信頼できるプロキシ

信頼できるプロキシが重要な理由

Oktaの複数のセキュリティ機能は、意図したとおりに動作するためにクライアントIPアドレスに依存しており、代わりにプロキシIPアドレスを評価すると、結果の精度が下がります。

Okta ThreatInsight

クライアントのIPアドレスを評価して、悪意のある可能性があるIPアドレスからのサインイン試行を特定します。信頼できるプロキシが正しく構成されていない場合、 Okta ThreatInsightはクライアントIPアドレスではなくプロキシIPアドレスを評価するため、脅威検出の機能が低下します。「Okta ThreatInsightについて」を参照してください。

リスクエンジン

クライアントIPアドレス、デバイスおよび動作データを使用して、サインインの各試行ごとにリスクスコアを計算します。クライアントIPアドレスが不正確な場合、不正確なリスクスコアが生成される可能性があります。「リスクスコアリング」を参照してください。

振る舞い検知

サインイン試行時のクライアントIPアドレスを、過去に成功したユーザーのサインイン履歴と比較し、新しいIPアドレスパターンや異常なIPアドレスパターンを検出します。OktaがクライアントIPアドレスではなくプロキシIPアドレスを評価した場合、振る舞い検知が異常なアクティビティを見逃したり、正当なアクティビティを異常として検出したりする可能性があります。振る舞い検知についてを参照してください。

アイデンティティ脅威保護

クライアントIPアドレスを使用して、リアルタイムのセッションコンテキストを維持します。ユーザーのIPアドレスが変更された場合、変更後のIPアドレスが信頼できるプロキシに含まれていない限り、アイデンティティ脅威保護は、user.session.context.changeイベントを記録します。「セッション保護」を参照してください。

信頼できるプロキシと除外ゾーンの選択

信頼できるプロキシと DefaultExemptIpZoneは、どちらもOktaによるIPアドレスの評価方法に影響しますが、解決する問題は異なります。次のガイドを使用して、ご自身の状況に適したものを判断してください。

信頼できるプロキシを使用する

ロードバランサー、VPNコンセントレーター、リバースプロキシなどの中間サーバーがユーザーとOktaの間に存在し、OktaでプロキシのIPアドレスではなくクライアントIPアドレスを評価する必要がある場合は、信頼できるプロキシを使用します。プロキシを信頼できるプロキシとして特定すると、Okta ThreatInsight、 リスクエンジン、および振る舞い検知の精度が向上します。

また、 アイデンティティ脅威保護の精度も向上します。

除外ゾーンを使用する

Okta ThreatInsight構成、ブロックされるネットワークゾーン、またはアイデンティティ脅威保護内のIP変更イベントに関係なく、特定のゲートウェイIPからのトラフィックを許可する場合は、除外ゾーンを使用します。除外ゾーンはバイパスです。これによって、OktaがクライアントIPアドレスとして識別するIPアドレスが変更されることはありません。

信頼できるプロキシIPを DefaultExemptIpZoneに追加することはできません。「IP除外ゾーン」を参照してください。