ステップ3：iOSおよびAndroidデバイス用にOktaでルーティングルール、Device Trust、クライアントアクセスポリシーを構成する

信頼されたデバイスを許可するアプリサインオンポリシー（［Applications（アプリケーション）］［app（アプリ）］［Sign On（サインオン）］）も構成している場合は、［Security（セキュリティ）］［Device Trust（Device Trust）］ページでDevice Trust設定を無効にしないでください。無効にすると、Device Trustの設定に矛盾が生じた状態になります。OrgのDevice Trustを無効にするには、まず、Device Trustの設定を含むアプリのサインオンポリシーをすべて削除してから、［Security（セキュリティ）］［Device Trust（Device Trust）］でDevice Trustを無効にします。

1. Admin Consoleで、［Security（セキュリティ）］［Device Trust（Device Trust）］に移動します。
2. ［iOS Device Trust（iOS Device Trust）］または［Android Device Trust（AndroidDevice Trust）］セクションで、［Edit（編集）］をクリックします。
3. ［Enable [iOS or Android] Device Trust（[iOSまたはAndroid]のDevice Trustを有効化）］を選択します。
4. ［Trust is established by（信頼の確立元）］で、［VMware］を選択します。
5. ［Integration type（統合タイプ）］で、［SAML-based (Workspace ONE UEM+vIDM)］を選択します。

   

6. ［Next（次へ）］をクリックします。
7. ［Device Identity provider（デバイスIDプロバイダー）］で、「Oktaでモバイルデバイス用のIDプロバイダーのルーティングルールを構成する」の説明に従いVMware Identity Manager用にOktaで作成したIDプロバイダーを選択します。
8. （オプション）［Mobile device management provider（モバイルデバイス管理プロバイダー）］フィールドには、Workspace ONEがデフォルトで事前入力されています。これは必要に応じて変更できます。ここに入力したMDMプロバイダーは、デバイス登録時にエンドユーザーに表示されます。
9. ［Enrollment link（登録リンク）］フィールドに、未登録のデバイスがあるエンドユーザーをリダイレクトするためのWebアドレスを入力します。たとえば、登録手順が記載されたページやWorkspace ONEの登録ページにこれらのユーザーを送ることができます。
10. ［Save（保存）］をクリックします。

• アプリのサインオンポリシーを構成できるのは、アプリ管理者、Org管理者、およびスーパー管理者のみです。

• 信頼されたデバイスを許可するアプリサインオンポリシー（［Applications（アプリケーション）］［app（アプリ）］［Sign On（サインオン）］）も構成している場合は、［Security（セキュリティ）］［Device Trust（Device Trust）］ページでDevice Trust設定を無効にしないでください。無効にすると、Device Trustの設定に矛盾が生じた状態になります。OrgのDevice Trustを無効にするには、まず、Device Trustの設定を含むアプリのサインオンポリシーをすべて削除してから、［Security（セキュリティ）］［Device Trust（Device Trust）］でDevice Trustを無効にします。

• このDevice TrustソリューションをOrgで無効にするようOktaに依頼する場合は（「OktaでDevice Trustの設定を有効化する」で有効化したDevice Trust設定とは別）、最初にアプリサインオンポリシールールでDevice Trust設定を［Any（任意）］（［Applications（アプリケーション）］>［app（アプリ）］>［Sign On（サインオン）］）に変更します。この変更を行わず、後でOktaにOrgのDevice Trust機能の再有効化を依頼した場合、アプリのアプリサインオンポリシールールのDevice Trust設定がすぐに有効になるという予期しない動作が発生します。

アプリサインオンポリシールールについて

［App Sign On Rule（アプリサインオンルール）］ダイアログボックス内のすべてのクライアントオプションはデフォルトで事前選択されています。アプリへのアクセスを詳細設定するには、以下を反映させるルールを作成します。

• 対象となるユーザー、または対象者が属するグループ
• 対象者がネットワークに接続しているか、接続していないか、定義されたネットワークゾーンに属しているか
• 対象者のデバイスで実行されているクライアントのタイプ（Office 365アプリのみ）
• 対象者のモバイルまたはデスクトップデバイスのプラットフォーム
• 対象者のデバイスが信頼されているかどうか

手順

注：以下の許可リストの例は、Office 365へのアクセスを管理するためのDevice Trustルールを示しています。他のアプリでは、［If the user's client is any of these（ユーザーのクライアントが次のいずれかに該当する場合）］セクションは表示されません。

1. Admin Consoleで、［Applications（アプリケーション）］［Applications（アプリケーション）］に移動します。
2. Device Trustで保護するSAMLまたはWS-Fed対応のアプリをクリックします。
3. ［Sign On（サインオン）］タブをクリックします。
4. 下にスクロールして［Sign On Policy（サインオンポリシー）］に移動し、［Add Rule（ルールを追加）］をクリックします。
5. 次の許可リストの例を参考にしてルールを1つ以上作成します。

VMware Identity Managerのデフォルトのアクセスポリシーを更新して、iOSおよびAndroidデバイスのポリシールールを含めます。デフォルトのアクセスポリシーがWorkspace ONEカタログの動作を管理します。モバイルSSOポリシールールの構成は必須です。これはDevice Trust情報をアプリに渡すアクションの一部であるためです。

