OIDC IdP としての Okta

このガイドは、エンタープライズアイデンティティプロバイダー (IdP) として Okta を使用しており、テストに利用できる Okta テナントの管理者アクセス権をお持ちであることを前提としています。お持ちでない場合は、Okta テナントを作成して構成するをお読みください。

XAA Requesting App の OIDC エンタープライズアイデンティティプロバイダーとして Okta を構成します。ここでは、Okta テナントをセットアップし、Requesting App と Resource App を Okta に登録して AI Agent を構成し、Requesting App と Resource App 両方の Auth0 テナントで Okta Workforce Enterprise 接続を構成します。

Okta テナントの作成と設定

Cross App Access 用に Okta テナントを作成して設定する手順は次のとおりです。

Okta Developer のウェブサイトで Okta Integrator Free Plan にサインアップします。サインアップが完了すると、新しい Okta テナントにリダイレクトされます。
Okta テナントで Cross App Access が有効になっていない場合は、developers@okta.com にメールを送信し、Okta テナントでの XAA の有効化をリクエストしてください。

Cross App Access を有効にしたら、Okta Admin Console の Okta Admin > Settings > Features で以下の機能がオンになっていることを確認してください。

Requesting App を Okta に登録する

Okta で Requesting App を作成する

Requesting App は標準的な OIDC アプリケーションです。Okta Admin Console で以下の手順を実行します。

Applications and Resources > Applications > Create App Integration に移動します。
Classic experience > OIDC - OpenID Connect > Web Application を選択し、Next を選択します。

アプリケーション名を入力します。
Grant Type では、Authorization Code と Refresh Token を選択します。
Sign-in redirect URIs に、Requesting App のテナントの callback URL (https://YOUR_REQUESTING_APP_DOMAIN/login/callback) を追加します。
必要に応じて Assignments を構成し、Save を選択します。

Requesting App を作成すると、Okta によって OIDC の Client ID と Client Secret が割り当てられます。

Requesting App をテストユーザーに割り当てる

テストユーザーが Okta 上の Requesting App にログインできるようにします。 Okta Admin Console で次の操作を行います。

Applicationsに移動し、作成した Requesting App を選択します。
AssignmentsでAssign > Assign to Peopleを選択し、テストユーザーを選択します。
Saveを選択します。

OktaでのAI agentの登録と構成

Oktaでは、AI agentはユーザーに代わってResource Appにアクセスするエンティティを表します。このAI Agentは、作成済みのRequesting AppのOIDCアプリケーションに関連付けます。関連付けると、AI AgentはRequesting AppのOIDC資格情報を引き継ぎます。

AI agentの作成

Okta Admin Consoleで Directory > AI Agents > Register AI Agent に移動し、Register Manually を選択します。

エージェントの名前を入力します。
Allow users to access this agent を選択します。
Select an existing app で、作成したRequesting Appを選択します。
(省略可) オーナーを割り当てます。
Save を選択します。

この時点では、AI agentは STAGED の状態です。

AI agentのクライアント登録を設定する

作成したAI agentを選択します。
**[Client registration]**タブを選択します。
認証方法として**[Client Secret]**を選択します。Private Key JWTもサポート対象です。
AI agentのClient IDとClient Secretを控えておきます。これらは、Okta テナントで作成したRequesting App OIDCアプリケーションのClient IDおよびClient Secretと同じものです。Requesting Appのテナントで Okta Workforce の接続を構成する際に必要になります。

AI Agent を有効化する

Actions から Activate を選択し、Managed Status が Active になっていることを確認します。

Auth0 で Requesting App の接続を構成する

Requesting App の Auth0 テナントで、Okta Workforce Enterprise 接続を作成します。この接続により、ユーザーは Okta で認証され、XAA の Requesting App ロールが有効になります。

Auth0 Dashboard
Management API

[Authentication] > [Enterprise] > [Okta Workforce] に移動し、[Create Connection] を選択します。

以下の項目を入力します：

フィールド	値
Connection name	接続を識別する一意の名前。
Domain	Okta テナントのドメイン (例：`your-okta-tenant.oktapreview.com`) 。
Client ID	AI エージェント (Okta テナントで作成した Requesting App OIDC アプリケーション) の Client ID。
Client Secret	AI エージェント (Okta テナントで作成した Requesting App OIDC アプリケーション) の Client Secret。

[Cross App Access] > [Cross App Access Role] で、[Requesting Application] を選択します。

接続が front channel を使用している場合、[Requesting Application] のトグルは無効になります。接続の通信チャネルは必ず back channel に設定してください。

