Okta Identity Engineリリースノート（本番）

パートナー管理者ポータルの翻訳更新

ユーザーを追加およびユーザーを編集のフォームで日本語翻訳が更新されました。この変更により、日本語ラベルが英語ラベルと一致するようになりました。

Office 365ライセンスとロールの管理で同期エンタイトルメントがサポートされるようになりました

Identity Governanceが有効化されているorgのOffice 365ライセンスとロールの管理プロビジョニングタイプで同期エンタイトルメントがサポートされるようになりました。

Sign-In Widget、バージョン7.35.0

このリリースの詳細については、「Sign-In Widgetのリリースノート」を参照してください。ウィジェットの詳細については、「Okta Sign-In Widget」を参照してください。

アクセスリクエストのユーザーエクスペリエンスの改善

アクセスリクエストの詳細ページが改善され、承認者が割り当てられたタスクと要求者が送信した回答がよりわかりやすくなりました。SlackまたはTeamsをアクセスリクエストと統合した場合、承認者が受け取るアクセスリクエストメッセージに同様の変更が加えられました。さらに、メール通知送信者の名前とアドレスが変更されました。送信者の名前はOkta Access Requests、メールアドレスはnoreply@at.okta.comです。

Okta Provisioning AgentとSDKの新しいバージョン

Okta Provisioning Agent 3.0.3とOkta Provisioning Agent SDK 2.4.0が利用可能になりました。これらのリリースには、バグ修正と軽微な改善が含まれます。

パートナー管理者ポータルでの検索の改善

パートナー管理者ポータルのユーザーリストが、デフォルトで［最終更新日］列で降順に並べ替えられるようになりました。検索機能では、3文字以上に対してContains演算子を使用します。

デバイス保証のOSバージョン更新

デバイス保証ポリシーで、次のOSバージョンがサポートされるようになりました。

• Android 13、14、15、16セキュリティパッチ2025-09-01
• iOS 18.6.2
• iOS 26.0.0（メジャーバージョン）
• macOS Ventura 13.7.8
• macOS Sonoma 14.7.8
• macOS Sequoia 15.6.1
• macOS Tahoe 26.0.0（メジャーバージョン）
• Windows 10（10.0.17763.7678、10.0.19044.6216、10.0.19045.6216）
• Windows 11（10.0.22621.5768、10.0.22631.5768、10.0.26100.4946）

次のバージョンはサポートされなくなりました。

• iOS 15.8.4
• iOS 16.7.11
• macOS 12.7.6
• Windows 11（10.0.22000.3260）

コンテンツセキュリティポリシーにnonce提供開始

Oktaは、htmlコンテンツを返すすべてのエンドポイントに対して、コンテンツセキュリティポリシーのstyle-srcディレクティブにnonceの提供を開始します。これは2段階のプロセスです。まず、nonceをContent-Security-Policy-Report-Onlyヘッダーstyle-srcディレクティブに追加します。次に、安全でないインラインインスタンスが識別され修正された後、nonceがContent-Security-Policyヘッダーstyle-srcディレクティブに追加されます。この更新は、すべてのエンドポイントに段階的に適用されます。

これらの更新は、Oktaドメインと、管理者がカスタマイズできないカスタムドメインページ（カスタムドメインのサインインページやエラーページなど）に適用されます。「エラーページをカスタマイズする」を参照してください。

GZIP形式でAdmin Consoleレポートをエクスポートする

ほとんどのAdmin Consoleレポートを、既存のCSV形式に加えてGZIP形式でエクスポートできるようになりました。GZIPでのエクスポートは、行制限が高く（3,000万）、ファイルサイズは小さいです。

侵害された資格情報の保護

侵害された資格情報の影響からorgを保護します。Oktaでは、サードパーティが選択したデータセットと比較した後、ユーザー名とパスワードの組み合わせが侵害されたと判断された場合、ユーザーパスワードのリセット、強制ログアウト、委任Workflowの呼び出しなど、パスワードポリシーにより保護応答をカスタマイズできます。「侵害された資格情報の保護」を参照してください。

