macOSでデバイスバウンドSSOを構成する

早期アクセスリリース。セルフサービス機能を有効にするを参照してください。

デバイスバウンドシングルサインオンは、ユーザーをセッションハイジャックから保護し、能率的なサインインエクスペリエンスを提供します。Oktaで保護されたアプリにユーザーがアクセスする際の認証プロンプトを少なくできます。

開始する前に

  • org向けのデスクトップパスワード同期を構成すること。 プラットフォームSSOについては、「macOS 」を参照してください。
  • デバイスがmacOS 14 Sonoma以降で動作しており、Secure Enclaveハードウェアを備えていること。
  • デバイスにmacOS用のOkta Verifyバージョン9.56.0以降がインストールされて動作していること。
  • Simple Certificate Enrollment Protocolを使用して、デバイスアクセス証明書をデバイスにインストールします。デバイスアクセス証明書を参照してください。
  • ユーザーがOkta FastPassに登録されていること。

デバイスバウンドSSOをユーザーデバイスにデプロイする

macOSでOkta-joinedの状態を有効にするには、特定の構成キーを適切なドメインにプッシュ必要があります。

  1. デバイスバウンドSSOに登録するデバイスを特定します。

  2. シングルサインオン機能拡張プロファイルのURLs（URL）パラメーターに次のURLを追加します： https://customerorg.okta.com/v1/auth/device-sign。

  3. com.okta.deviceaccess.servicedaemonドメインのプロパティリストファイルにOktaJoinEnabledキーを追加します。

    <?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>OktaJoinEnabled</key>
    <true/>
</dict>
</plist>

  4. 特定したデバイスについては、デバイス管理ソリューション（MDM）を使用して構成プロファイルを更新します。

認証ポリシールールを構成する

デバイスバウンドSSOのために認証ポリシーを作成する必要はありません。ただし、既存のルールを追加または編集してデバイスバウンドSSOを含めと、 Okta-joinedのデバイスとアプリとのやり取りを制御できます。

たとえば、暗号で紐づけたデバイスの方がセッションのセキュリティが確実なので、 Okta-joinedのデバイスで認証リクエストの間の期間を長くできます。

アプリサインオンポリシーでデバイスバウンドSSOを適用するには、次の手順に従います。

  1. Admin Consoleでセキュリティ（Security） > 認証ポリシー に移動します。

  2. アプリサインインポリシー（App sign-in policies）を開きます。

  3. デバイスバウンドSSOで有効にするアプリに既存のポリシーがある場合は、そのポリシーのアクション（Actions）（Edit）メニューにある編集（Edit）（Actions）をクリックします。ポリシーがない場合は、ポリシーを作成（Create policy）をクリックします。

  4. Okta-joinedのデバイス用にルールを作成します。このルールの下で、Oktaはリソース認証のためのデバイスセッションの使用を許可します。

    1. ルールを追加（Add Rule）（Add rule）をクリックします。

    2. ルールに適切な名前を付けます（例：Devices that are Okta-joined）。

    3. デバイスの状態（Device State）を登録済み（Registered）に設定します。

    4. カスタム式フィールドには、Okta式言語ステートメントでdevice.provider.deviceAccess.joined == trueと入力します。

      こうすると、Okta-joinedでありデバイスバウンドSSOに適したデバイスがすべて記録されます。

    5. 認証のためのプロンプト（Prompt for authentication）を以下のいずれかに設定します。

      • アクティブなOktaグローバルセッションによって保護されるリソースにユーザーがアクセスしてから指定の時間が経過したとき（When it's been over a specified length of time since the user accessed any resource protected by the active Okta global session）。指定された期間中にユーザーがサイレントにアプリにアクセスできるようにするには、このオプションを選択します。

      • Oktaグローバルセッションが存在しないとき（When an Okta global session doesn't exist）。デバイスセッション全体でユーザーがサイレントにアプリにアクセスできるようにするには、このオプションを選択します。

デバイスの状態を確認する

Okta FastPass登録中に、デバイスはOkta Okta Universal Directoryに一意のオブジェクトとして登録されます。

  1. Admin Consoleで、ディレクトリ（Directory） > デバイス（Devices）に移動します。

  2. デバイスのステータスを確認します。

    • デバイスを一時停止または非アクティブ化すると、ユーザーはデバイスバウンドSSOで認証できなくなります。ただし、デバイスを再度アクティブにした後（アクティブ化（Activate）または一時停止を解除（Unsuspend）を使用）は、デバイスバウンドSSOを再度使用できます。

    • 非アクティブ化したデバイスを削除した場合は、デバイスアクセス証明書を再デプロイする必要があります。ユーザーは、デバイスバウンドSSOで再度認証を行う前に、Okta FastPassに登録する必要があります。

  3. デバイスのステータスにアクティブ（Active）と表示されていることを確認します。

関連項目

デバイスバウンドSSOに関する問題のトラブルシューティング

のSystem LogイベントデバイスバウンドSSO