Okta Access Certificationを使ってADグループメンバーシップを管理する

双方向のグループ管理とActive Directory（AD）を併用するには、ADグループを使ってレビューのためのアクセス認定キャンペーンをセットアップします。レビュアーはグループメンバーシップを評価でき、取り消すユーザーを選択できます。その上で、キャンペーンの概要を確認し、指定したADグループから削除されたユーザーをリスト表示できます。

開始する前に

この機能の使用には要件があります。

• ADをソースとするグループをリソースとして有するアクセス認定キャンペーン。「キャンペーンを作成」を参照してください。

• 次のようにセットアップされたActive Directory統合：

  • デプロイされ、使用可能なOkta Active Directory Agent

  • プロファイルソースとして設定されたActive Directory

  • ジャストインタイム（JIT）プロビジョニングが有効

• ユーザーに対して後続の操作（ADグループへのユーザーの追加や削除など）を実行する前に、増分インポートまたはフルインポートを実行する必要があります。
• グループからユーザーを削除できるのは、ユーザーがそのグループの直接メンバーである場合のみです。ユーザーがADグループを継承した場合、ネストされたグループメンバーシップ構造が原因で削除できない場合があります。

タスクの開始

1. ADグループを使ってレビューのためのアクセス認定キャンペーンをセットアップします。指定のADグループ内のユーザーは、アクセス認定キャンペーンに含まれます。
2. レビュアーは、グループ内のユーザーのグループメンバーシップをレビューするための保留中のアクションを確認します。レビュアーがユーザーに取り消しのマークを付けると、そのユーザーはオンプレミスのADグループから削除されます。Oktaは、ユーザーのプロファイルとグループメンバーシップを更新します。
3. 指定したADグループから削除されたユーザーについては、アクセス認定キャンペーンの概要で確認します。これは、Admin Consoleの［Directory（ディレクトリ）］［Group（グループ）］［People（ユーザー）］の下のグループメンバーシップで検証することもできます。

次の状況では、レビュアーはアクセスを手動で修復しなければならない場合があります。

• ユーザーのグループメンバーシップが、ネストされたグループを通じて付与されている。この場合、レビュアーはネストされた特定のグループからのユーザーのアクセス権を取り消す必要があります。
• Oktaに接続されたエージェントがない。
• ADとの接続がタイムアウトになる。
• ADでのアクセスの取り消しに必要な権限がエージェントにない。

関連項目

Active Directoryを使った双方向のグループ管理