OMMの管理対象iOSデバイスへのExchange ActiveSyncに対応したOkta Device Trustの適用

重要

• ステップ1の最後で[保存]をクリックしないでください。変更内容は「ステップ3：OMMの登録デバイスにEASの証明書を配布する」で保存します。
• 組織でOffice 365アプリのインスタンスが複数設定されている場合、OktaではOffice 365アプリのインスタンス/ドメインごとに異なるOkta CA証明書が生成されることに注意してください。つまり、証明書ベースの認証を構成するOffice 365アプリのインスタンス/ドメインごとに、個別のルート証明書をアップロードする必要があります。

1. 管理コンソールで、[アプリケーション] > に移動します。 Office 365アプリのインスタンスをクリックします。
2. [モバイル]タブに移動し、[Exchange ActiveSyncの設定]まで下にスクロールして[編集]をクリックします。

   

3. [Exchange ActiveSyncを有効にする]を選択します。
4. プロファイル名を入力します。
5. [iOSの証明書ベースの認証を有効にする]を選択します。
6. [ルート証明書をダウンロード]をクリックします。
7. この手順の後半で使用するため、[証明書失効リストのURL]と[デルタ証明書失効リストのURL]の内容をコピーしてテキスト・エディターに貼り付けます。

   

   

   注意

   [保存]はまだクリックしないでください。これらの設定は、「ステップ2：Office 365でExchange ActiveSyncの証明書ベースの認証を有効にする」でPowerShellの操作を完了した後、「ステップ3：OMMの登録デバイスにEASの証明書を配布する」で保存します。この時点で保存すると、Office 365でExchange ActiveSyncの証明書ベースの認証を有効にするときに問題が発生した場合に、ユーザーがメール・アプリにアクセスできなくなる可能性があります。

重要

上記の構成によるデバイスやメール・アカウントへの影響についてエンド・ユーザーに伝えておいてください。「既知の問題」を参照してください。

Windowsのコマンド・ラインから以下を実行します。

1. Azure PowerShell 5.0（64ビット）を管理者として起動します。
   

   重要

   x86（32ビット）バージョンのPowerShellを使用しようとすると、エラー・メッセージが表示されます。

2. 次のコマンドを発行して、PowerShellのAzureADモジュールをインストールします。

   Install-Module -Name AzureAD –RequiredVersion 2.0.0.33

   • 「続行するには NuGet プロバイダーが必要です」というメッセージが表示される場合は、[はい]をクリックしてNuGetプロバイダーをインストールおよびインポートします。
   • 「信頼されていないリポジトリ」というメッセージが表示される場合は、[すべて続行]をクリックして必要なモジュールをインストールします。
3. PowerShellで次のコマンドを発行し、Azure ADテナントに接続してOffice 365への認証を行います。

   Connect-AzureAD

4. Azure Active Directoryのサインイン画面でOffice 365の認証情報を入力します。

5. 必要なPowerShell変数を作成するには、PowerShellで次のコマンドを発行します。

   $cert=Get-Content -Encoding byte "LOCATION OF YOUR CER FILE\filename.cer"

   「LOCATION OF YOUR CER FILE\filename.cer」を*.cerファイルのパスとファイル名に置き換えてください。

   $new_ca=New-Object -TypeName Microsoft.Open.AzureAD.Model.CertificateAuthorityInformation

   $new_ca.AuthorityType=0

   $new_ca.TrustedCertificate=$cert

6. Office 365で証明書の失効を有効にするには、次のコマンドを発行します。前に保存した失効URLを貼り付けてください。

   

   $new_ca.crlDistributionPoint = "CERTIFICATE REVOCATION LIST URL"

   「CERTIFICATE REVOCATION LIST URL」を前に保存した[証明書失効リストのURL]の内容に置き換えます。

   $new_ca.deltaCrlDistributionPoint = "DELTA CERTIFICATE REVOCATION LIST URL"

   「DELTA CERTIFICATE REVOCATION LIST URL」を前に保存した[デルタ証明書失効リストのURL]の内容に置き換えます。

7. 適切な認証局をOffice 365に追加するには、次のコマンドを発行します。

   New-AzureADTrustedCertificateAuthority -CertificateAuthorityInformation $new_ca

8. 認証局がOffice 365に追加されたことを確認するには、次のコマンドを発行します。

   Get-AzureADTrustedCertificateAuthority

   

9. 任意：必要に応じて、構成のトラブルシューティングに役立つ以下のコマンドを発行します。

   • 既存の認証局を変数に追加する場合は、次のコマンドを発行します。

     $c=Get-AzureADTrustedCertificateAuthority

   • 認証局を削除する場合は、次のコマンドを発行して正しい証明書を選択します。番号は0（ゼロ）から始まります。たとえば、最初の証明書を削除するには、次のように「0」を入力します。

     Remove-AzureADTrustedCertificateAuthority -CertificateAuthorityInformation $c[0]

重要

上記の構成によるデバイスやメール・アカウントへの影響についてエンド・ユーザーに伝えておいてください。「既知の問題」を参照してください。

1. 手動で構成したEASプロファイルがデバイスにインストールされている場合は削除するようにエンド・ユーザーに勧めます。
2. Okta管理コンソールで、[Exchange ActiveSyncの設定]ダイアログ・ボックスに戻り、[保存]をクリックします。
3. [Exchange ActiveSyncの変更を確認]メッセージで[保存]をクリックします。

注

ステップ4については、ユーザーにOkta Mobility Managementへの登録を通知している場合のみ構成してください。

1. Office 365クライアント・アクセス・ポリシーを構成します。

   

   1. 管理コンソールで、[アプリケーション] > に移動します。 [アプリケーション]の順に選択し、Office 365アプリのインスタンスをクリックします。
   2. [サインオン]タブをクリックし、[サインオン・ポリシー]まで下にスクロールして、[ルールを追加]をクリックします。
   3. ルールの名前を入力し、該当するグループまたはユーザーに適用します。
   4. [クライアント]セクションで、[Mobile（Exchange ActiveSync）]と[iOS]を選択します。
   

   重要

   他のオプションが選択されていないことを確認してください。

   5. [アクション]セクションで、[上記の条件がすべて満たされた場合、このアプリケーションへのサインオンは次のようになります]の[アクセス]の設定を[拒否]に変更します。
   6. [保存]をクリックします。
2. OMMに登録されたiOSデバイスを使用して、Device Trustの構成を確認します。
   1. OMMに登録されたiOSデバイスが適切なOktaモバイル・ポリシーの対象になっていることを確認します。
   2. ネイティブのiOSメール・アプリを起動し、Office 365への認証なしでメールを利用できることを確認します。
   3. ネイティブのiOSメール・アプリで手動でEASメール・アカウントを作成し、手動で構成したメール・アカウントがOktaでブロックされることを確認します。