Okta Classic Engine リリースノート（プレビュー）

ファーストパーティアプリスイッチャーの更新

以前は、Oktaファーストパーティアプリスイッチャーを使用するには、Okta管理者である必要がありました。今では、管理者以外のユーザーはアプリスイッチャーを使用して、ISPM、Workflows、パートナー管理者ポータルなどのOktaファーストパーティアプリ間をシームレスに移動できるようになりました。

Lightweight Directory Access Protocolの双方向グループ管理

Lightweight Directory Access Protocol（LDAP）の双方向グループ管理では、Okta内からLDAPグループを管理できます。IDとアクセス要件に基づいてユーザーをグループに追加したり、削除したりできます。これにより、Oktaで加えたユーザーアクセスの変更が、LDAPに反映されます。

Oktaが管理できるのは、LDAPまたはActive Directory（AD）統合を使ってOktaにインポートされたユーザーとグループのグループメンバーシップのみです。LDAPまたはAD統合を通じてインポートされなかったユーザーやグループ、またはこの機能を利用している統合の組織単位の範囲外にあるユーザーやグループを管理することはできません。

LDAP増分インポートの最大クロックスキューオプションがさらに詳細に

LDAP増分インポートに、より詳細な最大クロックスキュー間隔が追加され、さらに適切な調整が可能になり、パフォーマンスが向上しました。クロックスキューを1分、2分、5分または10分に構成できるようになりました。この細かな構成により、 LDAPサーバーの実際の最大クロックドライブに近いクロックスキュー値を使用することで、インポート速度を向上できます。また、サーバーの時計が一時的に逆戻りしたときに更新を見逃すことを防止することで、データ精度を確保します。

グループおよびグループメンバーシップ向けAnything-as-a-Source

Anything-as-a-Source（XaaS）機能により、顧客はOktaでカスタムIDソースを使用することができます。XaaSを利用すると、顧客はカスタムHRアプリまたはカスタムデータベースに接続して、OktaのUniversal Directoryにユーザーなどのエンティティを取り込むことができます。

このリリースでは、グループとグループメンバーシップに関するXaaS機能が提供され、顧客はXaaSでグループの取り込みを開始することができます。Oktaでは、XaaS APIを使用して、任意のIDソースからユーザーの作成と更新、グループの作成と更新、OktaのUniversal Directoryでのグループメンバーシップの管理を行えるようになりました。「Anything-as-a-Source」を参照してください。

OIDC IDトークンのJSON Web Encryption

Oktaで保護されたカスタムアプリ統合のOIDC IDトークンを、JSON Web暗号化を使用して暗号化できるようになりました。「アプリ統合用のOIDC IDトークンを暗号化する」を参照してください。

カスタムアプリ向けの統合クレーム生成

統合クレーム生成は、Oktaで保護されたカスタムアプリ統合のクレーム（OIDC）および属性ステートメント（SAML）を管理するための、合理化された新しいインターフェイスです。グループクレームやユーザープロファイルクレームに加えて、新しいクレームタイプ「エンタイトルメント」（OIGが必要）、「デバイスプロファイル」「セッションID」「セッションAMR」「アプリ統合にカスタムクレームを構成する」を参照してください。

security.request.blockedイベント向けの新しいSystem Logオブジェクト

動的ゾーンおよび機能強化された動的ゾーンに関する次のIpDetailsオブジェクトが、System Logに表示されるようになりました。

• Operatorは、タイプがVPNであるかプロキシーであるかを示します
• Typeには、VPN、Proxy、Torなどの値が含まれます。
• IsAnonymousは、プロキシーが匿名かどうかを示します。

これらのオブジェクトは、デバッグコンテキストの文字列のみのキーから、リスクと動作のテレメトリをセキュリティコンテキストイベントの専用の構造化フィールドに移動します。この変更により、リスクの可視性が向上し、文字列解析の必要がなくなります。

Workdayによる増分インポートのサポート

Workdayに増分インポートを直ちに実行する機能が加わりました。増分インポートはフルインポートよりもはるかに速いです。ただし、ユーザーがカスタム属性のみを変更した場合は検出されないため、これらの変更を取得するには定期的にフルインポートを実行する必要があります。「増分インポート」を参照してください。

Admin Consoleへの新規の単一要素アクセスを防止する

この機能は、Admin Consoleへの単一要素アクセスを管理者が構成できないようにします。この機能は現在、新しいorgにのみ利用できます。

アプリケーションエンタイトルメントポリシー

管理者は、アプリを個人またはグループに割り当てる際に属性マッピングを上書きできるようになりました。また、属性をデフォルトのマッピングに戻すこともできます。「アプリケーション属性マッピングを上書きする」を参照してください。この機能は、すべてのorgで段階的に利用できるようになります。

