LASSIC Media らしくメディア
Okta導入の進め方｜多要素認証と社内アカウント連携の導入支援
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- Oktaはアプリへのログインと利用者のアカウントを、クラウド上の1か所でまとめて管理するサービスです。
- 導入はシングルサインオン・多要素認証・ADとの連携・アカウントの自動停止の4つに分けて順番を決めます。
- 既存のADを残すなら、エージェントを置くサーバーの台数と取り込む属性を最初に決めることが大切です。
※ 本記事は2026年10月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
社内で使うクラウドのサービスが増えるたびに、IDとパスワードが1つずつ増えていく。退職した人のアカウントが、どのサービスに残っているのか分からない——。Active Directory（Windowsの社内アカウントをまとめる仕組み、以下AD）を使いながらクラウドのサービスを増やしてきた会社では、こうした食い違いが起こりがちです。Okta（オクタ）は、社内外のアプリへのログインと利用者のアカウントを、クラウド上の1か所でまとめて管理するためのサービスです。
1回のログインで複数のアプリを使えるシングルサインオンや、パスワードに別の確認を重ねる多要素認証を、会社全体にそろえて入れられます。ただし万能ではなく、どこまでをOktaに任せ、どこをADに残すかを決めずに始めると、設定のやり直しが増えます。本記事では、情報システムの担当者に向けて、Oktaでできること、導入範囲の分け方、ADとの関係、導入の進め方、そして導入支援を外部に頼むときに確認したい点を整理します。
Oktaとは
社員向けにOktaを入れるとき、まず候補になる機能は次の4つです。
- シングルサインオン：Oktaに1回ログインすれば、割り当てられたアプリをIDとパスワードを入れ直さずに開けます
- 多要素認証：パスワードに加えて、スマートフォンでの承認やセキュリティキーなど別の確認を求めます。会社全体のログインにも、アプリごとにもかけられます
- Universal Directory：利用者と属性（部署・役職などの情報）を、ADや人事のシステムから集めて1か所に置きます
- アカウントの自動作成と停止：SCIM（アカウント情報をやり取りする標準の手順）に対応したアプリなら、入社・異動・退職に合わせてアカウントを作成・更新・停止できます*5
多要素認証について、IPA（情報処理推進機構）の中小企業向けガイドラインは、「知っているもの」「持っているもの」「本人自身に関するもの」の3つの要素のうち、2つ以上を使う技術と説明しています。*1 Oktaは、この確認をログインの入り口でまとめて行う仕組みです。
導入範囲の分け方
Oktaの導入支援を頼むときに最初に決めるのは、どの機能をどの順で入れるかです。4つの範囲は、決めることも影響する相手も違います。
| 範囲 | 決めること | 影響する人 |
|---|---|---|
| シングルサインオン | つなぐアプリの順番と、ログインの方式 | アプリを使う全社員 |
| 多要素認証 | 使う確認の方法と、全体にかけるかアプリごとにかけるか | 全社員（スマートフォンやキーの配布を含む） |
| ADとの連携 | 利用者をADから取り込むか、パスワードの確認をADに任せるか | 情報システム部門とADの管理者 |
| アカウントの自動作成と停止 | 人事の情報を起点にするか、どのアプリまで自動にするか | 人事部門と各アプリの管理者 |
シングルサインオンでつなぐ方式は、OpenID Connect、SAML、SWA、WS-Federationの4つが主なものです。Okta Integration Network（OIN）と呼ばれる連携の一覧には数千のクラウドアプリが用意されています。*2 まずは利用者の多いアプリが一覧にあるかを確かめ、社内で作ったアプリは後の段階に回すと進めやすくなります。
多要素認証の確認方法には、強さの差があります。Oktaの資料は確認方法ごとの比較で、WebAuthn（セキュリティキーや端末の生体認証を使う標準）をフィッシング（偽サイトでの盗み取り）への耐性が強い方法とし、SMS・音声・メールは中程度としています。*3 全員に同じ方法を求めるか、管理者だけ強い方法にするかをここで決めます。
既存のActive Directoryとの関係
ADを使い続ける会社では、ADを利用者情報の元として残したままOktaにつなぐ形が基本です。社内のサーバーにOkta ADエージェントという小さなプログラムを入れ、ADの利用者とグループをOktaに取り込みます。ログインのときのパスワードの確認は、標準ではADに任せる設定（委任認証）になり、パスワードの変更やアカウントの無効化はすぐにOktaへ反映されます。*7
