ステップ3：iOSおよびAndroidデバイス用にOktaでルーティングルール、Device Trust、クライアントアクセスポリシーを構成する

このVMware Workspace ONEとOktaの統合専用に、iOS・Android用のOkta IdPルーティングルールを構成します。構成すると、これらのルーティングルールはアプリケーションのサインオンポリシーと連携して、iOSまたはAndroidデバイス、あるいはその両方のデバイスからの認証リクエストをWorkspace ONEにリダイレクトします。

1. Okta Admin Consoleで［Security（セキュリティ）］［Identity Providers（IDプロバイダー）］に移動します。
2. ［Routing Rules（ルーティングルール）］タブをクリックします。
3. ［Add Routing Rule（ルーティングルールを追加）］をクリックします。
4. 以下を構成します。

   設定	アクション
   Rule Name（ルール名）	作成するルールの名前を入力します。
   IF ［User's IP is（ユーザーのIP）］	実装に適している場合は、ルーティングを適用するネットワークゾーンと適用しないネットワークゾーンを指定できます。ここでゾーンを指定するには、少なくとも1つのネットワークゾーンがすでにOktaで定義されている必要があります。詳細については、「ネットワークゾーン」を参照してください。
   AND ［User's device platform is（ユーザーのプラットフォーム）］	実装に応じて、［Any of these devices（これらのデバイスのいずれか）］を選択してから、［iOS］または［Android］、あるいはその両方を選択します。
   AND［User is accessing（ユーザーがアクセスしています）］	［Any of the following applications（次のアプリケーションのいずれか）］を選択してから、ルーティングルールを適用するアプリケーションを入力します。
   AND［User matches（ユーザーが一致）］	適切なアクションを選択します。 ［Anything（すべて）］。任意のユーザーを指定します。これはデフォルトです。 ［Regex on login（ログインに関する正規表現）］。ユーザーのログインに基づいた、照合に使用する有効な正規表現を入力できます。これは、ドメインを指定する場合や、ユーザー属性では照合に不十分な場合に便利です。「IDプロバイダーのルーティングルール」を参照してください。 ［Domain list on login（ログインに関するドメインリスト）］。一致するドメインの一覧を指定します（例：example.com）。ドメイン名に@記号を追加しないでください。複数のドメインを追加できます。文字をエスケープする必要はないことに注意してください。 ［User attribute（ユーザー属性）］。左側のリストで属性名を選択し、［Starts with（次から開始：）］リストで比較のタイプを選択して、右側のテキストフィールドに一致させる値を入力します。
   THEN［Use this identity provider（このIDプロバイダーを使用）］	「ステップ1：OktaでVMware Identity ManagerをIDプロバイダーとして構成する」の説明に従って、Oktaで作成したIDプロバイダーを［VMware Identity Manager］に選択します。

5. ［Create Rule（ルールを作成）］をクリックします。

信頼されたデバイスを許可するアプリサインオンポリシー（［Applications（アプリケーション）］［app（アプリ）］［Sign On（サインオン）］）も構成している場合は、［Security（セキュリティ）］［Device Trust］ページでDevice Trust設定を無効にしないでください。無効にすると、Device Trustの設定に矛盾が生じた状態になります。

OrgのDevice Trustを無効にするには、まず、Device Trustの設定を含むアプリのサインオンポリシーをすべて削除してから、［Security（セキュリティ）］［Device Trust（Device Trust）］でDevice Trustを無効にします。

1. Admin Consoleで、［Security（セキュリティ）］［Device Trust（Device Trust）］に移動します。

2. ［iOS Device Trust（iOS向けDevice Trust）］または［Android Device Trust（Android向けDevice Trust）］セクションで、［Edit（編集）］をクリックします。
3. ［Enable [iOS or Android] Device Trust（[iOSまたはAndroid]向けDevice Trustを有効化）］を選択します。
4. ［Trust is established by（信頼の確立元）］で、［VMware］を選択します。
5. ［Integration type（統合タイプ）］で、［SAML-based (Workspace ONE UEM+vIDM)］を選択します。

   

