Device Trustセットアップの置き換えを準備する

Device Trustの置換オプションと、Identity Engineのアップグレード前後に新しいデバイスセキュリティフレームワークを有効にするタイミングを理解します。

Classic Engine Device Trustは、Identity Engineと互換性がありません。アップグレードする前に、プラットフォームごとにDevice Trustを置き換えるものを理解し、置き換えを有効にするタイミングを計画します。オフにする手順については、「Device Trust機能制限をオフにする」を参照してください。

Device Trustの置き換え

表 1. Identity EngineによるClassic Engine Device Trustの置き換え
プラットフォーム Classic Engineのアプローチ Identity Engineの置き換え 主な違い
デスクトップ（Windows、macOS） IWAエージェントを使用するDevice Trust 管理対象証明書とOkta FastPassを使用するOkta Verify 証明書ベース。ユーザーは複数のデバイスを登録できます。
モバイル（iOS、Android） クライアントベースまたはSAMLベースのDevice Trust 管理証明付きのOkta Verify 自動移行はありません。アップグレード後を再度有効にする必要があります。
Workspace ONE（モバイル） Workspace ONE SAMLベースのDevice Trust 管理証明付きのOkta Verify 移行サポート機能が利用できます。

プラットフォーム別の置換オプション

デスクトップデバイス

デスクトップ向けDevice Trustは、管理対象証明書付とOkta FastPassを使用するOkta Verifyに置き換わります。Identity Engineのアップグレード後にこれを有効にします。

移行後の変更点：

  • IWAエージェントは使用停止となります。
  • 新しい認証局が構成され、MDMを介して配布されます。
  • Okta Verifyは、管理対象のすべてのデスクトップデバイスにロールアウトされます。
  • ユーザーのアカウント設定にOkta FastPassをセットアップする（Set up Okta FastPass）ボタンが表示されます。
  • ユーザーは複数のデバイスを登録できます（以前は1つに制限）。

アップグレード後の移行手順：

  1. デバイス統合を構成し、新しい認証局（CA）を確立します。
  2. デバイス管理ソフトウェアに新しいCAをインポートします。
  3. CAをすべてのデバイスでデプロイします。
  4. Okta Verifyをすべてのデバイスにロールアウトします。
  5. 従来のIWAエージェントおよびサーバーの使用を停止します。
  6. Classic Engine Device Trustプラットフォームを削除します。

「デスクトップデバイス向けのDevice Trust」を参照してください。

モバイルデバイス

モバイル向けDevice Trustは、管理証明付きのOkta Verifyに置き換わります。モバイル向けDevice Trustには、自動移行パスはありません。アップグレードする前にClassic Engineのモバイル向けDevice Trustをオフにし、アップグレード後にIdentity Engineフレームワークを使用してデバイスセキュリティを再度有効にします。

移行後の変更点：

  • 管理証明は、デバイスがMDMに登録されていることを確認します。
  • 管理対象アプリの構成は、Classic EngineのDevice Trustフレームワークを置き換えます。
  • アップグレード後にOkta Verify内でOkta FastPassを手動で有効にします。

「モバイルデバイス向けのDevice Trust」を参照してください。

Workspace ONE環境

モバイル向けのWorkspace ONE SAMLベースのDevice Trustを使用する場合、移行サポート機能を利用できます。アップグレード前にAndroidおよびiOS向けWorkspace ONE Device Trustの移行サポート（Migration Support for Workspace ONE Device Trust for Android and iOS）を有効にします。これにより、最初にDevice Trustを手動で無効にすることなく、アップグレードを続行できます。

「Workspace ONE SAMLベースのモバイル向けDevice Trustを移行する」を参照してください。

アップグレード前のブロッカー

クライアントベースおよびSAMLベースのモバイル向けDevice Trustが、Identity Engineのアップグレードをブロックします。スケジュールする前に、これを解決してください。

表 2. アップグレードのブロックを解除するアクション
シナリオ アクションが必要
Workspace ONEユーザー AndroidおよびiOS向けWorkspace ONE Device Trustの移行サポート（Migration Support for Workspace ONE Device Trust for Android and iOS）を有効にします。
その他すべてのモバイル向けDevice Trust構成 セキュリティ（Security） > Device Trustに移動し、iOSおよびAndroid向けDevice Trustをオフにします。

iOSまたはAndroid向けDevice Trustのチェックボックスをオフにできない場合は、まずサードパーティのDevice Trust機能（iOS、Mac、Windows）を有効にしてから、もう一度試してください。

置き換えタイムライン

表 3. Device Trustの置き換えフェーズ
フェーズ デスクトップ モバイル
アップグレード前 IWAルーティングルールを削除します。 モバイル向けDevice Trustをオフにするか、Workspace ONE移行機能を有効にします。
アップグレード中 対応は必要ありません。 対応は必要ありません。
アップグレード直後 デスクトップデバイスが引き続き管理対象ステータスであることを確認します。 モバイルデバイスが認証できることを確認します。
アップグレード後、数週間以内 新しいCAを構成し、Okta Verifyをデプロイし、Okta FastPassをセットアップします。 管理証明を構成し、Okta Verifyが管理する構成をデプロイします。
移行完了後 IWAエージェントを廃止し、 Classic Engineプラットフォームを削除します。 Okta Verifyに登録されているすべてのモバイルユーザーを確認します。

Device Trustの置き換えチェックリスト

アップグレード前

  • Device Trustを使用するプラットフォームを特定します（デスクトップ、モバイル、またはその両方）。
  • モバイル向けDevice Trustのタイプ（クライアントベース、 SAMLベース、またはWorkspace ONE）を特定します。
  • 各プラットフォームでのIdentity Engineの置き換えアプローチを計画します。
  • アップグレードされるすべてのorgからIWAルーティングルールを削除します（デスクトップ）。
  • モバイル向けDevice Trustをオフにするか、Workspace ONE移行機能（モバイル）を有効にします。
  • アップグレード後に構成に影響が生じる可能性があるため、SAMLアプリとDevice Trustポリシーがやり取りする方法を確認します。
  • 影響を受けるユーザーに移行計画を伝えます。
  • すべての管理対象デバイスへのデプロイでOkta Verifyを利用できることを確認します。

アップグレード後

  • デバイス統合と新しい認証局を構成します（デスクトップ）。
  • 管理証明を構成します（モバイル）。
  • Okta Verifyと新しいCAを管理対象デバイスにデプロイします。
  • デスクトップユーザーのOkta FastPass登録を検証します。
  • モバイルユーザーの管理証明を検証します。
  • 従来のIWAエージェントおよびサーバーの使用を停止します。
  • Classic Engine Device Trustプラットフォームを削除します。