メインコンテンツまでスキップ

OktaでのSAML SSOの設定

このガイドでは、OktaをSAML Identity Provider（IdP）として、VeloDB CloudをService Provider（SP）として設定し、1つのVeloDB Cloud組織で使用します。

前提条件​

開始する前に、以下を確認してください：

  • VeloDB Cloud組織でPremiumプランを使用している
  • VeloDB CloudでOrganization Adminである
  • Oktaでアプリケーションを作成・割り当てできる
  • 企業のメールドメインに対してDNS TXTレコードを作成できる
  • VeloDB Cloudアプリケーションに割り当てるOktaユーザーまたはグループがある
  • Oktaで必要なMFAおよびサインオンポリシーを設定済みである

SSOの設定とテストを行う間は、アクティブなOrganization Adminセッションを保持してください。

VeloDB CloudでのSAML設定の開始​

  1. Organization AdminとしてVeloDB Cloudにサインインします。

  2. コンソールの左下にあるプロフィールエリアをクリックしてアカウントメニューを開き、Authenticationを選択します。

  3. SAML Single Sign-onをオンにします。

  4. Add Applicationで、以下の値をコピーします：

    • Single Sign-On URL
    • Service Provider Entity ID

Oktaを設定している間は、このページを開いたままにしてください。

Oktaアプリケーションの作成​

  1. Okta Admin Consoleにサインインします。

  2. Applications → Applicationsに移動します。

  3. Create App Integrationを選択します。

  4. SAML 2.0を選択し、Nextを選択します。

  5. VeloDB Cloudなどのアプリケーション名を入力し、Nextを選択します。

  6. SAML設定を構成します：

    Oktaフィールド値
    Single sign-on URLVeloDB CloudのSingle Sign-On URL
    Audience URI (SP Entity ID)VeloDB CloudのService Provider Entity ID
    Default RelayState空白のまま
    Name ID formatEmailAddress
    Application usernameEmail

  7. OktaがUse this for Recipient URL and Destination URLを表示した場合、これを有効にします。

  8. 以下の属性ステートメントを追加します：

    NameName formatValue
    emailBasicuser.email

  9. Nextを選択し、Oktaフィードバックフォームを完了して、Finishを選択します。

  10. Assignmentsタブで、VeloDB Cloudにアクセスできるユーザーまたはグループを割り当てます。

詳細については、OktaドキュメントのCreate SAML app integrationsを参照してください。

Oktaメタデータのインポート​

  1. Oktaアプリケーションで、Sign Onタブを開きます。
  2. アクティブなSAML署名証明書を見つけ、Identity ProviderメタデータURLをコピーします。Oktaインターフェースによっては、このアクションがCopy metadata URLまたはView IdP metadataとラベル付けされている場合があります。
  3. VeloDB Cloudに戻り、Configure Identity Providerに進みます。
  4. OktaメタデータURLをMetadata URLに貼り付けます。
  5. Verifyを選択します。
  6. VeloDB CloudがインポートされたIdP SSO URLと証明書を表示することを確認します。

メタデータURLはHTTPS経由で公開アクセス可能である必要があります。

ドメインの確認とプロビジョニングの設定​

  1. Verify Domainに進みます。
  2. Add Domainを選択し、@を付けずに企業のメールドメインを入力します。
  3. DNSプロバイダーで、VeloDB Cloudに表示されるTXT Record NameとRecord Valueを使用してTXTレコードを作成します。
  4. DNS変更が伝播するまで待ち、ドメインのVerifyを選択します。
  5. JITプロビジョニングによって作成されたユーザーに割り当てられるDefault Roleを選択します。
  6. JIT Provisioning Policyを選択します。
  7. Continueを選択します。

プロビジョニングポリシーの詳細については、JIT provisioningを参照してください。

SSOのテストと有効化​

  1. Test SSO Loginで、Test SSO Loginを選択します。
  2. アプリケーションに割り当てられたOktaアカウントで認証します。
  3. VeloDB CloudがSSO Test Successfulと報告することを確認します。
  4. Enable SSOに進み、Enable SSOを選択して設定を完了します。

SSOの強制​

SSOを強制する前に、アクティブなOrganization Adminが通常のSAMLサインインを完了する必要があります：

  1. VeloDB Cloudからサインアウトします。
  2. https://www.velodb.cloudでOrganization Adminのメールアドレスを使用して新しいサインインを開始します。
  3. Okta経由で認証し、管理者が組織にアクセスできることを確認します。
  4. Authenticationに戻り、SAML SSO設定を開きます。
  5. Enable SSOの横にあるConfigureを選択し、Enforce SSOを選択して変更を確認します。

サインインの開始にOktaアプリケーションタイルを使用しないでください。VeloDB CloudはService Provider開始のサインインのみをサポートしています。

SSOが有効化されているが強制されていない場合、メールサインインページはパスワードまたは確認コードによるサインインで引き続き利用できます。

ユーザーのOkta割り当てを削除しても、既存のVeloDB Cloud組織メンバーシップは削除されません。メンバーをオフボードする際は、VeloDB CloudのMembersページで別途メンバーを削除してください。