WindowsにDesktop MFAの復旧を有効にする
ユーザーがOkta Verifyに登録されているMFAデバイスまたは別のAuthenticatorにアクセスできないため自分のコンピューターにサインインできない場合は、アクセスの回復に管理者のサポートが必要になります。Desktop MFAの復旧が有効になっていると、ユーザーはIT管理者に連絡して時間制限のあるデバイス復旧PINを受け取り、コンピューターへの一時的なアクセスを付与されます。
デバイス、ユーザー、リクエストの認証を完了するためのポリシーまたは手順を実装していない場合、この機能を使用すると攻撃対象領域が増加する可能性があります。
ユーザーは、コンピューターへのアクセスを回復した後、管理者が設定した期間、復旧PINを使用できます。ユーザーは、コンピューターへの安全なアクセスを維持するためにできる限り早くOkta Verifyに登録されたMFAデバイスを復旧するか、新しいMFAデバイスを登録する必要があります。
開始する前に
-
Desktop MFAの復旧をセットアップする前に、デバイスアクセス証明書を構成します。
-
システムにOkta Verifyアプリとデバイスアクセス証明書をインストールした後、ユーザーのコンピューターは少なくとも1回はオンラインになっている必要があります。
-
UseDirectAuthポリシーパラメーターを1（有効）に設定します。 -
デバイスがオンラインになって登録され、
UseDirectAuthポリシーが有効になった後、ユーザーは少なくとも1回はシステムへサインインする必要があります。 -
ユーザーが、ポリシーパラメーター
DeviceRecoveryValidityInDaysを使用して定義された期間内にサインインしない場合、システムは自動的に回復シークレットを再生成します。 -
スーパー管理者、ヘルプデスク管理者、およびorg管理者には、復旧PINを作成または表示するための適切な権限が必要です。標準的な管理者ロールと権限を参照してください。
-
カスタム管理者ロールを使用している場合は、デバイス復旧PINを生成（Generate device recovery PIN）権限およびデバイスを表示（View devices）権限を割り当てます。「ロールの権限」を参照してください。
これらの権限を有効にするには、Admin Consoleのに移動し、以下の機能を有効にします。
-
Okta Device Access権限のカスタム管理者ロールを有効化（Enable custom admin roles for Okta Device Access permissions）
-
デバイス権限のカスタム管理者ロールを有効化（Enable custom admin roles for device permissions）します。
-
Desktop MFAの復旧を有効にする
Desktop MFAの復旧を有効にした後、適切な権限を持つ管理者は復旧PINを生成してユーザーと共有できます。ユーザーが2分の時間制限内に適切な復旧PINを入力しなかった場合、PINは有効期限切れになり、新しいPINの生成が必要になります。
-
Admin Consoleで、に移動します。
-
Okta Device Access セクションまでスクロールします。
-
編集（Edit）をクリックします。
この機能を有効にするには、スーパー管理者アクセスが必要です。編集（Edit）ボタンが表示されない場合は、管理者アカウントのアクセスレベルを確認してください。
-
Desktop MFAのデバイス回復PINを有効にする（Enable Device Recovery PIN for Desktop MFA）で、ドロップダウンメニューから有効（Enabled）を選択します。
-
保存（Save）をクリックします。
Desktop MFAの復旧のポリシーパラメーターを構成する
次のパラメーターをデバイスポリシーの構成に追加します。
-
DeviceRecoveryPINDuration：デバイス復旧PINがアクティベート後に有効な期間（分）。名前：DeviceRecoveryPINDurationを参照してください。 -
DeviceRecoveryValidityInDays：復旧PINの生成に使用されるデバイス復旧シークレットのローテーション頻度。名前：DeviceRecoveryValidityInDaysを参照してください。
orgでDesktop MFAの復旧を有効にした後、MDMを使用して構成をデバイスにプッシュします。
デバイス復旧PINを使用する
デバイスでDesktop MFAの復旧が有効になっている場合、ユーザーは管理者に連絡してデバイス復旧PINを受け取ることができます。
-
ユーザーが組織のIT部門に連絡した場合、IT管理者は会社のポリシーに従ってユーザーのIDを手動で確認する必要があります。
-
ユーザーに、アクセスできないコンピューターのモデル、メーカー、シリアル番号を提供してもらいます。この情報により、デバイスが適切なアカウントに関連付けられていることが確認されます。ユーザーに管理者に問い合わせてください（Contact your administrator）というプロンプトが表示されます。
-
ユーザーのIDとデバイスを確認したら、Admin Consoleを開き、に移動します。ユーザーのコンピューター情報には、からアクセスすることもできます。
-
シリアル番号、コンピューター名、ユーザーの名前を使用してユーザーのコンピューターを見つけ、そのデバイスをクリックして詳細情報を表示します。
-
デバイスの復旧（Device Recovery）列で、復旧PINを表示（View Recovery PIN）をクリックします。ユーザーの名前と、デバイス復旧PINを生成することの意味に関する警告を含むメッセージが表示されます。警告を確認したら、デバイス復旧PINを作成（Generate device recovery PIN）をクリックします。PINは2分間有効です。
-
PINをユーザーと共有し、PINを入力できる時間は2分間で、その時間を過ぎるとPINが有効期限切れになることをユーザーに知らせます。ユーザーがPINを使って自分のコンピューターにサインインできることを確認します。
ユーザーがコンピューターへのアクセスに成功すると、PINはMDMと
DeviceRecoveryPINDuration設定で構成された期間有効になります。この期間をIT部門と共有します。PINが機能しない場合は、有効期限が切れている可能性があるため、再生成してください。Windows向けDesktop MFAポリシーを構成してデプロイするを参照してください。
-
任意。ユーザーがOkta Verifyに登録されたMFAデバイスを所有していない場合は、Authenticatorをリセット（Reset authenticators）をクリックしてユーザーのAuthenticator構成を更新します。こうすることで、ユーザーはMFA用の新しいデバイスを登録できるようになります。
-
ユーザーに、PINの有効期限が切れる前にOkta Verifyに登録されたMFAデバイスを復旧するか、新しいMFAデバイスを登録するように指示します。PINの有効期限が切れた場合、ユーザーはIT部門に連絡して新しいデバイス復旧PINを受け取る必要があります。これにより、
DeviceRecoveryPINDurationタイマーが再開します。
既知の制限
-
orgのデバイスインベントリから以前登録した Windowsコンピューターを削除した場合、システム上でDesktop MFAの復旧を有効にすることはできません。このシナリオでは、WindowsコンピューターにOkta Verifyを再インストールしてデバイスインベントリに戻す必要があります。その後、Desktop MFAに登録できます。
-
ユーザーがオフライン要素を登録していないためにシステムからロックアウトされた場合、サインイン画面にDesktop MFAの復旧ボタンは表示されません。ユーザーアクセスを一時的に付与するには、
MaxLoginsWithOfflineFactorレジストリキーを増やし、ポリシーを再デプロイします。
関連項目