Oktaとのフェデレーションを管理

Oktaは、 CXoneと使用できる対応した外部アイデンティティプロバイダー (IdP) の 1 つに過ぎません。このページでは、Oktaを使用するあなたのCXoneシステム用に認証をセットアップする手順をステップバイステップで説明しますOkta。

CXoneシステムの初期実装を行う場合、さらに検討すべきステップがあります。これらの検討事項を含む以下のオンラインヘルプをお読みになることをお勧めします。

これらの各タスクを指定された順序で実行します。

始める前に、Oktaにアクセスできることを確認します。アプリケーションを作成する必要があります。

SAML 2.0によりOktaアプリケーションを作成および構成する

  1. Okta管理アカウントにログインします。
  2. アプリケーションメニュー>アプリ統合の作成をクリックします。
  3. 方法としてSAML 2.0を選択し、次へをクリックします。
  4. この統合を識別するために使用する名前を入力し、次をクリックします。
  5. SAMLを設定する：
    1. シングルサインオンURLフィールドに、https://cxone.niceincontact.com/need_to_changeのようなプレースホルダーURLを入力します。この値は、後で受け取ったURLと変更します。
    2. Audience URIフィールドに、https://cxone.niceincontact.com/need_to_changeのようなプレースホルダーURLを入力します。この値は、後で受け取ったURIと変更します。
    3. 名前ID形式およびアプリケーションユーザー名を指定して、CXoneに対してユーザーを識別する方法と照応させます。
    4. 詳細設定の表示をクリックします。
    5. アサーション署名を未署名に変更します。応答を署名済みのままにします。
    6. アサーション暗号化が未署名であることを確認します。
  6. 次をクリックし、フィードバックを完了させ、フィードバックタブの終了 をクリックします。
  7. SAMLセットアップ指示をクリックして、新しいタブを開き、次に：
    1. 証明書のダウンロードをクリックし、署名証明書をダウンロードします。このファイルは、 CXoneの設定用に保管します。
    2. アイデンティティプロバイダーのシングルサインオンURLをコピーします。このURLを CXoneの設定用に保管します。
    3. SAML設定指示のタブを閉じます。SAMLの設定タブは開いたままにしておきます。次に取得するCXoneの設定に基づいて、設定を変更します。

SAML 2.0でCXoneログイン認証コードを設定します

必須の権限：ログイン認証機能の作成

  1. アプリセレクターをクリックして、選択管理者。
  2. セキュリティ > ログイン認証機能システムをクリックします。
  3. 新規ログイン認証コードをクリックします。
  4. ログイン認証機能システムの名前と説明を入力します。
  5. SAMLを認証タイプとして選択します。
  6. Oktaから受信したアイデンティティプロバイダーのシングルサインオンURLをエンドポイントURLとして入力します。詳しくは前のタスクの最後のステップを参照してください。
  7. ファイルの選択をクリックし、前の作業でOktaからダウンロードした公開署名証明書を選択します。この証明書は、PEMファイルでなければなりません。それはテキストファイルとなり、最初の行にはBEGIN CERTIFICATEと他の追加テキストが含まれることになります。

  8. 割り当て済みユーザーのタブをクリックします。作成しているログイン認証コードに割り当てるユーザーを選択します。従業員プロファイルで、ユーザーを直接ログイン認証コードに割り当てることもできます。

  9. 保存してアクティブ化をクリックします。
  10. ログインオーセンティケーターを開きます。

  11. エンティティIDとACS URLの2つの読み取り専用フィールドが追加で表示されていることに気がつくでしょう。この値をメモしておきます。それらはCXone値をOktaに追加するタスクで必要になります。

OpenID ConnectでOktaアプリケーションを設定します。

  1. Okta管理アカウントにログインします。
  2. アプリケーションメニュー>アプリ統合の作成をクリックします。
  3. サインイン方法としてOIDC - OpenID Connectを選択します。
  4. Webアプリケーションをアプリケーションタイプとして選択し、次へをクリックします。
  5. アプリ統合名フィールドに、この統合を識別するために使用する名前を入力します。
  6. この時点ではわからないサインインリダイレクトURIを入力する必要があります。https://cxone.niceincontact.com/need_to_changeをプレースホルダーとして使用します。この値は、後で受け取ったURIと変更します。
  7. この時点ではわからないサインアウトリダイレクトURIを入力する必要があります。https://cxone.niceincontact.com/need_to_changeをプレースホルダーとして使用します。この値は、後で受け取ったURIと変更します。
  8. 制御されたアクセスドロップダウンで、今はグループ割り当てをスキップを選択します。
  9. 保存をクリックします。
  10. 一般タブのクライアント資格情報の下にあるクライアント認証を選択します。
  11. 次のいずれかの認証方法を選択します：
    1. client_secret_basic：クライアント資格情報は、認証時に基本ヘッダーで渡されます。この方法を選択したら、以下のように設定します：
      1. クライアントシークレットとして、クライアント認証を選択します。
      2. クライアントIDとクライアントシークレットをコピーし、デバイスの安全な場所に貼り付けます。CXoneでログイン認証コードを設定する際に、これらを使用する必要があります。
    2. client_secret_post：認証時にクライアント資格情報は本文で渡されます。この方法を選択したら、以下のように設定します：
      1. クライアントシークレットとして、クライアント認証を選択します。
      2. クライアントIDとクライアントシークレットをコピーし、デバイスの安全な場所に貼り付けます。CXoneでログイン認証コードを設定する際に、これらを使用する必要があります。
    3. client_secret_jwt：JWTベアラートークンはクライアント認証に使われます。この方法を選択したら、以下のように設定します：
      1. クライアントシークレットとして、クライアント認証を選択します。
      2. クライアントIDとクライアントシークレットをコピーし、デバイスの安全な場所に貼り付けます。CXoneでログイン認証コードを設定する際に、これらを使用する必要があります。
    4. private_key_jwt：JWTベアラートークンはクライアント認証に使われます。JWTは、後のステップで提供するクライアント秘密キーによって署名されます。この方法を選択したら、以下のように設定します：
      1. 公開キー/秘密キーとして、クライアント認証を選択します。
      2. 公開キーの追加フィールドにプレースホルダー公開キーを入力します。ログイン認証コードを設定する際に、プレースホルダをCXoneから提供されるキーで置き換える必要があります。
  12. 割り当てタブで、割り当てをクリックし、社員に割り当てをクリックします。
  13. このアプリケーションにユーザーを割り当てます。

