Oktaで1Passwordのロック解除を設定する
1Passwordマニュアル｜Oktaで1Passwordのロック解除を設定する方法を説明し、SSOを自動化して安全に管理しましょう。
Oktaでロックを解除するために1Passwordを設定する方法を紹介します。
1Password Businessでは、 Unlock with SSO を使用してOkta を1Passwordに接続することで、チーム メンバーにシングル サインオン (SSO) 認証を提供できます。
Unlock with SSOには自動プロビジョニングは含まれません。ユーザーとグループをCreateし、アクセスを管理し、アイデンティティ プロバイダーを使用して1Passwordユーザーを停止する場合は、SCIM を使用してプロビジョニングを自動化する方法を確認してください。
始める前に
始める前に、 Unlock with SSOに関する考慮事項と要件を確認してください。
これらの手順は 2024 年 4 月に記録されたもので、それ以降変更されている可能性があります。最新の手順については、 Okta Help Centerのドキュメントを参照してください。
ステップ1: 1Password BusinessアプリケーションをOktaに追加する
開始するには、 Okta.com でアカウントにサインインし、右上の [管理者] をクリックして、次の手順に従ってアプリの統合を設定します。
Admin Consoleで、 [Applications > Applications]に移動します。
「アプリ統合のCreate」をクリックします。
サインイン方法として OIDC - OpenID Connect を選択します。
アプリケーションの種類としてネイティブ アプリケーションを選択します。
「次へ」をクリックします。
アプリに「1Password SSO」などの名前を付けます。
サインイン リダイレクト URI はそのままにしておきます。後で1Password の詳細を入力します。
使用したい課題を選択します。
[Save]をクリックします。
アプリ統合をCreateしたら、アプリケーション ページのClient CredentialsセクションからClient IDをコピーします。次に、次の手順に進み、 1PasswordアカウントでUnlock with SSOを構成します。
ステップ2: Unlock with SSOを構成する
以下で行った変更は、 Oktaで正常に認証されるまでSaveされません。これにより、 1Passwordへのアクセスが失われるのを防ぎます。
2.1: Unlock with SSOを設定する
新しいブラウザータブまたはウィンドウを開き、 1Password.comのアカウントにサインインします。
サイドバーの「ポリシー」をクリックします。
[Configure Identity Provider]の下にある [管理] をクリックします。
画面の指示に従って、 Unlock with SSOを設定します。
Client ID の入力を求められた場合は、手順 1 の最後にコピーした ID を貼り付けます。
Oktaの既知の URL を見つけるには、 Okta のドキュメントを参照してください。次のいずれかの形式になります: YOUR_OKTA_DOMAIN.okta.com/.well-known/openid-configuration または YOUR_OKTA_DOMAIN.okta.com/oauth2/default/.well-known/openid-configuration
「“Set up redirects”」ページに到達したら、手順 2.2 に進みます。
2.2: Oktaアプリケーションを構成する
OktaでCreateしたアプリケーションに戻ります。[全般] タブをクリックし、[全般Settings]セクションで[Edit]をクリックして、以下を追加します。
ロゴ: 統合に関連付けるロゴをアップロードします (オプション)。
付与タイプ:Authorization Codeを選択します。
サインインリダイレクト URI:
「“Set up redirects”」ページから最初の URIをCopy。このリダイレクトにより、ユーザーはブラウザーからサインインできるようになります。
「“Set up redirects”」ページから 2 番目の URIをCopy。Oktaは、ユーザーのサインイン要求に対する認証応答と ID トークンをこの URI に送信し、ユーザーが1Passwordアプリからサインインできるようにします。
サインアウトリダイレクト URI: これらは1Passwordでは使用されないため、デフォルトで設定されているものはすべて削除します。
完了したら、「Save」をクリックします。アプリ統合の設定ページにリダイレクトされます。
2.3: 割り当てと設定をEdit
初期設定後に1Password Unlock with SSO構成に変更を加えた場合は、 Oktaアプリケーション統合の OIDC 設定も更新する必要があります。
課題:
You must first assign yourself to the Okta application you just created before you can configure Unlock with SSO in 1Password.
