Okta Identity Engineリリースノート（プレビュー）

バージョン：2026.07.0

デバイス保証のOSバージョン更新

デバイス保証ポリシーで、次のOSバージョンがサポートされるようになりました。

• Android 13、14、15、16セキュリティパッチ2026-01-05

AIエージェントトークン向けの仕様準拠のクライアントIDクレーム

AIエージェントOAuth 2.0クライアントのユーザークレームの評価中に、 Okta Expression Languageプロファイルにapp.clientIdプロパティが含まれるようになりました。これにより、開発者はAIエージェントのフロー中に仕様に準拠したトークンを生成できるようになります。

Salesforceリクエスト向けのOAuthのセキュアなトークン交換

Okta for AI Agentsは、 Salesforceアプリ統合、リソースサーバー、またはMCPサーバーにリクエストを送信するときに、 OAuth 2.0のセキュアなトークン交換フローを使用するようになりました。

AIエージェントのイベントが、イベントフックの対象になりました。

AIエージェントとAIエージェントプロバイダーがイベントフック対応になり、イベントに基づいてWorkflowsをトリガーできるようになりました。「イベントフック」を参照してください。

Rapid7 InsightAppSecのプロビジョニング

Rapid7 InsightAppSecアプリ統合のプロビジョニングが利用できるようになりました。アプリをプロビジョニングするとき、エンタイトルメント管理などのセキュリティ機能を有効にできます。「Rapid7 InsightAppSec」を参照してください。

Admin OIDC App Phase Two Tranch One

Admin OIDC App Phase Two Tranch One機能が有効になっていると、Okta Admin Consoleはページの読み込み時にOIDCサインインフローを自動的に開始し、管理者は要求されたページが表示される前に認証ページに一時的にリダイレクトされます。

OINアプリに必要な一意のクライアント認可設定

アプリ統合でクライアント認可の詳細を入力すると、別の統合でその詳細がすでに使用されている場合にエラーが表示されるようになりました。

Amazon Bedrock AgentCore AIエージェントの新しいプロトコルランタイム

Amazon Berock AgentCoreプラットフォームから、標準のHTTPとエージェント間プロトコルの両方のランタイムをインポートできるようになりました。

デフォルトでアクティブなMCPサーバー

新規作成されたMCPサーバーは、デフォルトでアクティブ状態になります。「MCPサーバーを追加する」を参照してください。

AIエージェント管理者ロール

スーパー管理者は、新しいAIエージェント管理者ロールを使用して、AIエージェント管理タスクを委任できるようになりました。このロールを持つ管理者は、AIエージェントの登録、オーナーの割り当て、リソース接続の構成などのタスクを実行できます。「Okta for AI Agentsの管理者ロールを管理する」を参照してください。

AIエージェントの日付範囲フィルター

AIエージェントページで、作成または更新された日時でAIエージェントを管理者がフィルタリングできるように日付範囲フィルターが提供されるようになりました。

Google Vertex AIからAIエージェントをインポートする

Google Vertex AIで構築されたAIエージェントを、Oktaから直接インポートおよび管理できるようになりました。 「AIエージェントのインポート用にGoogle Vertex AIを構成する」を参照してください。

デバイス保証のOSバージョン更新

デバイス保証ポリシーで、次のOSバージョンがサポートされるようになりました。

• Android 17（2026-06-01）
• Windows 10ビルド（10.0.17763.8880、10.0.19044.7417、10.0.19045.7417）
• Windows 11ビルド（10.0.22631.7219、10.0.26100.8655、10.0.26200.8655）

受信トレイページからの検索フィルターの削除

パフォーマンス向上のため、 Okta Access Requests Webアプリの 受信トレイ（Inbox）ページにある フィルター（Filters）から要求者タイプ（Requestor type）オプションとフォロワー（Follower）オプションが削除されました。

Okta for AI AgentsのUIの更新

AIエージェントのページで、 オーナー（Owner）およびプラットフォーム（プラットフォーム）フィルターが提供されるようになりました。また、 AIエージェントプロバイダーページには、プロバイダーから登録されたAIエージェントの数を表示する 登録済みAIエージェント 列が追加されました。 

