Okta Device TrustをiOSおよびAndroidデバイス用のVMware Workspace ONEと統合する
これは早期アクセス機能です。有効にするには、 Okta管理コンソールで[設定] > [機能]に移動し、モバイル・プラットフォームの[Workspace1デバイスの信頼]をオンにします。
この統合は、主にSAML信頼接続に基づいています。Oktaのコンテキスト・アクセス管理ポリシー・フレームワークの機能とVMware Workspace ONEからのデバイス信号を組み合わせて、安全でシームレスなエンド・ユーザー・エクスペリエンスを提供します。Workspace ONEでデバイス・コンテキストをSAMLアサーションに追加できるようにすることで、企業はOktaのポリシー・フレームワークを活用して、ユーザーに管理対象外のデバイスの登録または多要素認証の課題への対応を要求できます。
この統合を構成することで、エンド・ユーザーに合理化されたデバイス登録エクスペリエンスを提供することや、Oktaの拡張多要素認証をWorkspace ONEのアプリケーションに活用することや、ユーザーと管理者に一貫した使い慣れたログイン・エクスペリエンスを提供することもできます。
このガイドでは、OktaとWorkspace ONEでサポートされているユース・ケースを構成してテストするための詳細な手順を示します。OktaをWorkspace ONEと統合するには、VMware Identity ManagerをOktaと統合します。VMware Identity Managerは、Workspace ONEのIDコンポーネントです。
対象者
この情報は、OktaとVMware Identity Managerに精通している経験豊富な管理者を対象としています。
ユース・ケース
OktaとWorkspace ONEの統合でサポートされる主なユース・ケースは次のとおりです。
ユース・ケース1 – OktaとVMware Workspace ONEを使用してモバイル・デバイスにDevice TrustとSSOを適用する
ユース・ケース2 – Oktaを使用して合理化されたデバイス登録とWorkspace ONEログインを構成する
ユース・ケース1 – OktaとVMware Workspace ONEを使用してモバイル・デバイスにDevice TrustとSSOを適用する
OktaとWorkspace ONEの統合により、管理者は、エンド・ユーザーに機密性の高いアプリケーションへのアクセスを許可する前に、デバイスが管理されているかどうかなどのデバイスの状態を評価することで、デバイスの信頼を確立することができます。iOSおよびAndroidデバイスの場合、デバイス状態ポリシーはOktaで構成され、保護されたアプリケーションにユーザーがログインするたびに評価されます。
また、このユース・ケースでは、OktaをWorkspace ONEへの信頼できるIDプロバイダーとして確立し、エンド・ユーザーがOkta認証ポリシーを使用してWorkspace ONEアプリ、Workspace ONE Integrated Hubアプリ、およびWebポータルにログインできるようにします。
認証フロー図 — iOSおよびAndroidデバイス
Salesforceアプリケーションを使用したiOSおよびAndroidデバイスのデバイス信頼フローは、次の順序で実行されます。
- エンド・ユーザーがSalesforceテナントへのアクセスを試行します。
- Salesforceは、構成済みのIDプロバイダーとしてOktaにリダイレクトします。
- Oktaは、受信した要求を処理し、構成されたルーティング・ルールに基づいてクライアントをWorkspace ONE IDプロバイダーにルーティングします。
- Workspace ONEは、iOS用モバイルSSOまたはAndroid用モバイルSSOを使用してユーザーに認証を要求します。
- Workspace ONEは、デバイスの信頼ステータスとともにOktaにリダイレクトします。
- Workspace ONEから受信したSAMLアサーション応答に基づきデバイスの信頼ルールが満たされた場合、OktaはSalesforceのSAMLアサーションを発行します。
このユース・ケースを構成するには：
Oktaを使用して合理化されたデバイス登録とWorkspace ONEログインを構成する – Oktaを使用して合理化されたデバイス登録とWorkspace ONEログインを構成する
このユース・ケースを構成することで、エンド・ユーザーに合理化されたデバイス登録エクスペリエンスを提供することや、Oktaの拡張多要素認証をWorkspace ONEのアプリケーションに活用することや、ユーザーと管理者に一貫した使い慣れたログイン・エクスペリエンスを提供することができます。