6. ［Next（次へ）］をクリックします。
7. ［Device Identity provider（デバイスIDプロバイダー）］で、「Oktaでモバイルデバイス用のIDプロバイダーのルーティングルールを構成する」の説明に従いVMware Identity Manager用にOktaで作成したIDプロバイダーを選択します。
8. （オプション）［Mobile device management provider（モバイルデバイス管理プロバイダー）］フィールドには、Workspace ONEがデフォルトで事前入力されています。これは必要に応じて変更できます。ここに入力したMDMプロバイダーは、デバイス登録時にエンドユーザーに表示されます。
9. ［Enrollment link（登録リンク）］フィールドに、未登録のデバイスがあるエンドユーザーをリダイレクトするためのWebアドレスを入力します。 たとえば、登録手順が記載されたページやWorkspace ONEの登録ページにこれらのユーザーを送ることができます。
10. ［Save（保存）］をクリックします。

• アプリのサインオンポリシーを構成できるのは、アプリ管理者、Org管理者、およびスーパー管理者のみです。

• 信頼されたデバイスを許可するアプリサインオンポリシー（［Applications（アプリケーション）］［app（アプリ）］［Sign On（サインオン）］）も構成している場合は、［Security（セキュリティ）］［Device Trust］ページでDevice Trust設定を無効にしないでください。無効にすると、Device Trustの設定に矛盾が生じた状態になります。

  OrgのDevice Trustを無効にするには、まず、Device Trustの設定を含むアプリのサインオンポリシーをすべて削除してから、［Security（セキュリティ）］［Device Trust（Device Trust）］でDevice Trustを無効にします。

• このDevice TrustソリューションをOrgで無効にするようOktaに依頼する場合は（「OktaでDevice Trustの設定を有効化する」で有効化したDevice Trust設定とは別）、最初にアプリサインオンポリシールールでDevice Trust設定を［Any（任意）］（［Applications（アプリケーション）］>［app（アプリ）］>［Sign On（サインオン）］）に変更します。この変更を行わず、後でOktaにOrgのDevice Trust機能の再有効化を依頼した場合、アプリのアプリサインオンポリシールールのDevice Trust設定がすぐに有効になるという予期しない動作が発生します。

手順

注：以下の許可リストの例は、Office 365へのアクセスを管理するためのDevice Trustルールを示しています。他のアプリでは、［If the user's client is any of these（ユーザーのクライアントが次のいずれかに該当する場合）］セクションは表示されません。

1. Admin Consoleで、［Applications（アプリケーション）］［Applications（アプリケーション）］に移動します。

2. Device Trustで保護するSAMLまたはWS-Fed対応のアプリをクリックします。
3. ［Sign On（サインオン）］タブをクリックします。
4. 下にスクロールして［Sign On Policy（サインオンポリシー）］に移動し、［Add Rule（ルールを追加）］をクリックします。
5. 次の許可リストの例を参考にしてルールを1つ以上作成します。

VMware Identity Managerのデフォルトのアクセスポリシーを更新して、iOSおよびAndroidデバイスのポリシールールを含めます。デフォルトのアクセスポリシーがWorkspace ONEカタログの動作を管理します。モバイルSSOポリシールールの構成は必須です。これはDevice Trust情報をアプリに渡すアクションの一部であるためです。

認証方法としてモバイルSSOを使用し、フォールバック方法としてOkta認証を使用して、iOSおよびAndroidのポリシールールを作成します。Workspace ONEアプリと ハブアプリ、およびWebブラウザーのルールも構成します。ポリシールールが正しい順序になっていることを確認してください。

1. システム管理者としてVMware Identity Managerコンソールにログインします。
2. ［Identity & Access Management（IDとアクセスの管理）］タブをクリックしてから、［Policies（ポリシー）］タブをクリックします。
3. ［Edit Default Access Policy（デフォルトのアクセスポリシーの編集）］をクリックします。
4. ［Edit Policy（ポリシーの編集）］ウィザードで、［Configuration（構成）］をクリックします。
5. ［Add Policy Rule（ポリシールールを追加）］をクリックしてiOSデバイス用のポリシールールを作成します。
   1. 最初の認証方法としてモバイルSSO（iOS）を設定し、フォールバック認証方法としてOkta認証を設定します。