The email address you use to sign in to 1Password must match the email address you use to sign in to Okta. 1PasswordでUnlock with SSOを構成する前に、まず、CreateしたOktaアプリケーションに自分自身を割り当てる必要があります。
1Passwordへのサインインに使用するメール アドレスは、 Oktaへのサインインに使用するメール アドレスと一致する必要があります。
[割り当て] タブを選択し、[割り当て] > [ユーザーへの割り当て] をクリックします。
1Password管理者アカウントに関連付けられているメールアドレスを検索し、「割り当て」をクリックします。
ユーザー情報を確認して、 「Save and Go Back」をクリックします。
「Done」をクリックします。
Client Credentials:
[全般] タブを選択し、 [Edit] をクリックして、リストされているオプションのいずれかを変更します。
このセクションには、アプリ統合のClient IDとクライアント認証情報が含まれています。認証タイプを編集できます。
クライアント認証: [なし] を選択します。このオプションでは、追加の検証のためにProof Key for Code Exchange (PKCE) を使用する必要があります。PKCE により、アクセス トークンは、それを要求したクライアントのみが引き換えることができるようになります。
Proof Key for Code Exchange(PKCE): 追加の検証として PKCE を要求するをチェックします。
「Save」をクリックして、Client Credentialsの変更をコミットします。
一般Settings:
[全般] タブを選択し、 [Edit] をクリックして、リストされているオプションのいずれかを変更します。
応用：
アプリ統合名: アプリ統合をCreateするときに指定した名前を編集できます。
付与タイプ: アプリ統合のCreate時に指定した付与タイプを編集できます。
Login：
サインイン リダイレクト URI: アプリ統合のCreate時に指定した URI を編集できます。 [Configure Identity Provider]ページから URIをCopy。アカウントのリージョンに応じて、次の形式が使用されます: <a href="https://YOUR_DOMAIN.1password.com/sso/oidc/redirect">https://YOUR_DOMAIN.1password.com/sso/oidc/redirect</a>および onepassword://sso/oidc/redirect。
「Save」をクリックして、一般Settingsの変更を確定します。
2.4: 必要なクレーム
1Passwordには、 Oktaからのサブジェクト、名前、およびメールのクレームが必要です。Okta のデフォルト設定では、ユーザー側での操Createは必要ありません。デフォルトでは、 Okta がサブジェクト クレームを提供し、名前とメールは自動的にマッピングされます。
必要に応じて、プロファイル エディターでOkta属性を1Passwordアプリ属性にマッピングできます。
2.5: 接続をテストする
設定が完了したら、 「Configure Identity Provider」ページに戻り、接続をテストします。Okta にリダイレクトされてサインインし、その後1Passwordにリダイレクトされてサインインします。これにより、 1PasswordとOkta間の接続が確認されます。
ステップ3: Oktaで1Passwordのロックを解除するチームメンバーを指定し、猶予期間を設定します
Team members will prompted to sign in with SSO during the recovery process. チーム メンバーは、 Unlock with SSOに切り替える前に、アカウントのパスワードとSecret Keyを使用して1Passwordにサインインする必要があります。組織でEmergency Kitsをオフにしている場合や、ブラウザーのキャッシュをクリアするポリシーがある場合、サインインの詳細を持たないユーザーに対して大量の回復が必要になる可能性があります。
回復プロセス中に、チーム メンバーは SSO を使用してサインインするように求められます。
Unlock with SSOを構成すると、 1Passwordアカウントの設定ページにリダイレクトされます。設定を構成する前に、 Oktaで1Password のロックを解除するチーム メンバーのグループをCreateする必要があります。
Createしたグループは永続的である必要はなく、一部のグループの移行が正常に完了したら、最終的にはチーム全体を SSO でロック解除するように設定できます。
3.1: Oktaでロックを解除するユーザーを選択する
チームの復旧計画の実装について詳しく紹介します。
デフォルトでは、 「“People unlocking 1Password with an identity provider”」は「“No one”」に設定されています。これにより、チームを徐々にOktaによるロック解除に移行できます。Okta を使用して1Password のロックを解除するチームメンバーを指定するには、Oktaのいずれかのオプションを選択します。
誰もいない: Oktaによるロック解除をオフにするには、[誰もいない] を選択します。
選択したグループのみ: 選択したグループのチームメンバーのみがOktaでサインインします。1Password 1Password Businessでカスタムグループを使用する方法を紹介します。
除外するグループを除く全員: オーナーと除外するように選択したグループを除くすべてのチーム メンバーは、 Oktaを使用してサインインします。このスコープ内の保存済みのユーザーには、 Oktaでロック解除に切り替えるように求められます。除外されたグループを除く新しいユーザーは、 1Passwordに参加するときにOktaのユーザー名とパスワードを使用します。オーナーは、アカウント パスワードとSecret Keyを使用してサインインします。
ゲストを除く全員: オーナーとゲストを除くすべてのチームメンバーは、 Oktaを使用してサインインします。保存済みのすべてのユーザーは、 Oktaでロック解除に切り替えるように求められ、すべての新規ユーザーは、 1Passwordに参加するときにOkta のユーザー名とパスワードを使用します。ゲストとオーナーは、アカウントのパスワードとSecret Keyを使用してサインインします。
