柔軟なOkta Verify Authenticator構成

柔軟なOkta Verify Authenticator設定では、バンドルされているOkta Verifyメソッドが個別のAuthenticatorに分けられ、それぞれを個別に設定、割り当て、管理できます。

早期アクセスリリース。セルフサービス機能を有効にするを参照してください。

Okta Verify Authenticatorでは、次の認証方法がサポートされます。
  • Okta FastPass（フィッシング耐性あり、デバイスに紐付け）
  • プッシュ通知
  • 時間ベースのワンタイムパスコード（TOTP）
以前は、これらの方法は単一のAuthenticatorとしてバンドルされており、異なるユーザーグループに個別に割り当てることはできませんでした。この機能を有効にすると、バンドルされているOkta Verify Authenticatorが、個別に設定可能なAuthenticatorに置き換わります。
  • Okta Verify - Okta FastPass
  • Okta Verify - Push
  • Okta Verify - TOTP
これにより、ユーザーグループに各認証方法を個別に割り当てて構成できます。

開始する前の確認事項

この機能を有効にする前に、以下を確認してください。
  • Org内のすべてのデバイスを、Okta Verifyがサポートするバージョン（iOSの場合は9.68.0以降、Androidの場合は9.0.0以降）に更新します。
  • 3つの個別のAuthenticator（Okta Verify - Okta FastPass、Okta Verify - Push、Okta Verify - TOTP）には、それぞれ猶予期間の設定があります。ただし、Oktaは、同じAuthenticator登録ポリシー内のすべてのOkta Verify Authenticatorに対して、単一の猶予期間を適用します。同じポリシー内で個々のAuthenticatorに異なる猶予期間を設定することはできません。
  • 3つの各Authenticatorに適用されるauthenticator登録ポリシールールを確認します。この機能を有効にした後、 ルールを拒否（Denied）またはレガシーリカバリでのみ許可（Allow for legacy recovery only）に設定したままにすると、影響を受けるユーザーのサインインオプションを非表示にすることができます。「既存のAuthenticator登録ポリシーへの影響」を参照してください。

柔軟なOkta Verify Authenticator構成を有効化する

Admin Consoleで柔軟なOkta Verify Authenticator機能を有効にするには、設定（Settings） > 機能（Features）に移動します。

この機能を有効にすると、バンドルされているOkta Verify Authenticatorは利用できなくなり、置き換え後に再アクティブ化、変更、または新規作成されたポリシールールで参照できなくなります。

Okta Verifyのメソッド別Authenticator設定

柔軟なOkta Verify Authenticator設定を有効にすると、Okta Verify - TOTP、Okta Verify - Push、Okta Verify - Okta FastPassのそれぞれ独自の設定に加え、3つすべてで共有される2つの設定があります。

既存のAuthenticator登録ポリシーへの影響

柔軟なOkta Verify Authenticator構成を有効にしても、Okta Verifyで任意（Optional）または無効（Disabled）に設定されている認証ポリシーは影響を受けません。

Okta Verifyで必須（Required）に設定されている認証ポリシーは、次の表に示す通り、3つの新しいAuthenticatorに自動的に変換されます。
以前のOkta Verifyメソッド 現在のOkta Verifyメソッド
Okta Verify - Okta FastPass Okta Verify - Push Okta Verify - TOTP
Okta FastPass、Push、およびTOTP 必須 任意 任意
PushおよびTOTP 無効 必須 任意
Okta FastPassおよびTOTP 必須 無効 任意
TOTPのみ 無効 無効 必須

柔軟なOkta Verify Authenticator構成を有効にすると、Authenticator登録ポリシーで各Okta Verify Authenticatorを個別に設定できます。

推奨されるOkta Verify登録構成

フィッシング耐性のある認証を促進するため、Authenticator登録ポリシーでOkta Verify - Okta FastPassを必須（Required）にし、同一デバイスエンロールメントを設定し、Okta Verify - TOTPとOkta Verify - Pushを任意（Optional）に設定することをお勧めします。

