Okta Device TrustとWindowsおよびmacOSコンピューター用のVMware Workspace ONEを統合する

このOktaとデスクトップ・デバイス用のWorkspace ONEの統合は、主にSAML信頼接続に基づいています。これにより、管理者は、エンド・ユーザーに機密性の高いアプリケーションへのアクセスを許可する前にデバイスの状態を評価することで、デバイスの信頼を確立することができます。デバイスが管理されて準拠しているかどうかを判断するために、ユーザーが保護されたアプリケーションにアクセスしようとするたびに、Workspace ONEで確立されたデバイスの状態のポリシーが評価されます。

この統合を構成することで、エンド・ユーザーに合理化されたデバイス登録エクスペリエンスを提供することや、Oktaの拡張多要素認証Workspace ONEのアプリケーションに活用することや、ユーザーと管理者に一貫した使い慣れたログイン・エクスペリエンスを提供することもできます。

このガイドでは、OktaとWorkspace ONEでサポートされているユース・ケースを構成してテストするための詳細な手順を示します。OktaをWorkspace ONEと統合するには、VMware Identity ManagerをOktaと統合します。VMware Identity Managerは、Workspace ONEのIDコンポーネントです。

重要事項

重要

この統合では、SP開始認証フローのみがサポートされています。IdP開始フロー(Okta End User DashboardでSAMLアプリをクリックしてリソースにアクセスしようとするなど)はサポートされていません。

ユースケース

OktaとWorkspace ONEの統合でサポートされる主なユース・ケースは次のとおりです。

  1. OktaとVMware Workspace ONEを使用してデスクトップ・デバイスにDevice TrustとSSOを適用する
  2. Oktaを使用してデスクトップ・デバイス用に合理化されたデバイス登録とWorkspace ONEログインを構成する

1. OktaとVMware Workspace ONEを使用してデスクトップ・デバイスにDevice TrustとSSOを適用する

OktaとVMware Workspace ONEを使用してデスクトップ・デバイスにDevice TrustとSSOを適用する

このユース・ケースでは、管理者は、エンド・ユーザーに機密性の高いアプリケーションへのアクセスを許可する前に、デバイスが管理されているかどうかなどのデバイスの状態を評価することで、デバイスの信頼を確立することができます。また、OktaをWorkspace ONEへの信頼できるIDプロバイダーとして確立し、エンド・ユーザーがOkta認証ポリシーを使用してWorkspace ONEアプリ、Workspace ONE Integrated Hubアプリ、およびWebポータルにログインできるようにします。

macOSおよびWindowsデバイスの認証フロー

Salesforceアプリケーションを使用したmacOSおよびWindows 10デバイスのデバイス信頼フローは、次の順序で実行されます。

  1. エンド・ユーザーがSalesforceテナントへのアクセスを試行します(SP-initのみ。IdP-initはサポートされていません。を参照)。
  2. Salesforceは、構成済みのIDプロバイダーとしてOktaにリダイレクトします。
  3. Oktaは、受信した要求を処理し、構成されたルーティング・ルールに基づいてクライアントをWorkspace ONE IdPにルーティングします。
  4. Workspace ONEは、クライアント・デバイスに認証情報を要求します。
  5. Workspace ONEは、デバイスのコンプライアンス・ステータスをチェックします。
  6. Workspace ONEでの認証が成功すると、クライアント・デバイスはOktaにリダイレクトされます。
  7. Oktaは、Workspace ONEからのSAMLアサーションを検証し、SalesforceのSAMLアサーションを発行します。

このユース・ケースを構成するには:

