こちらのドキュメントでは、Atlassian Guard での Okta を利用した ID プロバイダー連携の手順について解説します。

こちらの手順を実施するには、組織管理者の権限が必要です。

また、以下の手順はドメイン認証と Atlassian Guard へのサブスクリプション開始が完了されていることを前提としています。

2024年11月時点での情報を基に作成しています。

参考：

1 事前準備
- 1.1 Okta をセットアップする
- 1.2 Atlassian に登録されているグループを確認する
2 グループと Atlassian Cloud アプリを紐づける
3 ユーザープロビジョニングを構成する
4 SAML シングルサインオンを構成する
5 SAML シングルサインオンの適用

事前準備

Okta をセットアップする

今回は検証目的で Okta を導入する手順を説明します。

既に Okta を所有している場合は次の「Atlassian に登録されているグループを確認する」に進んでください。

こちらにアクセスし、 Customer Identity Cloud かWorkforce Identity Cloud か Access the Okta Developer Edition Service を選びます。
メールアドレスをいれてサインアップします。
登録したメールアドレス宛にOkataからメールが届きますので、Activate Okta accountをクリックしてサインアップします。
Active Directory と接続する場合は Okta を Active Directory に接続する方法について詳細を見るリンクをご参照ください。
Okta にサインインし、ダイアログの指示に従って多要素認証（MFA）を設定します。Okta に Atlassian Cloud アプリを追加します。こちらへアクセスし、Add Integration をクリックします。
作成した Okta 環境を選びます。Get Started の各ステップを適宜行い、ユーザーのインポート等を完了します。
ディレクトリ > グループをクリックします。グループをクリックし、ID プロバイダー連携を行いたい Atlassian 製品のグループを追加します。
７で作成したグループをクリックします。右上のユーザーを割り当てをクリックし、検索欄からグループに追加するユーザーを検索します。
グループに追加するユーザーの欄の＋をクリックして完了をクリックします。

Atlassian に登録されているグループを確認する

本ドキュメントでは Okta に Atlassian 製品の初期設定のアクセスのグループと別名のグループを作成し同期して管理することを前提としています。
現在の Atlassian の組織管理画面で登録されているグループ名を確認して、Okta で作るグループの名前と被らないようご注意ください。

グループと Atlassian Cloud アプリを紐づける

グループをクリックし、先ほど作成したグループをクリックします。
アプリケーションをクリックし、アプリケーションを割り当てをクリックします。
「Atlassian Cloud」の「割り当て」をクリックしま

ユーザープロビジョニングを構成する

STEP1. ディレクトリを作成する

https://admin.atlassian.com/ にアクセスし、今回ユーザープロビジョニングを適用する組織をクリックします。
セキュリティ＞IDプロバイダーをクリックし、ID プロバイダーを追加ボタンをクリックします。
アイデンティティプロバイダーにOktaを選択し、ディレクトリ名に適当な名前をつけます。
ユーザープロビジョニングをセットアップを選択し、次へをクリックします
「SCIM ベース URL」と「API キー」が表示されます。このブラウザータブを開いたままにしてください。

STEP2. Okta 側で連携を有効化する

Okta に切り替えて、左側のペインから「アプリケーション」 > 「アプリケーション」に移動します。
Atlassian Cloud を選択し「プロビジョニング」タブをクリックします
API統合を構成をクリックします。「API 統合を有効化」にチェックを入れます
Atlassian 組織の画面に戻り、記載された「SCIM ベース URL」と「API キー」をコピーして貼り付けます
- Okta の「Base URL」に Atlassian の「SCIM ベース URL」の値を貼り付けます
- Okta の「API Token」に Atlassian の「API キー」の値を貼り付けます
API資格情報をテストをクリックし「Atlassian Cloud が正常に接続されました」メッセージが出たら保存ボタンをクリックします。
Atlassian 組織管理画面へ戻り、次へをクリックします。
左上の「×」をクリックしてユーザープロビジョニングの設定画面を終了します。
右上の「・・・」をクリックし、「ドメインをリンク」をクリックします。
事前準備したドメインを選択し、「次へ」をクリックします。
「ドメインを移動」をクリックします。
Okta とドメインがリンクされました。

STEP3. Okta 側でオプションを構成する

Okta にログインし、アプリケーション＞プロビジョニングをクリックします。
「アプリにプロビショニング」の「編集」をクリックします。
必要なオプションで有効を選択し、保存ボタンをクリックします。

