Okta を使用した SAML の設定

本文書では、Okta を SSO アイデンティティプロバイダーとして使用し、Dify エンタープライズ版で SAML 認証プロトコルを有効化する方法を説明します。この機能を有効化することで、エンタープライズログインページは統一されたアイデンティティ認証エントリを使用してセキュリティを強化します。企業内部ユーザーにとって、複雑なパスワードを入力する必要がなく、組織アカウントを使用してログインし認証を通過でき、ログインプロセスを簡素化します。

1. Okta で新しいアプリケーションを作成

Okta の管理者バックエンドページにアクセスし、Applications ページに移動し、Create App Integration ボタンをクリックします。

“SAML 2.0” アプリケーションタイプを選択します。

Next をクリック後、Configure SAML ページに移動します。この部分では一部のパラメータを入力する必要があります。しばらくお待ちいただき、新しいブラウザタブを開いて、下記の指示に従って必要な情報を取得してから、続けて入力してください。

2. Okta アプリケーションの設定

システム管理者は、Dify エンタープライズのコールバック URL を Okta アプリケーション内に入力する必要があります。

Workspace
WebApp Members（内部ユーザー向け）
WebApp External Users（外部ユーザー向け）

管理バックエンド → アイデンティティ認証 → メンバー認証 → SSO アイデンティティプロバイダー → New Identity Provider → New SAML Provider をクリックし、底部で Callback URL を取得します。

通常、以下の形式になります：

https://[your-dify-enterprise-url]/console/api/enterprise/sso/saml/acs

通常、以下の形式になります：

https://[your-app-url]/api/enterprise/sso/members/saml/acs

管理バックエンド → アイデンティティ認証 → Web App 外部ユーザー認証 → SSO アイデンティティプロバイダー → New Identity Provider → New SAML Provider をクリックし、底部で Callback URL を取得します。通常、以下の形式になります：

https://[your-app-url]/api/enterprise/sso/saml/acs

これを Configure SAML ページの Single sign-on URL と Audience URI (SP Entity ID) フィールドに貼り付けます。

URL を入力後、以下の設定を続けて完了してください：

Name ID 形式を EmailAddress に設定
“Show Advanced Settings” 下で、レスポンスとアサーション署名が Signed に設定されていることを確認

“Next” ボタンをクリックして設定を完了します。

3. Dify での設定を完了

まず Okta アプリケーションの “Sign On” ページに移動し、以下の情報を見つけます：
- Sign-on URL
- Signing certificate
次に “Assignments” ページで SSO ログインの使用を許可されるメンバーを割り当てます。
最後に Dify エンタープライズの Authentication ページに戻り、”+ New Identity Provider → New SAML Provider” をクリックし、ページで上記で取得した情報を順次入力して設定を完了します。 X509 Signing Certificate を入力する際は、以下の形式を参照してください：
```
-----BEGIN CERTIFICATE-----
{certificate}
-----END CERTIFICATE-----
```