> ## Documentation Index
> Fetch the complete documentation index at: https://ai-kb.automationanywhere.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Okta を使用した EK SSO の設定

> オンプレミス EK インスタンス向けに、Okta を SAML 2.0 イデンティティプロバイダーとして設定します。

このガイドでは、オンプレミス EK インスタンスの SAML SSO 用のイデンティティプロバイダー（IdP）として Okta を設定する方法を説明します。Okta に入力する SAML 設定、Okta メタデータの取得方法、統合を完了するために EK でドメインを登録する方法をカバーします。

<Note>
  EK の汎用 SAML フローは Okta とそのまま動作します。まだお読みでない場合は、開始前に統合の仕組みを理解するために [SAML SSO の概要](/super-admin/sso/saml-sso-how-it-works)を参照してください。
</Note>

## 前提条件

* Okta 組織への管理者アクセス権があること。
* オンプレミス EK インスタンスへのスーパーアドミンアクセス権があること。
* EK バックエンドホストの完全修飾ドメイン名（FQDN）を知っていること（例：`ek-api.corp.acme.com`）。
* SSO を有効にしたいメールドメインを知っていること（例：`acme.com`）。

## パート1 — Okta の設定

### Okta で新しい SAML アプリケーションを作成

<Steps>
  <Step title="新しいアプリインテグレーションを作成">
    Okta 管理者コンソールで、**アプリケーション → アプリケーション**に移動し、**アプリインテグレーションを作成**をクリックします。サインオン方法として **SAML 2.0** を選択します。
  </Step>

  <Step title="SAML 設定を入力">
    **SAML の設定**ステップで、以下の値を入力します：

    | フィールド                    | 値                                                             |
    | ------------------------ | ------------------------------------------------------------- |
    | **Single Sign-On URL**   | `https://<your-FQDN>/backend/user/generic/sso/saml/acs/admin` |
    | **受信者 URL**              | `https://<your-FQDN>/backend/user/generic/sso/saml/acs/admin` |
    | **宛先 URL**               | `https://<your-FQDN>/backend/user/generic/sso/saml/acs/admin` |
    | **オーディエンス制限（エンティティ ID）** | `https://<your-FQDN>/backend/user/generic/sso/saml/acs/admin` |
    | **デフォルトリレーステート**         | `default` またはドメイン名に設定                                         |
  </Step>

  <Step title="属性ステートメントを追加">
    **SAML の設定**ステップで、下にスクロールして**属性ステートメント**に以下の内容を追加します：

    | 名前                 | 名前フォーマット    | 値                                |
    | ------------------ | ----------- | -------------------------------- |
    | `email`            | Basic       | `user.email`                     |
    | `first_name`       | Basic       | `user.firstName`                 |
    | `last_name`        | Basic       | `user.lastName`                  |
    | `user_name`        | Basic       | `user.login`                     |
    | `DisplayName`      | Basic       | `user.displayName`               |
    | `objectIdentifier` | Unspecified | `user.getInternalProperty("id")` |
  </Step>

  <Step title="設定を完了">
    アプリケーション作成ウィザードを完了します。EK への SSO アクセスを必要とするユーザーまたはグループにアプリケーションを割り当てます。
  </Step>
</Steps>

## パート2 — Okta メタデータの取得

Okta アプリケーションが作成されたら、IdP メタデータ URL を取得します：

<Steps>
  <Step title="Sign On タブに移動">
    Okta でアプリケーションを開き、**Sign On** タブに移動します。
  </Step>

  <Step title="メタデータ URL を見つける">
    **設定 → SAML 2.0 → メタデータの詳細**の下で、**Metadata URL** をコピーします。

    パスは：

    ```
    Sign On > Settings > SAML 2.0 > Metadata details > Metadata URL
    ```

    この URL はパート3で必要です。<br /><img src="https://mintcdn.com/automationanywhere/GwZtgh73O0-NsEVq/img/sa/sso/okta-metadata-url.png?fit=max&auto=format&n=GwZtgh73O0-NsEVq&q=85&s=76320da8268fe54ce07a11b45e3fc929" alt="Okta メタデータ URL" width="908" height="839" data-path="img/sa/sso/okta-metadata-url.png" />
  </Step>
</Steps>

## パート3 — EK でドメインを登録

ドメイン登録エンドポイントに `POST` リクエストを送信します：

```bash theme={null}
curl -X POST "https://<your-backend-host>/backend/sso/add_new_configuration" \
  -H "Content-Type: application/json" \
  -H "X-API-KEY: YOUR_API_KEY" \
  -H "X-API-SECRET: YOUR_API_SECRET" \
  -d '{
    "enterprise_id": "acme.com",
    "provider": "okta",
    "metadata_url": "https://your-okta-metadata-url",
    "backend_root_url": "<your-backend-host>/backend"
  }'
```

### 必須フィールド

| フィールド              | 説明                                |
| ------------------ | --------------------------------- |
| `enterprise_id`    | ユーザーのメールドメイン（例：`acme.com`）。       |
| `provider`         | `"okta"`                          |
| `metadata_url`     | パート2の Metadata URL。               |
| `backend_root_url` | *（オプション）* プロキシ環境でのみ、正しいルーティングに必要。 |

### 認証

このエンドポイントには `X-API-KEY` および `X-API-SECRET` ヘッダーとして渡す EK API Key と Secret が必要です。

成功すると、バックエンドの `sso_providers` テーブルにレコードが作成されます。

## パート4 — フロントエンドの設定

ドメインが登録されたら、フロントエンドの環境変数を設定し、フロントエンドサービスを再起動します。

<Steps>
  <Step title="フロントエンドの環境ファイルを開く">
    オンプレミスデプロイメントサーバーで `onprem-deployment/.env.web` を開きます。
  </Step>

  <Step title="環境変数を追加">
    以下の行を追加し、`acme.com` を実際のメールドメインに置き換えます：

    ```bash theme={null}
    VITE_SSO_ENTERPRISE_ID=acme.com
    ```
  </Step>

  <Step title="フロントエンドサービスを再起動">
    ```bash theme={null}
    docker compose -f docker-compose down
    docker compose -f docker-compose up -d
    ```
  </Step>
</Steps>

## 統合のテスト

実際の `@<domain>` ユーザーで EK にサインインし、フローがエンドツーエンドで動作することを確認します。ユーザーが正常に認証されたがアクセスを拒否された場合、SAML アクセスコントロール設定を確認してください — *EK SAML アクセスコントロールと自動チーム/プロジェクト割り当て*ガイドを参照してください。