# Okta SAMLの実装

この記事には、SAML 2.0を介したSSOでの**Okta特有の**ログインの設定に関するヘルプが含まれています。別のIdPでSSOを使用したログインの設定については、[SAML 2.0設定](https://bitwarden.com/ja-jp/help/configure-sso-saml/)を参照してください。

設定は、BitwardenウェブアプリとOkta管理者ポータルの両方で同時に作業を行うことを含みます。進行するにあたり、両方をすぐに利用できる状態にして、記録されている順序でステップを完了することをお勧めします。

> [!TIP] Okta settings screenshot
> **すでにSSOの専門家ですか？**この記事の指示をスキップして、サンプルの設定のスクリーンショットをダウンロードし、自分の設定と比較してください。
> 
> ⬇️ タイプ：アセット-ハイパーリンク ID：3tQfArvZQ1vigzlnjdBxr1

## ウェブアプリでSSOを開く

Bitwardenウェブアプリにログインし、製品スイッチャー（[filter]）を使用して管理者コンソールを開きます。

![製品切り替えメニュー](https://bitwarden.com/assets/2uxBDdQa6lu0IgIEfcwMPP/e3de3361749b6496155e25edcfdcf08b/2024-12-02_11-19-56.png)

あなたの組織の**設定** → **シングルサインオン**画面を開きます：

![SAML 2.0設定](https://bitwarden.com/assets/20720mRAluo6crSdTiYJrn/1175889d7f6ab42fe7614f34cdd1dcdd/2024-12-04_09-41-15.png)

まだ作成していない場合は、あなたの**SSO識別子**を組織用に作成し、**タイプ**のドロップダウンから**SAML**を選択してください。この画面を開いたままにして、簡単に参照できるようにしてください。

この段階で、必要であれば**ユニークなSPエンティティIDを設定する**オプションをオフにすることができます。これを行うと、組电IDがSPエンティティID値から削除されますが、ほとんどの場合、このオプションをオンにしておくことをお勧めします。

> [!TIP] Self-hosting, use alternative Member Decryption Options.
> 代替の**メンバー復号化オプション**があります。[信頼できるデバイスでのSSOの使い方](https://bitwarden.com/ja-jp/help/about-trusted-devices/)または[キーコネクター](https://bitwarden.com/ja-jp/help/about-key-connector/)の使い方を学びましょう。

## Oktaアプリケーションを作成する

Okta管理者ポータルで、**アプリケーション** → **アプリケーション**をナビゲーションから選択します。アプリケーション画面で、**アプリ統合を作成**ボタンを選択します：

![Oktaはアプリ統合を作成します](https://bitwarden.com/assets/6cYqg9EBmbzQQuf53Yzsc5/0b61a779d1c366a785f01618e04cc09d/Screen_Shot_2022-10-20_at_4.13.03_PM.png)

新しいアプリケーション統合ダイアログで、**SAML 2.0**ラジオボタンを選択します：

![SAML 2.0ラジオボタン](https://bitwarden.com/assets/3Cdqx3qvpCDnc9xBuHOkLx/ae7861920eb5b09268d29bcfc0c68e1a/Screen_Shot_2022-10-24_at_10.13.31_AM.png)

**次へ**ボタンを選択して設定に進んでください。

### 一般設定

**一般設定**画面で、アプリケーションにユニークでBitwarden特有の名前を付け、**次へ**を選択します。

### SAMLを設定する

**SAMLの設定**画面で、以下のフィールドを設定します:

| **フィールド** | **説明** |
|------|------|
| シングルサインオンURL | このフィールドを事前に生成された**Assertion Consumer Service (ACS) URL**に設定します。 この自動生成された値は、組織の**設定** → **シングルサインオン**画面からコピーでき、設定により異なります。 |
| 視聴者のURI（SPエンティティID） | このフィールドを事前に生成された**SPエンティティID**に設定します。 この自動生成された値は、組織の**設定** → **シングルサインオン**画面からコピーでき、設定により異なります。 |
| 名前IDの形式 | [SAML NameID形式](https://docs.oracle.com/cd/E19316-01/820-3886/ggwbz/index.html)をSAMLアサーションで使用するために選択します。デフォルトでは、**未指定**。 |
| アプリケーションのユーザー名 | Okta属性を選択して、ユーザーがBitwardenにログインするために使用します。 |

### 高度な設定

**詳細設定を表示**のリンクを選択し、次のフィールドを設定してください:

![高度な設定](https://bitwarden.com/assets/4VOeKsTeXHPsipA0SoDgHb/d19693e16cb98ab475cb1873bf5641d7/okta-advsettings.png)

| **フィールド** | **説明** |
|------|------|
| 応答 | SAMLレスポンスがOktaによって署名されているかどうか。 |
| 主張署名 | SAMLアサーションがOktaによって署名されているかどうか。 |
| 署名アルゴリズム | 応答と/またはアサーションに署名するために使用される署名アルゴリズムは、**署名済み**に設定されているものによります。デフォルトでは、`rsa-sha256`。 |
| ダイジェストアルゴリズム | 応答と/またはアサーションに署名するために使用されるダイジェストアルゴリズムは、**署名済み**に設定されているものによります。このフィールドは、選択された**署名アルゴリズム**と一致する必要があります。 |