- エージェントはWindowsサーバーに入れます。ドメインコントローラー（ADの本体のサーバー）ではなく、別のメンバーサーバーに置くことが勧められています
- エージェントのサーバーは常に起動し、インターネットにつながっている必要があります
- 止まらないようにするには2台以上に入れます。利用者が3万人を超える場合は少なくとも3台です*6
- 取り込むときの利用者名の形式、取り込むOU（ADの中の部署ごとの入れ物）、取り込む属性を事前に決めます
取り込む属性は、必要なものだけに絞るのが無難です。Oktaの資料も、属性は後から増やせる一方、いったん作った対応づけを外すのは手間がかかると説明しています。また、エージェントは処理を振り分けず、最初に応答できるエージェントに処理が向かいます。*6 災害時まで考えるなら、どの拠点に何台置くかも決めておきます。
導入の進め方
Oktaの資料は、ADとの連携の進め方を2つに分けています。試験的な導入や小さな構成なら、エージェントを入れて一部の利用者を取り込み、基本の設定から始めます。大きな企業では、エージェントを入れる前に冗長化や取り込む属性を計画します。*6 どちらの場合も、次の4つの段階で進めると、途中で設定を作り直さずに済みます。
- ステップ1：つなぐアプリと利用者を洗い出し、導入範囲と順番を決める
- ステップ2：ADとの連携方式を決め、エージェントを入れるサーバーを用意する
- ステップ3：一部の部署で、シングルサインオンと多要素認証を試す
- ステップ4：全社に広げ、退職や異動のときのアカウント停止を運用に組み込む
つまずきやすいのは、ステップ3からステップ4への移り方です。多要素認証の登録は社員一人ひとりの作業になるため、スマートフォンを持たない社員やセキュリティキーの配り方を、試験の段階で確かめておきます。退職者については、Oktaで割り当てを外したときにADのアカウントも無効にする設定があります。*8 どのアプリまで自動で止められるかは、そのアプリがSCIMに対応しているかで変わります。
外部に頼むときに確認しておきたい点
Oktaの導入支援を外部に頼む場合も、導入後の運用を続けるのは自社です。見積もりの前に、次の点を相手と確かめておくと、作業範囲の食い違いを防げます。
- どこまで頼むか：アプリの連携設定、ADとの連携、多要素認証の展開、社員への説明のうち、どれを任せるか
- ADの整理：重複したアカウントや使われていないアカウントを、誰がいつ片づけるか
- 試験の進め方：どの部署で試し、何を確かめたら全社に広げるか
- 止まったときの手当て：エージェントのサーバーを何台どこに置き、更新を誰が受け持つか
- 運用後の見直し：退職者のアカウントが止まっているかを、定期的に確かめる場を設けるか
エージェントの更新も担当を決めておきます。Oktaの資料は、複数のエージェントを同じ版にそろえるよう求めており、版が混ざると同じドメインのエージェントが最も古い版の機能に合わせて動くとしています。*6 製品を問わないID連携の開発の考え方は認証基盤・IDaaS連携開発の外注で、ログインの受け渡しの仕組みはSAMLとはで扱っています。
まとめ：Okta導入で確かめておきたい3つの点
Oktaを導入するうえで、確かめておきたい点は3つに整理できます。第一に、4つの導入範囲のうち、どれをどの順で入れるかを決めること。第二に、ADを残すなら、エージェントを置くサーバーの台数と取り込む属性を先に決めること。第三に、一部の部署で試してから全社に広げ、退職者のアカウントが止まるところまで確かめることです。この3点を踏まえておけば、「Oktaを入れたのに、退職者のアカウントが前と同じように残っている」という事態を避けやすくなります。導入範囲の決め方やADとの連携に迷いがあれば、外部の手を借りるのも一つの選択肢です。
よくある質問
社内で作った業務アプリもシングルサインオンの対象にできますか
対象にできます。Oktaは、社内のサーバーで動くWebのアプリについても、SWAやSAMLの仕組みでつなぐ方法を用意しています。*2 アプリ側の改修が要るかは作りによって変わるため、クラウドアプリより後に進めるのが無難です。
スマートフォンを持たない社員の多要素認証はどうすればよいですか
スマートフォンでの承認のほかに、セキュリティキーや音声通話などの方法も選べます。*3 キーを配るなら、紛失時の手続きもあわせて用意しておきます。
管理者のアカウントにも多要素認証をかけるべきですか