エンドユーザーページでコンテンツセキュリティーポリシーを適用する

コンテンツセキュリティーポリシーが、カスタマイズ不可のページでカスタムドメインがあるorgのエンドユーザーページに適用されるようになりました。コンテンツセキュリティーポリシーのヘッダーにより、ブラウザーでWebページが実行できるアクションの種類を確実に認識できるようにすることで、クロスサイトスクリプトやデータインジェクションといった攻撃を検出できる追加のセキュリティーレイヤーを提供します。昨年から管理者ページにはポリシーがすでに適用され、エンドユーザーページに対してもレポートのみのモードに適用されています。今後もエンドユーザーページに対するコンテンツセキュリティーポリシーの適用を繰り返し行っていくことで、この最初のリリースよりも厳格にしていく予定です。

この機能は、すべてのorgで段階的に利用できるようになります。

システムログイベントの詳細

Oktaがセキュリティ脅威を特定すると、結果のシステムログエントリ「security.threat.detected」にイベントの詳細な理由が提供されるようになりました。「システムログ」を参照してください。

新しい柔軟なLDAP

新しいLDAPスキーマでは、メールをカスタムスキーマに移動し、名、姓、ユーザー名、UIDを任意にすることで柔軟性が向上します。これにより、LDAPスキーマに特定の属性が含まれていない場合のエラーシナリオを回避できます。

ThreatInsightのコアOkta APIエンドポイントでの対象範囲

Okta ThreatInsight対象範囲が、コアOkta APIエンドポイントに利用できるようになりました。

• OpenID Connect and OAuth 2.0
• Okta Management
• MyAccount API

Okta ThreatInsightは、ヒューリスティックスと機械学習モデルに基づいて、Oktaの顧客ベース全体で悪意のあるアクティビティを一貫して示すIPアドレスのリストを更新して維持します。Okta orgにOkta ThreatInsightが有効化されている場合、これらの不正なIPアドレスからのリクエストはブロックされるか、さらに分析するために昇格されます。これまで、Okta ThreatInsightの対象範囲は、Okta認証エンドポイント（登録エンドポイントと復旧エンドポイントを含む）にのみ適用されていました。本リリースでは、認証エンドポイントに強化された攻撃パターンが検出され、非認証エンドポイントにも制限された攻撃パターンが検出されます。既存のOkta ThreatInsight構成に変更はありません。ログとブロックモード、ログモード、および除外ネットワーク ゾーンを使用しても、Okta ThreatInsightを有効化できます。高脅威のsecurity.threat.detectedイベントに対して、Negative IP Reputationの新しい理由が利用可能になりました。「Okta ThreatInsightのシステムログイベント」を参照してください。

SSOアプリのダッシュボードウィジェット

SSOアプリの新しいウィジェットには、選択した期間におけるorgの各アプリでのユーザーサインインイベント数が表示されます。これを使用すれば、最も頻繁に使用されるアプリを確認し、org全体の認証アクティビティを簡単に監視できます。

システムログのメール失敗イベント

管理者はシステムログでメール配信失敗イベントを表示できるようになりました。これにより、管理者がorg内のメールイベントアクティビティを適切に監視できるようになります。「システムログ」を参照してください。

フェデレーションブローカーモード

新しくなったFederation Broker Modeでは、アプリを特定のユーザーに事前に割り当てることなくOkta SSOが行えるようになります。アクセスは、認証ポリシーと各アプリの認可ルールでのみ管理できます。このモードを使用すると、インポートのパフォーマンスが向上し、大規模なorgで多くのユーザーとアプリを効果的に管理できます。

ユーザーのインポートのスケジューリング

アプリからOktaにユーザーをインポートするときに、インポートが1時間ごと、毎日、または毎週の間隔で行われるようにスケジュールできるようになりました。Orgにとって都合のよい時間にインポートをスケジュールすると、サービスが中断する可能性が低くなり、手動でインポートを開始する必要がなくなります。アプリケーションで増分インポートが許可されている場合は、完全インポートと増分インポートの両方のスケジュールを作成できます。これはセルフサービスの機能です。

SCIMプロビジョニングのnull値

SCIMプロビジョニングを使用するときに、任意の属性タイプでnull値をOktaに送信できるようになりました。この変更により、顧客が受け取るエラーメッセージが減り、エンドユーザーのID管理が簡素化されます。

