TeamSpirit（チームスピリット）とOktaの連携設定

石橋禎史

ソリューションエンジニア

October 7, 2021

チームスピリットへがSAMLによるシングルサインオン（SSO）と連携

株式会社チームスピリットが提供する働き方改革プラットフォーム「TeamSpirit」（チームスピリット）を容易にOkta Identity Cloudへ連携する方法をご紹介します。

Okta Integration Network（OIN）に登録完了済みのアプリケーションであれば、専用のアプリコネクタを用いることで迅速な接続設定が可能ですが、「TeamSpirit」はSalesforce基盤で構築されたクラウドサービスのため、既にOINに登録済みの「Salesforce.com」のコネクタを利用してOkta Identity Cloudへ接続となります。

こちらのカタログに記載の通り、「TeamSpirit」は「Salesforce.com」のコネクタを通してSSOおよびプロビジョニングの連携をサポートしています。それぞれの接続設定を以下で詳しく解説します。

[アプリの追加]

Applications → Applications → Browse App Catalog → Searchにて「Salesforce.com」を検索してAdd。

Application labelをTeamSpiritに変更。

Next → Done

アプリが追加された後、アイコンをTeamSpiritに変更:

こちらのページからアイコンをダウンロード可能。

[SAML SSO設定]

TeamSpiritアプリの設定にて、Sign Onタブ → Settings → Edit → SAML 2.0を選択。

View Setup Instructionsをクリック。

Salesforce.comのSAML設定ガイドに沿って、TeamSpiritのサービスが動作しているSalesforceテナントを接続。

SSO対象であるTeamSpiritユーザをAssign。

SSO対象のユーザがSalesforce側にて有効かを確認。

Salesforce: 設定 → 管理 → ユーザ → ユーザ

実際にOktaのユーザダッシュボードからSSOをテスト。

実際にOktaのユーザダッシュボードからSSOをテスト

SSOでTeamSpirit/Salesforceのテナントへアクセス成功。

[SSOアクセス時に多要素認証（MFA）を追加]

2022年2月1日以降、Salesforceにアクセスする際には多要素認証（MFA）を有効化する必要があります。OktaとSalesforce.comを連携させてSSOにてアクセスを既にしている場合でも、MFAは追加で設定が必須なため、Okta側でMFA設定をしなければなりません。MFAにはサイバー攻撃 (フィッシング攻撃、中間者攻撃など) への耐性が高い検証手段を使用する必要があり、Oktaでは「Okta Verify」「FIDO2（WebAuthn）」の2つを推奨します。

Okta Verify: 時間ベースのワンタイムパスワード、プッシュ認証
FIDO2（WebAuthn）: セキュリティキー、デバイス付帯の生体認証

なお、「メールメッセージ」「テキストメッセージ」「電話連絡」は要件を満たさない要素とされています。

*SAMLでは認証コンテキスト（AuthnContext）属性を使用するようSalesforce側で製品アップデートが予定されていますので、この記事も今後更新いたします。

<MFAの登録設定>

組織として利用したい要素をActivateする。

Okta管理コンソール: Security → Multifactor → Factor Types