先月、Logtoでシングルサインオン（SSO）機能を正式にリリースしました。この機能により、Logtoを介してOpenID Connect（OIDC）およびSAMLプロトコルをサポートする任意のSSOプロバイダーとアプリケーションを統合できます。一般的なOIDCおよびSAML SSOコネクタに加えて、Okta、Azure AD、Google Workspaceを含むいくつかの組み込みエンタープライズSSOコネクタも提供しています。このチュートリアルでは、LogtoアプリケーションとOkta SSOを数分で統合する方法を紹介します。 ## 前提条件開始する前に、Oktaアカウントが必要です。もし持っていない場合は、[こちら](https://developer.okta.com/signup/)から無料のOkta開発者アカウントを登録することができます。もちろん、Logtoアカウントも必要です。もし持っていない場合は、Logtoアカウントにサインアップすることをお勧めします。Logtoは個人利用の場合無料です。SSO機能を含むすべての機能が無料の開発者テナントで利用できます。よく統合されたLogtoアプリケーションも必要です。持っていない場合は、[統合ガイド](https://docs.logto.io/docs/recipes/integrate-logto/)に従ってLogtoアプリケーションを作成してください。 ## Logtoで新しいOkta SSOコネクタを作成 1. [Logto Cloud Console](https://cloud.logto.io)にアクセスし、**Enterprise SSO**ページに移動します。 ![Logto Cloud Console](https://uploads.strapi.logto.io/1/enterprise_sso_2d489f2958.webp) 2. **Add Enterprise SSO**ボタンをクリックし、SSOプロバイダーとして**Okta**を選択します。 okta connector

次のステップに進む前に、Okta側からいくつかの情報を収集する必要があります。 ## Oktaアプリケーションを作成 1. Okta管理者ポータルにアクセスし、管理者アカウントにサインインします。 2. **Applications**タブに移動し、すべてのアプリケーションがここにリストされます。 3. 左上の**Add Application**ボタンをクリックして、新しいアプリケーション作成セッションを開始します。 4. サインイン方法として**OIDC - OpenID Connect**を選択し、アプリケーションタイプとして**Web Application**を選択します。 ![Create Okta application](https://uploads.strapi.logto.io/1/create_application_d8a3828d98.webp) 5. **Next**ボタンをクリックして次のステップに進みます。 ## Oktaアプリケーションを設定 1. アプリケーションの一般情報を入力します。 | フィールド名 | 説明 | | ---------- | ----------------------------------------------------------------------------------------------------------------------------------------------- | | 名前 | アプリケーションの名前です。 | | ロゴ | アプリケーションのロゴです。 | | グラントタイプ | アプリケーションのグラントタイプです。Logtoクライアントはユーザーの代わりにSSOフローをトリガーし、デフォルトの**Authorization Code**グラントタイプを使用します。 | ![Appliction Settings](https://uploads.strapi.logto.io/1/application_settings_498fed2a88.webp) 2. アプリケーションの**Sign-in redirect URIs**を入力します。これらのURIは、SSOフローが完了した後にユーザーをLogtoアプリケーションにリダイレクトするために使用されます。LogtoのOkta SSOコネクタページの下部にリダイレクトURIの値が記載されています。 ![Redirect URI](https://uploads.strapi.logto.io/1/redirect_uri_431aa27fc7.webp) 3. アプリケーションにユーザーを割り当てます。Oktaはアプリケーションアクセスを制御するためのいくつかの方法を提供します。Okta組織内のすべてのユーザーをアプリケーションに割り当てることも、特定のグループにアプリケーションを割り当てることもできます。 ![Assign users](https://uploads.strapi.logto.io/1/assign_users_e6e1d99968.webp) 4. アプリケーション作成を完了するには、**Save**ボタンをクリックします。 ## LogtoでOkta SSOコネクタを設定 1. Oktaアプリケーションページから**Client ID**と**Client Secret**をコピーし、LogtoのOkta SSOコネクタページに貼り付けます。 ![Client ID and Client Secret](https://uploads.strapi.logto.io/1/client_credentials_68b35fdf49.webp) 2. Okta組織URLをコピーし、LogtoのOkta SSOコネクタページに**Issuer URL**として貼り付けます。組織URLは、Okta管理ポータルの右上隅で確認できます。 issuer

3. オプション: `Scope`フィールドを使用してOAuthリクエストに追加のスコープを追加することができます。これにより、Okta OAuthサーバーからより多くの情報をリクエストすることが可能です。利用可能なスコープに関する詳細は、[Okta documentation](https://developer.okta.com/docs/reference/api/oidc/#scopes)を参照してください。カスタムスコープ設定に関わらず、Logtoは常にIdPに`openid`、`profile`、`email`スコープを送信します。これは、Logtoがユーザーのアイデンティティ情報とメールアドレスを適切に取得できるようにするためです。 4. **SSO Experience**タブに移動し、**Enterprise email domain**フィールドに記入します。これにより、そのユーザー用の認証方法としてSSOコネクタが有効になります。例えば、`logto.io`をエンタープライズメールドメインとして記入すると、メールアドレスが`@logto.io`で終わるすべてのユーザーは、Okta SSOコネクタを使用してLogtoアプリケーションにサインインすることが求められます。 ![SSO Experience](https://uploads.strapi.logto.io/1/email_domain_c9ed10e8a5.webp) ## LogtoのサインインエクスペリエンスでSSOを有効にする 1. **Sign-in Experience**ページに移動します。 2. **Sign-up and sign-in**タブをクリックします。 3. **ADVANCED OPTIONS**セクションまでスクロールダウンして、**Enterprise SSO**トグルを有効にします。 ![Enable SSO](https://uploads.strapi.logto.io/1/sie_config_14ed0d2a3f.webp) ## SSO統合をテストするサインイン体験ライブプレビューを使用してSSO統合をテストします。**Sign-in Experience preview**セクションの右上隅にライブプレビューボタンがあります。成功したSSO統合は、ユーザーをOktaのサインインページにリダイレクトします。ユーザーが正常にサインインすると、Logtoのデモアプリにリダイレクトされます。