### 属性ステートメント

**属性ステートメント**セクションで、以下のSP → IdP属性マッピングを構築します：

![属性ステートメント](https://bitwarden.com/assets/VJZ2ZJtqdCdnzxG4xf4G8/b9fce227ebf1ba72e3598875e1f6f7aa/okta-attr.png)

設定が完了したら、**次へ**ボタンを選択して**フィードバック**画面に進み、**完了**を選択してください。

### IdPの値を取得します

アプリケーションが作成されたら、アプリの**サインオン**タブを選択し、画面の右側にある**設定手順を表示**ボタンを選択してください：

![SAML設定手順を表示します](https://bitwarden.com/assets/apJpQyn4GTUJGzRNBUf02/e5fbd8ca4f7875bc9ec2a87cbc433db6/Screen_Shot_2022-10-25_at_9.39.47_AM__2_.png)

このページを[将来の使用のために](https://bitwarden.com/ja-jp/help/saml-okta/#saml-identity-provider-configuration/)開いたままにするか、または**IDプロバイダーのシングルサインオンURL**と**IDプロバイダーの発行者**をコピーして、**X.509証明書**をダウンロードしてください：

![IdPの値](https://bitwarden.com/assets/4SRYsrAZjCPhksikeAOnBp/f975c57912f6c1a8c5d5d6002d23bd38/okta-values.png)

### 課題

**課題**タブに移動し、**割り当てる**ボタンを選択します:

![グループの割り当て](https://bitwarden.com/assets/4KcjFuFnHFMnQda4NbKTGh/731a0c635efde1f3333ed6afd58d994e/okta-assign.png)

アプリケーションへのアクセスは、**人々に割り当てる**オプションを使用してユーザーごとに、または**グループに割り当てる**オプションを使用して一括で割り当てることができます。

## ウェブアプリに戻る

この時点で、Okta管理者ポータルのコンテキスト内で必要なすべてを設定しました。設定を完了するためにBitwardenウェブアプリに戻ってください。

シングルサインオン画面は、設定を二つのセクションに分けています：

- **SAML サービス プロバイダーの構成によって、** SAML リクエストの形式が決まります。
- **SAML IDプロバイダーの設定**は、SAMLの応答に期待する形式を決定します。

### サービスプロバイダーの設定

次のフィールドを、アプリ作成[中に](https://bitwarden.com/ja-jp/help/saml-okta/#create-an-okta-application/)Okta管理者ポータルで選択した選択肢に従って設定します：

| **フィールド** | **説明** |
|------|------|
| 名前ID形式 | これをOktaで[指定された](https://bitwarden.com/ja-jp/help/saml-okta/#configure-saml/)名前ID形式に設定するか、それ以外の場合は**未指定**のままにしてください。 |
| アウトバウンド署名アルゴリズム | BitwardenがSAMLリクエストに署名するために使用するアルゴリズム。 |
| 署名行動 | SAMLリクエストが署名されるかどうか/いつ署名されるか。 |
| 最小入力署名アルゴリズム | これをOktaで[指定された](https://bitwarden.com/ja-jp/help/saml-okta/#advanced-settings/)署名アルゴリズムに設定します。 |
| 署名されたアサーションが欲しい | Assertion Signatureフィールドを**署名済み**[のOkta](https://bitwarden.com/ja-jp/help/saml-okta/#advanced-settings/)に設定した場合、このボックスをチェックしてください。 |
| 証明書を検証する | あなたのIdPから信頼できるCAを通じて信頼性のある有効な証明書を使用するときは、このボックスをチェックしてください。自己署名証明書は、適切な信頼チェーンがBitwardenログインのSSO dockerイメージ内に設定されていない限り、失敗する可能性があります。 |