この機能は徐々に運用を開始しています。

管理者ロールの割り当て・取り消しは保護対象アクション

管理者がユーザーの管理者ロールを割り当てる、または取り消すと、追加の認証を求められるようになりました。「Admin Consoleの保護対象アクション」を参照してください。

APIサービスアプリ

APIサービスアプリは、作成時に共有されたデフォルトのアプリサインインポリシーに割り当てられなくなりました。「アプリ・サインイン・ポリシー」を参照してください。

認証ポリシーUIの更新

認証ポリシーの名前が変更され、「アプリサインインポリシー」と呼ばれるようになりました。「認証ポリシー」という用語は、アプリサインインポリシーやOktaアカウント管理ポリシー、セッション保護ポリシーのポリシーグループを指すようになりました。これらのページではUIの強化も行われ、ナビゲーションとユーザーエクスペリエンスが改善されました。「アプリ・サインイン・ポリシー」を参照してください。

「［サインイン状態を維持する］をクリア」の新しいオプション

［セッションを消去してトークンを取り消す］ダイアログでユーザーのIdPセッションと更新トークンを取り消す場合、管理者は［サインイン状態を維持する］をクリアのオプションを使用するかどうかを選択できるようになりました。

Admin Consoleでのレルムの更新

ユーザーを追加フォームのレルムドロップダウンのヒントテキストが更新され、手順が明確になりました。

OINカタログのセキュリティアイデンティティ統合

アプリ統合カタログを参照ページに、セキュリティアイデンティティ統合の新しいチェックボックス3つ（［セキュリティアイデンティティ統合 - 基本］、［セキュリティアイデンティティ統合 - 高度］、［セキュリティアイデンティティ統合 - 戦略的］）が表示されるようになりました。1つ選択すると、OINカタログにその特定の機能を持つアプリのみが表示されます。

新しいシステムログターゲット

認証登録ポリシーのターゲットが、「policy.evaluate_sign_on」システムログイベントに追加されました。この変更により、管理者はユーザーのサインイン試行に関係したポリシーを識別しやすくなります。

LDAPインターフェイスのOIDCアプリ

LDAPインターフェイスに、パスワードのみを強制適用するアプリサインインポリシーが追加されました。これは、事前にLDAPインターフェイスがセットアップされていないOkta orgにのみ適用されます。既存のLDAPインターフェイスがセットアップされたorgでは、グローバルセッションポリシーが引き続き、LDAPインターフェイスの認証ポリシーを制御します。「LDAPインターフェイスのセットアップと管理」を参照してください。OpenID Connect（OIDC）接続のセッション長が1時間に制限されました。セッションが失効した後、同じ接続でSEARCHクエリを実行し続けるには新しいBIND操作が必要です。この強制セッションの長さを説明するために、既存スクリプトの更新が必要になる場合があります。

不明なプラットフォームをデスクトップにマッピングする

Oktaでは、認識されないプラットフォーム条件を［Other desktop（その他のデスクトップ）］にマッピングするようになりました。以前は、認識されないプラットフォーム条件は、アプリサインインポリシーで［任意のプラットフォーム］条件が選択された場合にのみ正しく一致していました。

アプリコンテキストを外部IdPに送信する

ユーザーがアプリへのアクセスを試みる際に、アプリに関するコンテキストを外部のIDプロバイダー（IdP）に転送できるようになりました。IdPのアプリケーションコンテキストチェックボックスを有効にすると、外部IdPに送信されるSAMLまたはOpenID Connectリクエストにアプリ名と一意のインスタンスIDが含まれます。この機能強化により、外部IdPは情報に基づいた、コンテキストに応じた認証決定を行えるようになり、高度なセキュリティシナリオとゼロトラスト環境がサポートされます。

Office 365 WS-Federationの子ドメイン認証

Office 365 WS-Federationの自動構成で、子ドメイン認証がサポートされるようになりました。「単一のアプリインスタンスで複数のOffice 365ドメインをフェデレーションする」を参照してください。

Oktaファーストパーティアプリのアプリスイッチャー

End-User Dashboard、Admin Console、Workflowsコンソールにアプリスイッチャーが追加され、管理者は割り当てられたOktaアプリ間をすばやく移動できるようになりました。アプリスイッチャーを表示するには、Okta Admin Consoleの統一された外観と操作性とOkta Dashboardの統一された外観と操作性の早期アクセス機能を有効にする必要があります。

