ファーストパーティアプリのアプリサインインポリシーを変更する

すべてのorgには、 Okta Admin Console、Okta End-User Dashboard、Okta Browser Pluginという、変更可能なプリセットポリシーを含むファーストパーティアプリがあります。

Admin Consoleの再認可頻度を構成する

管理者がAdmin Consoleにアクセスするたびに多要素認証（MFA）を使って再認証する必要がある、より制限の厳しいポリシーを作成します。デフォルトでは、このポリシーでは管理者にMFAが要求されますが、グローバルセッションポリシーですでにMFAが要求されている場合、管理者に2回目のプロンプトは表示されません。

  1. Admin Consoleでセキュリティ（Security） > 認証ポリシー に移動します。

  2. アプリのサインイン（App sign-in）をクリックします。
  3. Okta Admin Consoleアプリを選択します。
  4. ルール（Rules）タブでルールを追加（Add rule）をクリックします。
  5. ルール名（Rule name）を入力します（MFA once per dayなど）。
  6. 次のルール条件を設定します。
    • IFセクションでこれらのオプションを選択し、ドロップダウンメニューの下に表示されるフィールドに管理者グループの名前を入力します。
      • ユーザーのグループメンバーシップ：（User's group membership includes）
      • 次のグループのうち少なくとも1つ（At least one of the following groups）
    • このルールをデバイスまたはゾーンで制限するには、次のセクションを変更します。
      • デバイスの状態（Device state）
      • デバイス保証ポリシー：（Device assurance policy is）
      • デバイスプラットフォーム：（Device platform is）
      • ユーザーのIP（User's IP is）セクション
    • 認証を求めるタイミング（When to prompt for authentication）セクションで、認証のためのプロンプト（Prompt for authentication）のオプションを選択し、頻度を選択します。
  7. 保存（Save）をクリックします。
  8. ルール（Rules）タブで、新しいルールの優先度が最も高いことを検証します。

Admin Consoleセッションライフタイムを構成する

早期アクセスリリース

Okta Admin Consoleのセッションライフタイムとアイドル時間は変更できます。これらの設定は、グローバルセッションポリシーの構成とは独立しています。グローバルセッションポリシールールを追加するを参照してください。

  1. Admin Consoleで、アプリケーション（Applications） > アプリケーション（Applications）に移動します。

  2. Okta Admin Consoleをクリックします。

  3. サインオン（Sign On）タブで、Okta Admin Consoleセッション（Edit）セクションの編集（Edit）（Okta Admin Console session）をクリックします。

  4. アプリセッションの最大ライフタイム（Maximum app session lifetime）を時間または分で設定します。

    アメリカ国立標準技術研究所（NIST）のガイダンスに基づいて12時間に設定することを推奨します。最大許容時間は24時間で、最小許容時間は1分です。

  5. アプリセッションの最大アイドル時間（Maximum app session lifetime）（Maximum app session idle time）を時間または分で設定します。

    アメリカ国立標準技術研究所（NIST）のガイダンスに基づいて15分に設定することを推奨します。最大許容時間は2時間で、最小許容時間は1分です。

    10分を超える設定の場合は、タイムアウトしてから5分以内に時間をリセットするためのリンクがあるポップアップが表示されます。10分以下の設定の場合は、タイムアウトしてから30秒以内にポップアップが表示されます。

  6. 保存（Save）をクリックします。

Admin Consoleアプリ・サインイン・ポリシーにAuthenticatorを追加する

早期アクセスリリース。セルフサービス機能を有効にするを参照してください。

Admin Consoleを保護するには、2つ以上のAuthenticatorの使用を管理者に求める必要があります。この要件を満たすために、既存のルールがユーザーに1つのAuthenticatorによる本人確認のみを求める場合、より多くのAuthenticatorの使用を義務づけることが必要になる場合があります。

  1. Admin Consoleでセキュリティ（Security） > 認証ポリシー に移動します。

  2. アプリのサインイン（App sign-in）をクリックします。
  3. Okta Admin Consoleアプリを選択します。
  4. ルール（Rules）タブでルールを追加（Add rule）をクリックします。
  5. ルール名（Rule name）を入力します（MFA for Admin Consoleなど）。
  6. IFセクションに次のルール条件を構成します。
    • ユーザーのユーザータイプ（User's user type is）：任意。次のいずれかのユーザータイプ（One of the following user types）を選択し、表示されるフィールドにユーザータイプ（管理者（admins）、など）を入力します。
    • ユーザーのグループメンバーシップ（User's group membership includes）：任意。次のグループのうち少なくとも1つ：（At least one of the following groups）を選択し、表示されるフィールドに管理者グループの名前を入力します。
    • 必要なその他のIF条件を構成します。
  7. THENセクションに次のルール条件を構成します。
    • ユーザーが使用する認証方法（User must authenticate with）：パスワード/IdP+別の要素（Password / IdP + Another factor）または任意の2要素タイプ（Any 2 factor types）を選択します。
    • 必要なその他のTHEN条件を構成します。
  8. 保存（Save）をクリックします。

特定のグループのOkta Dashboardを無効にする

別のダッシュボードまたはアプリを使用するorg内のユーザーのアクセスを無効にできます。

  1. Admin Consoleでセキュリティ（Security） > 認証ポリシー に移動します。

  2. アプリのサインイン（App sign-in）をクリックします。
  3. Okta End-User Dashboard アプリを選択します。
  4. ルール（Rules）タブで、ルールを追加（Add rule）をクリックします。
  5. ルール名（Rule name）を入力します（Disable Access to Dashboard for Groupsなど）。
  6. 次のルール条件を設定します。
    • IFセクションで新しいルールの対象となるユーザーを指定します。
    • THENセクションでアクセスの可否（Access is）オプションを拒否（Denied）に設定します。

関連項目

アプリ・サインイン・ポリシー・ルールを追加する

アプリ・サインイン・ポリシーを更新する

アプリをアプリ・サインイン・ポリシーに割り当てる