サービスプロバイダーの設定が完了したら、作業を**保存**してください。

### IDプロバイダーの設定

IDプロバイダーの設定では、アプリケーションの値を取得するために、しばしばOkta管理者ポータルを参照する必要があります。

| **フィールド** | **説明** |
|------|------|
| エンティティID | Oktaの**サインオン設定**画面から取得した、あなたの[IDプロバイダ発行者](https://bitwarden.com/ja-jp/help/saml-okta/#get-idp-values/)を入力してください。これは、**設定手順を表示**ボタンを選択することで取得できます。このフィールドは大文字と小文字を区別します。 |
| バインディングタイプ | **リダイレクト**に設定します。現在、OktaはHTTP POSTをサポートしていません。 |
| シングルサインオンサービスURL | Oktaの**サインオン設定**画面から取得した、あなたの[IDプロバイダーのシングルサインオンURL](https://bitwarden.com/ja-jp/help/saml-okta/#get-idp-values/)を入力してください。 |
| シングルログアウトサービスURL | 現在、SSOでのログインはSLOを**サポートしていません**。このオプションは将来の開発を予定していますが、ご希望であれば事前に設定することができます。 |
| X509公開証明書 | [ダウンロードした証明書](https://bitwarden.com/ja-jp/help/saml-okta/#get-idp-values/)を貼り付け、削除してください。 `-----BEGIN CERTIFICATE-----` そして  `-----証明書終了-----` 証明書の値は大文字と小文字を区別し、余分なスペース、キャリッジリターン、その他の余分な文字**は認証の検証に失敗する原因となります**。 |
| アウトバウンド署名アルゴリズム | 選択された署名アルゴリズムを選択してください [Oktaアプリ設定中に](https://bitwarden.com/ja-jp/help/saml-okta/#advanced-settings/)。署名アルゴリズムを変更していない場合は、デフォルトのままにしてください（`rsa-sha256`）。 |
| アウトバウンドログアウト要求を許可する | 現在、SSOでのログインはSLOを**サポートしていません**。 |
| 認証リクエストに署名を希望します | OktaがSAMLリクエストの署名を期待しているかどうか。 |

> [!NOTE] X509 cert expiration
> X509証明書を完成させるとき、有効期限の日付をメモしてください。SSOエンドユーザーへのサービスの中断を防ぐために、証明書を更新する必要があります。証明書が期限切れになった場合でも、管理者と所有者のアカウントは常にメールアドレスとマスターパスワードでログインできます。

IDプロバイダーの設定が完了したら、**保存**してください。

> [!TIP] Policies for SSO Guides
> シングルサインオン認証ポリシーを有効にすることで、ユーザーにSSOでログインすることを要求することができます。メモしてください、これは単一の組織ポリシーも同時に活性化する必要があります。[もっと学ぶ](https://bitwarden.com/ja-jp/help/policies/)

## 設定をテストする

設定が完了したら、[https://vault.bitwarden.com](https://vault.bitwarden.com)に移動して、メールアドレスを入力し、**続行**を選択し、**エンタープライズシングルオン**ボタンを選択してテストしてください。

![エンタープライズシングルサインオンとマスターパスワード](https://bitwarden.com/assets/3BdlHeogd42LEoG06qROyQ/c68021df4bf45d72e9d37b1fbf5a6040/login.png)

[設定された組織識別子](https://bitwarden.com/ja-jp/help/configure-sso-saml/#step-1-enabling-login-with-sso/)を入力し、**ログイン**を選択してください。あなたの実装が正常に設定されている場合、Oktaのログイン画面にリダイレクトされます。

![Oktaでログインしてください](https://bitwarden.com/assets/3Rh2Bg17sCE57xJsUKfqwN/8f6e1d8555c9e1b60d2e145d0f0bb565/Log_in_with_Okta.png)

あなたのOktaの資格情報で認証した後、Bitwardenのマスターパスワードを入力して保管庫を復号化してください！

> [!NOTE] Okta bookmark app
> Bitwardenは勝手なレスポンスをサポートしていませんので、あなたのIdPからログインを開始するとエラーが発生します。SSOログインフローはBitwardenから開始されなければなりません。Okta管理者は、Bitwardenウェブ保管庫のログインページに直接リンクする[Oktaブックマークアプリ](https://support.okta.com/help/s/article/How-do-you-create-a-bookmark-app?language=en_US)を作成することができます。
> 
> 1. 管理者として、メインナビゲーションバーにある**アプリケーション**のドロップダウンに移動し、**アプリケーション**を選択してください。
> 2. **アプリカタログを参照**をクリックします。
> 3. **ブックマークアプリ**を検索し、**インテグレーションを追加**をクリックしてください。
> 4. 次の設定をアプリケーションに追加してください：
> 
> 1. アプリケーションには、**Bitwarden ログイン**のような名前を付けてください。
> 2. **URL**フィールドに、`https://vault.bitwarden.com/#/login` または `your-self-hostedURL.com` のような、あなたのBitwardenクライアントへのURLを提供してください。
> 5. **完了**を選択し、アプリケーションダッシュボードに戻って新しく作成したアプリを編集してください。
> 6. アプリケーションに人々とグループを割り当ててください。エンドユーザーの認識のために、アプリケーションにロゴを割り当てることもできます。Bitwardenのロゴは[ここ](https://github.com/bitwarden/brand/tree/master)で取得できます。
> 
> このプロセスが完了すると、指定された人々とグループは、Oktaダッシュボード上にBitwardenブックマークアプリケーションを持つことになり、それは彼らを直接Bitwardenウェブ保管庫ログインページにリンクします。