CXoneにOpenID Connectでのログイン認証コードを設定します

  1. アプリセレクターをクリックして、選択Admin

  2. セキュリティ設定>ログイン認証コードの順にアクセスします。

  3. 新しいログイン認証コードをクリックするか、編集するログイン認証コードを選択します。
  4. ログイン認証コードの名前と説明を入力します。
  5. OIDCを認証タイプとして選択します。
  6. Oktaのディスカバリーエンドポイントがある場合は、ディスカバー設定をクリックします。検出エンドポイントを入力し、検出をクリックします。残りのフィールドは自動的に入力されます。ディスカバー設定はSalesforceディスカバリーエンドポイントでは動作しません。
  7. クライアントIDとクライアントパスワードを入力します。クライアントの確認パスワードにパスワードを再入力します。クライアント識別子は、Oktaによってアカウントに割り当てたログインIDです。

  8. Oktaのディスカバリーエンドポイントがない場合は、Okta提供の発行者、JsonWebKeySetエンドポイント、認証エンドポイント、トークンエンドポイント、ユーザー情報エンドポイントおよび失効エンドポイントを入力します。

    フィールド

    詳細
    発行者

    パラメータなしのOktaのURL。
    JsonWebKeySetエンドポイント OktaのJWKセットのURL。
    認証エンドポイント OktaのOAuth2.0認証エンドポイントのURL。
    トークンエンドポイント OktaのOAuth2.0トークンエンドポイントのURL。
    ユーザー情報エンドポイント Oktaのユーザー情報エンドポイントのURL。
    失効エンドポイント Oktaの失効エンドポイントのURL。
  9. クライアント認証方式を選択します。選択する方法は、前のタスクで設定したものと一致していなければなりません。これは、Oktaがサポートしている認証方法でなければなりません。private_key_jwtを選択した場合、 暗号化の有効化をお客様のクライアント秘密キーを入力する必要があります。
  10. FICAMプロフィールを有効にするを選択して、米国政府固有の設定をオンにすることができます。このステップはFedRAMPユーザーだけが対象です。

  11. 割り当て済みユーザーのタブをクリックします。作成しているログイン認証コードに割り当てるユーザーを選択します。従業員プロファイルで、ユーザーを直接ログイン認証コードに割り当てることもできます。

  12. 保存&アクティブ化をクリックして、提供された情報を検証し、CXoneアカウントをOktaアカウントにリンクします。
  13. ログインオーセンティケーターを開きます。

  14. サインインリダイレクトURI、サインアウトリダイレクトURI。それらはOkta設定を更新するために必要です。

  15. Okta設定を更新し、前のタスクで使用したプレースホルダーを、先ほど説明した値に置き換えます。

  16. ログイン認証コードを使用する各ユーザーのCXone外部アイデンティティが正しい値に設定されていることを確認します。このフィールドは、従業員プロフィールのセキュリティセクションでアクセスできます。

    Oktaは、使用しなければならない値を決定します。これは、Oktaのユーザープロファイルで確認できます。この値は、 CXoneの外部アイデンティティフィールドに入力したものと正確に一致する必要があります。このフィールドの値は次の形式でなければなりません：claim(email):{email configured by your IdP}。たとえば、IdPにあるユーザーのEメールがnick.carraway@classics.com の場合、 claim(email):nickcarraway@classics.comと入力するはずです。

  17. ユーザーにCXoneにログインしてもらいます。最新のログインURLを使用する必要があります。ユーザー名を入力後、必要に応じて Oktaに誘導されます。

  18. Oktaに自分のアカウントを認証するよう求められたら、現在ログインしているCXoneアカウントに関連付けたいユーザーとして認証します。
  19. CXoneのOpenID Connect設定が検証済みとして表示されない場合、Oktaのログを使用して問題を診断してください。

CXone値をOktaに追加する

  1. Oktaアプリケーションに戻り、一般タブに移動します。
  2. SAML設定ウィンドウで編集 をクリックし、 次をクリックします。
  3. シングルサインオンURLには、CXoneログイン認証コードのACS URL値を入力します。
  4. オーディエンスURI（SPエンティティID）には、 CXoneログイン認証コードで取得したエンティティID値を入力します。
  5. 次をクリックし、 終了をクリックして、変更を完了します。

Oktaシングルサインオンでユーザーアクセスを検証します

  1. ログイン認証を使用する各従業員の外部アイデンティティが正しい値に設定されていることを確認します。この値はCXoneの外部アイデンティティに正確に一致する必要があります。外部アイデンティティフィールドは、大文字と小文字を区別します。

  2. 1人以上のテストユーザーに、最新のログインURL、https://cxone.niceincontact.comでログインしてもらう。FedRAMPの場合は、https://cxone-gov.niceincontact.com。ユーザー名を入力後、必要に応じて Oktaに誘導されます。

  3. 準備ができたら、Oktaシングルサインオンをすべての従業員に展開します。