セキュリティポリシー

セキュリティポリシーは、1つ以上のリソースに対する特権アクセス権が付与されるプリンシパルを制御します。以下のタイプのポリシーを作成できます。

  • デフォルト：サーバー、シークレット、SaaSアプリのサービスアカウント、Active Directoryアカウント、データベースアカウントに適用されます。デフォルトポリシーは、従来の選択を使用するダイレクトプリンシパル（Direct principals）、または関係ベースのアクセス制御を使用する割り当て（Assignments）（早期アクセス）を通じてアクセスを付与できます。

  • Oktaサービスアカウント：サービスアカウントとして管理されているOktaユーザーアカウントに適用されます。

セキュリティ管理者は、ポリシーの作成、ポリシーへのプリンシパルの割り当て、1つ以上のルールの追加を行います。ルールの作成時に、Okta Privileged Accessによって保護されるリソースへのアクセス時にユーザーが満たす必要がある特定の条件を作成できます。これらのルールは、一連のプリンシパルに必要なすべての特権アクセス権がカバーされるまで積み重ねる（または追加する）ことで各種リソースに合わせてカスタマイズできます。これにより、各種リソースに合わせて異なる制御を設定し、それらのリソースへのアクセスを、認可されたユーザーのみに許可することができます。

代理セキュリティ管理者として割り当てられているグループにセキュリティ管理を割り当てることができます。代理セキュリティ管理者は、自身がセキュリティ所有者であるリソースグループに適用されるポリシーを作成できます。代理セキュリティ管理者によって作成されたセキュリティポリシーは、ポリシーの作成時に選択したリソースグループのみに適用されます。「代理セキュリティ管理者を追加する」を参照してください。

開始する前の確認事項

  • Okta Privileged Accessにサインインしていることを確認します。

  • デフォルト（Default）ポリシータイプの場合、Okta Privileged Accessのセキュリティ管理者ロールが必要です。

  • Oktaサービスアカウントポリシーの場合、ユーザーにOkta Privileged Accessのセキュリティ管理者ロールとスーパー管理者ロールが必要です。

  • セキュリティポリシーの概念を参照してください。

  • 複数の認証および認可条件がユーザーアクセスにどのように影響するかを理解します。ルール条件を参照してください。

  • 割り当てポリシー（早期アクセス）の作成を計画している場合は、最初に少なくとも1つの関係と1つの割り当てを作成する必要があります。完全なワークフローについては、「関係と割り当ての概要」を参照してください。

セキュリティポリシーを作成または更新する

ポリシーを作成するには、ポリシー名を追加し、アクセスを付与する方法（ダイレクトプリンシパル（Direct principals）または割り当て（Assignments））を選択して、プリンシパルまたは関係に適用されるルールを作成する必要があります。ポリシーを作成したら、公開する必要があります。ポリシーは、公開されるまで効力を持ちません。

デフォルトポリシーを作成する

サーバー、シークレット、SaaSアプリアカウント、Active Directoryアカウント、またはデータベースアカウントのポリシーを作成するには、デフォルトのオプションを使用します。

  1. セキュリティ管理（Security Administration） > ポリシー（Policies）に移動します。

  2. ポリシーを作成（Create policy）をクリックしてから、デフォルト（Default）を選択します。
  3. ポリシー名と説明を入力します。

  4. 以下のいずれかのオプションを選択してポリシー管理を委任します。

    • すべてのリソースグループ（All resource groups）。これにより、ポリシールールにはリソースグループ全体にあるリソースを含めることができます。

    • 特定のリソースグループ（Specific resource groups）。これにより、ポリシールールには選択されたリソースグループ内のリソースのみを含めることができます。また、この設定により、代理セキュリティ管理者がこのポリシーを管理できるようになります。

      このオプションを選択する場合は、ドロップダウンメニューをクリックして、リソースグループを選択します。

  5. アクセスの付与方法（How access is granted）セクションで、次のいずれかのオプションを選択します。

    • 割り当て（Assignments）：個々のプリンシパルの代わりに、関係と割り当てを対象にします。大規模な関係ベースのアクセス制御には、このアプローチを使用します。詳細については、「関係と割り当ての概要」を参照してください。

    • ダイレクトプリンシパル（Direct principals）：特定のプリンシパル（ユーザー、グループ、ワークロードロール）を直接対象にします。特定のリソースにアクセスできる個人またはチームを正確に制御する必要がある場合は、このアプローチを使用します。

  6. 割り当て（Assignments）を選択した場合は、関係を選択（Select relationships）をクリックして、1つ以上の関係を選択します。ポリシーごとに最大50件の関係を選択できます。

  7. ダイレクトプリンシパル（Direct principals）を選択した場合は、以下を完了します。

    1. グループを選択（Select Groups）ドロップダウンメニューをクリックし、1つ以上のグループを選択します。

    2. ユーザーを選択（Select users）ドロップダウンメニューをクリックし、1人以上のユーザーを選択します。

    3. ワークロードロールを選択（Select Workload roles）ドロップダウンメニューをクリックし、1つ以上のワークロードロールを選択します。

  8. ルールを追加（Add rule）をクリックしてから、ルールの設定を構成します。手順はデフォルトポリシーのルールを追加するを参照してください。

  9. ポリシーを保存（Save policy）をクリックします。このポリシーを公開できるようになります。

Oktaサービスアカウントのポリシーを作成する

Oktaの特権アカウントにこのポリシーを使用します。

  1. セキュリティ管理（Security Administration） > ポリシー（Policies）に移動します。

  2. ポリシーを作成（Create policy）をクリックしてから、Oktaの権限付きアカウント（Okta privileged account）を選択します。
  3. ポリシー名と説明を入力します。

  4. 以下のいずれかのオプションを選択してポリシー管理を委任します。

    • すべてのリソースグループ（All resource groups）

    • 特定のリソースグループ（Specific resource groups）。このオプションを選択する場合は、ドロップダウンメニューをクリックして、リソースグループを選択します。

  5. プリンシパルの追加（Add Principals）または編集アイコン（鉛筆）をクリックして更新します。

  6. 追加または変更する1つ以上のグループを選択し、保存（Save）をクリックします。

  7. ルールを追加（Add rule）をクリックしてから、ルールの設定を構成します。手順は「Oktaサービスアカウントポリシーのルールを追加する」を参照してください。

  8. 保存（Save）をクリックします。このポリシーを公開できるようになります。

ポリシーを公開する

作成したポリシーは、公開する必要があります。

  1. セキュリティ管理（Security Administration） > ポリシー（Policies）に移動します。

  2. 公開するポリシーのアクション（Actions）をクリックします。
  3. 公開（Publish）をクリックしてポリシーに対するアクセス権を付与します。

ポリシーを複製する

セキュリティ管理者は、新しいポリシーをゼロから作成する代わりに既存のポリシーを複製できます。

  1. セキュリティ管理（Security Administration） > ポリシー（Policies）に移動します。

  2. 複製するポリシーのアクション（Actions）をクリックします。
  3. 複製（Clone）を選択します。
  4. ポリシーを保存（Save Policy）をクリックします。