エンドユーザー向けの新しいパスワード変更機能

［自分の設定］の［セキュリティ方式］ページで、エンドユーザーがパスワードを変更できるようになりました。

デバイス保証のためのカスタム修復

Okta VerifyまたはChrome Device Trustによるデバイスポスチャチェックの失敗により認証が失敗した場合、ユーザーにカスタム修復手順を表示できるようになりました。「デバイス保証のカスタム修復手順を構成する」を参照してください。

デバイス保証のOSバージョンアップデート

デバイス保証ポリシーで、次のOSバージョンがサポートされるようになりました。

• iOS（18.6）
• macOS（13.7.7、14.7.7、15.6）

Sign-In Widget 7.34.0

このリリースの詳細については、「Sign-In Widgetのリリースノート」を参照してください。ウィジェットの詳細については、「Okta Sign-In Widget」を参照してください。

Okta On-Prem MFAエージェント、バージョン1.8.5

このバージョンには、セキュリティ強化が含まれます。

新しいパスワード有効期限メッセージ

侵害された資格情報の保護機能では、パスワードの有効期限が切れたユーザーにより直感的なエラーメッセージが表示されるようになりました。

Okta Provisioning Agent、バージョン3.0.2

Okta Provisioning Agent 3.0.2が利用可能になりました。このリリースでのOkta Provisioning Agentは、認可用のOAuth 2.0、およびOAuth 2.0 Demonstrating Proof-of-Possession（DPoP）を使用して、Oktaと安全に通信するようになりました。エージェントはOAuth 2.0デバイス登録フローから登録され、エージェントの登録に使用されたアカウントから独立して動作するようになりました。また、このリリースではUTC時刻をタイムスタンプmeta.lastModifiedのデフォルトとして使用し、セキュリティ強化とバグ修正が含まれています。「Okta Provisioning AgentとSDKのバージョン履歴」を参照してください。

AMFA orgのITP検出

Adaptive MFA orgでは、直接割り当てられたスーパー管理者でセッションおよびエンティティユーザーが検出されると、ITP検出のメリットを得られるようになりました。これらの検出イベントは、Workflowsを使用して実行可能です。この機能は、[Okta Secure Identity Commitment](https://www.okta.com/secure-identity-commitment)に準拠しています。「システムログのIdentity Threat Protectionイベント」を参照してください。この機能は、FedRAMP Moderateのお客様が利用できるようになりました。

Okta Active Directory Agent、バージョン3.21.0

このリリースには、一般的な機能強化、ブランドの更新、バグ修正が含まれています。「Okta Active Directory Agentのバージョン履歴」を参照してください。

エクスプレス構成でOINアプリのSCIM統合を自動化

エクスプレス構成は、エンタープライズのお客様によるOIN SaaS統合のインスタンス向けにSSOとSCIMのセットアップを最小限の手作業で自動化するよう設計された機能です。これにより、エンタープライズのお客様はOktaアプリとAuth0対応アプリの間で構成値をコピー・貼り付けることなく、OIDCとSCIMの統合を安全に構成することができます。「エクスプレス構成でアプリを追加する」を参照してください。

自動ローテーションによるOrg2OrgのOAuth 2.0プロビジョニング

複数orgアーキテクチャ（Oktaハブアンドスポークorgなど）をデプロイする管理者は、ユーザーとグループのプロビジョニングを保護する必要があります。OAuth 2.0スコープのトークンを使用したプロビジョニングには、より詳細なアクセス権限の設定、トークンの短い有効期間、キーの自動ローテーションなど、APIトークンに比べていくつかの利点があります。Admin Consoleから直接、Org2OrgアプリのプロビジョニングにOAuth 2.0の自動ローテーションを有効化できるようになりました。

「Okta Org2OrgをOktaと統合する」を参照してください。

カスタムユーザー属性のデフォルト値を定義する

管理者がユーザープロファイル内のカスタム属性のデフォルト値を定義できるようになりました。カスタム属性を一意に設定すると、デフォルト値は自動的にnull（空の文字列とは異なる）に設定されます。「Oktaユーザープロファイルにカスタム属性を追加する」をご覧ください。