デバイス認可の付与タイプ

インターネット技術の進歩により、スマートデバイスやIoT（Internet of Things）が急増しています。ユーザーはこれらのデバイスで実行されるアプリにサインインする必要がありますが、スマートTV、車のコンソール、サーモスタットなどのデバイスではWebブラウザーがサポートされていないか、入力機能が制限されています。そのため、ユーザーはエラーが発生しやすく時間のかかる、安全でない認証ソリューションを利用することになります。

デバイス認可付与機能はOAuth 2.0の付与タイプで、入力に制約のあるデバイスだけでなく、Webブラウザーのないデバイスにもサインインできます。この機能により、ユーザーはノートパソコンや携帯電話などのセカンダリデバイスを使用して、そのようなデバイスで実行されるアプリにサインインすることができます。

LDAP管理者によるパスワードリセット

LDAPと統合されたorgの場合、管理者がアクティブな個々のエンドユーザーのパスワードをリセットできるようになりました。「ユーザーパスワードをリセットする」を参照してください。

LDAPパスワードリセットオプション

LDAP委任認証設定で、ユーザー自身によるパスワードリセットの構成が可能になりました。この変更により、パスワード管理に必要な時間が短縮され、ユーザーがパスワードをすばやく簡単にリセットできるようになります。「LDAPの委任認証を有効にする」を参照してください。

Windows デバイス登録タスクバージョン 1.4.1

このリリースでは、以下の問題が修正されました。

• sAMAccountNameにスペースが含まれている場合、Oktaデバイス登録タスクのインストール時にエラーが表示され、インストールは完了しても機能しませんでした。
• Oktaデバイス登録MSIファイルをダブルクリックすると、「不明な発行者」という警告が表示されました。

影響を受けるお客様は、登録タスクをアンインストールしてから、1.4.1以降をインストールする必要があります。「 マネージドWindowsコンピューターにOkta Device Trustを強制適用する」・「Okta Device Trust for Windows Desktop Registration Taskのバージョン履歴」を参照してください。

CSVの増分インポート

増分インポートでは、前回のインポート以降に作成、更新、または削除されたユーザーのみをインポートするため、パフォーマンスが向上します。「CSVディレクトリ統合を管理する」を参照してください。この機能は、以前に2020.09.0の本番環境でリリースされており、再リリースとなっていることに注意してください。

Password changed notification email（パスワードの変更に関する通知メール）

不必要なメール通知を排除するために、［Password changed notification email（パスワードの変更に関する通知メール）］設定は、新しいプレビューorgではデフォルトで有効ではなくなりました。「エンドユーザーへのパスワードの変更通知」を参照してください。

Office 365サイレントアクティベーション

OktaをIDプロバイダーとして使用すると、Okta Office 365サイレントアクティベーションにより、ドメイン参加共有ワークステーションまたはVDI環境でOffice 365アプリにアクセスするMicrosoft Office 365エンドユーザーにシームレスなエクスペリエンスが提供されます。エンドユーザーがドメイン参加Windowsマシンにログインすれば、それ以上のアクティベーション手順は必要ありません。「Office 365サイレントアクティベーション：新しいリリースの実装」を参照してください。

ローカライズされたエンドユーザーようこそメール

ユーザーのデフォルトのlocaleプロパティを参照することにより、Oktaが新しいエンドユーザーに送信するようこそメールをローカライズする機能が一般利用可能になりました。「一般的なカスタマイズ設定を構成する」を参照してください。

［People（ユーザー）］ページの改善

ユーザーページをユーザータイプでフィルタリングできるようになりました。「Okta Universal Directoryカスタムユーザータイプに関する既知の問題」を参照してください。

UI要素の変更

［Provisioning（プロビジョニング）］ページ（［General Settings（一般設定）］）のドロップダウンメニューが標準化されています。「アプリのプロビジョニング」を参照してください。

早期アクセス機能の自動登録

すべての早期アクセス機能で、利用可能になったときに有効にする代わりに、自動登録を選択できるようになりました。

LDAPインターフェイスを使用してアプリをOktaに接続する

LDAPインターフェイスを使用すると、クラウドのUniversal Directoryに対してレガシーLDAPアプリを認証できます。LDAPインターフェイスを使用すると、オンプレミスのLDAPサーバーを必要とせずに、LDAPを介してOktaに対して直接認証が行われます。さらに、LDAPインターフェイスは検索などの他のLDAP機能もサポートしています。

Workdayによる増分インポートのサポート

Workdayに増分インポートを直ちに実行する機能が加わりました。増分インポートはフルインポートよりもはるかに速いです。ただし、ユーザーがカスタム属性のみを変更した場合は検出されないため、これらの変更を取得するには定期的にフルインポートを実行する必要があります。「増分インポート」を参照してください。