スプレー攻撃されたパスワードを使用した疑わしいログイン

この検出は、ユーザーのパスワードがパスワードスプレー攻撃キャンペーンで特定され、そのパスワードを使用してサインインに成功したことを示します。この検知により、ITPはワークフローを通じて、Universal Logoutやパスワードリセットなどの設定済みの修復アクションをトリガーできるようになります。「スプレー攻撃されたパスワードを使用した疑わしいログイン」を参照してください。

この機能は徐々に運用を開始しています。

拡張動的ゾーン向けの新しいVPNサービス

VIGOR_SSL_VPNが拡張動的ゾーンの個別のVPNサービスカテゴリーとしてサポートされるようになりました。「サポートされているIPカテゴリー」を参照してください。

AIエージェントの管理者ロールのヘルプリンク

管理者 > ロール（Administrators Roles）タブで、 AIエージェントの管理者ロールにヘルプリンクが表示されるようになりました。 

X.509クライアント証明書認証における強力な暗号の強制

Okta は、mTLS認証で使用されるX.509クライアント証明書に対して、強力な暗号を強制するようになりました。RSA-1024などの脆弱な暗号で署名されたクライアント証明書は、新しいOrgでは受け入れられなくなりました。X.509証明書ベースの認証を使用する場合は、クライアント証明書がFIPS 140-2の暗号要件を満たしていることを確認してください。

パスキー（FIDO2 WebAuthn）Authenticatorのカスタマイズ可能なメール

管理者がパスキー（FIDO2 WebAuthn）Authenticatorを構成した際にユーザーに送信されるメールが、カスタマイズ（Customizations） > ブランド（Brands） > メール（Emails）でカスタマイズ可能なテンプレートとして利用できるようになりました。管理者は、件名、メール本文、PIN、名、org名などの動的変数を変更できるほか、複数言語のコンテンツを追加できます。 

メールの自動登録と復旧の管理

管理者は、 Authenticatorとしてのメールの自動登録を制御し、メールがAuthenticatorでない場合のメールベースのパスワード復旧、ロック解除、変更を構成できます。メールを任意のAuthenticatorにするを参照してください。

デバイス保証の高度なポスチャチェック

高度なポスチャチェックにより、管理者はStandardのデバイス保証ポリシーではサポートされていない、より詳細なデバイスのセキュリティ条件を構成できるようになりました。osqueryを使用すると、macOSおよびWindowsデバイスの状態を評価するためのカスタムSQLクエリを作成したり、管理対象外デバイス向けのチェックを構成したり、エンドポイント検知・対応（EDR）ツールと統合したりすることができます。「デバイス保証に高度なポスチャチェックを構成する」を参照してください。

グループルールの割り当てを更新する

管理者は、ルールを削除したり再作成したりすることなく、グループルールに割り当てられたグループを更新できるようになりました。これにより、グループメンバーシップとルール条件の管理が効率化されます。「グループルールの編集」を参照してください。

MFA登録ポリシーバリデーターの改善

過去30日間に自分で開始したuser.account.update_password syslogイベントがないOrgは、Okta Identity Engineへのアップグレード時に表示されるMFA登録ポリシーバリデーターの警告の対象外となり、アップグレードを実施しやすくなりました。

Azure Active Directoryのライセンス未割り当てユーザーをOktaにインポートする

Office 365ライセンスが割り当てられていないユーザーをMicrosoft Azure Active Directory （AAD）からインポートできるようになりました。これにより、管理者は従業員のライフサイクル管理を Okta内で一元化できるようになり、ライセンスが割り当てられていないアカウントを両方のプラットフォームで管理する必要がなくなります。「Microsoft Graph APIを使用してOffice 365にユーザーをインポートする」を参照してください。

API Integration Actionsアプリでのグループプッシュのサポート

API Integration Actionsを使用してプロビジョニングを実行するアプリで 、グループプッシュ機能を使用できるようになりました。これにより、プロビジョニングアクションでグループAPIコントラクト を使用するアプリで、グループインポート機能が利用できるようになります。

AMFA orgのITP検出

Adaptive MFA orgでは、直接割り当てられたスーパー管理者でセッションおよびエンティティユーザーが検出されると、ITP検出のメリットを得られるようになりました。これらの検出イベントは、Workflowsを使用して実行可能です。この機能は、 Okta Secure Identity Commitment に準拠しています。「システムログのIdentity Threat Protectionイベント」を参照してください。

