Active Directory アカウントルール

早期アクセスリリース

Active Directory（AD）アカウントルールはOkta Privileged AccessでADアカウントの管理を自動化するように設計されています。これらは、特定のOUでADアカウントを自動的に見つけて、それらのアカウントを管理下に置くために使用されます。Okta Privileged Accessを使用したアカウントの管理を停止するには、これらの特定のOUが含まれないようにアカウントルールを変更または削除する必要があります。

アカウントルールのタイプ

以下の2種類のアカウントルールがあります。

共有アカウントルール：1人のユーザーに属すことなく、複数の人が使用するアカウントの管理に使用されます。これらのアカウントは、Active Directoryチームが所有する管理者アカウントや、物流チームが管理する配送アカウントなどのように、チーム間で共有されます。

個別アカウントルール：特定のユーザーに属するアカウントに適用されます。AD環境では通常、特権ユーザーには個別の専用アカウントがあり、それらユーザーが日常で使用するアカウントに特権アクセスは付与されません。これらの管理者アカウントは各自の個別使用のみを意図したものであり、名前には管理者アカウントを示すプレフィックスまたはサフィックスが付けられます。たとえば、adm.Jane.Doe@ad.domain.netやclark.kent-admin@ad.dailyplanet.orgなどです。個別アカウントルールを作成する前に、まず個別のアカウント設定を構成する必要があります。

個別アカウントルール設定は、Okta Privileged Accessが個々のアカウントをそのプライマリユーザーにマッピングする方法を決定します。Okta Privileged Accessは、これらのアカウントをそれぞれの所有者と関連付けるために、いくつかのオプションをサポートしています。ポリシールールは、ユーザーが個別の管理者アカウントにアクセスできるかどうかを制御し、そのアクセスに適用される条件を指定します。ユーザーは自分の個人アカウントのみを表示できます。

OktaユーザーにリンクされたADのみのアカウントとADアカウントの管理

アカウントルールは、OUと構成した追加のフィルター（アカウント名またはOktaグループなど）に基づいて、Okta Privileged Access管理下にActive Directoryアカウントをまとめます。同じルールで、ADのみのアカウントとOktaユーザーにリンクされたADアカウントの両方を、管理下にまとめることができます。ルールでは、これらは区別されません。

アカウントがルールに一致した後：

アカウントに対応するOktaユーザーがいない場合、Okta Privileged Accessはパスワードを直接管理します。
アカウントがすでにOktaユーザーにリンクされている場合、Okta Privileged AccessはそのOktaユーザーを通じてパスワードを管理します。結果として、Oktaユーザーのステータスが変更されることはありません。

この動作を構成する設定はありません。これは、アカウントルールごとに自動的に行われます。

Active Directory OU向けルールの優先順位付けと順序付け

ネストされた組織単位（OU）がある複雑な環境では、目的の動作を実現するためにルールの順序付けが特に重要です。

最初の一致が適用（First Match Wins）：Okta Privileged Accessでは、Active Directory（AD）アカウントルールを優先順位に従って処理します。アカウントに一致する最初のルールによって、そのアカウントの管理方法が決定されます。
OUレベルの優先順位（OU-Level priority）：ルール間の優先順位は、OUの一致とルールの優先順位によって決定されます。追加のフィルター（アカウント名（Account Name）とOktaグループ（Okta Group））は、ルールを適用するアカウントを絞り込みますが、ルール間の優先順位には影響しません。