Okta Verifyオプションの構成
Okta VerifyをAuthenticatorとして追加した後で、登録時または認証時にユーザーがOkta Verifyとやりとりする方法を構成します。また、Okta FastPassを有効にすることもできます。
開始する前に
- 番号チャレンジを使ってプッシュ通知をアクティブ化する場合は、バージョン3.3.0以降のSign-In Widgetを使用します。orgが認証APIを直接呼び出す場合は、コードを更新して番号チャレンジAPIの応答を処理します。「応答の例(3桁の番号検証チャレンジの応答を待機)」を参照してください。
- インターネットとの間のトラフィックを制限するファイアウォールの内側にユーザーが位置している場合、Okta Verifyのプッシュ通知を受信できない可能性があります。Google Firebase Cloud Messagingとの接続が許可されるように、ファイアウォールのポート5228、5229、5230を開いてください。GoogleのASN 15169のIPブロックリストに含まれるすべてのIPアドレスに対する発信接続を受け入れるようにファイアウォールを構成します。
- セキュリティ上の理由から、OktaはOkta Verifyとそのエンドポイント間のトラフィックの検査や変更を許可していません。SSLプロキシを使用するときは、組織のデフォルトのOktaドメインを検査から除外します。Oktaドメインは、通常は*.okta.comまたは*.oktapreview.comです。Oktaドメインの完全なリストについては、「Okta IPアドレスへのアクセスを許可する」を参照してください。
- FIPS(連邦情報処理標準)に準拠するデバイスへのアクセスを制限する場合、Androidユーザーは、デバイスがFICAM(Federal Identity, Credential, and Access Management)に準拠するように、デバイスのセキュアPINを有効にする必要があります。これを行わない場合、orgにはアクセスできません。一部のAndroidハードウェアは、FIPSへの準拠を認定されていません。FIPS準拠の必要性に対して、ハードウェアキーストアを使用することのセキュリティ上の意味を考慮してください。
このタスクを開始する
-
Admin Consoleで に移動します。
- [Settings(設定)]タブでOkta Verifyに移動し、 をクリックします。
- 設定を構成して保存します。
Settings(設定)
Settings(設定) | 値 |
登録オプション | Okta Verify登録のセキュリティを構成します。
|
検証オプション | 認証時にエンドユーザーに求められる認証方式を選択します。どの検証オプションを選択しても、ユーザーはそれらすべてに自動的に登録されます。検証オプションは、[Authentication Code(認証コード)]、[Push Notification(プッシュ通知)]、[Okta FastPass]として[Okta Verify Account Details(Okta Verifyアカウントの詳細)]ページに表示されます。
|
Okta FastPass | このセクションは、[Okta FastPass (All platforms)(Okta FastPass(すべてのプラットフォーム))]を選択した場合に表示されます。 Show the "Sign in with Okta FastPass" button([Sign in with Okta FastPass]ボタンを表示する):Sign-In Widgetに[Sign in with Okta FastPass(Okta FastPassでサインインする)]ボタンを表示するには、このチェックボックスを選択します。このチェックボックスは、デフォルトでは選択されていません。このオプションを選択しない場合、Okta FastPassが有効でもこのサインイン方式はユーザーに表示されません。Okta FastPassを段階的にユーザーにデプロイする場合は、このチェックボックスをオフのままにします。 |
Device passcode or biometric user verification(デバイスパスコードまたは生体認証によるユーザー検証) |
Okta VerifyまたはOkta FastPassへのユーザーの登録方法を定義します。ユーザー検証はデバイスモデルとオペレーティングシステムによって異なる場合があります。構成がユーザーエクスペリエンスに与える影響を理解するには、「Okta Verifyユーザー検証設定に基づくユーザーエクスペリエンス」を参照してください。 [Biometric user verification in authentication policies(認証ポリシーでの生体認証によるユーザー検証)]機能を有効にしている場合、このセクションの名前は[Device passcode or biometric user verification(デバイスパスコードまたは生体認証によるユーザー検証)]になります。
|
プッシュ通知(番号チャレンジ) | Okta Verifyプッシュ通知に番号チャレンジを含めるかどうかを選択します。番号チャレンジは、Oktaが保護するアプリへのサインイン試行が、権限のない人物からのものではなく、意図されたユーザーからのものであることを検証します。番号チャレンジでは、番号はSign-In Widgetに提示され、通知はユーザーのモバイルデバイスのOkta Verifyにプッシュされます。ユーザーは、Sign-In Widgetに提示された番号と一致する番号を選択します。選択が正しければ、ユーザーは保護されたアプリにアクセスできます。番号チャレンジは、ユーザーがOkta Verifyと、サインイン試行を開始するデバイスの両方を所有していることを確認することでフィッシングを防止するのに役立ちます。次のエンドユーザー向けドキュメントを参照してください:「Okta Verify Push通知を使用したサインイン(iOS)」または「Okta Verify Push通知を使用したサインイン(Android)」。
|
FIPS準拠 | Okta Verify登録をFIPS準拠のAndroidまたはiOSデバイスに制限します。このオプションを有効にした場合、Okta Verifyはすべてのセキュリティ操作にFIPS 140-2検証を使用します。OktaはFIPS検証済みベンダーを利用しているため、FedRAMP FICAM要件も満たしています。
|
リスクスコアリングについて
番号チャレンジとOktaのリスクスコアリングを組み合わせることで、Okta orgへのサインインのセキュリティを向上させることができます。Oktaは、デバイスの詳細やデバイスの場所など、複数の条件に基づいてリスクを評価します。リスクスコアリングを有効にすると、Oktaへのサインインのたびにリスクレベルが割り当てられ、管理者は、サインインのリスクレベルに基づいて異なるアクションを実行するサインオンポリシールールを構成することができます(サインインが高リスクと見なされた場合に多要素認証のプロンプトを表示するなど)。手順については、「リスクスコアリング」を参照してください。
既知の制限
- Apple Watchでは、生体認証による認証はサポートされません。
- Androidデバイスの場合、Googleによってクラス3-強に分類された生体認証方法(顔認識および指紋認識)のみがサポートされています。
- Okta Verifyがワークプロファイルにインストールされている場合、Android 12で生体認証はサポートされません。エンドユーザーに「Keystore not initialized(キーストアが初期化されていません)」というエラーが表示され、生体認証を有効にできません。影響を受けるユーザーのブロックを解除するには、[User Verification(ユーザー検証)]を[Preferred(推奨)]に設定してから、生体認証の有効化の手順を省略するようにエンドユーザーに伝えてください。
- プッシュ通知:番号チャレンジは、LDAPiおよびRADIUS環境ではサポートされていません。3桁の番号のチャレンジはOkta Verifyアプリに表示されますが、一致する番号はエンドユーザーのデスクトップブラウザーに表示されません。この場合は、Okta Verify以外のMFA Authenticatorを構成します。
-
ループバック(localhost)に対してHSTS(HTTP Strict Transport Security)が有効になっている場合、Okta Verify認証は正しく機能しません。ウェブサイトの開発、ホスティング、デバッグをローカルで行うユーザーの多くは、このオプションを有効にします。セキュリティ上の理由からOrganizationがHSTSを必要としない場合は、HSTSを必要とするドメインのリストからOkta URLを削除するようユーザーにアドバイスしてください。ブラウザーのドキュメントで手順を確認し、それをユーザーと共有します。
次の手順
「認証登録ポリシーにOkta Verifyを登録する」の手順に進みます。