      ユーザーのネットワーク範囲が［ALL RANGES（すべての範囲）］でiOSからコンテンツにアクセスしているのであれば、［Authenticate using（認証に使用）］アクションを実行すると、ユーザーは［Mobile SSO (iOS)（モバイルSSO（iOS））］で認証できるようになります。

      前述の方法が失敗する、または適用できない場合は、ユーザーは［Okta Auth Method（Okta認証方法）］で認証できます。

      注：［Okta Auth Method（Okta認証方法）］については、「VMware Identity Managerで新しいIDプロバイダーの作成を完了する」でOkta IdP用に作成した認証方法を選択します。
   2. ［Save（保存）］をクリックします。
6. ［Add Policy Rule（ポリシールールを追加）］をクリックしてAndroidデバイス用に同様のポリシールールを作成します。
   1. 最初の認証方法としてモバイルSSO（Android）を設定し、フォールバック認証方法としてOkta認証を設定します。

      ユーザーのネットワーク範囲が［ALL RANGES（すべての範囲）］でAndroidからコンテンツにアクセスしているのであれば、［Mobile SSO (Android)（モバイルSSO（Android））］で［Authenticate using（認証に使用）］アクションを実行します。

      前述の方法が失敗する、または適用できない場合は、ユーザーは［Okta Auth Method（Okta認証方法）］で認証できます。

   2. ［Save（保存）］をクリックします。
7. Workspace ONEアプリと ハブアプリのポリシールールを構成します。
   1. Workspace ONEアプリと ハブアプリのポリシールールをクリックして編集します。
   2. ルールを構成します。

      ユーザーのネットワーク範囲が［ALL RANGES（すべての範囲）］でWorkspace ONEアプリまたはハブアプリからコンテンツにアクセスしているのであれば、［Authenticate using（認証に使用）］アクションを実行します。

      ［Mobile SSO (for iOS)（モバイルSSO（iOS向け））］で

      前述の方法が失敗する、または適用できない場合は、ユーザーは［Mobile SSO (for Android)（モバイルSSO（Android向け））］で認証できます。

      前述の方法が失敗する、または適用できない場合は、［Okta Auth Method（Okta認証方法）］を使用します。

8. ポリシールールを上から順に次の順序で並べます。
   1. Workspace ONEアプリまたはHubアプリ、iOSまたはAndroid
   2. iOSまたはAndroid
   3. Webブラウザー

Androidデバイスのユーザーに最高のユーザーエクスペリエンスを提供するために、AndroidモバイルSSOフローの特定の設定を構成できます。

ネイティブのAndroidアプリでは、VMwareトンネルをダウンロードしてエンドユーザーのデバイスにインストールする必要があります。Workspace ONEとOktaの統合環境のベストプラクティスとして、各ネイティブAndroidアプリの自動展開設定を構成して、ユーザーの登録後にアプリとトンネルが自動的にユーザーのデバイスに展開されるようにします。アプリの管理対象アクセスも有効にします。

これらの設定は、VMware Workspace ONE UEMコンソールで構成します。

1. Workspace ONE UEMで［Apps & Books（アプリケーションとブック）］［Applications（アプリケーション）］［Native（ネイティブ）］ページに移動します。
2. アプリ名をクリックします。
3. ［Assign（割り当て）］をクリックします。
4. ［Add Assignment（割り当てを追加）］をクリックして新しい割り当てを追加するか、編集する割り当てを選択して［Edit（編集）］をクリックします。
5. 必要に応じて割り当てを構成し、ベストプラクティスとして次のように選択します。
   • ［App Delivery Method（アプリの配信方法）］：［AUTO（自動）］
   • ［Managed Access（管理アクセス）］：［ENABLED（有効）］
   • ［App Tunneling（アプリのトンネリング）］：［ENABLED（有効）］

   ［App Tunneling（アプリのトンネリング）］を有効にする場合は、アプリで使用するVPN構成プロファイルも選択する必要があります。

   例：

   

6. 割り当てを保存します。

ユーザーがデバイスを登録すると、アプリがカタログに表示されます。アプリのアイコンは、トンネルが含まれていることを示しています。ユーザーがアプリをインストールすると、アプリとトンネルの両方がインストールされます。