Admin Consoleへの新規の単一要素アクセスを防止する

この機能は、Admin Consoleへの単一要素アクセスを管理者が構成できないようにします。この機能は現在、新しいorgにのみ利用できます。

アプリケーションエンタイトルメントポリシー

管理者は、アプリを個人またはグループに割り当てる際に属性マッピングを上書きできるようになりました。また、属性をデフォルトのマッピングに戻すこともできます。「アプリケーション属性マッピングを上書きする」を参照してください。この機能は、すべてのorgで段階的に利用できるようになります。

エンドユーザーページでコンテンツセキュリティーポリシーを適用する

コンテンツセキュリティーポリシーが、カスタマイズ不可のページでカスタムドメインがあるorgのエンドユーザーページに適用されるようになりました。コンテンツセキュリティーポリシーのヘッダーにより、ブラウザーでWebページが実行できるアクションの種類を確実に認識できるようにすることで、クロスサイトスクリプトやデータインジェクションといった攻撃を検出できる追加のセキュリティーレイヤーを提供します。昨年から管理者ページにはポリシーがすでに適用され、エンドユーザーページに対してもレポートのみのモードに適用されています。今後もエンドユーザーページに対するコンテンツセキュリティーポリシーの適用を繰り返し行っていくことで、この最初のリリースよりも厳格にしていく予定です。

この機能は、すべてのorgで段階的に利用できるようになります。

システムログイベントの詳細

Oktaがセキュリティ脅威を特定すると、結果のシステムログエントリ「security.threat.detected」にイベントの詳細な理由が提供されるようになりました。「システムログ」を参照してください。

新しい柔軟なLDAP

新しいLDAPスキーマでは、メールをカスタムスキーマに移動し、名、姓、ユーザー名、UIDを任意にすることで柔軟性が向上します。これにより、LDAPスキーマに特定の属性が含まれていない場合のエラーシナリオを回避できます。

ThreatInsightのコアOkta APIエンドポイントでの対象範囲

Okta ThreatInsight対象範囲が、コアOkta APIエンドポイントに利用できるようになりました。

• OpenID Connect and OAuth 2.0
• Okta Management
• MyAccount API

Okta ThreatInsightは、ヒューリスティックスと機械学習モデルに基づいて、Oktaの顧客ベース全体で悪意のあるアクティビティを一貫して示すIPアドレスのリストを更新して維持します。Okta orgにOkta ThreatInsightが有効化されている場合、これらの不正なIPアドレスからのリクエストはブロックされるか、さらに分析するために昇格されます。これまで、Okta ThreatInsightの対象範囲は、Okta認証エンドポイント（登録エンドポイントと復旧エンドポイントを含む）にのみ適用されていました。本リリースでは、認証エンドポイントに強化された攻撃パターンが検出され、非認証エンドポイントにも制限された攻撃パターンが検出されます。既存のOkta ThreatInsight構成に変更はありません。ログとブロックモード、ログモード、および除外ネットワーク ゾーンを使用しても、Okta ThreatInsightを有効化できます。高脅威のsecurity.threat.detectedイベントに対して、Negative IP Reputationの新しい理由が利用可能になりました。「Okta ThreatInsightのシステムログイベント」を参照してください。

SSOアプリのダッシュボードウィジェット

SSOアプリの新しいウィジェットには、選択した期間におけるorgの各アプリでのユーザーサインインイベント数が表示されます。これを使用すれば、最も頻繁に使用されるアプリを確認し、org全体の認証アクティビティを簡単に監視できます。

システムログのメール失敗イベント

管理者はシステムログでメール配信失敗イベントを表示できるようになりました。これにより、管理者がorg内のメールイベントアクティビティを適切に監視できるようになります。「システムログ」を参照してください。

フェデレーションブローカーモード

新しくなったFederation Broker Modeでは、アプリを特定のユーザーに事前に割り当てることなくOkta SSOが行えるようになります。アクセスは、認証ポリシーと各アプリの認可ルールでのみ管理できます。このモードを使用すると、インポートのパフォーマンスが向上し、大規模なorgで多くのユーザーとアプリを効果的に管理できます。

ユーザーのインポートのスケジューリング

アプリからOktaにユーザーをインポートするときに、インポートが1時間ごと、毎日、または毎週の間隔で行われるようにスケジュールできるようになりました。Orgにとって都合のよい時間にインポートをスケジュールすると、サービスが中断する可能性が低くなり、手動でインポートを開始する必要がなくなります。アプリケーションで増分インポートが許可されている場合は、完全インポートと増分インポートの両方のスケジュールを作成できます。これはセルフサービスの機能です。

