バージョン3.18.0以降で発生するAD Agentの接続に関する問題
Last Updated:
Overview
この記事では、Okta Active Directory（AD）Agentのバージョン3.18.0以降で発生する接続の問題に対する解決策について説明します。
3.18.0への自動更新後にAD Agentが中断状態と表示されることもあります。
Applies To
- AD Agentバージョン3.18.0以降
- ディレクトリ
Cause
バージョン3.18.0以降のOkta AD Agentは、OAuth 2.0認証を使用してOkta Orgへの接続を確認します。これは、Okta管理者のすべての権限を持つ永続的なAPIトークンを使用して、AgentにOrgへのアクセス権を付与した以前の方法とは対照的です。
これは非常に安全な認証方法ですが、AD Agentメンバーサーバーが標準のNetwork Time Protocol（NTP）サーバープールと確実に時刻同期している必要があります。
時刻同期については、Okta System Logで次の検索文字列を使用して確認できます。
actor.id eq "urn:okta:agents:ad-agent" and (outcome.reason eq "token_timestamp_invalid" or outcome.reason eq "invalid_dpop_proof_jwt_issued_in_future" or outcome.reason eq "invalid_dpop_proof_jwt_too_old")
System Logには、クロックスキューの方向に応じて、OIDCトークンリクエストが「FAILURE: invalid_dpop_proof_jwt_issued_in_future（失敗：invalid_dpop_proof_jwt_issued_in_future）」または「FAILURE: invalid_dpop_proof_jwt_too_old（失敗：invalid_dpop_proof_jwt_too_old）」と表示されます。
これらのエラーは、Okta AD Agentのログにも表示されます。
「Unexpected response status (400 BadRequest) for request URI（要求URIに対する予期しない応答ステータス（400 BadRequest））
サーバーからの応答：{"error":"invalid_dpop_proof","error_description":"The DPoP proof JWT is issued in the future."}
により、新しいアクセストークンを取得できませんでした」
OAuthトークンリクエストが成功するまでの最大許容クロックスキューは30秒です。この値は変更される可能性があります。
クロックスキューを特定するには、ローカルサーバーの時刻を米国の公式時刻と比較します。
Solution
これを解決するには、メンバーサーバーを任意の標準NTPサーバーと同期させます。
w32tm /query /status管理者特権のコマンドプロンプト（CMD）を使用して次のように入力し、Enterキーを押します。
w32tm /resync上記がNTP時刻に適切に同期されない場合は、管理者特権のCMDウィンドウを使用して次を実行します。
net stop w32time w32tm /config /syncfromflags:manual /manualpeerlist:"0.it.pool.ntp.org 1.it.pool.ntp.org 2.it.pool.ntp.org 3.it.pool.ntp.org" net start w32time w32tm /config /update w32tm /resync /rediscover注：AD AgentをOktaと同期できるようにするには、上記のコマンドを実行した後にサービスを再起動する必要があります。