認証方法としてモバイルSSOを使用し、フォールバック方法としてOkta認証を使用して、iOSおよびAndroidのポリシールールを作成します。Workspace ONEアプリと ハブアプリ、およびWebブラウザーのルールも構成します。ポリシールールが正しい順序になっていることを確認してください。

1. システム管理者としてVMware Identity Managerコンソールにログインします。
2. ［Identity & Access Management（IDとアクセスの管理）］タブをクリックしてから、［Policies（ポリシー）］タブをクリックします。
3. ［Edit Default Access Policy（デフォルトのアクセスポリシーの編集）］をクリックします。
4. ［Edit Policy（ポリシーの編集）］ウィザードで、［Configuration（構成）］をクリックします。
5. ［Add Policy Rule（ポリシールールを追加）］をクリックしてiOSデバイス用のポリシールールを作成します。
   1. 最初の認証方法としてモバイルSSO（iOS）を設定し、フォールバック認証方法としてOkta認証を設定します。

      ユーザーのネットワーク範囲が［ALL RANGES（すべての範囲）］でiOSからコンテンツにアクセスしているのであれば、［Authenticate using（認証に使用）］アクションを実行すると、ユーザーは［Mobile SSO (iOS)（モバイルSSO（iOS））］で認証できるようになります。

      前述の方法が失敗する、または適用できない場合は、ユーザーは［Okta Auth Method（Okta認証方法）］で認証できます。

      注：［Okta Auth Method（Okta認証方法）］については、「VMware Identity Managerで新しいIDプロバイダーの作成を完了する」でOkta IdP用に作成した認証方法を選択します。
   2. ［Save（保存）］をクリックします。
6. ［Add Policy Rule（ポリシールールを追加）］をクリックしてAndroidデバイス用に同様のポリシールールを作成します。
   1. 最初の認証方法としてモバイルSSO（Android）を設定し、フォールバック認証方法としてOkta認証を設定します。

      ユーザーのネットワーク範囲が［ALL RANGES（すべての範囲）］でAndroidからコンテンツにアクセスしているのであれば、［Mobile SSO (Android)（モバイルSSO（Android））］で［Authenticate using（認証に使用）］アクションを実行します。

      前述の方法が失敗する、または適用できない場合は、ユーザーは［Okta Auth Method（Okta認証方法）］で認証できます。

   2. ［Save（保存）］をクリックします。
7. Workspace ONEアプリと ハブアプリのポリシールールを構成します。
   1. Workspace ONEアプリと ハブアプリのポリシールールをクリックして編集します。
   2. ルールを構成します。

      ユーザーのネットワーク範囲が［ALL RANGES（すべての範囲）］でWorkspace ONEアプリまたはハブアプリからコンテンツにアクセスしているのであれば、［Authenticate using（認証に使用）］アクションを実行します。

      ［Mobile SSO (for iOS)（モバイルSSO（iOS向け））］で

      前述の方法が失敗する、または適用できない場合は、ユーザーは［Mobile SSO (for Android)（モバイルSSO（Android向け））］で認証できます。

      前述の方法が失敗する、または適用できない場合は、［Okta Auth Method（Okta認証方法）］を使用します。

8. ポリシールールを上から順に次の順序で並べます。
   1. Workspace ONEアプリまたはHubアプリ、iOSまたはAndroid
   2. iOSまたはAndroid
   3. Webブラウザー

Androidデバイスのユーザーに最高のユーザーエクスペリエンスを提供するために、AndroidモバイルSSOフローの特定の設定を構成できます。

ネイティブのAndroidアプリでは、VMwareトンネルをダウンロードしてエンドユーザーのデバイスにインストールする必要があります。Workspace ONEとOktaの統合環境のベストプラクティスとして、各ネイティブAndroidアプリの自動展開設定を構成して、ユーザーの登録後にアプリとトンネルが自動的にユーザーのデバイスに展開されるようにします。アプリの管理対象アクセスも有効にします。

これらの設定は、VMware Workspace ONE UEMコンソールで構成します。

1. Workspace ONE UEMで［Apps & Books（アプリケーションとブック）］［Applications（アプリケーション）］［Native（ネイティブ）］ページに移動します。
2. アプリ名をクリックします。
3. ［Assign（割り当て）］をクリックします。
4. ［Add Assignment（割り当てを追加）］をクリックして新しい割り当てを追加するか、編集する割り当てを選択して［Edit（編集）］をクリックします。
5. 必要に応じて割り当てを構成し、ベストプラクティスとして次のように選択します。
   • ［App Delivery Method（アプリの配信方法）］：［AUTO（自動）］
   • ［Managed Access（管理アクセス）］：［ENABLED（有効）］
   • ［App Tunneling（アプリのトンネリング）］：［ENABLED（有効）］

   ［App Tunneling（アプリのトンネリング）］を有効にする場合は、アプリで使用するVPN構成プロファイルも選択する必要があります。

   例：

   

6. 割り当てを保存します。

ユーザーがデバイスを登録すると、アプリがカタログに表示されます。アプリのアイコンは、トンネルが含まれていることを示しています。ユーザーがアプリをインストールすると、アプリとトンネルの両方がインストールされます。