パートナー管理者ポータルでのグループ更新

パートナー管理者ポータルでは、1ページに表示されるグループの数が10個ではなく最大20個になりました。さらに、検索クエリに少なくとも3文字があり、「次を含む」の検索機能がオンになっている場合、システムでは、グループリストで次から開始の検索ではなく、次を含むの検索が使用されます。

Okta Expression Languageでのuser.getGroups()関数使用の拡張

管理者は、Expression Languageをサポートするすべての機能でuser.getGroups()関数を使用できるようになりました。詳細については、「グループ関数」を参照してください。

CSVインポートの自動確認

Identity Governanceが有効化され、管理者がエンタイトルメントでCSVインポートを使用する場合、メールが完全に一致すると自動確認が有効になります。

Identity Governanceユーザーエンタイトルメントのインポート制限を引き上げ

CSVからインポートできるユーザーエンタイトルメントの最大数が25,000に増えました。 「CSVからユーザーエンタイトルメントをインポートする」を参照してください。

本人確認イベント用の新しいシステムログイベント

新しいシステムログイベントuser.identity_verification.startは、本人確認フローが開始されるとトリガーされます。本人確認プロセスの関連イベントの参照IDが含まれており、このプロセスの開始を引き起こした操作を示します。「事前構成された本人検証ベンダーを追加する」を参照してください。

ライセンスグループUIの改善

ユーザーとグループの割り当てタブで、［プライマリライセンス］の下にMicrosoft O365ライセンスがグループ化されるようになりました。ライセンスは折りたたみドロップダウンメニューとして表示され、プライマリライセンス名のみが表示されます。ドロップダウンメニューを展開すると、その下にあるすべてのサブライセンスが表示されます。

システムログでMFAの放棄を追跡する

user.authentication.auth_via_mfaイベントを使用して、システムログで放棄されたMFA試行を監視できるようになりました。イベント結果に2つのステータスが追加されました。

• 未回答：MFAプロンプトは放棄されたが、ユーザーは最終的に別のAuthenticatorを使用してサインインした。
• 放棄：MFAプロンプトは放棄され、ユーザーはサインインできなかった。

「システムログでMFAの放棄を追跡する」を参照してください。

プロファイル同期プロビジョニングの新しいカスタム属性

プロファイル同期プロビジョニングで、Office 365のカスタム属性がいくつかサポートされるようになりました。「Office 365のプロビジョニングに対応しているユーザープロファイル属性」を参照してください。

OIDCアプリのカスタムプロファイル属性

管理者は、JSON形式でOIDCアプリにカスタムプロファイル属性を追加できるようになりました。「OIDCアプリのプロファイル属性を構成する」を参照してください。

OINウィザードでのUniversal Logout

Okta Integration NetworkウィザードでUniversal Logout（UL）を使用すると、UL機能の構築やテスト、 Okta Integration Network（OIN）への送信を行うことができます。ULは、ユーザーのセッションを終了して、サポート対象のOINアプリ、汎用のOpenID Connect（OIDC）アプリ、Security Assertion Markup Language（SAML）アプリのトークンを無効化できるようにします。

「サインインしたままにする」の詳細構成

管理者は、認証ポリシーの詳細レベルで、［Keep Me Signed In (KMSI)（サインインしたままにする（KMSI））］用の認証後プロンプトを構成できるようになりました。これにより、管理者はユーザーごと、グループごと、またはアプリごとに認証後のKMSIを選択的に有効化することができます。この機能を有効化すると、認証後のプロンプトをユーザーに表示する頻度を管理者が制御できる設定が公開されます。「サインインしたままにする」を参照してください。認証後のプロンプトテキスト（タイトル、サブタイトル、承諾ボタン、拒否ボタン）は、ブランド管理 APIを通じてカスタマイズできるようになりました。「サインインしたままにする」および「Brands API」を参照してください。

Webアプリ統合で認可コードフローの使用が必須

セキュリティを強化するために、Webアプリ統合では認可コードフローの使用が必須になり、暗黙フローは推奨されなくなりました。「シングルサインオン（SSO）統合の構築」を参照してください。