Okta / SCIM & 汎用OIDC 連携手順書
本手順書は、Okta や Keycloak などのモダン IDaaS / OIDC プロバイダーをご利用の企業において、AegisMesh とのシングルサインオン（SSO）および SCIM 2.0 ユーザー・グループ自動同期を有効化するための標準設定手順です。
AegisMesh の管理ダッシュボード（TenantAdmin 権限）の 「Integrations」 画面から、迅速かつセキュアに連携を構成できます。
1. 概要と導入メリット
- Okta SCIM 2.0 完全対応: Okta 上でユーザーに AegisMesh アプリを割り当てるだけで、AegisMesh 側にリアルタイムでアカウントが作成・更新。
- グループメンバーシップの即時同期: 開発チーム（
developers）や管理者チーム（sec-ops）などのグループ所属が、AegisMesh のアクセスポリシーへ即時連動。 - オンプレミス・プライベート IdP 対応: 金融機関や製造業で導入の多いオンプレミス Keycloak や Zitadel、Auth0 とも標準 OIDC で柔軟に連携可能。
- 退職・休職時の自動デプロビジョニング: Okta 側でユーザーをサスペンド・削除すると、即時に端末の仮想 IP 接続権限を剥奪。
2. 事前準備・前提条件チェックリスト
設定を開始する前に、以下の準備が整っていることを確認してください。
| チェック | 項目 | 必要条件・推奨値 | 備考 |
|---|---|---|---|
| [ ] | IdP 管理者権限 | Okta: Super Admin / Org Admin、Keycloak: Realm Admin | アプリケーション登録および SCIM トークン発行に必要 |
| [ ] | AegisMesh 管理者権限 | TenantAdmin または SuperAdmin | https://app.aegismesh.kusa-cloud.com/integrations にアクセス可能なこと |
| [ ] | 作業時間の目安 | 約 10 〜 15 分 | 反映待ち時間は含みません |
3. 【STEP 1】Okta 側での SCIM / OIDC アプリケーション作成
Okta Admin Console にて、AegisMesh 連携用のアプリケーションを作成します。
1-1. OIDC アプリケーションの作成
- Okta Admin Console にサインインします。
- 左メニューから 「Applications」>「Applications」 を開き、「Create App Integration」 をクリックします。
- 以下のオプションを選択して 「Next」 をクリックします：
- Sign-in method:
OIDC - OpenID Connect - Application type:
Web Application
- Sign-in method:
- アプリケーション設定を入力します：
- App integration name:
AegisMesh Zero Trust Network - Sign-in redirect URIs:
https://app.aegismesh.kusa-cloud.com/api/auth/callback
- Assignments: 割り当て対象のユーザーまたはグループ（例:
Everyone）を選択。
- App integration name:
- 「Save」 をクリックして保存します。
- General タブから Client ID と Client Secret を控えます。
1-2. SCIM 2.0 プロビジョニングの有効化（オプション）
- 作成したアプリの General タブ > App Settings > Edit をクリックします。
- Provisioning で 「SCIM」 にチェックを入れて保存します。
- 新設された Provisioning タブを開き、Integration を編集します：
- SCIM connector base URL:
https://app.aegismesh.kusa-cloud.com/api/scim/v2
- Unique identifier field for users:
email - Supported provisioning actions:
Push Users,Push Groupsにチェック。 - Authentication Mode:
HTTP Header - Authorization: AegisMesh 管理画面で発行された Bearer トークンを入力。
- SCIM connector base URL:
4. 【STEP 2】AegisMesh 管理コンソールでの登録
Okta で発行された認証情報を、AegisMesh 管理コンソールに登録します。
- ブラウザで AegisMesh 管理コンソール (app.aegismesh.kusa-cloud.com) に
TenantAdmin権限でログインします。 - 左メニューから 「Integrations」 画面を開きます。
- 「Okta」 カードの 「設定」（Connect）ボタンをクリックします。
- 設定モーダルが表示されます。
設定項目 対比マトリクス表
| AegisMesh 入力項目 | IdP 側の対応項目 | 設定値の入力例 | 注意点 |
|---|---|---|---|
| Issuer URL | Okta ドメイン / Keycloak Realm URL | https://your-company.okta.com | 末尾のスラッシュは不要です |
| クライアント ID | Client ID | 0oa12345678abcdef | Okta の General タブで確認 |
| クライアントシークレット | Client Secret | secret_xxxxxxxxxxxxxxxx | 生成されたシークレット文字列 |
| SCIM Auth Token | （AegisMesh側で発行） | （画面に表示されたトークン） | Okta の SCIM 設定画面にコピーして貼り付け |
- 内容を確認し、「保存して有効化」 をクリックします。
5. 【STEP 3】疎通確認とユーザー・グループ自動同期の検証
- 連携ステータスの確認:
- 「Integrations」画面で、Okta のステータスが 「Active（接続中・緑色）」 になっていることを確認します。
- アカウント同期の確認:
- Okta 側でユーザーを AegisMesh アプリにアサインし、数秒後に AegisMesh の 「Users」 画面へ即時反映されることを確認します。
- グループ同期の確認:
- Okta の「Push Groups」機能で指定したグループが、AegisMesh の 「Groups」 画面に自動作成されることを確認します。
6. 【STEP 4】エンドユーザー端末での SSO 動作確認
社員端末の AegisMesh クライアントアプリから接続テストを行います。
- AegisMesh クライアントを起動し、「Connect」 をクリックします。
- ブラウザが起動し、Okta のログイン画面（Okta Verify / FastPass）が表示されます。
- 認証を完了すると、自動的にブラウザからクライアントアプリへトークンが戻り、ゼロトラストネットワークへ接続されます。
7. トラブルシューティング（FAQ）
Q1. 「401 Unauthorized: Invalid SCIM Bearer Token」と表示される
- 原因: Okta 側の SCIM 設定に入力した Bearer トークンが誤っているか、有効期限が切れています。
- 対応: AegisMesh の「Integrations」>「Okta」画面から新しい SCIM トークンを再生成し、Okta の Provisioning 設定に貼り直してください。
Q2. Keycloak で「Invalid parameter: redirect_uri」となる
- 原因: Keycloak の Client 設定にある「Valid redirect URIs」と、実際のコールバック URL が一致していません。
- 対応: Keycloak 管理画面で
https://app.aegismesh.kusa-cloud.com/api/auth/callbackを許可リストに追加してください。