Azure Active Directory向けのOkta MFAを使用する

ユーザーが無限サインインループに陥ることがある

次のシナリオでは、エンドユーザーが無限サインインループに陥ることがあります。

1. Oktaサインオンポリシーの方がAzure ADポリシーより弱い：
   • Oktaとアプリの両方のサインオンポリシーがMFAを必要としません。OktaはユーザーにMFAを求めません。Azure AD条件付きアクセスはMFAを必要とし、Oktaが入力済みのMFAクレームを渡すことを求めます。
   • ユーザーがネットワークゾーン内からサインインする場合、サインオンポリシーはMFAを必要しませんが、ゾーン外からの場合はMFAを必要とします。OktaはユーザーにMFAを求めません。Azure AD条件付きアクセスはMFAを必要とし、Oktaが入力済みのMFAクレームを渡すことを求めます。
2. 認証の直後にユーザーがOffice 365にアクセスしない：
   • ユーザーがOktaでMFAを完了した直後にOffice 365にアクセスしない場合、OktaはMFAクレームを渡しません。結果として生じる無限ループから抜け出すには、ユーザーはもう一度Webブラウザーを開いて認証し直す必要があります。

Oktaが誤って成功したMFAクレームを送信する

これは、Office 365サインオンポリシーが特定のエンドユーザー（個人またはグループ）をMFA要件から除外した場合に起こります。そのため、ユーザーはMFAを求められませんが、Oktaは成功したMFA要求をAzure AD条件付きアクセスに送信します。Azure AD条件付きアクセスはOkta MFAクレームを受け入れ、ユーザーがAD MFAを完了することなくサインインすることを許可します。

1. OktaでMFAを構成する

   実装方法に基づいて、以下のいずれか、または両方を行います。

   1. 「多要素認証」で説明されているようにorgレベルのサインオンポリシーを構成します。
   2. WS-Federation Office 365アプリインスタンス向けアプリサインオンポリシーを「Office 365クライアントアクセスポリシー」で説明されている通りに構成します。

2. Azure ADでMFAを構成する

   Microsoftドキュメントに従って、AzureADインスタンスでMFAを構成します。

［Setup Instructions（設定手順）］の下で、更新済みの連携認証スクリプトを実行します。

1. Admin Consoleで、［Applications（アプリケーション）］［Applications（アプリケーション）］に移動します。

2. WS-Federationが行われたOffice 365アプリを開きます。

3. ［Sign On（サインオン）］［View Setup Instructions（設定手順を表示）］をクリックします。

   ［Office 365 WS-Federationの設定方法］ページが開きます。

4. このページで、［If your domain is already federated（ドメインがすでにフェデレーションされている場合）］セクションに移動します。
5. このセクションからスクリプトをコピーして、Windows PowerShellで実行します。
6. ［Okta MFA from Azure AD（Azure ADからのOkta MFA）］オプションで［Enable for this application（このアプリケーションに対して有効にする）］を選択し、［Save（保存）］をクリックします。
7. 次のPowerShellコマンドを実行して、SupportsMfa値がTrueであることを確認します。
   Connect-MsolService
   Get-MsolDomainFederationSettings -DomainName <yourDomainName>

   結果の例

   コピー

   1
   2
   3
   4
   5
   6
   7
   8
   9
   10
   11
   ActiveLogOnUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/active
   DefaultInteractiveAuthenticationMethod :
   FederationBrandName : Okta
   IssuerUri : issueruri
   LogOffUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/signout
   MetadataExchangeUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/mex
   NextSigningCertificate :
   OpenIdConnectDiscoveryEndpoint :
   PassiveLogOnUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/passive
   SigningCertificate : <SigningCertificate>
   SupportsMfa : True

手動で連携認証されたドメインの場合（Microsoft Graph）

MS Graphフェデレーション機能を有効化した場合は、PowerShellコマンドは異なります。

この場合、設定を構成する必要はありません。

1. Admin Consoleで、［Applications（アプリケーション）］［Applications（アプリケーション）］に移動します。
2. WS-Federationが行われたOffice 365アプリを開きます。
3. ［Sign On（サインオン）］タブを選択し、［Edit（編集）］をクリックします。
4. オプションの［Okta MFA from Azure AD（Azure ADからのOkta MFA）］で、［Enable for this application（このアプリケーションに対して有効にする）］がオンになっていることを確認し、［Save（保存）］をクリックします。
5. 次のPowerShellコマンドを実行して、SupportsMfa値がTrueであることを確認します。
   Connect-MsolService
   Get-MsolDomainFederationSettings -DomainName <yourDomainName>

   結果の例

   コピー

   1
   2
   3
   4
   5
   6
   7
   8
   9
   10
   11
   ActiveLogOnUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/active
   DefaultInteractiveAuthenticationMethod :
   FederationBrandName : Okta
   IssuerUri : issueruri
   LogOffUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/signout
   MetadataExchangeUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/mex
   NextSigningCertificate :
   OpenIdConnectDiscoveryEndpoint :
   PassiveLogOnUri : https://example.okta.com/app/office365/issueruri/sso/wsfed/passive
   SigningCertificate : <SigningCertificate>
   SupportsMfa : True

自動的に連携認証されたドメインの場合（Microsoft Graph）

Microsoft Graphフェデレーション機能を有効化した場合は、PowerShellコマンドは異なります。

この機能を無効にする（MS Graph）

Microsoft Graphフェデレーション機能を有効化した場合は、PowerShellコマンドは異なります。

この機能を無効にするには、次の手順を実行します。

1. （欠落または不良スニペット）
2. WS-Federation Office 365アプリを開きます。
3. ［Sign On（サインオン）］タブ、［Edit（編集）］を順にクリックします。
4. ［Okta MFA from Azure AD（Azure ADからのOkta MFA）］オプションで［Enable for this application（このアプリケーションに対して有効にする）］の選択がクリアされていることを確認し、［Save（保存）］をクリックします。

この機能をオフにするときは、Oktaで自動的に連携認証が行われ、この機能が有効になっているすべてのドメインについてFederatedIdpMfaBehavior設定を手動でacceptIfMfaDoneByFederatedIdpに設定する必要があります。

この機能をオフにするには、次のPowerShellコマンドレットを使用します。

Update-MgDomainFederationConfiguration -DomainId <DomainName> -InternalDomainFederationId (Get-MgDomainFederationConfiguration -DomainId <DomainName> | Select -Property Id).id -FederatedIdpMfaBehavior acceptIfMfaDoneByFederatedIdp

次の表で説明するように、OktaはMFAクレームを渡します。