Okta の Application の グループ割り当てに Terraform を使うとこれだけ楽になる話

こんにちは。

世のすべての SaaS は Terraform で管理できるようになってほしいと思ってるしもしゃん（@shimosyan）です。

こちらは 、Okta Advent Calendar 2021 16 日目の記事となります！

今回は、先日 Okta を Terraform と GitHub Actions を使ってコード管理するチュートリアル で書いた Okta の管理を Terraform を使って管理しやすくする方法の補足です。
「こんな使い方もできるよ！」といった Tips を紹介できたらと思います。

Okta でミスると怖いところ、Terraform で解決したいところ

Okta と SaaS を連携しようとすると、Okta 側では Application で対象の SaaS を誰がどう使えるかに関する設定を実施すると思います。

このとき、Okta のユーザーと Application を紐付けるときは、Application 設定内の Assignments にユーザーもしくはグループを紐付けると思います。

特に、その SaaS が Provisioning にも対応している場合はこの Assignments ユーザー・グループを紐付けるときに適用するライセンスやロールを設定できます。
この場合は、グループ単位で割り当てたほうが遥かに楽になるのでそれをする人が多いと思います。

このグループでの割り当ては優先度の概念があり、ライセンスやロールを当てる設定もこの優先度を活用して行われるかと思いますが、この優先度の変え方はドラッグアンドドロップで行われます。

割り当てるグループ数が数個程度だったら大きな問題はなかったのですが、作り込まれてくると数十のグループが登録されなかなかカオスな状態になってきました。

• 並び替えに画面のスクロールを要して操作しづらい
• 並び位置が違う
• うっかり操作ミスで並び替えを変えてしまう
• 並び替えのたび、 SaaS にプロビジョニング処理されて意図しない同期がされる

これらのように手作業では大変辛くなってきたので、これを解決したいと思います。

そこで本記事はこの Assignments の割り当てを Terraform で実装する方法をご紹介します！

準備

環境の準備は以下の記事をご覧ください。

実装

Terraform のサンプルコード全体です。Terraform の配列や繰り返し処理をふんだんに使っています。

./app_assignments.tf

# 割り当てるグループを作成
resource "okta_group" "priority_high" {
  name        = "優先度が高いグループ"
  description = ""
}

resource "okta_group" "priority_low" {
  name        = "優先度が低いグループ"
  description = ""
}

# 割り当てるグループを配列を使って指定
locals {
  test_app_group_assignments = [
    {
      id = okta_group.priority_high.id # 優先度が高いグループ
    },
    {
      id = okta_group.priority_low.id  # 優先度が低いグループ
    },
  ]
}

# Okta の Application を参照
data "okta_app" "test" {
  label = "Test"
}

# Application の Assignment を設定
resource "okta_app_group_assignments" "test" {
  app_id = data.okta_app.test.id

  # group ブロックを配列から展開
  dynamic "group" {
    for_each = local.test_app_group_assignments

    content {
      id       = group.value["id"]
      priority = group.key + 1
      # profile = プロビジョニングに必要な追加パラメータ（JSON形式）
    }
  }
}

以降はこれを要素ごとに解説していきます。

グループの作成

resource "okta_group" "priority_high" {
  name        = "優先度が高いグループ"
  description = ""
}

resource "okta_group" "priority_low" {
  name        = "優先度が低いグループ"
  description = ""
}

Okta のグループを作成しています。

割り当てるグループを配列を使って指定

locals {
  test_app_group_assignments = [
    {
      id = okta_group.priority_high.id # 優先度が高いグループ
    },
    {
      id = okta_group.priority_low.id  # 優先度が低いグループ
    },
  ]
}

Terraform の locals 句を使って、Assignments に割り当てるグループを指定する配列を生成しています。

Okta の Application を参照

data "okta_app" "test" {
  label = "Test"
}

今回は Applications の設定そのものは Terraform ではなく Okta で手動で作成した想定です。

このあと記述する okta_app_group_assignments では、割り当てる Applications の app_id を指定する必要があります。しかし、この Applications は Terraform から作成していないため Okta から ID を取得する必要があります。

それには、data 句を使います。
Okta 上の Applications の一覧に対して data 句で指定した label と同じ Application 名を検索します。data 句は検索にヒットした Applications のプロパティを Terraform で使えるようにします。

Application の Assignment を設定

resource "okta_app_group_assignments" "test" {
  app_id = data.okta_app.test.id

  # group ブロックを配列から展開
  dynamic "group" {
    for_each = local.test_app_group_assignments

    content {
      id       = group.value["id"]
      priority = group.key + 1
      # profile = プロビジョニングに必要な追加パラメータ（JSON形式）
    }
  }
}

Application にグループを割り当てる定義です。

本来、okta_app_group_assignments は以下のように割当グループのアサインを行います。

resource "okta_app_group_assignments" "test" {
  app_id = data.okta_app.test.id

  group {
    id       = okta_group.priority_high.id
    priority = 1
  }
  group {
    id       = okta_group.priority_low.id
    priority = 2
  }
}

しかし、途中に別のグループが追加されると、priority の値が振り直しになってしまい保守しにくくなっています。

そのためグループ情報を配列に格納し group ブロックの定義は配列から自動展開するように工夫しています。

配列の index がそのまま priority の値になるので、配列の順序は注意しなければなりません。

また、該当の Application が Provisioning に対応している場合、ライセンスやロールの情報が追加で必要になることがあります。

その場合は、profile プロパティに JSON 形式でパラメータを埋め込んでください。

必要な JSON は Application ごとに異なるため、仕様を調べる必要があります。

仕様を調べるコツ

一度 Okta で手動で設定したあとに、 terraform plan コマンドで差分を取ると Okta に設定した内容が JSON で取れます。

最後に

今回は Terraform を使って、Okta の Assignments のコード化を実現しました！

特に、Organization Units が大量にある Google Workspace や、ライセンスやロールが複数組み合わせとなる Microsoft 365 の Provisioning に大きく貢献できるかと思います！

Terraform を使うと、手作業では大変な作業を確実に行えることができます。
手作業で辛い思いをしている方の助けとなれば幸いです！