この機能は、Okta for US Militaryのお客様も利用できるようになりました。

Office 365 SSO署名証明書のオンデマンドローテーション

WS-Federationの認証を使用するOffice 365アプリ統合で、アプリレベルの証明書の使用がサポートされるようになりました。orgレベルの証明書からアプリレベルの証明書に切り替えることで、共有されるorgレベルの証明書の有効期限切れによる単一障害点を排除でき、セキュリティを強化できます。UIの更新により、IT管理者は証明書のステータスを容易に監視し、必要に応じて証明書を生成し、運用を中断することなく証明書のローテーションを実行できるようになります。「Office 365向けにシングルサインオンを構成する」を参照してください。

End-User Settingsへの直接アクセス

ユーザーは、End-User Dashboard以外にも、URLから直接［設定］ページにアクセスようになりました。この機能によって、ユーザーの利便性とセキュリティや、管理者がEnd-User Dashboardアクセス制御のシナリオを扱う際の柔軟性が高まります。アクセシビリティとUXも改善されました。「エンドユーザー設定」を参照してください。

エージェント間接続

エージェント間のサーバー接続により、管理者はAIエージェントを他のAIエージェントに接続できます。管理者はスコープを管理して、適切なAIエージェントタスクへのアクセスを制限し、サービスアプリがユーザーコンテキストなしでAIエージェントを呼び出せるようにできます。管理者は、トークンとSystem Logを使用して、すべてのユーザー、 AIエージェント、およびAIエージェントを呼び出すアプリを表示できます。「エージェント間接続」を参照してください。

セルフサービス機能としてのCross App Accessの削除

Admin Consoleの設定（Settings） > 機能（Features）ページの早期アクセス（Early Access）セクションで、 Cross App Access機能を有効または無効にすることができなくなりました。orgでのこの機能の利用可否を変更する場合は、 Oktaサポートまでお問い合わせください。Integrator無料プランorgをお持ちの場合は、代わりに 開発者サポートまでお問い合わせください。この変更は、既存の構成には影響しません。

パスキー指標の追跡

この機能強化により、パスキーのパフォーマンスをより可視化するための追跡機能とレポートツールが追加されます。これにより、管理者がすべてのorgでパスワードレスの採用と使用の傾向を監視できるようになります。

管理者ロールの割り当てにおける監査モード

新しい監査者（読み取り専用）モードにより、スーパー管理者は、任意の管理者またはグループ管理者の割り当てに読み取り専用の制限を適用できるようになりました。この設定により、管理者は、Oktaファーストパーティアプリを除き、 Admin ConsoleとOkta API全体で読み取り専用アクセスに制限されます。この機能は、セキュリティの透明性を維持しながら、監査人にシステムの可視性を提供します。「監査人（読み取り専用）モード」を参照してください。

• 言語ローカライズされているorgのエンドユーザー設定（End-User Settings）ページで、エラーメッセージのコロンの前のノーブレークスペースがありませんでした。（OKTA-1113766）

• Okta Verifyのエラーにより、一部のユーザーが、高度なポスチャチェック機能が有効になっているorgにサインインできませんでした。エラーはSystem Logに記録されませんでした。（OKTA-1120412）

• アクセステストツールが、テスト対象のIPアドレスが許可ゾーン内にあるにもかかわらず、ユーザーのサインインイベントがグローバルセッションポリシーのネットワークゾーンルールによって拒否されたと誤って報告していました。（OKTA-1130892）

• ユーザーがグループ経由でSAMLアプリに割り当てられている場合、Oktaにサインインした後にアプリにアクセスできないことがありました。（OKTA-1140346）

• Sign-In WidgetでのOkta Verify番号チャレンジのテキストサイズが小さすぎました。（OKTA-1140583）

• マイ設定（My Settings）のOktaロゴの代替テキストが不正確でした。（OKTA-1164454）

• マイ設定（My Settings）で、サポート（Support）セクションの見出しレベルに誤りがありました。（OKTA-1164459）

• マイ設定（My Settings）において、画面幅が狭い場合に 最近のアクティビティ（Recent Activity）のドロワーがリサイズされず、トラックパッドやスクロールバーがないと閉じるボタンを操作できませんでした。（OKTA-1164494）

