ロールの権限

ユーザー権限

権限

説明
ユーザーの管理 代理管理者に、ユーザーのすべてのプロファイルと認証情報の表示・作成・編集・削除を実行できる権限を付与します。
この権限を持つ代理管理者は、ユーザー資格情報フィールドのみ管理でき、資格情報の値自体は管理できません。
ユーザーの作成 代理管理者に、ユーザーの作成権限を付与します。
ユーザーのプロファイル属性を編集 代理管理者に、ユーザーのプロファイル属性の値のみを編集できる権限を付与します。
ただし、この権限では、代理管理者がディレクトリの［Profiles（プロファイル）］ページからカスタム属性を作成または編集したり、プロファイルマッピングを管理したりすることはできません。
ユーザーのライフサイクルの状態を編集* 代理管理者に、ユーザーのライフサイクル操作（ユーザーのアクティブ化、非アクティブ化、再アクティブ化、一時停止など）を管理する権限を付与します。
ユーザーをアクティブ化* 代理管理者に、ユーザーアカウントをアクティブ化する権限を付与します。
ユーザーを非アクティブ化* 代理管理者に、ユーザーアカウントを非アクティブ化する権限を付与します。
ユーザーを一時停止* 代理管理者に、ユーザーによるOktaへのアクセスを一時停止する権限を付与します。ユーザーからのアクセスが一時停止されると、そのユーザーセッションもクリアされます。
ユーザーの一時停止を解除* 代理管理者に、ユーザーによるOktaへのアクセスを復元する権限を付与します。
ユーザーを削除* 代理管理者に、ユーザーアカウントを完全に削除する権限を付与します。
ユーザーのロックを解除* 代理管理者に、Oktaからロックアウトされたユーザーのロックを解除する権限を付与します。
ユーザーのセッションを消去* 代理管理者に、エンドユーザーのすべてのアクティブなOktaセッションとOAuthトークンをクリアする権限を付与します。
ユーザーのAuthenticator操作を編集* 代理管理者に、ユーザーの認証操作（パスワードのリセットや、YubiKeyの登録を含む多要素認証（MFA）など）を管理する権限を付与します。
ユーザーのAuthenticatorをリセット* 代理管理者に、ユーザーのMFA認証をリセットする権限を付与します。
ユーザーのパスワードをリセット* 代理管理者に、ユーザーのパスワードをリセットする権限を付与します。
ユーザーの一時パスワードを設定* 代理管理者に、ユーザーのパスワードを期限切れにし、新しい一時パスワードを設定する権限を付与します。
ユーザーとその詳細情報を表示 代理管理者に、ユーザーのプロファイルおよび認証情報を読み取る権限を付与します。
この権限を持つ代理管理者は、ユーザー資格情報フィールドのみ表示でき、資格情報の値自体は表示できません。
ユーザーのグループメンバーシップを編集* 代理管理者に、ユーザーのグループメンバーシップを管理する権限を付与します。代理管理者にユーザーをグループに追加する権限を付与する場合は、この権限を選択します。

また、代理管理者には、ユーザーを追加できるグループに対して［Group permissions（グループ権限）］セクションにある［Manage group membership（グループメンバーシップを管理する）］権限も必要となります。
ユーザーのアプリケーションの割り当てを編集 代理管理者に、ユーザーのアプリケーションの割り当てを管理する権限を付与します。

また、代理管理者には、［アプリケーション権限］セクションの［Edit application's user assignments（アプリケーションのユーザー割り当てを編集する）］権限も必要です。これにより、代理管理者はユーザーに追加できるアプリケーションを表示、選択できます。

APIトークンを管理 トークンを消去/表示する権限を代理管理者に付与します。
APIトークンを表示 トークンを表示する権限を代理管理者に付与します。
クライアント資格情報を表示 OAuthクライアントシークレットを表示する権限を代理管理者に付与します。

* — これらの権限は、［Username（ユーザー名）］、［First name（名）］、［Last name（姓）］、［Primary email（プライマリメール）］、および［Mobile phone（携帯電話）］プロファイル属性への表示専用アクセスを付与します。

Oktaソースのグループ、ADソースのグループ、LDAPソースのグループをリソースとして使用できます。ただし、次の権限はADソースのグループおよびLDAPソースのグループに対しては適用されません。