かけておくことをお勧めします。Oktaの資料も、管理者が管理画面に入るときに多要素認証を求めることを検討するよう勧めています。*6 管理者は設定を変えられる立場なので、より強い確認方法を選ぶ考え方もあります。
Okta導入のご相談
Oktaの導入範囲の整理から、既存のActive Directoryとの連携設計、多要素認証の展開と運用まで、元請（プライムベンダー）としてご提案します。
2006年の創業以来、一次請けのシステムインテグレーターとして、企業のシステム開発と保守・運用を受託してきました。
出典
- *1 参考：独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（https://www.ipa.go.jp/security/guide/sme/about.html）。出典：本編の用語の説明「多要素認証」（3つの要素のうち2つ以上を使う技術）を参照（2026年10月確認）
- *2 参考：Okta Help Center「Single Sign-On」「Learn about app integrations」（https://help.okta.com/en-us/content/topics/apps/apps-about-sso.htm）。出典：シングルサインオンの説明、Okta Integration Networkの数千のクラウドアプリ、主な4つの方式（OIDC・SAML・SWA・WS-Fed）、社内のWebアプリをSWAやSAMLでつなぐ方法を参照（2026年10月確認）
- *3 参考：Okta Help Center「About multifactor authentication」（https://help.okta.com/en-us/content/topics/security/mfa/about-mfa.htm）。出典：多要素認証の設定範囲（組織全体とアプリ）、確認方法ごとの比較表（WebAuthnのフィッシング耐性、SMS・音声・メール）、YubiKeyの利用を参照（2026年10月確認）
- *4 参考：Okta Help Center「User management」（https://help.okta.com/en-us/content/topics/users-groups-profiles/usgp-main.htm）。出典：Universal Directoryで利用者と属性を、ディレクトリや人事のアプリから集めて管理できるとの記述を参照（2026年10月確認）
- *5 参考：Okta Help Center「SCIM app integrations」（https://help.okta.com/en-us/content/topics/apps/apps-about-scim.htm）。出典：SCIMによるアカウントの作成・参照・更新・停止（Create, Read, Update, Deprovision）の説明を参照（2026年10月確認）
- *6 参考：Okta Help Center「Active Directory integration」関連ページ（https://help.okta.com/en-us/content/topics/directory/ad-agent-main.htm）。出典：Get started・Prerequisites（Windowsサーバー、メンバーサーバーの推奨、常時接続、2台以上の冗長化、3万人超で3台以上、同じ版にそろえること、管理者への多要素認証）、Import considerations、Plan for high availability（負荷を振り分けないこと）、Implementation optionsの各ページを参照（2026年10月確認）
- *7 参考：Okta Help Center「Delegated authentication with Active Directory」（https://help.okta.com/en-us/content/topics/directory/directory_ad_delegated_authentication.htm）。出典：AD連携時に委任認証が標準で有効になること、パスワード変更や無効化がすぐにOktaへ反映されることを参照（2026年10月確認）
- *8 参考：Okta Help Center「Configure Active Directory provisioning settings」（https://help.okta.com/en-us/content/topics/directory/ad-agent-configure-provisioning.htm）。出典：Oktaで割り当てを外したときにADのアカウントを無効にする設定（Deactivate Users）を参照（2026年10月確認）
