Okta を使用した EK SSO の設定

オンプレミス EK インスタンス向けに、Okta を SAML 2.0 イデンティティプロバイダーとして設定します。

このガイドでは、オンプレミス EK インスタンスの SAML SSO 用のイデンティティプロバイダー（IdP）として Okta を設定する方法を説明します。Okta に入力する SAML 設定、Okta メタデータの取得方法、統合を完了するために EK でドメインを登録する方法をカバーします。

EK の汎用 SAML フローは Okta とそのまま動作します。まだお読みでない場合は、開始前に統合の仕組みを理解するために SAML SSO の概要を参照してください。

​

前提条件

• Okta 組織への管理者アクセス権があること。
• オンプレミス EK インスタンスへのスーパーアドミンアクセス権があること。
• EK バックエンドホストの完全修飾ドメイン名（FQDN）を知っていること（例：ek-api.corp.acme.com）。
• SSO を有効にしたいメールドメインを知っていること（例：acme.com）。

​

パート1 — Okta の設定

​

Okta で新しい SAML アプリケーションを作成

1. 新しいアプリインテグレーションを作成

   Okta 管理者コンソールで、アプリケーション → アプリケーションに移動し、アプリインテグレーションを作成をクリックします。サインオン方法として SAML 2.0 を選択します。

2. SAML 設定を入力

   SAML の設定ステップで、以下の値を入力します：

   フィールド	値
   Single Sign-On URL	https://<your-FQDN>/backend/user/generic/sso/saml/acs/admin
   受信者 URL	https://<your-FQDN>/backend/user/generic/sso/saml/acs/admin
   宛先 URL	https://<your-FQDN>/backend/user/generic/sso/saml/acs/admin
   オーディエンス制限（エンティティ ID）	https://<your-FQDN>/backend/user/generic/sso/saml/acs/admin
   デフォルトリレーステート	default またはドメイン名に設定

3. 属性ステートメントを追加

   SAML の設定ステップで、下にスクロールして属性ステートメントに以下の内容を追加します：

   名前	名前フォーマット	値
   email	Basic	user.email
   first_name	Basic	user.firstName
   last_name	Basic	user.lastName
   user_name	Basic	user.login
   DisplayName	Basic	user.displayName
   objectIdentifier	Unspecified	user.getInternalProperty("id")

4. 設定を完了

   アプリケーション作成ウィザードを完了します。EK への SSO アクセスを必要とするユーザーまたはグループにアプリケーションを割り当てます。

​

パート2 — Okta メタデータの取得

Okta アプリケーションが作成されたら、IdP メタデータ URL を取得します：

1. Sign On タブに移動

   Okta でアプリケーションを開き、Sign On タブに移動します。

2. メタデータ URL を見つける

   設定 → SAML 2.0 → メタデータの詳細の下で、Metadata URL をコピーします。

   パスは：

   Sign On > Settings > SAML 2.0 > Metadata details > Metadata URL
   

   この URL はパート3で必要です。
   

​

パート3 — EK でドメインを登録

ドメイン登録エンドポイントに POST リクエストを送信します：

curl -X POST "https://<your-backend-host>/backend/sso/add_new_configuration" \
  -H "Content-Type: application/json" \
  -H "X-API-KEY: YOUR_API_KEY" \
  -H "X-API-SECRET: YOUR_API_SECRET" \
  -d '{
    "enterprise_id": "acme.com",
    "provider": "okta",
    "metadata_url": "https://your-okta-metadata-url",
    "backend_root_url": "<your-backend-host>/backend"
  }'

​

必須フィールド

フィールド	説明
enterprise_id	ユーザーのメールドメイン（例：acme.com）。
provider	"okta"
metadata_url	パート2の Metadata URL。
backend_root_url	（オプション） プロキシ環境でのみ、正しいルーティングに必要。

​

認証

このエンドポイントには X-API-KEY および X-API-SECRET ヘッダーとして渡す EK API Key と Secret が必要です。

成功すると、バックエンドの sso_providers テーブルにレコードが作成されます。

​

パート4 — フロントエンドの設定

ドメインが登録されたら、フロントエンドの環境変数を設定し、フロントエンドサービスを再起動します。

1. フロントエンドの環境ファイルを開く

   オンプレミスデプロイメントサーバーで onprem-deployment/.env.web を開きます。

2. 環境変数を追加

   以下の行を追加し、acme.com を実際のメールドメインに置き換えます：

   VITE_SSO_ENTERPRISE_ID=acme.com
   
3. フロントエンドサービスを再起動

   docker compose -f docker-compose down
   docker compose -f docker-compose up -d
   

​

統合のテスト

実際の @<domain> ユーザーで EK にサインインし、フローがエンドツーエンドで動作することを確認します。ユーザーが正常に認証されたがアクセスを拒否された場合、SAML アクセスコントロール設定を確認してください — EK SAML アクセスコントロールと自動チーム/プロジェクト割り当てガイドを参照してください。