Okta を使用してユーザー プロビジョニングを構成する

ユーザー プロビジョニングを構成することで、ご利用の Atlassian 組織に外部のユーザー ディレクトリを連携できます。このページでは、アイデンティティ プロバイダーとして Okta を使用しているときにユーザー プロビジョニングを構成する方法について紹介します。ユーザー プロビジョニングで実現できる処理の詳細については、「ユーザー プロビジョニングの機能」をご参照ください。

ユーザー プロビジョニングの構成を完了したら、ユーザー属性やグループ メンバーシップの管理はアイデンティティ プロバイダーから行います。

はじめる前に

ご利用のサイトおよび製品に外部ユーザーをプロビジョニングする前に行う必要があることは次のとおりです。

組織から Atlassian Access をサブスクライブします。「Atlassian Access を使用したセキュリティ」を参照してください

Okta アカウントでユーザー プロビジョニング機能を有効化します。詳細については「Lifecycle Management」をご確認ください。

自身が Atlassian 組織の管理者であることを確認します。「組織の管理」の詳細についてご確認ください

組織内で 1 つ以上のドメインを検証します。「ドメイン検証」の詳細についてご確認ください

組織に ID プロバイダー ディレクトリを追加します。ID プロバイダーを追加する方法をご確認ください

認証済みドメインを ID プロバイダー ディレクトリにリンクします。ドメインをリンクする方法の詳細についてご確認ください

同期済みのユーザーのアクセスを許可する Jira または Confluence サイトのうちの 1 つ以上で管理者であることを確認します。

テスト アカウントを設定する

最初に、Okta で次のようなテスト アカウントとテスト グループを使用してセットアップ手順を試してみることをお勧めします。例: atlassian-test-jira-users、atlassian-test-confluence-users

テスト アカウントを使用して開始することで、Atlassian アプリからユーザーの割り当てが意図せず解除された場合に、利用の中断を回避することができます。アプリでユーザーの割り当てを解除し、アカウントを無効化すると、アトラシアン製品へのアクセス権も失われます。

SCIM プロビジョニングによって Okta を接続する

1. admin.atlassian.com に移動します。複数の組織がある場合は、組織を選択します。

2. [セキュリティ] > [ID プロバイダー] の順に選択します。

3. ID プロバイダー ディレクトリを選択します。

4. [ユーザー プロビジョニングをセットアップする] を選択します。

5. [SCIM ベース URL] と [API キー] の値をコピーします。Okta を設定する際にこれらが必要になります。 

6. SCIM 設定を保存します。

ユーザーとグループが組織の Jira サイトと Confluence サイトに自動でプロビジョニングされます。ユーザーとグループを組織と同期する方法の詳細については「ユーザー プロビジョニング」ページをご覧ください。

Okta で SCIM API 連携を有効化する

この手順の一部として、コピーした SCIM ベース URL と API キーが必要です。

1. Okta にログインして Atlassian Cloud アプリケーションを追加します。

2. アプリで [プロビジョニング] タブ > [Configure API integration (API 統合を設定)] の順にクリックします。

3. [Enable API integration (API 統合を有効化)] を選択します。

4. Atlassian 組織で作成した SCIM ベース URL と API キーを入力します。

5. [Test API Credentials (API 資格情報をテスト)] を選択します。テストに合格したら [保存] を選択します。

6. [設定] から [To App (アプリへ)] をクリックします。

7. [編集] を選択して、必要なオプションに対して [有効化] を選択します。

8. [保存] を選択して統合設定を適用します。

Okta でメール アドレスを検証する

ユーザー プロビジョニングではメール アドレスを使用してアトラシアン アプリのユーザーを特定し、新しい Atlassian アカウントを作成するか、既存の Atlassian アカウントにリンクします。したがって、ユーザーのメール アドレス属性が SAML SSO 設定と Okta アプリの SCIM のユーザー プロビジョニング設定とで異なる場合、Atlassian アカウントが複製されてしまう可能性があります。

アカウントの複製を防ぐために、ユーザー アカウントのマッピングに使用するメール アドレス属性が、SAML SSO と SCIM ユーザー プロビジョニングで同じであることを確認します。

1. Okta の [ユーザー プロビジョニング] タブで [Primary email] 属性にマッピングされているフィールドを記録します。初期設定は、スクリーンショットのように email です。

2. [サインオン] タブを選択します。[Credentials details (資格情報の詳細)] セクションで [アプリケーション ユーザー名の形式] 設定を見つけます。Okta では、Atlassian アカウントを作成またはリンクする際に、ユーザー アカウントのこのフィールドが SSO メール アドレスとして渡されます。

3. [アプリケーション ユーザー名の形式] フォーマットが、前のステップで Primary email として指定した属性と同じであることを確認します。

4. [Update application username on (次のアプリのユーザー名を更新)] が [Create and update (作成して更新)] に設定されていることを確認します。[保存] を選択して変更を適用します。

5. [今すぐ更新] を選択して、Okta の自動更新を待たずに変更をプッシュします。

組織にグループをプッシュする

グループ同期機能を使い、ディレクトリを使用してユーザー権限やライセンスを自動的に管理することをおすすめします。これは、ユーザー権限およびライセンスの管理を組織から手動で行うことよりも推奨されます。このセクションでは、グループベースの管理を構成する方法について説明します。

1. Okta で [Push Groups (グループをプッシュ)] タブ > [By Name (名前別)] の順にクリックします。グループ名を選択して (例: atlassian-test-jira-users または atlassian-test-confluence-users) [保存] をクリックします。

上記のスクリーンショットでは、atlassian-confluence-users グループを使用して Confluence への製品アクセスを管理しています。

2. 必要なグループがすべてプッシュされていることを確認します。

Okta でユーザーを Atlassian アプリケーションに割り当てる

1. Okta で、Atlassian アプリケーションの [割り当て] タブをクリックします。
   
   

2. [割り当て] > [グループ] の順に選択します。割り当てるグループを選択します。この例では、グループは atlassian-confluence-users です。

3. このダイアログで既定値を設定します。これらの既定値は、ユーザー プロファイルに既定値が設定されていない場合にのみ使用されます。これらのフィールドの入力はすべて任意であり、空欄のままにしておけます。このステップが完了したら [保存して戻る] をクリックします。

4. Atlassian 組織で、ユーザーが同期されていることを確認します。Okta のログまたは [ID プロバイダー] ページのいずれかで確認できます。

プロビジョニングされたグループおよびユーザーの製品アクセスを構成する

プロビジョニングされたユーザーに製品アクセスを付与するには、既存のグループの製品アクセスをセットアップする必要があります。

1. 前のステップで追加したサイト (example.atlassian.net) で [製品アクセス] に移動して、グループを追加する製品を見つけます。

2. [グループを追加] を選択して、すべての SCIM 同期ユーザーを含む自動生成グループの名前を選択または入力します。

1. [グループを追加] を選択して、グループに製品アクセス権を付与します。
   製品アクセスの更新に関する詳細についてご確認ください。