セルフサービスのアカウント復旧
セルフサービスのアカウント復旧を使用すると、アクティブなエンドユーザーが管理サポートに問い合わせずにOktaパスワードをリセットしたり、アカウントのロックを解除したりできるようになります。
セルフサービスのアカウント復旧は、パスワードポリシーのルールを通じて構成できます。または、ユーザーがこれらのアクションを実行するときにフィッシング耐性のあるAuthenticatorを必須とする場合は、「Oktaアカウント管理ポリシー」を参照してください。
開始する前に
- アカウントの復旧に使用するすべてのAuthenticatorを有効にします。
- アカウントの復旧にOkta Verifyを使用するときは、［Push notification（プッシュ通知）］オプションを有効にします。
- 復旧以外のシナリオで使用する追加のAuthenticatorを有効にします。これは、復旧のシナリオで使用されるAuthenticatorとは異なる必要があります。復旧用のAuthenticatorを再利用して追加の検証を提供することはできません。
- Authenticator登録ポリシーで、メール以外のAuthenticatorを少なくとも2つ［Required（必須）］に設定します。復旧と認証に利用できるAuthenticatorをユーザーが十分に確保できるように、複数のAuthenticatorへの登録をユーザーに求めることをお勧めします。
セルフサービスのアカウント復旧の構成
- パスワードポリシーを追加します。
- 任意。Oktaアカウント管理ポリシー機能を有効にしたものの、その機能をセルフサービスアクションに使用したくないときは、［Access control（アクセスコントロール）］条件を［Legacy（レガシー）］に設定します。
- 必要に応じてセルフサービスオプションを構成します。
推奨される構成
一部の構成では、アカウントの復旧中にユーザーの認証がブロックされる場合があります。次の表は、避けるべき構成の例、説明、代わりに推奨される構成を示しています。
|
避けるべき構成 |
理由 |
代わりに使用する構成 |
|---|---|---|
|
Admin Consoleでに移動してメールおよび電話Authenticatorの［Actions（アクション）］と［Edit（編集）］を選択し、［Used for（用途）］の設定を表示します。
Admin Consoleでに移動し、［Password（パスワード）］行のをクリックします。調べるルールの鉛筆アイコンをクリックします。
|
ユーザーがアカウント復旧を試みると、復旧を開始するオプションとして［Email（メール）］と［Phone（電話）］が表示されます。ユーザーが電話を選択した場合、メールは認証ではなく復旧用に構成されているため、2番目の検証を完了できません。 |
|
|
Admin Consoleでに移動します。
Admin Consoleでに移動し、［Password（パスワード）］行のをクリックします。調べるルールの鉛筆アイコンをクリックします。
|
ユーザーがアカウント復旧を試みると、復旧を開始するためのオプションとして［Email（メール）］と［Okta Verify］が表示されます。ユーザーがOkta Verifyを選択した場合、メールは認証ではなく復旧用に構成されているため、2番目の検証を完了できません。 |
|
|
Admin Consoleでに移動してメールおよび電話Authenticatorの［Actions（アクション）］と［Edit（編集）］を選択し、［Used for（用途）］の設定を表示します。
Admin Consoleでに移動し、［Password（パスワード）］行のをクリックします。調べるルールの鉛筆アイコンをクリックします。
|
Authenticator登録ポリシーがユーザーにOkta Verifyまたは電話への登録を求めていないため、ユーザーはこの構成の復旧プロセスを開始できません。 |
復旧の開始に電話、Okta Verify、または両方を使用するには、これらのAuthenticatorがAuthenticator登録ポリシーで［Required（必須）］に設定されていることを確認します。 |
|
Admin Consoleでに移動します。
Admin Consoleでに移動し、［Password（パスワード）］行のをクリックします。調べるルールの鉛筆アイコンをクリックします。
|
ユーザーがアカウント復旧を試みると、復旧を開始するオプションとして［Phone（電話）］と［Okta Verify］が表示されます。ユーザーがOkta Verifyを選択した場合、電話は認証ではなく復旧用に構成されているため、2番目の検証を完了できません。 |
|
|
Admin Consoleでに移動し、［Email（メール）］および［Phone（電話）］Authenticatorのを選択して［Used for（用途）］の設定を表示します。
Admin Consoleでに移動し、［Password（パスワード）］行のをクリックします。調べるルールの鉛筆アイコンをクリックします。
|
ユーザーがアカウント復旧を試みると、復旧を開始するためのオプションとして［Okta Verify］、［Email（メール）］、［Phone（電話）］が表示されます。ユーザーがOkta Verifyを選択した場合、メールと電話は認証ではなく復旧専用に構成されているため、2番目の検証を完了できません。 |
|
- パスワードのリセットまたはアカウントのロック解除向けのメールと電話は無効化できます。
- 追加の検証手順としてセキュリティ質問を有効化できます。
- LDAPをソースとするOktaユーザーアカウントのロック解除オプションを選択した場合、ユーザーアカウントはOktaではロック解除されますが、オンプレミスLDAPインスタンスではロックされたままとなります。
- メール以外のAuthenticatorを少なくとも2つ［Required（必須）］に設定します。
- 日常的な認証に選択したAuthenticatorを復旧に使用しないでください。
- セルフサービスによるパスワードリセットのシナリオでは、プッシュによるOkta Verifyを唯一のAuthenticatorとして選択し、復旧のためにユーザー列挙防止を有効にした場合、その設定をオフにしても、ユーザーは引き続き番号一致チャレンジを受け取ります。