リダイレクトの設定の画面に1Passwordが使うリダイレクトURIが表示されます。
Oktaは、アプリケーションに入れたDomain NameからリダイレクトURIを自動で作ります。ここに表示されたURIをOktaへ貼り付ける作業は要りません。
自分をアプリケーションに割り当てる
テストの前に、作業する管理者自身をOktaのアプリケーションに割り当てます。割り当てがないと、テストのサインインが拒否されます。
- Oktaのアプリケーションの
Assignmentsタブで、AssignからAssign to Peopleを選びます。 - 1Passwordの管理者のアカウントと同じメールアドレスの人を探し、
Assignを選びます。 - 内容を確かめ、
Save and Go Backを選んでからDoneを選びます。
接続をテストして保存する
1Passwordが必要とするsub、name、emailの3つのクレームは、Oktaの既定の設定で送られます。属性を変えたい事情がある場合だけ、OktaのProfile Editorで対応付けを直します。
1Passwordの画面に戻り、次へでテストの段階に進みます。接続をテストする操作を選ぶとOktaのサインイン画面に移り、認証が済むと1Passwordに戻ります。成功したら保存します。テストに成功するまで設定は保存されないので、入力を誤っても1Passwordに入れなくなることはありません。
保存すると、対象者を決める設定の画面に移ります。社員へのロールアウトを始める前に、Oktaのアプリケーションに対象の人やグループを割り当てておいてください。
設定後のつまずき
Oktaの環境で起きやすい問題が3つあります。
リダイレクトのエラーで接続できない
Domain Nameの値を確かめます。入るのはサインインアドレスの全体で、会社のウェブサイトのドメインや、サインインアドレスの先頭の部分だけではありません。https://も付けません。
メールアドレスを変えたら使えなくなった
チームメンバーのメールアドレスを変えるときは、Oktaのユーザーのプロフィールで変えます。アプリケーションのAssignmentsタブの側では変えません。手順はメールアドレスの変更で扱います。
ダッシュボードに1Passwordを出したい
Oktaのダッシュボードにタイルを置くには、ブックマークのアプリケーションを別に作ります。URLには、https://付きのサインインアドレスの後に/signin/を付けたものを入れます。
【運用のポイント】 SSOのアプリケーションに割り当てていない人をSSOの対象グループに入れると、その人はOktaで拒否されて切り替えを終えられません。1Password側の対象範囲を広げるときは、Okta側の割り当てを先に広げる順序にしてください。