全員: ゲストとオーナーを除くすべてのチームメンバーはOktaでサインインします。保存済みのユーザー全員はOktaでロック解除に切り替えるように求められ、新規ユーザー全員は1Passwordに参加するときにOkta のユーザー名とパスワードを使用します。
3.2: 猶予期間を設定する
すでに1Passwordアカウントを持っているチーム メンバーは、 Oktaでロックを解除するために切り替える必要があります。チーム メンバーが切り替えるまでの日数を指定します。猶予期間を設定するときは、次の点を考慮してください。
デフォルトでは、猶予期間は 5 日間に設定されています。1 日から 30 日間に設定できます。
猶予期間は、管理者が「選択したグループのみ」オプションを選択してグループを追加したとき、または管理者がチームの全員に対して「 Oktaによるロック解除」を構成したときに開始されます。Okta によるロック解除が構成されている各グループの横に、猶予期間が表示されます。
チーム メンバーが異なる猶予期間を持つ複数のグループに属している場合は、最初の SSO グループの猶予期間が使用されます。
猶予期間が切れたグループに SSO によるロック解除を設定していないチーム メンバーを追加する場合、あなたまたは別の管理者がメンバーのアカウントを回復し、SSO を使用して再度サインインできるようにする必要があります。
猶予期間の長さを編集すると、SSO を使用してグループのロックを解除するように設定した元の日付から延長または短縮されます。
初期セットアップ後にOktaでロック解除するチーム メンバーをさらに設定する必要がある場合は、有効な猶予期間を持つ新しいカスタム グループをCreateします。これにより、新しく割り当てられたチーム メンバーのアカウントを回復する必要がなくなります。
チーム メンバーが猶予期間の終了前にOktaによるロック解除に移行しない場合は、デバイスでアカウントにサインインできなくなり、管理者に連絡してアカウントを回復する必要があります。チーム メンバーは回復プロセス中にOktaによるロック解除に切り替わります。
オプション: チームのOktaダッシュボードに1Passwordタイルを追加する
当面の間、 1PasswordのUnlock with SSO統合はOktaアプリ カタログに含まれません。
チームメンバーのOktaダッシュボードに1Passwordタイルを追加する場合は、 Okta Help Centerのガイドを参照してBookmark Appの統合をCreateしてください。
URL の入力を求められます。<YOURSUBDOMAIN>.1password.com/signin/ と入力します。
設定を管理する
設定を管理するには、 1Password.comでアカウントにサインインし、サイドバーのポリシーをクリックして、Configure Identity Providerの下の管理を選択します。
構成
Oktaの設定を変更するには、「構成のEdit」をクリックし、画面の指示に従ってUnlock with SSOを設定します。SSO によるロック解除に設定できる ID プロバイダーは 1 つだけです。
アイデンティティ プロバイダーの設定は、接続のテストにCreate功した後にのみSaveできます。Okta で認証にCreate功しないと、変更はSaveされません。これにより、 1Passwordへのアクセスが失われるのを防ぎます。
人材の割り当てと生体認証
設定ページの下部にある「Edit」をクリックして、 Oktaを使用して1Password のロックを解除するために割り当てられているユーザーを変更します。
To allow team members to unlock with Touch ID, Face ID, Windows Hello, and other biometrics, select Allow people to unlock 1Password using biometrics. Specify the number of days or weeks before they’ll be asked to sign in to Okta again. When biometric unlock is turned on, your team members can access 1Password while offline, until the time period specified. Vault access will be online-only after the elapsed period. チームメンバーがTouch ID、 Face ID、 Windows Hello 、その他の生体認証を使用してロックを解除できるようにするには、「生体認証を使用して1Password のロックを解除できるようにする」を選択します。Okta へのサインインを再度求められるまでの日数または週数を指定します。 生体認証ロック解除がオンになっている場合、チーム メンバーは指定された期間内はオフラインでも1Passwordにアクセスできます。期間が経過すると、 保管庫 へのアクセスはオンラインのみになります。
「Review Changes」をクリックして選択内容を確認し、「Save」をクリックします。
次のステップ
Unlock with Okta を自分で使用するには、チーム メンバーとして Unlock 1Password with Oktaを開始してください。
すべてのデバイスでOktaを使用して1Password のロックを解除し、追加のアプリやブラウザをアカウントにリンクする方法を紹介します。
ヘルプを受ける
Client ID はOktaAdmin Consoleで確認できます。
Oktaの既知の URL を見つけるには、 Okta のドキュメントを参照してください。次のいずれかの形式になります: YOUR_OKTA_DOMAIN.okta.com/.well-known/openid-configuration または YOUR_OKTA_DOMAIN.okta.com/oauth2/default/.well-known/openid-configuration。カスタム認証サーバーを使用している場合は、形式が異なる場合があります。
チームメンバーがOktaでロック解除されるグループからロック解除されないグループに移動されると、アカウント パスワードをCreateし、Emergency Kitをダウンロードするように求められます。
Unlock with SSOを設定した後に新しい ID プロバイダーに切り替える必要がある場合は、ヘルプを参照してください。
もっと詳しく知る
Last updated
