Sysdig SecureのSingle Sign On (SSO) 設定 - Okta

Sysdig SecureではSysdig SaaSのユーザーアカウントをIdPと連携させ、Single Sign On (SSO）を実現することが可能です。本記事ではOktaとの連携手順についてご紹介します。
ドキュメントは下記をご参照ください。

https://docs.sysdig.com/en/docs/administration/administration-settings/authentication-and-authorization-saas/

# Oktaでのアプリケーション連携
Okta側の管理画面で __Applications__ ページに移動し、 __Create App Integration__ をクリックします。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/34c22882-f1bc-872e-28cb-3acfbb6398a4.png)

__SAML 2.0__ を選択し、__Next__ をクリックします。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/756624d0-1a27-50fc-0ca4-bae18cf58f3b.png)

__App name__ として任意の名称（例：Sysdig）を入力し、__Next__ をクリックします。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/04db43da-f5a3-0e32-8a77-8fd354602198.png)

下記ドキュメントを参照して必要項目を入力します。

https://docs.sysdig.com/en/docs/administration/administration-settings/authentication-and-authorization-saas/saml-saas/okta-saml/#sysdig-specific-steps-for-okta-configuration

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/d3def60f-45d6-4fda-28f2-5a9260470100.png)

:::note info
__Single sign-on URL__ と __Audience URI__ の値は、ご利用のSysdig SaaSリージョンにより異なります。各リージョンの値は下記ドキュメントをご参照ください。
https://docs.sysdig.com/en/docs/administration/saas-regions-and-ip-ranges/#saas-regions-and-ip-ranges
:::

下記の __Attribute Statements__ を設定します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/9ad92a5b-370f-8cb5-7966-0762b8f27f5b.png)

__Next__ をクリックします。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/14ba43ee-56ef-457b-2b71-6682bb0ee0c2.png)

__Finish__ をクリックします。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/f881a050-0e50-67d7-e526-e64f3ccc61d1.png)

このアプリケーションにSSOでログインするユーザーを割り当てます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/5a132af0-db6e-02cb-20ae-005c1fff90e4.png)

__Metadata URL__ をコピーします。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/9b1b8221-a9b4-8c0a-558b-f900490c2882.png)

# Sysdig UIでのSSO設定
Sysdig UIのアカウントメニュー（左下の自分の名前）から __Authentication (SSO)__ に移動します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/9a195e94-728d-118e-111b-4202fc93754a.png)

__Connection Settings__ で __SAML__ タブを選択し、__Metadata__ のURLに先ほどコピーしたMetdata URLを入力します。また、__Email Parameter__ に __email__ と入力し、__Save Settings__ をクリックします。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/aed88302-7ab1-2252-5992-658af5d1feef.png)

画面上部の __Enable Single Sign On__ で __SAML__ を選択し、__Set Authentication__ をクリックします。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/a4e2d37d-9ae5-4795-c705-3cd77da5d915.png)

# Sysdigアカウントへのcompany nameの設定
Sysdig SupportにSysdigアカウントに対するcompany name（任意の英字名称）の設定を依頼します。

# Oktaを使用したSSOログインのテスト
Sysdig Secureのログインサイトに移動し、画面下部の __SAML__ をクリックします。

<img src=https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/30e166d1-9cb6-8e86-c079-1cd742f0142f.png width=50%>

Sysdig Supportに設定を依頼した __company name__ を入力します。

<img src=https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/099a092c-c26f-e54e-20cf-d1e119b3109a.png width=50%>

Okta画面に遷移するので、ログインするユーザー名を入力して __Next__ をクリックします。

<img src=https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/1347c6c0-372f-573b-1979-8ff82a930c59.png width=50%>

本人確認の方法を選択します（今回はPush notificationを選択）。

<img src=https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/81f026eb-551b-0948-5f81-4cd0ab696878.png width=50%>

<img src=https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/1764549a-46a6-1b7d-ce5e-278249fa00ad.png width=50%>

Sysdigの __Authentication (SSO)__ 設定画面で __Create user on login__ を有効にしている場合は、Sysdig SaaSのユーザーが __Standard User__ 権限で自動的に作成されてログインに成功します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/e6e56f59-da7d-4fce-6800-3821e67e9d48.png)

ログインしたユーザーの権限は __Standard User__ になっています。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/97450309-5b32-a8bd-7be3-4c8ed3fb248b.png)

# まとめ
Oktaを使用してSysdig SaaSにSingle Sign Onでログインする設定を簡単に実施できることを確認しました。