SCIMプロビジョニングのnull値

SCIMプロビジョニングを使用するときに、任意の属性タイプでnull値をOktaに送信できるようになりました。この変更により、顧客が受け取るエラーメッセージが減り、エンドユーザーのID管理が簡素化されます。

デバイス認可の付与タイプ

インターネット技術の進歩により、スマートデバイスやIoT（Internet of Things）が急増しています。ユーザーはこれらのデバイスで実行されるアプリにサインインする必要がありますが、スマートTV、車のコンソール、サーモスタットなどのデバイスではWebブラウザーがサポートされていないか、入力機能が制限されています。そのため、ユーザーはエラーが発生しやすく時間のかかる、安全でない認証ソリューションを利用することになります。

デバイス認可付与機能はOAuth 2.0の付与タイプで、入力に制約のあるデバイスだけでなく、Webブラウザーのないデバイスにもサインインできます。この機能により、ユーザーはノートパソコンや携帯電話などのセカンダリデバイスを使用して、そのようなデバイスで実行されるアプリにサインインすることができます。

LDAP管理者によるパスワードリセット

LDAPと統合されたorgの場合、管理者がアクティブな個々のエンドユーザーのパスワードをリセットできるようになりました。「ユーザーパスワードをリセットする」を参照してください。

LDAPパスワードリセットオプション

LDAP委任認証設定で、ユーザー自身によるパスワードリセットの構成が可能になりました。この変更により、パスワード管理に必要な時間が短縮され、ユーザーがパスワードをすばやく簡単にリセットできるようになります。「LDAPの委任認証を有効にする」を参照してください。

Windows デバイス登録タスクバージョン 1.4.1

このリリースでは、以下の問題が修正されました。

• sAMAccountNameにスペースが含まれている場合、Oktaデバイス登録タスクのインストール時にエラーが表示され、インストールは完了しても機能しませんでした。
• Oktaデバイス登録MSIファイルをダブルクリックすると、「不明な発行者」という警告が表示されました。

影響を受けるお客様は、登録タスクをアンインストールしてから、1.4.1以降をインストールする必要があります。「 マネージドWindowsコンピューターにOkta Device Trustを強制適用する」・「Okta Device Trust for Windows Desktop Registration Taskのバージョン履歴」を参照してください。

CSVの増分インポート

増分インポートでは、前回のインポート以降に作成、更新、または削除されたユーザーのみをインポートするため、パフォーマンスが向上します。「CSVディレクトリ統合を管理する」を参照してください。この機能は、以前に2020.09.0の本番環境でリリースされており、再リリースとなっていることに注意してください。

Password changed notification email（パスワードの変更に関する通知メール）

不必要なメール通知を排除するために、［Password changed notification email（パスワードの変更に関する通知メール）］設定は、新しいプレビューorgではデフォルトで有効ではなくなりました。「エンドユーザーへのパスワードの変更通知」を参照してください。

Office 365サイレントアクティベーション

OktaをIDプロバイダーとして使用すると、Okta Office 365サイレントアクティベーションにより、ドメイン参加共有ワークステーションまたはVDI環境でOffice 365アプリにアクセスするMicrosoft Office 365エンドユーザーにシームレスなエクスペリエンスが提供されます。エンドユーザーがドメイン参加Windowsマシンにログインすれば、それ以上のアクティベーション手順は必要ありません。「Office 365サイレントアクティベーション：新しいリリースの実装」を参照してください。

ローカライズされたエンドユーザーようこそメール

ユーザーのデフォルトのlocaleプロパティを参照することにより、Oktaが新しいエンドユーザーに送信するようこそメールをローカライズする機能が一般利用可能になりました。「一般的なカスタマイズ設定を構成する」を参照してください。

［People（ユーザー）］ページの改善

ユーザーページをユーザータイプでフィルタリングできるようになりました。「Okta Universal Directoryカスタムユーザータイプに関する既知の問題」を参照してください。

UI要素の変更

［Provisioning（プロビジョニング）］ページ（［General Settings（一般設定）］）のドロップダウンメニューが標準化されています。「アプリのプロビジョニング」を参照してください。

早期アクセス機能の自動登録

すべての早期アクセス機能で、利用可能になったときに有効にする代わりに、自動登録を選択できるようになりました。

LDAPインターフェイスを使用してアプリをOktaに接続する

LDAPインターフェイスを使用すると、クラウドのUniversal Directoryに対してレガシーLDAPアプリを認証できます。LDAPインターフェイスを使用すると、オンプレミスのLDAPサーバーを必要とせずに、LDAPを介してOktaに対して直接認証が行われます。さらに、LDAPインターフェイスは検索などの他のLDAP機能もサポートしています。