カスタムTOTP要素（MFA）

カスタムTOTP要素は、ユーザー認証にカスタム時間ベースのワンタイムパスコード（TOTP）ソリューションを使用できます。

ユーザーはサインイン時にカスタムTOTP要素を選択し、トークンからTOTPを提供して、OktaまたはOktaで保護されたリソースにサインインします。

この要素を設定するには、各トークン用のOkta要素APIを通してfactorProfileIdとsharedSecretを渡します。

カスタムTOTP要素のインスタンスは、担当者グループごとに無制限に作成できますが、ユーザーは一度に1つのインスタンスにしか登録できません。

はじめに

  • Okta要素APIの説明書をお読みください。
  • orgでカスタムTOTPがまだ有効になっていない場合は、Oktaサポートに連絡して有効にしてください。
  • カスタムTOTP要素に登録する各ユーザー用に一意の共有シークレットを生成します。
  • 実装で使用するHMACと共有シークレット符号化アルゴリズムを書き留めます。
  • 一意の共有シークレットを持つハードウェアまたはソフトウェアセキュリティ トークンをエンドユーザーに提供します。

カスタムTOTPを要素として追加する

  1. Admin Consoleで［Security（セキュリティ）］［Multifactor（多要素）］に移動します。
  2. ［Factor Types（要素タイプ）］ タブで［TOTP］をクリックします。
  3. ［Add TOTP Factor（TOTP要素を追加）］をクリックします。
  4. 次のオプションを構成します。実装に合ったHMACと共有シークレット符号化アルゴリズムを選択します。
    • ［Name（名前）］
    • ［TITP length（TOTPの長さ）］
    • ［HMAC Algorithm（HMACアルゴリズム）］。実装に適したアルゴリズムを選択してください。
    • ［Time step（時間ステップ）］。「Clock drift interval（クロックドリフト間隔）」を参照してください。
    • ［Clock drift interval（クロック ドリフト期間）］。この設定により、トークンの現在時刻とサーバーの現在時刻間の許容ドリフトを組み込むことができます。時間ステップを15秒とし、クロックドリフト期間を3とした場合、Oktaはユーザーがパスコードを入力するまで15 X 3 = 45秒ほどパスコードを受け付けます。

    • ［Shared secret encoding（共有シークレットのエンコード）］。実装に合ったアルゴリズムを選択してください。

  5. ［Save（保存）］をクリックします。その要素と関連要素プロファイルIDが表示されます。
  6. ユーザーを登録するために要素プロファイルIDをコピーするには、クリップボードのアイコンをクリックします。Okta要素APIでユーザーを登録するときにこのIDを入力します。
  7. Okta要素APIでユーザーを登録します。APIを呼び出すために以下の情報があることを確認してください。
    • 要素タイプ
    • プロバイダー
    • 要素プロファイルID
    • 共有シークレット

    • 1人のユーザーは1つのカスタムTOTP要素にのみ登録できます。
    • ユーザーを登録するときは、要素IDと割り当てられたセキュリティトークンが一致することを確認してください。誤った要素IDを使用すると、ユーザーが認証を試みるときにエラーが発生します。
    • 複数のユーザーを登録する前に、1人のユーザーの登録で認証が成功したことを確認します。

Oktaの多要素認証ポリシーにカスタムTOTPを登録する

  1. Admin Consoleで［Security（セキュリティ）］［Multifactor（多要素）］に移動します。
  2. ［Factor Enrollment（要素登録）］タブで、新しい多要素ポリシーを追加するか、既存の多要素ポリシーを編集します。

    Add a policy（ポリシーを追加する）

    1. ［Add Multifactor Policy（多要素ポリシーを追加）］をクリックします。
    2. 名前を入力します。
    3. ポリシーをグループに割り当てます。
    4. ［TOTP］オプションを ［Optional（任意）］ または［Required（必須）］に設定します。
    5. ［Create Policy（ポリシーを作成）］をクリックします。

    Edit a policy（ポリシーを編集する）

    1. 編集するポリシーを選択し、［Edit（編集）］をクリックします。
    2. ［Effective factors（有効な要素）］で、［TOTP］オプションを ［Optional（任意）］ または ［Required（必須）］に設定します。
    3. ［Update Policy（ポリシーを更新）］をクリックします。
  3. ポリシーにルールを追加する場合は、「MFA登録ポリシーを構成する」を参照してください。

エンドユーザーエクスペリエンス

  1. サインオンポリシーで必要な場合、Oktaへのサインイン時やOktaで保護されたアプリへのアクセス時に、要素による認証を求めるプロンプトがユーザーに表示されます。
  2. ユーザーがOkta要素APIから登録されている場合、セキュリティトークンに表示されるパスコードを入力するプロンプトが表示されます。エンドユーザーがAPIから登録されていない場合、エラーメッセージが表示されます。

重要な考慮事項

  • 構成を確認します。追加のユーザーを登録する前に、TOTPトークンで少数のユーザーを登録して認証します。これにより、多くのユーザーに影響を与えることなく、潜在的な問題を特定して修正できます。要素プロファイルは、作成後に編集することはできません。プロファイルを誤って構成した場合、影響を受けるすべてのユーザーを新しいカスタムTOTPプロファイルに再登録する必要があります。
  • Admin Consoleから追加するカスタムTOTP要素の数に制限はありませんが、ユーザーは1つのカスタムTOTP要素にしか登録できません。
  • この機能は標準OTPトークンのみでサポートされています。独自仕様の実装や非標準トークンはサポートされていません。
  • 作成後にOTP構成を編集することはできません。［Add（追加）］をクリックして構成を保存する前に、正しい設定を選択します。