Authenticator登録ポリシーを作成する

Authenticator登録ポリシーを作成し、エンドユーザーがAuthenticatorにいつどのように登録するかを管理します。Authenticator、ユーザーグループ、および状況に固有のポリシーを作成できます。

開始する前の確認事項

• ユーザーがサインインに使用するAuthenticatorを構成します。少なくとも1つのAuthenticatorを認証（MFA/SSO）用に有効にする必要があります。構成するAuthenticatorは、orgのサインインポリシーのセキュリティ要件を満たす必要があります。「多要素認証」を参照してください。
• 必須のAuthenticator登録はスキップできないため、Authenticatorが必要な場合は猶予期間は適用されません。セルフサービス登録（SSR）中に登録が必要なAuthenticatorの場合、Authenticator登録ポリシーに猶予期間が設定されていないことを確認してください。
• ポリシーで猶予期間を使用するには、Sign-In Widget をバージョン7.28以降にアップグレードする必要があります。
• パスキー（FIDO2 WebAuthn）のプロモーションプロンプトを使用するには、Sign-In Widget がバージョン7.48.1以降である必要があります。
• （早期アクセス）NFC Authenticatorを使用するには、Sign-In Widget がバージョン7.48以降である必要があります。

ポリシーを作成する

1. Admin Consoleで、セキュリティ（Security） > Authenticatorsに移動します。

2. 登録（Enrollment）タブで、ポリシーを追加（Add a policy）をクリックします。
3. ポリシー名（Policy name）およびポリシーの説明（Policy description）を入力します。
4. グループに割り当てる（Assign to groups）で、このポリシーを適用するユーザーグループを1つ以上入力します。
5. 構成したAuthenticatorごとに、登録が任意（Optional）、必須（Required）、または無効（Disabled）かを指定します。
   • 少なくとも1つのAuthenticatorを必須（Required）にする必要があります。
   • 別のポリシーでAuthenticatorが必須になっている場合、そのAuthenticatorに無効（Disabled）は使用できません。
6. 必須Authenticatorに猶予期間（Grace period）を設定します。

   • なし（None）：ユーザーは初めてサインインときに登録を求められます。

   • 終了日（End date）：ユーザーがAuthenticatorの登録を延期できなくなる日付を設定します。この日付まで、ユーザーは1日に1回、登録を求められます。

   • スキップ回数（Skip count）（早期アクセス）：Authenticatorが必須になるまでに、ユーザーが登録をスキップできる回数を示します。この回数に達するまで、ユーザーは1日1回、登録を求められます。

7. パスキー（FIDO2 WebAuthn） Authenticatorの場合、サインインをブロックすることなく、パスキーを登録していないユーザーに定期的に登録を促すために、以下の設定を行います。

   設定	説明
   パスキー（FIDO2 WebAuthn）登録	任意（Optional）に設定します。
   ユーザーに登録を要求	このチェックボックスを選択すると、ユーザーにパスキーへの登録を促す追加のセットアッププロンプトが表示されます。 このチェックボックスの選択を解除すると、プロモーションプロンプトが無効になります。
   すべてのサインイン後	このオプションを選択すると、サインインごとにプロンプトが表示されます。
   期間後	このオプションを選択すると、プロンプトが定期的な時間ベースの間隔で表示されます。プロンプトの再表示頻度を設定するには、数値を入力し、時間の単位（日、週、月）を選択します。たとえば、2週間に指定すると、Oktaは2週間ごとにプロンプトを表示します。
   スキップ後に表示を停止	このチェックボックスを選択して、Oktaが表示を停止するまでの最大スキップ回数を入力します。ユーザーがこの制限に達すると、Oktaは登録を促さなくなります。 このチェックボックスをオフにすると、ユーザーが登録するまで常にプロンプトが表示されます。

8. ポリシーを作成（Create policy）をクリックします。ポリシーが登録（Enrollment）タブに表示され、アクティブ（Active）に設定されます。

ポリシーを編集する

1. ポリシーを非アクティブ化するには、アクティブ（Active）ドロップダウンメニューをクリックし、非アクティブ化（Deactivate）を選択します。非アクティブなポリシーはどのユーザーにも適用されません。

2. ポリシーを更新するには、ポリシーの編集（Edit）ボタンをクリックします。変更を加えてポリシーを更新（Update policy）をクリックします。注（Note）：猶予期間を終了日（End date）からスキップ回数（Skip count）に変更すると、カウンターがリセットされます。すでにスキップ回数を使用していた場合に、回数を変更すると、ユーザーがすでに登録をスキップした回数は保持されます。たとえば、スキップを3回から2回に変更し、ユーザーがすでに1回スキップしている場合、残りは1回となります。

3. ポリシーを削除するには、ポリシーの削除（Delete）ボタンをクリックします。ポリシーを削除すると、そのポリシーは復旧できません。デフォルトのポリシーは削除できません。

4. ポリシーの優先順位を付け直すには、リストのポリシーを目的のレベルにドラッグアンドドロップします。

ユーザーエクスペリエンス

ユーザーがOktaまたはOktaで保護されたアプリにアクセスする際に必須となるAuthenticatorを登録していない場合、Sign-In Widget によって登録の完了を求められます。その後、ユーザーは任意のAuthenticatorを登録するよう求められ、登録せずに続行するオプションが表示されます。無効化されたAuthenticatorは、ユーザーがそのAuthenticatorを登録していた場合でも、サインイン時にユーザーには表示されません。

猶予期間とアプリサインインポリシー

必須のAuthenticatorに猶予期間を構成した場合、ターゲットアプリのアプリサインインポリシーを満たすユーザーは、猶予期間が終了するまで登録せずにアプリを使い続けることができます。ターゲットアプリのアプリサインインポリシーを満たさないユーザーは、必須のAuthenticatorをすぐに登録する必要があります。

アプリのアプリサインインポリシーでユーザーにサインイン前にAuthenticatorの登録を求めている場合、その猶予期間は無視されます。

Sign-In Widget

必須のAuthenticatorの表示が、第2世代と第3世代のSign-In Widget では多少異なります。

• 第2世代では、必須のAuthenticatorがすべて1つのリストで表示されます。続行（Continue）オプションは、まだ猶予期間中のユーザーにのみ表示されます。

• 第3世代では、ユーザーは現在必須のAuthenticatorのリストと、まだ猶予期間にあるAuthenticatorの別のリスト（続行（Continue）オプションあり）を確認できます。すべてのAuthenticatorがまだ猶予期間にある場合、ユーザーには後で通知（Remind me later）オプションのあるリストが1つ表示されます。

パスキー（FIDO2 WebAuthn）プロモーションプロンプト

AuthenticatorセットでAuthenticator登録ポリシーを作成する

早期アクセスリリース。セルフサービス機能を有効にするを参照してください。