この記事では、Netskope Cloud Exchange (CE) プラットフォーム、特に Okta におけるシングルサインオン (SSO) の設定方法について説明します。これにより、プラットフォーム内で管理者を手動で設定するのではなく、既存のIDプロバイダー（IdP）内からCEへの管理者アクセスを管理できるようになります。
Cloud Exchangeは、お客様が通常利用できるNetskopeの標準テナントとは異なり、お客様の様々なセキュリティプラットフォームや運用プラットフォーム間での情報交換を容易にします。
動画を見る
再生ボタンをクリックして動画をご覧ください。
Cloud Exchange SSO情報をコピーする
Cloud Exchangeにログインします 管理者（スーパー管理者）ユーザーでログインし、 Settings > Usersに移動します（この設定エリアは管理者ユーザーのみに表示されます）。
SSO ConfigurationタブSelect 、 SSOトグルONを切り替えます（この設定を必ず保存してください）。 サービスプロバイダーエンティティIDとサービスプロバイダーACS URLフィールドをコピーしてください。以下の画像は、どの URL が Okta のどの設定フィールドに対応しているかを示しています。
Okta SAML統合の設定
Oktaコンソールに戻り、これらの設定を構成してください。
Cloud Exchange SSO設定の最初の2つのサービスプロバイダーURLフィールドには、対応するURLをOktaの適切なフィールドに貼り付けてください。マッピングについては、以下の表を参照してください。
| サービスプロバイダーエンティティID | オーディエンスURL（SPエンティティID） |
| サービスプロバイダーACS URL | シングルサインオンURL |
| サービスプロバイダーSLS URL | N/A – 使わない |
名前ID形式を設定します
Okta の名前 ID フォーマットをUnspecifiedからEmailAddressに変更してください。
SAML設定を完了する
完了したら、ページの一番下までスクロールしてNextをクリックしてください。「これは私たちが作成した内部アプリです」のチェックボックスをオンにして、 Finishをクリックします。
次のページで、 Sign Onタブの下にある黄色の枠内のView SAML Setup Instructionsをクリックしてください。
新しいタブが開きます。そこには、後でCloud Exchangeコンソールに入力するためにコピーする必要のある、IdP SSO URL、IdP 発行者、および証明書が含まれています。
Oktaの設定作業がまだ残っているので、このタブは今日中は開いたままにしておいてください。
追加属性を追加する
Go to Sign On, and under the Attribute Statements section, click Show legacy configuration, then select Edit for Profile attribute statements.
Oktaの設定に、さらに2つの属性ステートメントを追加します。
- username値をuser.emailに設定します。
- roles値をappuser.rolesに設定してください（ドロップダウンリストには表示されないため、手動で入力する必要があります）。
 |
Oktaでロール属性を作成する
ユーザーには、管理者 (読み取り/書き込みアクセス)、読み取り専用、およびカスタム管理者の 3 つの役割のいずれかに基づいて、 Cloud Exchange UI への読み取り/書き込みアクセス、または読み取りのみのアクセスを割り当てることができます。 Oktaでロール属性を作成する必要があります。そうすることでCloud Exchange使用するIT管理者グループに割り当てることができます。
- 左側のパネルからDirectory > Profile Editorに移動し、 Netskope Cloud Exchange Userプロファイルを選択します。
ここでは、SAML設定を完了した際にユーザー名属性が追加されていることが確認できますが、ロール属性はどこにも見当たらないため、手動で作成する必要があります。
- Add Attribute .
をクリックしてください
- For Data type, select string.
- For Display name, enter Roles.
- For Variable name, enter roles (This is case-sensitive).
- For Description, enter Netskope Cloud Exchange Admin Roles.
- Attribute RequiredとGroupオプションを有効にしてください。
- Save .
をクリックしてください
Cloud Exchangeアクセス用のユーザー グループの設定
Oktaコンソールで、2つのグループを作成します。1つはCEへの読み書きアクセス権を持つユーザー用、もう1つは読み書き専用アクセス権を持つユーザー用です。
左側のパネルからDirectory > Groupsに移動し、 Add Groupを選択してください。
読む専用グループと管理者グループを作成する
Create two groups called Netskope CE Read-Only and Netskope CE Admin.
