Workdayの統合

WorkdayインスタンスをOkta Identity Security Posture Management（ISPM）と統合することで、Workdayインスタンス全体のIDと関連するリスクについて、継続的かつ統合された可視性を得ることができます。これは、重要なドメインにアクセスできるユーザーを簡単に特定し、最小権限のコンプライアンスを検証するのに役立ちます。ISPMは、脆弱なMFA、古いアカウント、ローテーションされていないパスワード、Workday環境に影響を与えるその他の脆弱性などの問題を検出することもできます。

開始する前に

管理者アカウントを使ってWorkdayインスタンスにサインインしていることを確認します。

このタスクを開始する

統合システムユーザーを作成する

  1. 検索バーを使用して、Create integration system userを検索します。

  2. 統合システムユーザーの作成（Create integration system user）のダイアログボックスで、以下の手順を実行します。

    1. ユーザー名を入力します。

    2. パスワードを設定します。

    3. セッションタイムアウト時間（Session Timeout Minutes）フィールドに、0と入力します。

    4. UIセッションを許可しない（Do not allow UI sessions）チェックボックスをオンにします。

    5. 後で使用するために、ユーザー名とパスワードをメモします。

    6. OKをクリックします。

セキュリティグループを作成する

  1. 検索バーを使用して、Create security groupを検索します。

  2. セキュリティグループを作成するのダイアログ（Create security group dialog）ボックスで、次の手順を実行します。

    1. テナントセキュリティグループのタイプ（Type of Tenanted Security Group）のドロップダウンから統合システムセキュリティグループ（制約なし）（Integration System Security Group（Unconstrained））を選択します。

    2. 名前を入力します。

    3. セキュリティグループの名前をメモします。後で必要になります。

    4. OKをクリックします。

  3. 統合システムセキュリティグループを編集（制約なし）（Edit integration system security group（Unconstrained））ダイアログボックスで、以下の手順を実行します。

    1. 先ほど入力したセキュリティグループ名が名前（Name）フィールドに表示されていることを確認します。

    2. 任意。コメントを追加します。

    3. 統合システムユーザー（Integration System Users）フィールドに、先ほど作成したユーザーのユーザー名を追加します。

    4. OKをクリックします。

    5. 完了（Done）をクリックします。

セキュリティグループをユーザーに割り当てる

  1. 検索バーを使用して、Integration system user security configurationを検索します。

  2. 統合システムユーザーセキュリティ構成（Integration system user security configuration） ページで、先ほど作成したユーザーをフィルターを使って検索します。

    1. フィルター条件（Filter condition）ドロップダウンメニューから、isを選択します。

    2. 先ほど作成したユーザーのユーザー名を値（Value）フィールドに入力します。

  3. Workdayアカウント（Workday Account）列で、ユーザーに関連付けられているオプションメニューを開きます。

  4. オプションメニューからセキュリティプロファイル（Security Profile）を選択し、統合システムセキュリティグループを割り当てる（Assign Integration System Security Groups）を選択します。

  5. 統合システムユーザーに統合システムのセキュリティグループを割り当てる（Assign integration system security groups for integration system user）ダイアログボックスで、割り当てる統合システムセキュリティグループ（Integration System Security Group to Assign） ドロップダウンメニューから、先ほど作成したセキュリティグループを選択します。

  6. OKをクリックし、完了（Done）をクリックします。

ドメインのリストを使用してグループを構成する

  1. 検索バーを使用して、Maintain permission for security groupを検索します。

  2. セキュリティグループの権限を維持（Maintain permission for security group）ダイアログボックスで、次の手順を実行します。

    1. 操作（Operation）として 維持（Maintain）を選択します。

    2. ソースセキュリティグループ（Source security group）ドロップダウンメニューから、先ほど作成したセキュリティグループを選択します。

    3. OKをクリックします。

  3. セキュリティグループの権限を維持（Maintain permission for security group）ページから、ドメインセキュリティポリシーの権限（Domain security policy permissions）タブに移動します。

