アクセス認定を開始する

アクセス認定を使用して監査キャンペーンを作成し、ユーザーのリソースへのアクセスを定期的に、または必要に応じてレビューし、自動的に管理します。

アクセス認定の使用を開始するには、次の構成タスクシーケンスに従います。

管理者タスク

説明
キャンペーン ユーザーがアプリやグループなどのリソースに適切なレベルでアクセスできるようにするために使用できるキャンペーンタイプを理解します。
既知の問題と制限事項 キャンペーンを構成する前に、これらの考慮事項に留意してください。
カスタマイズ可能なレビュアーコンテキスト レビュアーがガバナンスの意思決定を改善するために必要とするデータを使ってキャンペーンをカスタマイズします。

任意。グループプロファイル属性を更新する

アクセス認定キャンペーンに含まれるグループの分かりやすい表示名と説明を定義して、レビュアーがアクセスを承認または取り消す作業を容易にします。
事前構成されたキャンペーンを作成する 事前構成されたキャンペーンは、最小限の設定ですぐに使用できます。

Oktaでは2種類の事前設定済みのキャンペーンを用意しています。

  • ［Okta administrator review（Okta管理者レビュー）］は、Admin Consoleへの管理者アクセスをレビューします。

  • ［Discover inactive users（非アクティブなユーザーを検出する）］は、組織で非アクティブなユーザーの数が最も多いアプリをレビューします。

    Okta Identity Governanceをサブスクライブしていない場合でも、このキャンペーンは制限された機能で利用できます。「制限」を参照してください。
キャンペーン作成のベストプラクティス キャンペーンを作成する前に、これらのベストプラクティスを参考にしてください。
リソースキャンペーンを作成する このキャンペーンタイプを使用して、リソースにアクセスできるすべてのユーザーを確認し、ユーザーに割り当てられているエンタイトルメントで職務分離ルールに矛盾するものを特定します。リソースキャンペーンを使用すると、管理者ロールを管理する他にも、監査およびコンプライアンス要件を満すことができます。
ユーザーキャンペーンを作成する ユーザーがアクセスできるすべてのリソースのレビューには、このキャンペーンタイプを使用します。ユーザーキャンペーンを使用すると、リソースへのユーザーアクセスを効率的に管理し、組織に最小権限のアクセスモデルを採用することができます。
リファレンス 主要な概念を理解し、キャンペーンをより効率的に使用するには、以下のトピックを参照してください。
Admin Consoleから代理人を割り当てる スーパー管理者は、別のユーザーを代理人として割り当て、そのGovernanceタスクを完了できます。Governanceタスクには、アクセス認定キャンペーンのレビューアイテム、およびアクセスリクエストの承認や質問、タスクが含まれます。「代理人のGovernanceタスク」も参照してください。
アクティブなキャンペーンの進行状況を表示する アクティブなキャンペーンと保留中のレビューアイテムの進行状況を監視します。
スケジュールされたキャンペーンを変更する まだ開始されていないキャンペーンを変更します。
過去のキャンペーンの詳細レポート、過去のキャンペーンの要約レポート、または監査者レポートパッケージを生成する 過去のキャンペーンの詳細レポートは、すべての認定キャンペーンに関する詳細情報を提供します。

過去のキャンペーンの要約レポートは、アクセス認定キャンペーンの構成とステータスの要約を提供します。

監査者レポートパッケージは、キャンペーンに含まれるリソースやユーザー、レビュアー、およびユーザーアクセスの詳細、レビューの決定、修復の結果に関する情報を提供する複数レポートの一式です。

レビュアータスクについて管理者の観点から理解します。

レビュアータスク

説明
キャンペーンをレビューする レビュアーが自分に割り当てられたアイテムをレビューする方法を理解します。
レビュー対象を再割り当てする レビュアーが自分に割り当てられたレビューアイテムを再割り当てする方法を理解します。
代理人を管理する レビュアーが代理人を割り当てる方法、または自身（スーパー管理者）がレビュアーに割り当てた代理人を確認する方法を理解します。

既知の問題と制限事項

  • キャンペーンに含まれるリソースまたはレビュアーがキャンペーンの開始時点で非アクティブ化または削除されている場合、キャンペーンの開始に失敗します。キャンペーンの開始に失敗すると、エラーのリストを含むメール通知が届きます。エラーの詳細については、［アクセス認定キャンペーン］ページの［終了済み］タブ、またはシステムログの［イベント］テーブルを確認することもできます。

  • 自動アクセス取り消しは、ユーザーに個別に割り当てられたリソース（グループまたはアプリ）に限定されます。グループメンバーシップまたはグループルールを通してユーザーがリソースへのアクセス権を割り当てられている状況では、手動で修復する必要があります。これらのケースの特定と手動で解決する方法については、「修復を理解する」を参照してください。

orgには次の制限事項が適用されます。

制限の種類

 制限 最大

一般

 1 orgあたりのアクティブなキャンペーン 500
キャンペーンのレビューアイテム

1～100,000

大規模なキャンペーンをより適切に管理できるように、レビューを複数のキャンペーンに分割します。

リソースキャンペーン

 キャンペーンに含まれるリソース 250
アプリレビューエンタイトルメント 20

ユーザーキャンペーン

 個々のユーザー 100
ユーザーグループ 5
除外されるリソース

100

最大100のアプリ、グループ、またはその組み合わせを除外できます。