Windows向けDesktop MFA要素の検出を有効にする

Desktop MFA要素の検出を有効にすると、Windowsサインイン画面に、Orgポリシーで許可されているすべての要素ではなく、ユーザーが登録したMFA要素のみが表示されます。

このタスクについて

早期アクセスリリース。セルフサービス機能を有効にするを参照してください。

登録済みの要素のみを表示することで、ユーザーがセットアップしていない要素を選択したことによるサインイン失敗を防ぐことができます。この機能が有効な場合、Desktop MFAクライアントはサーバーからユーザーが登録しているオンライン要素を要求し、Windowsサインイン画面でそれらの要素のみを提示します。

  • 登録済みのオンライン要素を持つ既存ユーザーには、それらの要素のみが表示され、スキップ（Skip）オプションは削除されます。新しいデバイスであっても、登録済みの要素で認証する必要があるため、パスワードが盗まれただけではアクセスできません。
  • オンライン要素を登録していない新規ユーザーは、猶予期間中にサインインしてMFAをセットアップできます。MaxLoginsWithoutEnrolledFactorsポリシーは猶予期間の長さを制御します。
  • ユーザーが初めてサインインするときは、デバイスをインターネットに接続し、Oktaに登録する必要があります。

Factor Discoveryは、ユーザーが登録した要素を公開するため、UEPが有効な場合はDesktop MFAクライアントをユーザー列挙防止（UEP）（User Enumeration Prevention (UEP)）から除外する必要があります。この除外により、信頼できるDesktop MFAクライアントは登録済みの要素を読み取ることができますが、UEPは他のすべてのクライアントをユーザー列挙攻撃から保護し続けます。

始める前に

手順

  • ユーザー列挙の防止からDesktop MFAを除外します。

    1. Admin Consoleで、セキュリティ（Security） > 一般（General）に移動します。
    2. ユーザー列挙の防止（User Enumeration Prevention）セクションで、編集（Edit）を選択します。
    3. 認証（Authentication）を選択します。
    4. 次のクライアントを除外します（Exclude the following clients）フィールドにDesktop MFAを追加します。
    5. 保存（Save）を選択します。

  • Windowsデバイスでクライアントポリシーを設定します。

    1. Windowsデバイスで、またはモバイルデバイス管理（MDM）ツールを介してレジストリキーHKLM\Software\Policies\Okta\Okta Device Accessを開きます。
    2. MFAEnrolledDiscovery (REG_DWORD) を 1 に設定します。

      デフォルト値は0（オフ）です。

  • 構成を検証します。

    1. 登録済みのオンライン要素を持つユーザーとしてサインインします。

      そのユーザーが登録した要素のみがサインイン画面に表示され、スキップ（Skip）オプションは利用できません。

    2. MaxLoginsWithoutEnrolledFactorsで定義された猶予期間内にあるものの、登録済みの要素がないユーザーとしてサインインします。

      このユーザーはサインインしてMFA要素をセットアップできます。猶予期間外のユーザーの場合、サインイン試行はブロックされ、ユーザーは要素をセットアップするよう求められます。

    次のタスク

    Windowsサインイン画面でユーザーに表示される内容を説明します。「Windows向けDesktop MFAのユーザーエクスペリエンス」を参照してください。