[Create] を選択します。

Create a Connection エンドポイントに POST 呼び出しを行います：

curl --request POST 'https://{yourDomain}/api/v2/connections' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: Bearer <YOUR_MANAGEMENT_API_ACCESS_TOKEN>' \
  --data '{
    "name": "my-okta-workforce-connection",
    "strategy": "okta",
    "options": {
      "domain": "your-okta-tenant.oktapreview.com",
      "client_id": "<AI_AGENT_CLIENT_ID>",
      "client_secret": "<AI_AGENT_CLIENT_SECRET>",
      "scope": "openid profile email offline_access",
      "type": "back_channel",
      "attribute_map": {
        "mapping_mode": "use_map",
        "userinfo_scope": "openid email profile groups offline_access",
        "attributes": {
          "name": "${context.tokenset.name}",
          "email": "${context.tokenset.email}",
          "username": "${context.tokenset.preferred_username}",
          "federated_groups": "${context.userinfo.groups}",
          "federated_locale": "${context.userinfo.locale}",
          "federated_zoneinfo": "${context.userinfo.zoneinfo}"
        }
      }
    },
    "cross_app_access_requesting_app": { "active": true }
  }'

offline_access スコープの追加とユーザーマッピングの更新

Auth0 Dashboard
Management API

接続を作成したら、その接続を選択して設定に移動します。

Scopesで、scopeの一覧にoffline_accessを追加します。これにより、アプリケーションはリフレッシュトークンを取得できるようになります。リフレッシュトークンは、Token Vaultによるリフレッシュトークン交換を実行する際に必要です。
MappingsでOkta Basicを選択し、JSONマッピング内のuserinfo_scope一覧にoffline_accessを追加します。

Saveを選択します。

Update a Connection endpointをPATCHで呼び出します：

curl --request PATCH 'https://{yourDomain}/api/v2/connections/{connectionId}' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: Bearer <YOUR_MANAGEMENT_API_ACCESS_TOKEN>' \
  --data '{
    "options": {
      "scope": "openid profile email offline_access",
      "attribute_map": {
        "mapping_mode": "use_map",
        "userinfo_scope": "openid email profile groups offline_access",
        "attributes": {
          "name": "${context.tokenset.name}",
          "email": "${context.tokenset.email}",
          "username": "${context.tokenset.preferred_username}",
          "federated_groups": "${context.userinfo.groups}",
          "federated_locale": "${context.userinfo.locale}",
          "federated_zoneinfo": "${context.userinfo.zoneinfo}"
        }
      }
    }
  }'

アプリケーションで接続を有効化する

Auth0 Dashboard
Management API

接続をテストする前に、**［アプリケーション］**タブに移動し、少なくとも1つのアプリケーションで接続を有効化してください。

Update a ConnectionエンドポイントにPATCH呼び出しを行い、アプリケーションのclient_idをenabled_clients配列に追加します。

curl --request PATCH 'https://{yourDomain}/api/v2/connections/{connectionId}' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: Bearer <YOUR_MANAGEMENT_API_ACCESS_TOKEN>' \
  --data '{
    "enabled_clients": ["{yourApplicationClientId}"]
  }'

接続をテストする

作成した Okta Workforce 接続を選択し、3点リーダーから試すを選択します。
Okta でテストユーザーとしてログインし、接続が正常に動作することを確認します。

ユーザーのログインが成功すると、Requesting App のテナントにそのユーザープロファイルが作成されます。

ユーザープロファイルを Auth0 に存在させるには、ユーザーが XAA を有効にしたエンタープライズ接続で少なくとも一度ログインする必要があります。現時点では、Auth0 は ID-JAG による JIT でのユーザー作成をサポートしていません。

Okta に Resource App を登録する

Okta で Resource App を作成する

Resource App も、Okta に登録する OIDC の Web アプリケーションです。Okta Admin Console で次の操作を行います。

Applications and Resources > Applications > Create App Integration に移動します。
Classic experience > OIDC - OpenID Connect > Web Application を選択し、Next を選択します。
アプリケーション名を入力します。
Grant Type で Authorization Code と Refresh Token を選択します。
Sign-in redirect URIs に、Requesting App のテナントと Resource App のテナントの両方のコールバック URL を追加します。
- https://YOUR_REQUESTING_APP_DOMAIN/login/callback
- https://YOUR_RESOURCE_APP_DOMAIN/login/callback
必要に応じて Assignments を設定します。
Save を選択します。

