Active Directoryアカウントを管理する

早期アクセスリリース

Okta Privileged AccessのActive Directory（AD）統合は、管理が不十分な特権ADアカウントに関するリスクの軽減に役立ちます。このソリューションは管理者がアカウントとそのパスワードを検出して管理できるようにします。Role-Based Access Control（RBAC）、MFAのAccess Requests、時間制限付きチェックアウト機能などのアクセス制御を適用します。また、監視とコンプライアンスの取り組みをサポートする監査証跡も提供します。

主要な機能

  • 既存のOkta AD エージェントを使用してActive Directory環境に接続します。

  • 特権ADアカウントを検出し、そのパスワードを管理します。ユーザーはOkta Privileged Accessからパスワードを取得する必要があります。

  • フィッシング耐性のあるMFAを必須にするなど、特権ADアカウントへのアクセスに頑強なポリシーを作成します。

  • ユーザーに対して特権ADアカウントパスワードのチェックアウトを必須にします。ユーザーがチェックインするか、時間制限に達すると、パスワードが自動的にローテーションされます。これにより、ユーザーがパスワードを保存できなくなります。

  • 管理者やユーザーのアクティビティをすべて監査します。

Okta Active Directoryエージェント

ADエージェントは、Okta Privileged Access内でADアカウントのパスワードを管理するドメインとの通信に使用されます。Okta Privileged AccessのAD アカウント管理機能を有効にするには、ADエージェントがすでにセットアップされ、Oktaと統合されていなければなりません。Active Directory統合を管理するを参照してください。

Okta AD Agentのサービスアカウントには、Okta Privileged Accessが管理するアカウントのパスワードをリセットできる権限が必要です。「Okta AD Agentパスワード管理権限を付与する」を参照してください。

パスワードローテーション

Okta Privileged Accessは、次の4種類のActive Directoryパスワードローテーションをサポートします。

  • 自動ローテーション（Automatic rotation）：ユーザーがアカウントにチェックインしたとき、またはチェックアウト時間制限が期限切れになったときに、パスワードが自動的にローテーションされます。

  • スケジュールされたローテーション（Scheduled rotation）：パスワードは、プロジェクトレベルで設定された定期的なスケジュールでローテーションされます。「Active Directoryアカウントのプロジェクト設定を構成する」を参照してください。

  • 手動ローテーション（Manual rotation）：リソース管理者は、アカウントのアクションメニューからローテーションを強制（Force a rotation）を選択することで、単一アカウントのパスワードを直ちにローテーションできます。

  • 手動一括ローテーション（Manual bulk rotation）：リソース管理者は、単一アクションで複数のアカウントパスワードをローテーションをキューに入れることができます。「Active Directoryパスワードの一括ローテーション」を参照してください。

アカウント検出とマッピング

Okta Privileged Accessは、管理者が定義した組織単位（OU）内のActive Directoryアカウントを検出し、パスワード管理の下にまとめます。検出されたADアカウントは2つの状態のいずれかになる場合があり、Okta Privileged Accessは両方を自動的に処理します。管理者設定はいずれかを選択する必要はありません。

  • ADのみのアカウント。ADアカウントには対応するOktaユーザーがいません。Okta Privileged Accessは、Oktaユーザーを作成または必要とせずに、アカウントのパスワードを直接管理します。

  • OktaユーザーにリンクされたADアカウント。ADアカウントは、既存のOktaユーザーにすでにリンクされています。Okta Privileged Accessは、そのOktaユーザーを通じてアカウントのパスワードを管理します。Oktaユーザーのステータス（アクティブ（Active）、一時停止（Suspended）、またはそれ以外）が、Okta Privileged Accessによるアカウントの検出、管理、または管理の停止の結果として変更されることはありません。

ADのみのアカウントが新規作成またはインポートされたOktaユーザーに後でリンクされた場合、Okta Privileged Accessは次の検出サイクルでリンクを検出し、そのOktaユーザーを介したアカウント管理に自動的に切り替えます。管理者アクションは必要ありません。

アカウントがアカウントルールに一致しなくなり、管理が停止した場合：

  • ADのみのアカウントであった場合、Okta Privileged Accessはパスワードの管理を停止します。

  • OktaユーザーにリンクされたADアカウントの場合、Okta Privileged Accessはパスワードの管理を停止します。Oktaユーザーはそのままです。一時停止やその他の変更は行われません。