Okta Verify - Pushを任意（Optional）に設定することをお勧めします。これは、デスクトップ版のOkta Verifyがプッシュ通知をサポートしておらず、デスクトップユーザーはモバイルデバイスで登録する必要があるためです。

以下の表では、Authenticatorの設定方法に応じた登録動作を示します。
Okta Verify - Okta FastPass Okta Verify - Push Okta Verify - TOTP 登録動作
必須 任意または無効 任意 ユーザーは、デスクトップまたはモバイルデバイスで、同一デバイス登録を使用して登録します。
必須 必須 任意または必須 ユーザーはモバイルデバイスで登録します。
無効 必須 任意 ユーザーはモバイルデバイスで登録します。デスクトップでの同一デバイス登録は利用できません。
無効 無効 必須 ユーザーはモバイルデバイスで登録します。デスクトップでの同一デバイス登録は利用できません。

Oktaが登録フローを決定する方法

Oktaは、以下に基づいて登録フローを決定します。

  • エンドユーザーがAuthenticator登録ポリシーに基づいて登録できるOkta Verify Authenticator（TOTP、Push、またはOkta FastPass）。
  • ユーザーが登録を試みるデバイス（デスクトップまたはモバイル）。
  • Okta FastPassが唯一の必須Authenticatorであるかどうか。これにより、同一デバイス登録が決まります。
ポリシーで許可されているAuthenticator ユーザーデバイス 登録フロー
Okta FastPass、TOTPまたはPushのいずれか、あるいはその両方 デスクトップ ユーザーはモバイルデバイスから登録するよう求められます。

Okta FastPassが登録されると、許可された他のAuthenticatorは任意になります。
Okta FastPass、TOTPまたはPushのいずれか、あるいはその両方 モバイル 同一デバイスで登録が開始されます。

Okta FastPassが登録されると、許可された他のAuthenticatorは任意になります。
Okta FastPassのみ デスクトップまたはモバイル デバイスの種類にかかわらず、同一デバイス登録が開始されます。

Oktaがユーザー検証要件を決定する方法

3つのAuthenticatorはそれぞれ、独自の登録（Enrollment）設定（必須（Required）または推奨（Preferred））を構成できます。エンドユーザーは、対象となるすべてのAuthenticatorに対して1つの検証ステップだけを実行するため、Oktaはこれらを単一のユーザー検証要件に統合します。

  • Oktaは、ユーザーのAuthenticator登録ポリシーに基づき、アクティブ（Active）で無効（Disabled）になっていないAuthenticatorのみを考慮します。
  • Oktaは最も厳格な設定を適用します。たとえば、必須（Required）は推奨（Preferred）よりも優先されます。
次の表にいくつかの例を示します。
ポリシー設定 登録必須
  • PushとTOTPは必須（Required）に設定されています。
  • 登録は推奨（Preferred）に設定されています。
  • Okta FastPassはアクティブ（Active）ですが、無効（Disabled）になっています。
 推奨
  • PushとTOTPは必須（Required）に設定されています。
  • 登録は必須（Required）に設定されています。
  • Okta FastPassはアクティブ（Active）ですが、無効（Disabled）になっています。
 必須

Okta account managementポリシーの評価方法

柔軟なOkta Verify Authenticator構成を有効にすると、 MFA登録ポリシーの下でユーザーがそのAuthenticatorに登録できるかどうかに関係なく、3つの個別のOkta Verify Authenticatorすべてに対してOkta account managementポリシールールが評価されます。

Okta account managementポリシーの評価には次の手順が含まれます。
  1. ユーザーがAuthenticator登録ポリシーに基づいて登録できるOkta Verify Authenticatorを特定。
  2. これらの各Authenticatorについて、Okta account managementポリシーで指定された要件を収集します。
  3. これらの要件を評価し、すべてを満たすチャレンジをユーザーに表示します。追加の検証方法（ID検証など）が必要な場合は、そのチャレンジが先に行われます。
どのOkta Verify Authenticatorにせよ、要件のいずれかが満たされない場合、OktaはすべてのAuthenticatorの登録を拒否します。

「Okta Account Managementポリシー」を参照してください。