Resource Appをテストユーザーに割り当てる

テストユーザーがOktaのResource Appにログインできるようにします。 Okta Admin Consoleで、次の手順を実行します。

Applicationsに移動し、作成したResource Appを選択します。
Assign > Assign to Peopleを選択し、テストユーザーを選択します。
Saveを選択します。

Resource App で Cross App Access を有効にする

Resource App の Resource Server タブを選択します。
Cross App Access (XAA) を有効にします。
Resource App のテナントの Issuer URL を入力します：https://YOUR_RESOURCE_APP_DOMAIN/

Auth0 が発行および受け入れる token の issuer URL は、末尾がスラッシュ / で終わっている必要があります。

Audience/Tenant ID フィールドは空欄のままにします。Auth0 は aud_tenant claim をサポートしていません。
Save を選択します。

Resource App を AI agent に割り当てる

Okta Admin Console で次の操作を行います。

Directory > AI Agents に移動し、作成した AI agent を選択します。
Resource Connections で Add resource connection を選択します。
Resource type として Application を選択し、続いて App configured for AI Agent access を選択します。
Application で、作成した Resource App を選択します。
Resource indicator は空欄のままにします。空欄にすると、Okta が値を自動生成します。
AI agent’s client ID registered in this app には、Resource App の Auth0 テナントに登録した Resource App アプリケーションの Client ID を入力します。
必要に応じて、scope の制限を設定します。
Add を選択します。

Auth0 で Resource App の接続を構成する

Resource App の Auth0 テナントで、Okta とフェデレーションし、XAA の Resource App ロールを有効にする Okta Workforce Enterprise 接続を作成します。

Auth0 Dashboard
Management API

[Authentication] > [Enterprise] > [Okta Workforce] に移動し、[Create Connection] を選択します。

以下を入力します。

フィールド	値
Connection name	接続の一意の名前。
Domain	Okta テナントのドメイン (例：`your-okta-tenant.oktapreview.com`) 。
Client ID	Okta に登録された Resource App の Client ID。
Client Secret	Okta に登録された Resource App の Client Secret。

[Cross App Access] > [Cross App Access Role] で、[Resource Application] を選択します。

[Create] を選択します。

Create a Connection エンドポイントに POST リクエストを送信します。

curl --request POST 'https://{yourResourceAppDomain}/api/v2/connections' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: Bearer <YOUR_MANAGEMENT_API_ACCESS_TOKEN>' \
  --data '{
    "name": "my-okta-workforce-connection-resource-app",
    "strategy": "okta",
    "options": {
      "domain": "your-okta-tenant.oktapreview.com",
      "client_id": "<RESOURCE_APP_OKTA_CLIENT_ID>",
      "client_secret": "<RESOURCE_APP_OKTA_CLIENT_SECRET>",
      "scope": "openid profile email offline_access",
      "attribute_map": {
        "mapping_mode": "use_map",
        "userinfo_scope": "openid email profile groups offline_access",
        "attributes": {
          "name": "${context.tokenset.name}",
          "email": "${context.tokenset.email}",
          "username": "${context.tokenset.preferred_username}",
          "federated_groups": "${context.userinfo.groups}",
          "federated_locale": "${context.userinfo.locale}",
          "federated_zoneinfo": "${context.userinfo.zoneinfo}"
        }
      }
    },
    "cross_app_access_resource_app": { "active": true }
  }'

offline_access スコープの追加とマッピングの更新

Auth0 Dashboard
Management API

接続を作成したら、その接続を選択して**[Settings]**に移動します。

**[Scopes]**で、スコープの一覧にoffline_accessを追加します。
**[Mappings]で[Okta Basic]**を選択し、JSONマッピング内のuserinfo_scopeの一覧にoffline_accessを追加します。
**[Save]**を選択します。

Update a ConnectionエンドポイントにPATCH呼び出しを行います。

curl --request PATCH 'https://{yourResourceAppDomain}/api/v2/connections/{connectionId}' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: Bearer <YOUR_MANAGEMENT_API_ACCESS_TOKEN>' \
  --data '{
    "options": {
      "scope": "openid profile email offline_access",
      "attribute_map": {
        "mapping_mode": "use_map",
        "userinfo_scope": "openid email profile groups offline_access",
        "attributes": {
          "name": "${context.tokenset.name}",
          "email": "${context.tokenset.email}",
          "username": "${context.tokenset.preferred_username}",
          "federated_groups": "${context.userinfo.groups}",
          "federated_locale": "${context.userinfo.locale}",
          "federated_zoneinfo": "${context.userinfo.zoneinfo}"
        }
      }
    }
  }'