• 延期登録ポリシーでパスワードのみが登録されているユーザーが、2要素認証を必要とするアプリにアクセスしようとすると、エラーが表示されていました。（OKTA-1174736）

• アプリがスコープを要求した際、スコープ名の一部が別のスコープ名のプレフィックスになっていると、Sign-In Widget（第2世代）が読み込まれませんでした。（OKTA-1174752）

• 管理者が、 AIエージェントリソース接続で使用されていたカスタム認可サーバーを削除できてしまっていました。（OKTA-1182513）

• 統合エージェントのダッシュボードのDirSync準備状況の警告バナーに、古いステータス情報が表示されていました。（OKTA-1185146）

• 管理者がアクセステストツールで、スマートカードAuthenticatorを登録しているユーザーのアクセスをテストすると、Authenticatorで登録（Enrolled in authenticators）の結果にエラーメッセージが表示される問題がありました。（OKTA-1186554）

• Okta Expression Language バージョン3ルールを評価する際、 contains関数がカスタム整数配列の属性または数値配列属性の評価に失敗していました。（OKTA-1194797）

• ユーザーがプロファイルの編集を開始した後に管理者が読み取り専用のプロファイル属性を変更すると、ユーザーがプロファイルの変更を保存しようとした際にエラーメッセージが表示されていました。（OKTA-1201181）

• ユーザーがOkta Verifyに複数の認証要素を登録している場合、有効な猶予期間のカウントが、本来はAuthenticator単位で行われるべきところ、要素ごとに誤って増分されていました。（OKTA-1209603）

• ユーザーがアプリの追加（Add apps）ダイアログの追加ボタンを複数回クリックすると、ダイアログがフリーズし、ページを更新するまでダイアログを閉じたり完了（Done）を選択したりすることができなくなっていました。（OKTA-1211432）

• SAP LeanIX - SaaS Discovery（APIサービス）が更新されました。

• Camino（OIDC）が利用可能になりました。詳細をご確認ください。

• Camino（SAML）が利用可能になりました。詳細をご確認ください。

• Rubrik Security Cloud（APIサービス）が更新されました。

• Vercel（SAML）が利用可能になりました。詳細をご確認ください。

• Zoom（OIDC）が利用可能になりました。詳細をご確認ください。

• Commvault（APIサービス）が利用可能になりました。詳細をご確認ください。

• Camino（SCIM）が利用可能になりました。詳細をご確認ください。

ボット防御

ボット防御を利用して、orgはIdentity Threat Protection（ITP）ランディングページ内で修復アクションを構成することで、ボットトラフィックを自動的に特定・緩和できます。「ボット防御」を参照してください。

Workdayによる増分インポートのサポート

Workdayに増分インポートを直ちに実行する機能が加わりました。増分インポートはフルインポートよりもはるかに速いです。ただし、ユーザーがカスタム属性のみを変更した場合は検出されないため、これらの変更を取得するには定期的にフルインポートを実行する必要があります。「増分インポート」を参照してください。

Okta FastPassの同一デバイス登録

Okta FastPassを使用しているorgでは、Okta Verifyの登録プロセスが合理化されました。

• ユーザーは現在使用しているデバイスで登録を開始して完了できます。以前は、アカウントをセットアップするには2つの異なるデバイスが必要でした。
• ユーザーは登録時にorgのURLを入力する必要がなくなりました。
• 登録フローの手順が少なくなりました。この機能は、Android、iOS、macOSデバイスでサポートされています。

Admin Consoleへの新規の単一要素アクセスを防止する

この機能は、Admin Consoleへの単一要素アクセスを管理者が構成できないようにします。この機能は現在、新しいorgにのみ利用できます。

ニックネーム要素のエンドユーザー設定

エンドユーザーは、電話、WebAuthn、Okta Verifyの要素にニックネームを付けられるようになりました。1つの要素のインスタンスを複数登録している場合は、ニックネームを付けると要素をすぐに識別しやすくなります（例：「自分の個人携帯電話」または「自分のオフィス用MacBook TouchID」）。「エンドユーザー向けドキュメント」を参考にしてください。これはセルフサービスの機能です。

