デバイスポスチャセンサーモード

デバイスポスチャセンサーモードを使用すると、ユーザーが手動でOkta Verifyに登録する必要がなく、管理対象デバイスがOktaにサイレントに登録してセキュリティポスチャシグナルを送信できます。

早期アクセスリリース

デバイスポスチャセンサーモードの主な目的は、デバイス登録とユーザー登録を切り離すことです。これは、ユーザーに負担をかけずに、org全体でデバイスのセキュリティポリシーを監視および適用する必要のある管理者向けに設計されています。

仕組み

IT管理者は、デバイスポスチャセンサーモードを構成し、 モバイルデバイス管理 （MDM）ソリューションを通じてデバイスを登録します。デバイスがデバイスレベルの証明書を使ってセンサー状態を確立したら、管理者は共有デバイスやキオスクデバイスの正常性を監視して、信頼できる管理対象エンドポイントのみにOkta FastPass登録を制限できます。

この機能は以下の原則に基づいています。

分離型の登録
デバイス登録とユーザー登録は分離されています。デバイスはMDMデプロイ後、起動時に自動的に登録されます。
Simple Certificate Enrollment Protocolプロファイル
Simple Certificate Enrollment Protocol（SCEP）は、デバイスへのデジタル証明書の発行を自動化するために使用される標準です。Okta Verifyは、認証時にこれらの証明書を使用して、デバイスが管理対象であることを証明します。このプロセスは、ユーザーに対してサイレントで自動的に実行されるように設計されています。
MDM構成
管理者は、macOS向けまたはWindows向けのOkta Verifyクライアントを特定の構成パラメーターを指定してデプロイします。これらの構成パラメーターは、デバイスのみのサイレント登録を有効化するために必要です。
ポリシーの適用
デバイスの登録後、Oktaは、ユーザーがOkta FastPassに登録されていなくても、デバイスレベルのポスチャシグナルを収集し、認証チャレンジ時にデバイス保証ポリシーを適用できます。
Okta FastPassが有効になっていない場合やユーザーに割り当てられていない場合でも、デバイスからデバイスシグナルを送信できます。

使用の開始

  1. Okta Verifyクライアント用にmacOSとWindowsの構成パラメーターを構成します。MDMソリューションを使用して、クライアントマシンに更新をプッシュします。

    • Windows

      デバイスポスチャセンサーモードは、Windows向けOkta Verifyバージョン6.12以降で利用できます。

      1. AutoRegistrationとOrgUrlの両方の構成オプションをコマンドラインオプションとしてOkta Verifyインストーラーに追加します。
        AutoRegistrationの値をDEVICEに設定し、OrgUrlをOkta orgに設定します。例： 
        OktaVerifySetup.exe AutoRegistration=DEVICE OrgUrl=https://{yourorg}.okta.com/
      2. 共有デバイスのセンサーモードを構成するときは、EnrollmentOptionsオプションを追加して値を値をDisabledにします。

        ただし、Okta FastPassにデバイスを登録する予定の場合は、EnrollmentOptionsオプションをEnabledに設定します。

    • macOS

      デバイスポスチャセンサーモードは、macOS向けOkta Verifyバージョン9.65以降で利用できます。

      1. OktaVerify.AutoRegistration構成オプションを .plist ファイルに追加します。文字列値をDEVICEに設定します。
      2. OktaVerify.OrgUrl構成オプションを .plist ファイルに追加します。値をOkta orgのURLに設定します。
      3. 共有デバイスのセンサーモードを構成するときは、OktaVerify.EnrollmentOptionsオプションをDisabledに設定します。

        ただし、Okta FastPassにデバイスを登録する予定の場合は、OktaVerify.EnrollmentOptionsをEnabledに設定します。

  2. MDMを使用してデバイス証明書をセットアップします。

    変更をデプロイしてから、デバイス証明書を検証します 。

  3. デバイスに管理対象条件を適用する場合は、MDMを使用して管理証明書をセットアップします。

    • 認証局としてOktaを使用する場合は、「OktaをCAとして構成する」を参照して、MDMプラットフォームとクライアントのオペレーティングシステムに一致するガイドに従ってください。
    • 独自の認証局を使用する場合は、「独自のCAを提供する」を参照してください。
  4. Okta Verifyでデバイス登録を確認する。
  5. 登録済みデバイスポリシーを作成して適用する。
  6. 登録時に管理対象条件を適用する。
  7. 最後に、デバイス登録を確認するため、登録時のSystem LogにBind client certificateとCreate device enrollmentというラベルの付いたエントリがあることを確認します。

エンドユーザーエクスペリエンス

デバイスポスチャセンサーモードでは、常にOkta Verifyアプリを起動するようにデバイスを構成している場合、エンドユーザーはOkta Verifyアプリを開いたり操作したりしてシグナルのためにデバイスを登録する必要はありません。

ユーザーはデバイスを登録解除できません。

Okta Verifyでデバイスポスチャセンサーモードの登録に失敗した場合、エンドユーザーは短いエラー説明を受け取ります。その後、このエラーメッセージをヘルプデスクに報告できます。