Resource Appで接続を有効化する

Auth0 Dashboard
Management API

**［アプリケーション］**で、Resource Appテナントに登録されているResource Appアプリケーションに対してOkta Workforce接続を有効化します。

Update a ConnectionエンドポイントにPATCH呼び出しを行い、Resource Appのclient_idをenabled_clients配列に追加します。

curl --request PATCH 'https://{yourResourceAppDomain}/api/v2/connections/{connectionId}' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: Bearer <YOUR_MANAGEMENT_API_ACCESS_TOKEN>' \
  --data '{
    "enabled_clients": ["{resourceAppClientId}"]
  }'

接続をテストする

作成したOkta Workforce接続を選択し、3点ドットから**［試す］**を選択します。テストユーザーでログインし、接続が正しく動作することを確認します。ユーザーがログインに成功すると、そのユーザープロファイルがResource Appのテナントに作成されます。

ユーザープロファイルをAuth0に存在させるには、ユーザーがXAAを有効にしたエンタープライズ接続で少なくとも1回はログインする必要があります。現時点で、Auth0はID-JAGを使用したJITユーザー作成をサポートしていません。

Token Vault を使用した Cross App Access の設定

両方の接続を設定したら、Token Vault を使用した Cross App Access に進んで Token Vault 連携をセットアップし、エンドツーエンドのフローをテストしてください。

Requesting App を OIN で公開する

エンドツーエンドのフローを設定してテストしたら、B2B や SaaS のプロバイダーは、Requesting App を Okta Integration Network (OIN) で公開することで、エンタープライズのお客様へのリーチを広げられます。方法については、How to Build and List Secure Cross App Access Connections on OIN の手順を参照してください。

Set up Auth0 as Resource App

Set up Auth0 as Requesting App

OIDC IdP としての Okta

Okta テナントの作成と設定

Requesting App を Okta に登録する

Okta で Requesting App を作成する

Requesting App をテストユーザーに割り当てる

OktaでのAI agentの登録と構成

AI agentの作成

AI agentのクライアント登録を設定する

AI Agent を有効化する

Auth0 で Requesting App の接続を構成する

offline_access スコープの追加とユーザーマッピングの更新

アプリケーションで接続を有効化する

接続をテストする

Okta に Resource App を登録する

Okta で Resource App を作成する

Resource Appをテストユーザーに割り当てる

Resource App で Cross App Access を有効にする

Resource App を AI agent に割り当てる

Auth0 で Resource App の接続を構成する

offline_access スコープの追加とマッピングの更新

Resource Appで接続を有効化する

接続をテストする

Token Vault を使用した Cross App Access の設定

Requesting App を OIN で公開する

​Okta テナントの作成と設定

​Requesting App を Okta に登録する

​Okta で Requesting App を作成する

​Requesting App をテストユーザーに割り当てる

​OktaでのAI agentの登録と構成

​AI agentの作成

​AI agentのクライアント登録を設定する

​AI Agent を有効化する

​Auth0 で Requesting App の接続を構成する

​offline_access スコープの追加とユーザーマッピングの更新

​アプリケーションで接続を有効化する

​接続をテストする

​Okta に Resource App を登録する

​Okta で Resource App を作成する

​Resource Appをテストユーザーに割り当てる

​Resource App で Cross App Access を有効にする

​Resource App を AI agent に割り当てる

​Auth0 で Resource App の接続を構成する

​offline_access スコープの追加とマッピングの更新

​Resource Appで接続を有効化する

​接続をテストする

​Token Vault を使用した Cross App Access の設定

​Requesting App を OIN で公開する

Okta テナントの作成と設定

Requesting App を Okta に登録する

Okta で Requesting App を作成する

Requesting App をテストユーザーに割り当てる

OktaでのAI agentの登録と構成

AI agentの作成

AI agentのクライアント登録を設定する

AI Agent を有効化する

Auth0 で Requesting App の接続を構成する

offline_access スコープの追加とユーザーマッピングの更新

アプリケーションで接続を有効化する

接続をテストする

Okta に Resource App を登録する

Okta で Resource App を作成する

Resource Appをテストユーザーに割り当てる

Resource App で Cross App Access を有効にする

Resource App を AI agent に割り当てる

Auth0 で Resource App の接続を構成する

offline_access スコープの追加とマッピングの更新

Resource Appで接続を有効化する

接続をテストする

Token Vault を使用した Cross App Access の設定

Requesting App を OIN で公開する