STEP4. Okta 側のフィールドマッピングが正しいことを確認する

ユーザープロビジョニングでは、ドメインのメールアドレスによりユーザーを特定して Atlassian アカウントの作成またはリンクを行います。
そのため、ユーザーのメールアドレスフィールドが SAML SSO 設定と Okta アプリの SCIM ユーザープロビジョニング設定とで異なる場合に Atlassian アカウントが複製されてしまうことがあります。
こちらでは、アカウントの複製を防ぐためにメールアドレスフィールドのマッピングを確認します。

Okta にログインし、アプリケーションメニューを開きます。Atlassian Cloud をクリックします。
プロビショニングタブを選択し、設定のアプリへをクリックします。
スクロールし、画面下部のAtlassian Cloud属性マッピングを確認します。
Primary email 属性にマッピングされているフィールドを控えておいてください。
（既定では email となっています）
次にサインオンタブをクリックします。
スクロールし、画面下部の資格情報の詳細を確認します。
アプリケーションユーザー名の形式と控えておいた Primary email 属性が一致していれば問題ありません。
一致していない場合、アプリケーションユーザー名の形式の値を控えておいてください。（既定では Okta username となっています）
こちらの実際の値が Primary email 属性と一致しているか確認します。
ディレクトリ>ユーザーより任意のユーザーを選択し、プロファイルタブを開きます。
控えておいたアプリケーションユーザー名の形式の属性値とプライマリメールアドレスの属性値が一致していることを確認してください。
手順の例では、プライマリメールアドレス属性とユーザー名属性ですが、両方にメールアドレスが使われており値が一致しているため、マッピングは問題ないことが確認できます。

STEP5. 組織にグループを同期する

グループ同期機能を使用すると、ID プロバイダー側で Atlassian Cloud ユーザー権限やライセンスを管理できるようになります

グループを同期しただけではユーザーは同期されません。

Okta にログインし、アプリケーションメニューを開きます。Atlassian Cloud をクリックします。
プッシュグループタブを選択し、名前でをクリックします。
プッシュグループをクリックし、名前でグループを検索を選択します。
Atlassian 製品のグループ名を入力し、選択します。
必要なグループをすべて追加し、保存ボタンをクリックします。
グループが Active であることを確認します。
Atlassian Cloud の組織管理画面のセキュリティ > ID プロバイダの Okta ディレクトリを選択した後の画面で、同期済みのグループが 1になっていることと Okta で同期したグループが含まれているかを確認します。

STEP6. ユーザーを Atlassian アプリケーションに割り当てる

グループをアプリケーションに割り当てることで、グループに属するユーザーも同時に自動で割り当てられます。

Okta にログインし、アプリケーションメニューを開きます。Atlassian Cloud をクリックします。
割り当て > ユーザーよりグループに割り当てをクリックします。
割り当てたいグループの割り当てボタンをクリックします。
属性の既定値を設定します。
この既定値はユーザープロファイルに既定値が設定されていない場合にのみ使用されます。空欄でも構いません。
保存して戻るボタンをクリックします。
グループが割り当て済みとなっていることを確認し、保存ボタンをクリックします。

SAML シングルサインオンを構成する

Atlassian の管理画面にてセキュリティ＞ IDプロバイダーにて Okta と連携済みのディレクトリを選択します。
「SAML シングルサインオンをセットアップする」をクリックし、「次へ」をクリックします。以下の画面に遷移したら、このブラウザータブを開いたままにしておいてください。このまま別のブラウザータブを開いて次のステップに進みます。
Okta画面のタブに切り替えて、左側のペインから「アプリケーション」 > 「アプリケーション」に移動します。Atlassian Cloudを選択し「サインオン」タブをクリックして編集をクリックします。
ラジオボタンの「SAML 2.0」を選択します。続けて　「SAMLの設定手順を表示」をクリックします。新しいタブでヘルプページが開きます。
ヘルプページをスクロールダウンすると、ステップ 7に Atlassian Cloud 側で必要な設定内容が表示されます。（これはOkta環境ごとに異なります）
Atlassian Cloud の組織画面のタブに戻ります。Oktaヘルプに表示されている項目を3つコピーしてそれぞれ貼り付け、「次へ」をクリックします。続けて以下の画面が表示されます。
Oktaの画面タブに切り替え、Unique ID に上記手順の画面のサービスプロバイダのエンティティURLの～com/saml/ 以下の文字列をコピーアンドペーストし、下にスクロールし「保存」をクリックして保存します。https://auth.atlassian.com/saml/65c7647d-f4d5-4b41-8aef-39cc3b680cac」の場合は、「65c7647d-f4d5-4b41-8aef-39cc3b680cac」部分をコピーします。
Atlassian Cloud の画面タブに戻り、次へをクリックします。その後は、会社ドメインユーザーをすべてSAML SSO強制にするため、ドメインを選択してリンクして次へをクリックします。
設定を保存します。