IDの調整
Okta はアクセスを管理しますが、アクセス付与後にそれが変更されるかどうかを知ることはできません。IDの調整は、Oktaによって割り当てられたものに照らしてダウンストリームアプリに実際に存在するものを継続的に検出し、管理者に対応が必要なコンテキストとともに知らせます。
早期アクセスリリース。セルフサービス機能を有効にするを参照してください。
メリット
- 管理対象外のアカウントとエンタイトルメントドリフトの事前検出
- エンタイトルメントとアカウントの権限変更の検出が、事後対応から事前対応に変わります。Oktaはインポート時の変更を検出し、変更内容と、実行すべきアクションを決定するために必要なコンテキストに関する情報を関係者に提供します。
- ルールベースのエンタイトルメントドリフトの自動取り消し
- ID調整は、ターゲットアプリでのエンタイトルメントドリフトの検出と、特定の特権エンタイトルメントへのアクセス許可など、許可されない変更のルールを定義する機能をサポートします。
- 中断のないロールアウト
- デフォルトでは、IDの調整はすべての違いを受け入れ、ログに記録します。管理者が取り消しルールを構成するまでは、自動アクセス変更は発生しません。既存のワークフローはそのままなので、 orgは日常業務を中断することなく、取り消しルールを段階的に取り入れることができます。
仕組み
ID調整により、ガバナンスアクセスドリフトが検出されます。ドリフトは、Oktaがユーザーに想定するアクセスと、ダウンストリームアプリの実際の権限との違いです。Oktaは、アプリのインポートを通じて取得された情報とOkta内のアプリのユーザーレコードを比較することでドリフトを検出します。
ID調整は、管理対象外のアカウントとエンタイトルメントのドリフトという2つのカテゴリーのドリフトを検出します。
- Unmanaged accounts：Oktaが割り当てなかったダウンストリームアプリに存在するアカウントや認識していなかったアカウント、またはステータスがOktaで一致するIDと異なるアカウント
- Entitlement drift：ユーザーがダウンストリームアプリで現在持っているアクセスと、Oktaがユーザーに割り当てたアクセスとの違い
ドリフトが発生する状況はいくつかあります。
- 権限の累積：ロールや部署の変更があっても従来のアクセスが取り消されることなく、ユーザーの権限が累積した状態でドリフトが発生します。
- 手動プロビジョニング：管理者が直接、管理対象外の変更を行うか、通常の承認ワークフローを迂回して一時的な例外を付与する場合にドリフトが発生します。
- ライフサイクル上の遅延：ユーザーが会社を退職したときやロールが変更になった際、それらの変更を反映して権限が更新されるまでの間にドリフトが生じます。
- デプロビジョニングの失敗：ユーザーが会社を退職したときに、オフボーディングプロセスでアカウントを削除できなかった場合にドリフトが発生します。
- エコシステムの複雑性：Orgが多数のクラウドサービスや、SaaSツール、非人間アイデンティティに依存しており、権限を一貫して追跡できない場合にドリフトが発生します。
検出はインポートに依存
アプリのドリフトを検出するには、管理者が適切な頻度でそのアプリのインポートスケジュールを構成し、維持する必要があります。これには、インポートスケジュールが構成されているかどうかにかかわらず、手動で実行するインポートも含まれます。既存のインポート動作に変更はありません。最初のインポートは、将来のインポートと比較してドリフトが発生したかを判断するためのベースラインとなります。
どのようにID調整がドリフト修復に役立つのか
ID調整はターゲットアプリ内のエンタイトルメントドリフトを検出し、特定の特権エンタイトルメントへのアクセス許可など、許可されない変更のルールを定義できるようにします。ID調整は、アプリで検出されたドリフトと、そのドリフトの修復方法を決定する際に必要なコンテキストを提供します。アプリオーナーにドリフトのレビューと修復を担当する責任を割り当てることで、他の管理者に適切な判断を下すための背景が不足している場合でも、ドメインの知識を活用できます。
デフォルトでは、IDの調整はすべての違いを受け入れ、ログに記録します。管理者が取り消しルールを構成するまでは、自動アクセス変更は発生しません。既存のワークフローはそのままなので、 orgは日常業務を中断することなく、取り消しルールを段階的に取り入れることができます。
サポートされていない機能
- Oktaは、インポートスケジュールの自動構成や強制は行いません。
- ID調整はリアルタイムには実行されず、イベントベースの検出は行われません。