読む専用ロールにユーザーを割り当てる
グループ一覧から作成したNetskope Cloud Exchange Read-Onlyグループをクリックして、グループを編集します。
[ユーザー] タブでAssign Peopleをクリックし、CE プラットフォームへの読み取り専用アクセス権を持つユーザーを割り当てます。 完了したら、 Saveをクリックしてください。
 |
ApplicationsタブSelectてAssign applicationsをクリックします。
 |
Netskope Cloud Exchangeアプリケーションを割り当ててください。
次に、役割を指定するように求められます。Netskopeに入る -ce-読む
WARNING: You must enter this exactly or SSO will fail! This is case-sensitive.
 |
Save and Go Back Select 、読む専用グループの設定を完了します。」
管理者ロールにユーザーを割り当てる
グループリストから作成したNetskope CE Adminグループをクリックして、グループを編集します。
今回は CE プラットフォームへの読み取り/書き込みアクセス権を持つユーザーを選択することを除いて、上記の手順を繰り返します。 完了したら、 Saveをクリックしてください。
役割を指定するよう求められたら、 netskope-ce-write;netskope-ce-readと入力してください。
WARNING: You must enter this exactly or SSO will fail! It is case sensitiveî
 |
管理者グループの設定を完了するには、 Save and Go Back Select 。
Cloud Exchange で SSO 設定を完了します
Cloud Exchange UI のSSO Configurationセクション ( Settings > Users > SSO Configuration ) に戻ります。ここに、以前（別のタブで）開いたセットアップ手順書に記載されている詳細情報を入力します。
Cloud Exchange SSO設定のこれらのフィールドには、Oktaセットアップ手順書から該当する情報を貼り付けてください。マッピングについては、以下の表を参照してください。
| Cloud Exchange Field | Okta Setup Instructions Field |
|---|---|
| IDプロバイダー発行者URL | IDプロバイダー発行者 |
| IDプロバイダーSSO URL | IDプロバイダーのシングルサインオンURL |
| Cloud Exchange Field | Okta Setup Instructions Field |
|---|---|
| IDプロバイダーSLO URL | IDプロバイダーのシングルサインオンURL |
| 公開証明書 | Certificate |
SLO URL欄は必須ではありませんが、空白にすることはできません。同じ URL をコピーしてください このフィールドの ID プロバイダー SSO URL 用です。
 |
Saveをクリックしてください。
SSO構成のテスト
新しいシークレットウィンドウを開き（キャッシュに関する潜在的な問題を回避するため）、ブラウザでCloud Exchangeデプロイメントの URL にアクセスしてください。
このガイドの冒頭で説明したとおり、SSOチェックボックスを有効にした場合、Cloud Exchangeにアクセスする際に次の2つのオプションが表示されます。
- SSOでログインしてください。
オプション2は ローカルログイン用です（デフォルトの管理者ユーザー、またはCloud Exchangeのユーザーリストに手動で追加されたユーザー）。
- Login with SSO Select 。 Oktaにログインするためにリダイレクトされます。
ユーザー クレデンシャルを入力すると、認証され、 Cloud Exchangeインターフェイスにリダイレクトされます。 以下の例では、Ben ユーザーがNetskope CE Read-Onlyグループに割り当てられているため、 Settingsメニューのほとんどが非表示になっています。
Oktaを使用したCloud ExchangeのSSOのトラブルシューティング
サインインに問題がある場合は、まずどのプラットフォーム（OktaまたはCloud Exchange）でエラーが発生しているかを確認してください。表示されているエラーがOktaからのものである場合、問題はOkta側の設定にある可能性が高いです。URLを再確認してください。また、サインインしようとしているユーザーがNetskope CE-OnlyグループまたはNetskope CE Adminグループのいずれかに割り当てられているかどうかも確認してください。
Cloud Exchangeからエラーが発生している場合は、CE または Okta に入力した URL が間違っているか、カスタムユーザー名とロール属性を追加していないか、ロール名を正しく入力していない可能性があります (例: Netskope -ce- 読み取りとNetskope -ce- 書き込み、 Netskope -ce- 読み取り)。
エラー「{“detail”:”Method Not Allowed”}」が表示された場合は、OktaとCloud Exchangeの両方にコピーされたURLが正しく、適切な場所に配置されていることを確認してください。
エラー {“detail”:”認証できませんでした。ユーザー名/役割属性が設定されていません。},次に、SAML設定にユーザー名とロールのクレームが追加されていることを確認してください。
SSOは正常に通過したが、CEで「データ取得中にエラーが発生しました」という赤いメッセージが表示される場合は、ユーザーに割り当てたロールに問題があります。管理者グループ（ Netskope CE Admin）の属性としてnetskope-ce-write;netskope-ce-read 、閲覧専用ロール（ Netskope CE 閲覧専用）の属性としてnetskope-ce-readを入力したことを確認してください。
さらに、影響を受けるユーザーに以下のいずれかのグループが割り当てられていることを確認してください。また、役割フィールドに上記の2つの承認済み文字列以外の文字列が入力されている場合にも、このエラーが発生する可能性があります。
