Secure Access Monitorプラグインをセットアップする

Secure Access Monitor（SAM）プラグインは、管理対象外のOAuth付与を監視し、収集されたデータをOkta ISPMに転送する、管理対象のChrome拡張機能です。

このタスクについて

SAMプラグインは、デフォルトでOkta for AI Agentsライセンスで使用できます。Okta ISPMライセンスのみをお持ちの場合は、プラグインアクセスについてサポートにお問い合わせください。

この機能は、FedRAMP ModerateとHighのお客様向けのOkta for AI Agents - Core SKUには含まれておらず、Okta for US Military Cellでは利用できません。「Okta USパブリックセクター制限または例外」の記事を参照してください。

始める前に

  • ISPMテナントがOktaテナントと同じリージョンにある。この機能は、リージョンをまたいだアクセスには対応していません。
  • OrgがGoogle Chrome Enterpriseに接続されている。プラグインは、管理対象のブラウザーでのみ機能します。「OktaをChrome Enterpriseと統合する」を参照してください。
  • ブラウザーがChrome Enterprise Coreに登録されている。「クラウド管理型のChromeブラウザーを登録する」を参照してください。サードパーティーのMDMソリューションだけでは不十分です。Windowsでは、必要なレジストリまたはMDMの設定も必要です。
  • スーパー管理者のロールがある。
  • Google管理コンソールへのアクセス権がある。
  • アクティブなOkta ISPMテナント（ISPMまたはOkta AIライセンス）がある。
  • セキュリティポリシーがOAuth付与をブロックしていない。

  • SAMのクライアント証明書が手動の証明書選択フロー（スマートカード、PIV、レガシーDevice Trust）の妨げになっていることを認識している。

  • SASEソリューションを使用する場合、Okta URLをTLSインスペクションから除外されるように構成している。

  • ブラウザーポリシーによって、ブラウザーが特定のクライアント証明書に固定されていない。

手順

  1. Google管理コンソールに管理者としてサインインします。
  2. Chromeブラウザー（Chrome browser） > コネクター（Connectors）に移動します。
  3. 対象の組織単位を選択します。
  4. + 新規プロバイダー構成（+ New provider configuration）をクリックします。構成がすでに存在する場合（たとえば、Okta Device Trust）、追加プロバイダーとしてGoogle CAを追加します。どちらも同じOUに適用されます。
  5. Google Certificate Authorityを見つけて、セットアップ（Set up）をクリックします。
  6. プロビジョニング（Provision）をクリックします。
  7. Google Certificate Authorityの詳細（Details）をクリックします。
  8. GoogleCertificateAuthority.pemをダウンロードします。
  • クライアント証明書の設定を構成する
    1. Google管理コンソールにサインインします。
    2. Chromeブラウザー（Chrome browser） > 設定（Settings）に移動します。
    3. 適切な組織単位を選択します。
    4. UIとブラウザーの設定（UI & browser settings）タブで、クライアント証明書（Client certificates）をクリックします。
    5. これらのサイトでは自動的に選択する（Automatically select for these sites）に、<org>を置き換えて、次のパターンを入力します：{"pattern": "https://.mtls.okta.com", "filter": {"ISSUER": {"CN":"Chrome Enterprise CA"}}}Preview orgs use.mtls.oktapreview.com。
    6. chrome://policy/で、AutoSelectCertificateForUrlsエントリが表示されていることを確認します。
  • Okta管理コンソールに認証局をアップロードする
    1. セキュリティ（Security） > デバイス統合（Device integrations）に移動します。
    2. 認証局（Certificate authority）タブをクリックします。
    3. 認証局を追加（Add certificate authority）をクリックします。
    4. 証明書の発行先（Issue certificate to）で、Secure Access Monitorプラグイン（Secure Access Monitor plugin）を選択します。
    5. CA証明書チェーンをアップロードします。ファイルタイプは.pemにしてください。
  • プラグインをインストールする
    1. Google管理コンソールにサインインします。
    2. Chromeブラウザー（Chrome browser） > アプリと拡張機能（Apps & extensions）に移動します。
    3. ユーザーとブラウザー（Users & browsers）タブをクリックします。
    4. Okta組織単位を選択します。ユーザーのサブセットでテストするには、グループまたはOUを作成します。
    5. アイコンをクリックし、IDでChromeアプリまたは拡張機能を追加する（Add Chrome app or extension by ID）を選択します。
    6. SAMプラグインIDを入力します：galipinbbdandeicdicjbalcbpdbljjj。
    7. 保存（Save）をクリックします。
    8. Secure Access Monitor拡張機能をクリックして、設定を開きます。
    9. インストールを許可する（Allow install）を強制インストール（Force install）に変更します。
    10. 拡張機能のポリシー（Policy for extensions）に、<org>を置き換えて、次のJSONを入力します：{ "orgUrl": { "Value": "https://<org>.okta.com" } }
    11. 保存（Save）をクリックします。

    次のタスク

    エンドユーザーにorg URLを使用して、管理対象のChromeプロファイルとOktaエンドユーザーダッシュボードにサインインしてもらいます。

    その後、インストールを確認します。