  4. +をクリックし、以下の権限を追加します。

    • 表示のみ

      • レポート（Reports）組織（：Organization）

      • システム監査

      • Workerデータ（Worker Data）パブリックWorkerレポート（：Public Worker Reports）

      • ユーザーデータ：公開されている職場のメールアドレスの統合

      • 管理：監督機関

      • セキュリティ構成

      • ユーザーベースのセキュリティグループの管理

      • セキュリティ管理

      • Workdayアカウント

      • 統合セキュリティ

      • Workday Query Language

    • 取得のみ

      • Workdayアカウント

      • Workerデータ（Worker Data）職員（：Workers）

      • Workdayアカウントモニタリング

      • Workerデータ（Worker Data）パブリックWorkerレポート（：Public Worker Reports）

      • セキュリティ管理

      • レポート（Reports）組織（：Organization）

      • セキュリティ構成

      • ユーザーベースのセキュリティグループの管理

      • 統合セキュリティ

      • Workday Query Language

  5. OKをクリックし、完了（Done）をクリックします。

  6. 検索バーを使用して、Maintain permission for security groupを検索します。

  7. 追加した権限が正しく表示されることを確認します。OKをクリックします。

保留中のセキュリティポリシーの変更のアクティブ化

  1. 検索バーを使用してActivate pending security policy changesを検索します。

  2. 保留中のポリシーの変更のアクティブ化（Activate pending policy changes）ページのコメント（Comment）フィールドに説明を追加し、OKをクリックします。

  3. 変更を確認し、確認（Confirm）チェックボックスを選択します。

  4. OKをクリックします。

APIクライアントの登録

  1. 検索バーを使用して、Register API client for integrationsを検索します。

  2. 統合用のAPIクライアントの登録（Register API client for integrations）ダイアログボックスで、クライアント名（Client Name）フィールドに値を入力します。

  3. 無期限リフレッシュトークン（Non-Expiring Refresh Tokens）チェックボックスを選択します。

  4. スコープ（機能領域）（Scope（Functional area））ドロップダウンメニューから、すべての値を追加します。すべての値を選択するには、Ctrl+Aキーを押してから、スペースバーキーを押します。

  5. Workday所有スコープを含める（Include Workday Owned Scope）チェックボックスをオンにします。

  6. OKをクリックします。

  7. 確認ダイアログボックスにクライアントID（Client ID）とクライアントシークレット（Client secret）の値が表示されます。これらの値を安全な場所に保管します。後で必要になります。

  8. 完了（Done）をクリックします。

リフレッシュトークンを生成する

  1. 検索バーを使用して、View API clientsを検索します。

  2. APIクライアントの表示（View API Clients）ページで、統合用のAPIクライアント（API Clients for Integrations）タブに移動します。

  3. フィルターを使ってAPIクライアントを検索します。

    1. フィルター条件（Filter condition）ドロップダウンメニューから、isを選択します。

    2. 値（Value）フィールドに、先ほどコピーしたAPIクライアント名を入力します。

  4. APIクライアント列で、必要なAPIクライアントに関連付けられているオプションメニューを開きます。

  5. オプションメニューからAPI クライアントを選択し、統合用リフレッシュトークンの管理（Manage refresh token for integration）を選択します。

  6. 統合用リフレッシュトークンの管理（Manage refresh token for integration）ダイアログボックスのWorkdayアカウントユーザー（Workday account user）フィールドで、先ほど作成したユーザーのユーザー名を選択します。

  7. OKをクリックします。

  8. リフレッシュトークンを削除または再生成（Delete or regenerate refresh token）ページで、新しいリフレッシュトークンを生成（Generate new refresh token）チェックボックスを選択し、OKをクリックします。

  9. リフレッシュトークンが正常に再生成されました（Successfully regenerated refresh token）ページで、リフレッシュトークン（Refresh token） の値をコピーし、安全な場所に保管します。後で必要になります。

  10. APIクライアントを表示（View API Clients）ページのWorkday REST APIエンドポイント（Workday REST API endpoint）と認可エンドエンドポイント（Authorization endpoint）の 詳細もメモします。後で必要になります。

  11. 完了（Done）をクリックします。

パラメーターをISPMと共有する

  1. ISPMコンソールで設定（Settings） > 統合ギャラリー（Integration gallery）に移動します。

  2. Workdayを選択します。

  3. 以下のパラメーターを入力します。

    • テナント名

    • Workday REST APIエンドポイント

    • 認証エンドポイント

    • クライアントID

    • クライアントシークレット

    • リフレッシュトークン

  4. 送信（Submit）をクリックします。