Active Directoryに接続しているのに、Oktaユーザーに[User is now in one-time password mode]と表示される

ユーザーが、「ワンタイムパスワードモード」のステータスでActive Directoryに接続していると表示されます。ユーザーは想定通りにADパスワードで正常にログインすることができます。このユーザーのアカウントにワンタイムパスワードのリセットメッセージが表示されるのはなぜでしょうか？

• Oktaが管理するユーザー
• 代理認証

管理者がユーザーに対して開始したパスワードをリセットするフローが完了しませんでした。以下に例を示します。

• 管理者が管理者ダッシュボードで[Reset Password Link (パスワードのリセットリンク)]を使用してOktaユーザーのパスワードをリセットし、次にADでパスワードのリセットを実行しましたが、エンドユーザーがOktaパスワードリセットのメールのリンクを使用しませんでした。
• 管理者が管理者ダッシュボードで[Reset Password Link (パスワードのリセットリンク)]を使用してOktaユーザーのパスワードをリセットしましたが、エンドユーザーはOktaパスワードリセットのメールのリンクを使用せずに、自分のプロファイルでWindowsパスワードのリセットを実行（Ctrl+Alt+Del）しました。
• 管理者がOktaでADが管理するユーザーを再度有効化しました。アクティベーションステップによって有効化リンクがエンドユーザーのメールに送信された後、AD管理者がADでuserObjectを有効化し、Oktaへのユーザーの再インポートを試みました。OktaユーザーはADオブジェクトとの再関連付けを正しく行いましたが、[User is now in one-time password mode (ユーザーは現在ワンタイムパスワードモードです)]と表示され操作できませんでした。（これは非常にまれなケースで、通常は発生しません。）

この問題を解決する方法は2つあります。

1. AD userObjectをOktaの範囲外のユーザーOUに移動させます
2. ADインポートを実行して、ユーザーをADから切断します
3. ユーザーを元のOUに戻します
4. もう一度インポートを実行し、ユーザーをADと再度関連付けます

または

1. Okta管理ダッシュボードに移動します
2. [People (ユーザー)]に移動します
3. ユーザーを検索します
4. [User's Profile (ユーザープロファイル)]ページ（/admin/user/profile/view/<ID>）で、[More actions (別のアクション)]をクリックし、次に[Disconnect from Active Directory (Active Directoryから切断)]をクリックします。
5. ADインポートを実行し、ユーザーをADと関連付けます。

上記のどちらのシナリオも、他のアプリケーションやActive Directoryに対してデプロビジョニングをトリガーする恐れがあります。これに対しては、ユーザーがADインスタンスから切断される際に、ADの[To App (送信先アプリケーション)]で[Deactivate (無効化)]をオフにするようにしてください。また、OktaユーザーがADのカウンターパートから切断されると、Active Directoryグループのメンバーシップが失われます。それらのグループの一部はプロビジョニングが有効化されたアプリケーションで使用できる可能性があります。