システムログイベントの詳細

Oktaがセキュリティ脅威を特定すると、結果のsecurity.threat.detected System Logエントリにイベントの詳細な理由が提供されるようになりました。「システムログ」を参照してください。

新しい柔軟なLDAP

新しいLDAPスキーマでは、メールをカスタムスキーマに移動し、名、姓、ユーザー名、UIDを任意にすることで柔軟性が向上します。これにより、LDAPスキーマに特定の属性が含まれていない場合のエラーシナリオを回避できます。

ThreatInsightのコアOkta APIエンドポイントでの対象範囲

Okta ThreatInsight対象範囲が、コアOkta APIエンドポイントに利用できるようになりました。

• OpenID Connect and OAuth 2.0
• Okta Management
• MyAccount API

Okta ThreatInsightは、ヒューリスティックスと機械学習モデルに基づいて、Oktaの顧客ベース全体で悪意のあるアクティビティを一貫して示すIPアドレスのリストを更新して維持します。Okta orgにOktaが有効化されている場合、これらの不正なIPアドレスからのリクエストはブロックされるか、さらに分析するために昇格されます。これまで、Oktaの対象範囲は、Okta認証エンドポイント（登録エンドポイントと復旧エンドポイントを含む）にのみ適用されていました。本リリースでは、認証エンドポイントに強化された攻撃パターンが検出され、非認証エンドポイントにも制限された攻撃パターンが検出されます。既存のOkta ThreatInsight構成に変更はありません。ログとブロックモード、ログモード、および除外ネットワーク ゾーンを使用しても、Okta ThreatInsightを有効化できます。高脅威のsecurity.threat.detectedイベントに対して、Negative IP Reputationの新しい理由が利用可能になりました。「Okta ThreatInsightのシステムログベント」を参照してください。

SSOアプリのダッシュボードウィジェット

SSOアプリの新しいウィジェットには、選択した期間におけるorgの各アプリでのユーザーサインインイベント数が表示されます。これを使用すれば、最も頻繁に使用されるアプリを確認し、org全体の認証アクティビティを簡単に監視できます。

セルフサービスロック解除プロセスの改善

以前のバージョンのセルフサービスロック解除（SSU）フローでは、エンドユーザーエクスペリエンスで不要な摩擦が発生していました。新しく強化されたSSU機能により、アカウントのロック解除メールにシームレスなマジックリンクエクスペリエンスが導入されます。ユーザーは、同じブラウザーを使用する場合は同意を提供する必要がなくなりました。さらに、アカウントのロック解除に成功した後、メールマジックリンクのクリックもアプリの保証ポリシーに反映されるようになりました。保証要件が満たされた後、ユーザーはアプリに直接サインインします。

セルフサービス登録エクスペリエンスの改善

セルフサービス登録（SSR）フローの以前のバージョンでは、複雑な一連のテンプレートを使用して、アクティベーションメールをエンドユーザーに送信していました。これは、簡素化されたSSRフローにより、カスタマイズされたウェルカムメッセージを含む2つのメールテンプレートのみに削減されます。アプリでエンドユーザーのメールアドレスをすぐに確認する必要がある場合、Oktaでは登録 - アクティベーションテンプレートを使用します。このテンプレートには、よりスムーズなサインインエクスペリエンスのためのマジックリンクが含まれています。アプリへのサインインにメール確認がすぐに必要でない場合、Oktaでは登録 - メール確認テンプレートを使用します。このテンプレートには、エンドユーザーがアプリに正常にサインインした後に随時メール確認を完了するためのリンクが含まれています。

デバイス認可の付与タイプ

インターネット技術の進歩により、スマートデバイスやIoT（Internet of Things）が急増しています。ユーザーはこれらのデバイスで実行されるアプリにサインインする必要がありますが、スマートTV、車のコンソール、サーモスタットなどのデバイスではWebブラウザーがサポートされていないか、入力機能が制限されています。そのため、ユーザーはエラーが発生しやすく時間のかかる、安全でない認証ソリューションを利用することになります。

デバイス認可付与機能はOAuth 2.0の付与タイプで、入力に制約のあるデバイスだけでなく、Webブラウザーのないデバイスにもサインインできます。この機能により、ユーザーはノートパソコンや携帯電話などのセカンダリデバイスを使用して、そのようなデバイスで実行されるアプリにサインインすることができます。