Liferay DXPをSPとして、OKTAをIdPとして設定する

この記事では、ユーザーがLiferay DXPをSPとして、OKTAをIdPとしてセットアップするために実行する必要のある基本的な手順を説明します。

解決

OKTAの設定

1. OKTAにログインして、 Admin > Add Application (右メニューのショートカット) > Create New App.
2. SAML 2.0 を選択します
3. 名前として liferaysaml と入力し、次へをクリックします
4. 以下の項目を入力します
   • Single sign on URL: http://[myipaddress]:8080/c/portal/saml/acs
   • Audience URI (SP Entity ID): samlspdemo
   • Name ID format: EmailAddress
   • Application username: Email
5. Attribute Statements を選択します
   
   • screenName (Unspecified) = user.firstName
   • firstName (Unspecified) = user.firstName
   • lastName (Unspecified) = user.lastName
   • emailAddress (Unspecified) = user.email
6. Next をクリックし、This is an internal application that we created のボックスにチェックを入れ、完了します
7. Sign On タブで、 Application username formatを Emailに設定します
8. Sign On Methodsで、View Setup Instructionsボタンをクリックします
9. Optional の見出しの下で、すべてのxmlテキストを選択して、 oktametadata.xmlを作成します
10. Applications → Applications に移動します。liferaysamlアプリケーションの下矢印をクリックします。Assign to users をクリックし、assign for your usersをクリックして、Save and Go Backをクリックします

Liferay DXP

1. クリーンな状態のLiferay DXPバンドルを起動し、該当する場合はSAML 2.0プラグインをデプロイします（プラグインはLiferay DXP 7.3以降のコアに組み込まれています）
2. 「コントロールパネル」→「設定」→「SAML Admin」→「General」（DXP 7.3+では「コントロールパネル」→「Security」→「SAML Admin」）で、SAML Roleを「Service Provider」、Entity IDを「samlspdemo」に設定します
3. 証明書を作成します
4. サービスプロバイダ タブでは、デフォルトの設定を維持します
   • クロックスキュー：3000
   • Authnリクエストに署名しますか？ 選択済み
   • メタデータに署名しますか？ 選択さ済み
5. アイデンティティ・プロバイダー タブで、以下のように設定します
   1. 名前： okta
   2. 以前に作成した oktametadata.xml ファイルをアップロードします。
   3. エンティティIDを入力します（xmlファイルに記載されています ）
   4. 名前識別子フォーマット を メールアドレスに設定します。
   5. 以下の属性を入力します。 
      • emailAddress=emailAddress
      • firstName=firstName
      • lastName=lastName
      • screenName=screenName
   6. 有効の横のボックスをクリック
   7. 保存をクリック
6. 一般 タブに戻り、サービスプロバイダを有効にします
7. ホームページにサインインポートレットを追加します（SSOが機能していない場合、管理者はSSOをバイパスしてポータルにログインすることができます）
8. 新しいブラウザを開き、右上の ログイン をクリックすると、OKTAのサインインページにリダイレクトされます
9. ユーザー名とパスワードを入力します
10. ユーザーはLiferayのホームページにリダイレクトされ、自動的にサインインします