ステップ1:OktaでVMware Identity ManagerをIDプロバイダーとして構成する

ステップ2:VMware Identity ManagerでOktaアプリケーション・ソースを構成する

ステップ3:デスクトップ・デバイス用にVMwareでDevice Trustおよびアクセス・ポリシーを構成する

2. Oktaを使用してデスクトップ・デバイス用に合理化されたデバイス登録とWorkspace ONEログインを構成する

Oktaを使用してデスクトップ・デバイス用に合理化されたデバイス登録とWorkspace ONEログインを構成する

このユース・ケースを構成することで、エンド・ユーザーに合理化されたデバイス登録エクスペリエンスを提供することや、Oktaの拡張多要素認証をWorkspace ONEのアプリケーションに活用することや、ユーザーと管理者に一貫した使い慣れたログイン・エクスペリエンスを提供することができます。

この構成は、Workspace ONEのIDコンポーネントであるVMware Identity Managerで構成されます。

このユース・ケースを構成するには:

注:両方のユース・ケースを組み合わせる場合は、最初にこのユース・ケースを構成してから、「OktaとVMware Workspace ONEを使用してデスクトップ・デバイスにDevice TrustとSSOを適用する」を構成します。

オプション: エンド・ユーザーがOktaダッシュボードまたはWorkspace ONEダッシュボードからアプリにアクセスできるようにします。どちらのエクスペリエンスも完全にサポートされています。Oktaを介してフェデレーションされたアプリケーションを最初にVMware Identity Managerにインポートすることなく公開するように、Workspace ONEカタログを構成することができます。

詳細については、「OktaアプリをWorkspace ONEカタログに公開する」を参照してください。

要件

Workspace ONEとOktaの統合を開始する前に、環境が以下の要件を満たしていることを確認してください。

コンポーネント

VMware

  • システム管理者ロールを持つVMware Identity Managerテナント
  • Workspace ONE統合エンドポイント管理(UEM)テナント
  • VMware Identity Manager Connector
  • VMware Identity Manager AirWatch Cloud Connector(ACC)
  • ACCは、Workspace ONE UEMを使用する場合にのみ必要です。

    注:既存の展開でユーザーがWorkspace ONE UEMからVMware Identity Managerに同期される場合、VMware Identity Manager Connectorは必要ありません。新しい展開では、VMware Identity Manager Connectorを使用してActive DirectoryからVMware Identity Managerにユーザーを同期することをお勧めします。

Okta

  • スーパー管理者または組織管理者のロールを持つOkta org(テナント)
  • Oktaサポートにより有効化されたWorkspace ONEのDevice Trust
  • Oktaサポートにより有効化されたIDプロバイダーのルーティングルール(IdPディスカバリー)

サポートされているアプリとデバイス

  • WindowsまたはmacOS SAMLあるいはWS-Fedクラウド・アプリ
  • OktaでサポートされているWindowsまたはmacOSオペレーティング・システムのバージョンを実行しているデバイス

Workspace ONEVMware Identity Managerを統合する

Workspace ONE UEMVMware Identity Managerのテナントを統合し、デバイスの信頼に使用するモバイルSSO認証方法を構成します。

備考

  • SP開始認証フローのみがサポートされます:このSAMLベースの統合では、SP開始認証フローのみがサポートされます。IdP開始フロー(Okta End User DashboardでSAMLアプリをクリックしてリソースにアクセスしようとするなど)はサポートされていません。

  • このDevice TrustソリューションではWorkspace ONEは保護されません:これを行うと、新規ユーザーが自分のデバイスをWorkspace ONEに登録したり、デバイスの信頼で保護された他のアプリにアクセスすることができなくなります。
  • タイムアウトの問題によりSSOエラーが発生する可能性があります:信頼できないデバイスからデバイスの信頼で保護されたアプリにサインインするエンド・ユーザーは、Workspace ONEにデバイスを登録するよう求められます。これは予想される動作ですが、アプリがネイティブ・アプリであり、Workspace ONEの登録に10分以上かかる場合、またはエンド・ユーザーが登録後に10分以上待ってからアプリへのアクセスを再試行した場合、アプリ・セッションがタイムアウトしているため、SSOエラーが発生します。該当するエンド・ユーザーにアプリへのアクセスをもう一度行うように伝えてください。