Okta MobileとMFAおよびセッションの有効期限設定の連携方法

多要素認証(MFA)とセッション有効期限設定が、AndroidとiOSデバイス上のエンドユーザーMFAオプションと連携する方法について説明します。

Okta Admin Consoleで設定するオプションは、モバイルデバイスとユーザーの設定、およびOkta Mobileアプリの状態と相互作用します。この相互作用により、Okta MobileユーザーがMFAを要求され、PIN、指紋、またはFace IDを使用してOkta Mobileのロックを解除するよう促されるタイミングが決まります。

Okta Mobileのインアクティブ状態が長く続いた場合、ユーザーは再認証する必要があります。Okta Mobileを30日以上使用しなかった場合、次回Okta Mobileを開くときにOkta資格情報を入力するように求められます。30日使用されなかった場合、Okta Mobileは認証期限が切れる内部トークンに依存するためです。このトークンの期限切れは、PINやMFAの期限切れとは異なります。

iOSデバイス上のOkta Mobile

管理者がサインオンポリシールール:要素のプロンプトを設定するユーザーが[Do not challenge me on this device(このデバイス上でチャレンジしない)]オプションを選択するユーザーは[Do not challenge me on this device(このデバイス上でチャレンジしない)]オプションを選択しない

デバイスごと

  • Oktaはユーザーが最初にOkta Mobileを起動したときにMFAを求める。
  • 後続セッションではMFAを求めない。
  • 期待される動作:Oktaは、ユーザーがOkta Mobileを起動またはロック解除するたびにMFAを求める。

  • 既知の問題:Oktaは、ユーザーがOkta Mobileを起動するとき、および期限切れになった後に初めてOkta Mobileをロック解除するときにのみMFAを求める。

毎回

  • [Do not challenge me on this device(このデバイス上でチャレンジしない)]オプションはOkta Mobileでは使用できない。
  • Oktaは、ユーザーがOkta Mobileを起動またはロック解除するたびにMFAを求める。

セッションごと

  • Oktaは、[Factor Lifetime(要素のライフタイム)]設定で指定した期間Okta Mobileを起動またはロック解除してもMFAを求めない。
  • ユーザーは [Factor Lifetime(要素のライフタイム)]の値を見ることはできるが変更できない。
  • 期待される動作:Oktaは、ユーザーがOkta Mobileを起動またはロック解除するたびにMFAを求める。[Factor Lifetime(要素のライフタイム)]設定は効果がない。

  • 既知の問題:

    • 指定されている[Factor Lifetime(要素のライフタイム)]より前にユーザーがOkta Mobileを閉じて再起動した場合、MFAを求められるべきであるが、求められない。
    • 指定されている[Factor Lifetime(要素のライフタイム)]よりあとにユーザーがOkta Mobileを閉じて再起動した場合、期待通りにMFAを求められるが、ユーザーが選択しなかったにもかかわらず[Factor Lifetime(要素のライフタイム)]オプションが選択されている。

Okta Admin Consoleでのオプション

Okta Mobileの状態
Okta Mobileが最前面にあり、
例えば11分アイドル状態
Okta Mobileがバックグラウンドにあり、
例えば11分アイドル状態

[Session expires after(セッションは次の経過後に期限切れになります)]例:10分:[セキュリティ][認証][サインオン]タブ

  • ユーザーセッションがアクティブのまま。
  • Okta Mobileがロックされない。
ユーザーセッション期限切れかPINタイムアウトによりOkta Mobileがロックされた。ユーザーがOkta Mobileをロック解除しようとすると、OktaがPINまたは指紋の入力を求める。

[Ask for PIN when user is inactive for(ユーザーが次の時間非アクティブなときにPINを要求します)]例:10分[セキュリティ][一般][Okta Mobile]

  • 予想される動作:Okta Mobileがロックされ、ユーザーがアプリのロックを解除しようとすると、PINまたは指紋の入力が求められます。

  • 既知の問題:ユーザーの非アクティブ設定が適用されません。Okta Mobileはアクティブのままで、ユーザーはPINを入力することなくアプリを使用できる。

Androidデバイス上のOkta Mobile

管理者がサインオンポリシールール:要素のプロンプトを設定するユーザーが[Do not challenge me on this device(このデバイス上でチャレンジしない)]オプションを選択するユーザーは[Do not challenge me on this device(このデバイス上でチャレンジしない)]オプションを選択しない

デバイスごと

  • Oktaはユーザーが最初にOkta Mobileを起動したときにMFAを求める。
  • 後続セッションではMFAを求めない。
Oktaは、ユーザーがOkta Mobileを起動またはロック解除するたびにMFAを求める。

毎回

  • [Do not challenge me on this device(このデバイス上でチャレンジしない)]オプションはOkta Mobileでは使用できない。
  • Oktaは、ユーザーがOkta Mobileを起動またはロック解除するたびにMFAを求める。

セッションごと

  • Oktaは、[Factor Lifetime(要素のライフタイム)]設定で指定した期間Okta Mobileを起動またはロック解除してもMFAを求めない。
  • ユーザーは [Factor Lifetime(要素のライフタイム)]の値を見ることはできるが変更できない。
Oktaは、ユーザーがOkta Mobileを起動またはロック解除するたびにMFAを求める。[Factor Lifetime(要素のライフタイム)]設定は効果がない。

Okta Admin Consoleでのオプション

Okta Mobileの状態
Okta Mobileが最前面にあり、
例えば11分アイドル状態
Okta Mobileがバックグラウンドにあり、
例えば11分アイドル状態

[Session expires after(セッションは次の経過後に期限切れになります)]例:10分:[セキュリティ][認証][サインオン]タブ

  • ユーザーセッションがアクティブのまま。
  • Okta Mobileがロックされない。
  • 予想される動作:ユーザーセッション期限切れかPINタイムアウトによりOkta Mobileがロックされる。ユーザーがOkta Mobileをロック解除しようとすると、OktaがPINまたは指紋の入力を求める。

  • 既知の問題:セッション時間切れ時の設定が適用されない。Okta Mobileはアクティブのままで、ユーザーはPINを入力することなくアプリを使用できる。

[Ask for PIN when user is inactive for(ユーザーが次の時間非アクティブなときにPINを要求します)]例:10分[セキュリティ][一般][Okta Mobile]

  • 予想される動作:Okta Mobileがロックされ、ユーザーがアプリのロックを解除しようとすると、PINまたは指紋の入力が求められます。

  • 既知の問題:ユーザーの非アクティブ設定が適用されません。Okta Mobileはアクティブのままで、ユーザーはPINを入力することなくアプリを使用できる。

関連項目

多要素認証

OMMデバイスを管理する

OMMポリシーを構成する