Okta管理者ロールアプリを管理するポリシーを構成する

早期アクセスリリース。「セルフサービス機能を有効にする」を参照してください。

Okta管理者ロールの管理機能には次のアプリが含まれます。

Okta Access Request：このアプリは、自動的にスーパー管理者に割り当てられます。これは、リクエストに割り当てられるスーパー管理者を制御します。承認者にタスクを割り当てるときは承認者に割り当てでき、エンドユーザーに［Request admin role（管理者ロールを要求）］ボタンを表示するときはエンドユーザーに割り当てることができます。これは、Okta Dashboardに表示される唯一のアプリです。
Okta Access Request OAuth：このアプリは、自動的にスーパー管理者に割り当てられます。これは、リクエスト内のワークフローの実行のみに使用されます。これをユーザーに割り当てる必要はありません。
Okta Access Requests Admin：このアプリは、自動的にスーパー管理者に割り当てられます。アクセスリクエスト条件を管理する必要がある管理者に割り当てることができます。
Okta Access Requests Resource Catalog：このアプリは、自動的にすべてのユーザーに割り当てられます。デフォルトでは何も利用できず、アプリの管理は一切必要ありません。
Okta Access Certifications：このアプリは、自動的にスーパー管理者に割り当てられます。これは、Admin Consoleの［アクセス証明書］セクションへのアクセスを提供します。

この機能を有効にすると、既存のスーパー管理者はこれらのアプリを自動的に取得します。後からスーパー管理者を追加するときは、このアプリを手動で割り当てる必要があります。

アプリのポリシーを構成する

以下のSystem Logクエリを使用して、Okta Access Requests Adminアプリの認証ポリシーがOkta Admin Consoleアプリのポリシーに一致するかどうか確認します。

target.displayName eq "Okta Access Requests Admin" and outcome.result eq "DENY"
Govern Okta管理者ロール機能の使用時にポリシーのイベントが拒否された場合は、Okta Admin Consoleアプリの認証ポリシーを複製します。
複製したポリシーの［When an Okta global session doesn't exist（Oktaグローバルセッションが存在しない場合）］に［Prompt for authentication（認証のプロンプト）］条件を設定します。
複製したポリシーをOkta Access Requests Adminアプリに割り当てます。このアプリへのアクセスでMFAを必須にすることもできます。「Admin ConsoleのMFAを有効にする」を参照してください。

Okta Dashboardアプリの認証ポリシーを複製します。
複製したポリシーの［When an Okta global session doesn't exist（Oktaグローバルセッションが存在しない場合）］に［Prompt for authentication（認証のプロンプト）］条件を設定します。
複製したポリシーをOkta Access Requests Resource Catalogアプリに割り当てます。