デスクトップシングルサインオンに関するよくある質問

はい。両方が有効になっている場合、ユーザーがサインインしようとすると、Oktaは最初にエージェントレスDSSOに対して認証を試みます。それが失敗すると、オンプレミスのIWAサーバーにフォールバックします。

いいえ。エージェントレスDSSOを介してサインインするには、ネットワークに接続している必要があります。ただし、VPNを使用する場合は、エージェントレスDSSOを使用できます。

いいえ。

はい。エージェントレスDSSOを使用するには、コンピューターがドメインに参加している必要があります。

いいえ。エージェントレスDSSOを使用すると、マシンにIWAエージェントを用意する必要がなくなります。代わりに、Kerberos検証がOktaサーバーで実行されます。

これは想定される動作です。エンドユーザーがブラウザーに<myorg>.okta.comと入力すると、Oktaは、orgでエージェントレスDSSOが有効化されたものとみなします。その上で、KDCに対する401認証チャレンジを開始し、OktaKerberos チケットをに返します。

いいえ。

いいえ。OktaではユーザーSIDを使用してユーザーを特定し、認証します。リクエストはSIDを使用してユーザーオブジェクトに解決されるため、これらのサフィックスが一致していなくても問題にはなりません。

エージェントレスDSSOにレート制限はありますか？

高可用性を実現するために、複数のOkta IWA Webエージェントを別々のサーバーにインストールできます。ユーザーに対して地理的に近い場所に複数のWebエージェントをインストールすると、地域の負荷分散テクノロジーと組み合わせてパフォーマンスが向上する場合があります。一例として、DNSネットマスクの順序付けを有効にすることが挙げられます。

エージェントの最新リリースを取得するには、Admin Consoleで［Settings（設定）］［Downloads（ダウンロード）］に進みます。

新しいエージェントにアップグレードする前に既存のエージェントをアンインストールする必要はありません。インストーラーは、既存のWeb.configファイルの名前をタイム・スタンプのサフィックス（たとえば、web.config.636531690091372202）に変更して、以前のすべての構成のコピーを保持します。

エージェントを更新した後、以前のカスタム編集内容を新しい構成ファイルに移行させる必要があります。

アップグレードプロセス中、エージェントは要求を処理できません。IWAエージェントのアップグレード中に、ユーザーに404または500エラーページが表示されます。複数のIWAサーバーがある環境では、プライマリのアップグレード中に、手動でセカンダリIWAサーバーにフェイルオーバーすることをお勧めします。

OktaがIWAトークンの処理に失敗した場合にエンドユーザーがリダイレクトされるカスタムエラーページを構成することができます。このオプションは、Oktaをソリューションに組み込み、エンドツーエンドのブランディングを制御してエンドユーザーエクスペリエンスを向上させたい場合に便利です。指定するカスタムエラーページは、組織内のすべてのIWAユーザーに適用されます。

Okta Classic Engineにサインインしたユーザーは、常にカスタムドメインにルーティングされます。