この構成は、Workspace ONEのIDコンポーネントであるVMware Identity Managerで構成されます。
このユース・ケースを構成するには：
オプション： エンド・ユーザーがOktaダッシュボードまたはWorkspace ONEダッシュボードからアプリにアクセスできるようにします。どちらのエクスペリエンスも完全にサポートされています。Oktaを介してフェデレーションされたアプリケーションを最初にVMware Identity Managerにインポートすることなく公開するように、 Workspace ONEカタログを構成することができます。
詳細については、 （オプション）OktaアプリをWorkspace ONEカタログに公開するを参照してください。
要件
Workspace ONEとOktaの統合を開始する前に、環境が以下の要件を満たしていることを確認してください。
コンポーネント
VMware
- システム管理者ロールを持つVMware Identity Managerテナント
- Workspace ONE統合エンドポイント管理（UEM）テナント
- VMware Identity Manager Connector
- VMware Identity Manager AirWatch Cloud Connector（ACC）
ACCは、Workspace ONE UEMを使用する場合にのみ必要です。
Okta
- スーパー管理者または組織管理者のロールを持つOkta組織（テナント）
- Oktaサポートにより有効化されたWorkspace ONEのDevice Trust
- Oktaサポートにより有効化されたIDプロバイダーのルーティング・ルール（IdPディスカバリー）
サポートされているアプリとデバイス
- iOSまたはAndroid SAMLあるいはWS-Fedクラウド・アプリ
- OktaでサポートされているiOSおよびAndroidオペレーティング・システムのバージョンを実行しているデバイス
Workspace ONEとVMware Identity Managerを統合する
Workspace ONE UEMとVMware Identity Managerのテナントを統合し、デバイスの信頼に使用するモバイルSSO認証方法を構成します。
注意事項
- Device TrustはOkta Mobile内のチクレット経由でアクセスされるアプリには適用されません。
- 最高のエンド・ユーザー・エクスペリエンスを実現するためにデバイスをWorkspace ONEに登録します – AndroidまたはiOSデバイスがすでにWorkspace ONE UEMに登録されている場合、エンド・ユーザーの企業リソースへのアクセス体験が向上します。未登録のiOSおよびAndroidデバイスを使用するエンド・ユーザーの場合は、デバイスの信頼できる保護されたアプリにアクセスする前に、Workspace ONE UEMの登録プロセスを案内されます。
- このDevice TrustソリューションではWorkspace ONEは保護されません：これを行うと、新規ユーザーが自分のデバイスをWorkspace ONEに登録したり、デバイスの信頼で保護された他のアプリにアクセスすることができなくなります。
- タイムアウトの問題によりSSOエラーが発生する可能性があります – 信頼できないiOSまたはAndroidデバイスからデバイスの信頼できる保護されたアプリにサインインするエンド・ユーザーは、Workspace ONEにデバイスを登録するよう求められます。これは予想される動作ですが、アプリがネイティブ・アプリであり、Workspace ONEの登録に10分以上かかる場合、またはエンド・ユーザーが登録後に10分以上待ってからアプリへのアクセスを再試行した場合、アプリ・セッションがタイムアウトしているため、SSOエラーが発生します。該当するエンド・ユーザーにアプリへのアクセスをもう一度行うように伝えてください。
Device Trustによって保護されたアプリは、Okta End-User Dashboardにロック済みとして表示されます。以下の条件に該当する場合、Device Trustによって保護されたアプリの横にロック・アイコンが表示されます。
- エンド・ユーザーがデスクトップまたはモバイルのブラウザー（Okta Mobile以外）でダッシュボードにアクセスした。
- 組織でDevice Trustが有効になっている。
- デバイスが信頼されていない。
- エンド・ユーザーがダッシュボードからDevice Trustで保護されたアプリにアクセスしようとした。