OMMの管理対象iOSデバイスへのネイティブ・アプリとSafariに対応したOkta Device Trustの適用

前提条件

対象：

Okta Integration NetworkのSAMLまたはWS-Fedクラウド・アプリ
OktaへのWebベースのフェデレーションをサポートするiOSアプリとSafariモバイル・ブラウザー

OktaでサポートされるバージョンのiOSをデバイスで実行している
Okta Mobility Management（OMM）が組織で構成されている
エンド・ユーザーのデバイスにOkta Mobileがインストールされている（インストールされていない場合、エンド・ユーザーにインストールを求めるプロンプトが表示されます）
エンド・ユーザーのデバイスがOMMに登録されている（登録されていない場合、エンド・ユーザーに登録フローの案内が表示されます）

開始する前に

Device TrustはOkta Mobile内のチクレット経由でアクセスされるアプリには適用されません。
Oktaがパスワードなし認証をサポートするのはOffice 365アプリのみ：他のすべてのアプリでは、エンド・ユーザーに資格情報を入力するためのOktaサインイン・ページが表示されます。ユーザーはその後、Okta Mobileでデバイスの信頼ステータスを評価することが求められます。デバイスが信頼されている（OMMに登録されている）場合、エンド・ユーザーはアプリにアクセスできます。デバイスが信頼されていない場合、エンド・ユーザーはOkta Mobility Management（OMM）に登録するように求められます。
エンド・ユーザーの画面が特定の状況下で設定アプリに戻らない：OMMに登録されていないiOSのエンド・ユーザーがiOSの設定アプリを使用してネイティブのメール・アプリにGmailアカウントを追加すると、OMMに登録するように求められます。登録後、エンド・ユーザーはホーム・ボタンをタップして設定に戻るように求められます。このとき、エンド・ユーザーはGmailのサインイン画面にリダイレクトされず、OktaのMDM構成ページが表示されます。該当するエンド・ユーザーにGmailの構成をもう一度行うように伝えてください。
信頼または非信頼条件でのサインオン・ポリシー・ルール：信頼または非信頼条件で構成されたアプリのサインオン・ポリシー・ルールを処理する場合、Oktaは通常のルール処理を一時停止し、Okta Mobileにユーザーをリダイレクトしてデバイスが信頼できるかどうか（OMMに登録されているかどうか）を評価します。Oktaがデバイスを信頼できないと評価した場合、ユーザーはOMMに登録するように求められます。
非信頼条件は適用されない：非信頼条件を含むルールを作成することは可能ですが、それらのルールはこの早期アクセス・バージョンの機能では適用されません。これは、信頼できないデバイスを使用しているエンド・ユーザーは、デバイスを信頼するためにOMMに強制的に登録されるためです。したがって、多要素認証のアクションを使用するかどうかに関係なく、以下のルール2のような信頼と許可のルールを作成することをお勧めします。
エンド・ユーザーが特定の状況下でアプリのサインイン・ページにリダイレクトされない：このDevice Trustソリューションが有効になっている場合、エンド・ユーザーがOktaフェデレーション認証済みのGmailまたはSalesforceアカウントにサインインし、後でそのアカウントを削除すると、アプリのサインアウト・ページの代わりにOktaホームページにリダイレクトされます。
Device Trustによって保護されたアプリは、Okta End-User Dashboardにロック済みとして表示されます。以下の条件に該当する場合、Device Trustによって保護されたアプリの横にロック・アイコンが表示されます。
- エンド・ユーザーがデスクトップまたはモバイルのブラウザー（Okta Mobile以外）でダッシュボードにアクセスした。
- 組織でDevice Trustが有効になっている。
- デバイスが信頼されていない。
- エンド・ユーザーがダッシュボードからDevice Trustで保護されたアプリにアクセスしようとした。

手順

この手順には2つの主要なステップがあります。

ステップ2：Oktaでアプリのサインオン・ポリシー・ルールを構成する

挙動とアプリのサインオン・ポリシー

［App Sign On Rule（アプリサインオンルール）］ダイアログボックス内のすべてのクライアントオプションはデフォルトで事前選択されています。アプリへのアクセスをより細かく構成するには、以下を反映したルールを作成します。

ユーザーが誰であるか、または所属しているグループ
ネットワークに接続されているかいないか、または定義されたネットワークゾーン内か
デバイスで稼働しているクライアントのタイプ（Office 365アプリのみ）
対象者のモバイルまたはデスクトップ・デバイスのプラットフォーム
デバイスが信頼されているか

サインオン・ポリシー・ルールへの許可リストによるアプローチ

アプリへのアクセスを許可するシナリオをサポートする1つ以上の許容ルールを作成し、それらのルールに最高の優先度を割り当てます。
ステップ1で作成した許容シナリオに一致しないユーザーに適用される、拒否キャッチオール・ルールを作成します。拒否キャッチオール・ルールには、Oktaのデフォルト・ルールの1つ上の最も低い優先度を割り当てます。デフォルト・ルールデフォルトのルールはすでに作成されており、編集できません。デフォルト・ルールは、あらゆるデバイス、プラットフォーム、ネットワークの場所からすべてのクライアント・タイプにアクセスできるように設計されています。これは、より優先度が高く、より制限の厳しいルールに一致しないユーザーに適用されます。 . ここで説明する許可リストのアプローチでは、デフォルト・ルールは、拒否キャッチオール・ルールによって事実上無効化されるため、到達することはありません。

アプリのサインオン・ポリシー・ルールの作成に関する重要なセキュリティー情報については、を参照してください。アプリ・サインオン・ポリシーについて.

手順

注：この例は、Office 365へのアクセスを管理するためのDevice Trustルールを示しています。その他のアプリの場合、セクション[ユーザーのクライアントが次のいずれかに該当する場合]が存在しないことに注意してください。

管理コンソールで、[アプリケーション] > に移動します。[アプリケーション]、Device Trustで保護するSAMLまたはWS対応アプリをクリックします。
[サインオン]タブをクリックし、[サインオン・ポリシー]まで下にスクロールして、[ルールを追加]をクリックします。
次の例をガイドとして使用して、1つ以上のルールを構成します。

許可リストの例

既知の問題

現在、Boxについては、このDevice Trustソリューションでサポートされていません。Box for EMMを使用することをお勧めします。
信頼に関する混乱を招くメッセージ：[サインオン・ルールの追加/編集]ダイアログ・ボックスの[Device Trust]セクションに、[セキュリティー] > [Device Trust]でDevice Trustが構成されていても、特定の状況で「[信頼済み]および[信頼できない]は、Device Trustを構成してからでないと選択できません」というメッセージが表示され、混乱を招く可能性があります。ダイアログ・ボックスの[クライアント]セクションで正しいプラットフォームを選択していることを確認してください。
特定の状況でDevice Trustの設定を[任意]に変更する：Oktaサポートに組織のDevice Trust機能の無効化を依頼する場合は、その前にアプリのサインオン・ポリシー・ルールでDevice Trustの設定を[任意]に変更してください（[アプリケーション] > アプリ > [サインオン]）。この変更を行わず、後でOktaサポートに組織のDevice Trust機能の再有効化を依頼した場合、アプリのサインオン・ポリシー・ルールのDevice Trust設定がすぐに有効になるという予期しない動作が発生します。

OMMの管理対象iOSデバイスへのネイティブ・アプリとSafariに対応したOkta Device Trustの適用

挙動とアプリのサインオン・ポリシー

サインオン・ポリシー・ルールへの許可リストによるアプローチ

手順

許可リストの例

条件

アクション

条件

アクション

条件

アクション