  • ユーザーの作成
  • ユーザーのAuthenticator操作を管理
  • ユーザーのプロファイル属性を編集
  • グループメンバーシップの管理

グループ権限

権限

説明
グループの管理 代理管理者に、Okta organizationのグループを表示、作成、編集、削除する権限を付与します。
グループの作成 管理者ロールの割り当てがorg全体に制限されている場合、代理管理者にグループを作成する権限を付与します。
グループの表示 代理管理者に、グループと、Okta organizationでそのグループに割り当てられているユーザーおよびアプリケーションのみを表示する権限を付与します。
グループメンバーシップの管理 代理管理者に、Okta organizationのグループ内のユーザーメンバーシップを表示、編集、および削除する権限を付与します。

また、代理管理者がグループに追加できるユーザーを表示・選択するには、［User permissions（ユーザー権限）］セクションの［Edit users' group membership permission（ユーザーのグループメンバーシップを編集する）］権限も必要です。
グループのアプリケーション割り当ての編集 代理管理者に、グループのアプリケーションの割り当てを管理する権限を付与します。

また、代理管理者には、［アプリケーション権限］セクションの［Edit application's user assignments（アプリケーションのユーザー割り当てを編集する）］権限も必要です。これにより、代理管理者はグループに追加できるアプリケーションを表示・選択できるようになります。

IDおよびアクセス管理権限

権限

説明
ロール、リソース、管理者割り当ての表示

代理管理者に、Okta org内のロール、リソースセット、管理者割り当ての表示専用権限を付与します。

Admin Consoleで情報を表示するには、追加の権限が必要になります。

  • 代理管理者がorgの管理者を表示できるようにするには、［User permissions（ユーザー権限）］セクションの［View users and their details permission（ユーザーとその詳細を表示する）］権限を割り当てます。

  • 代理管理者がアプリを表示できるようにするには、［Application permissions（アプリケーション権限）］セクションの［View applications and their details（アプリケーションとその詳細を表示する）］権限を割り当てます。

また、この権限を持つ管理者に［Read-only administrators（読み取り専用管理者）］ロールを割り当てて、Admin Consoleへの完全な読み取り専用アクセス権を付与する方法もあります。

アプリケーション権限

権限

説明
アプリケーションの管理 代理管理者に、Okta organizationのアプリケーションを表示・作成・編集・削除する権限を付与します。
アプリケーションとその詳細情報を表示 代理管理者に、Okta組織に割り当てられたアプリケーションのみを表示する権限を付与します。

早期アクセスリリース。「セルフサービス機能を有効にする」を参照してください。

アプリケーションの一般設定の管理

 代理管理者に、Okta組織内のアプリケーションの一般設定のみを管理する権限を付与します。
アプリケーションのユーザー割り当てを編集 代理管理者に、アプリケーションに割り当てられたユーザーを管理する権限を付与します。

また、代理管理者には、［グループ権限］セクションの［Edit groups' application assignments（グループのアプリケーションの割り当てを編集する）］権限、または［ユーザー権限］セクションの［Edit users' application assignments（ユーザーのアプリケーションの割り当てを編集する）］権限も必要です。これにより、代理管理者はアプリケーションに追加できるユーザーまたはユーザーグループを表示・選択できるようになります。

代理管理者に、次のプロビジョニングエラータスクを表示する権限を付与します。

  • Application assignments encountered errors（アプリケーションの割り当て中にエラーが発生しました）
  • Group push mapping encountered errors（グループプッシュマッピングでエラーが発生しました）
  • Profile push updates encountered errors（プロファイルプッシュの更新中にエラーが発生しました）

「タスクを監視する」を参照してください。

サポート権限

早期アクセスリリース。「セルフサービス機能を有効にする」を参照してください。

権限

説明
Oktaサポートケースの表示、作成、管理

代理管理者に、代理管理者が開いたOktaサポートケースを管理する権限を付与します。

Oktaはこの権限をorgに慎重に展開しているため、まだ利用できない可能性があります。

プロファイルソース権限

権限

説明
インポートの実行 HRaaS、AD/LDAPアプリなどのアプリにプロファイルソースのインポートを実行する権限を付与します。この権限を持つ管理者は、インポートを通じてユーザーを作成できます。

代理管理者が、インポートに含まれる既存のユーザーを変更するには、［User permissions（ユーザー権限）］セクションの［Edit users' profile attributes（ユーザーのプロファイル属性を編集する）］権限が必要です。

ワークフロー権限

権限

説明
委任されたフローの実行 フローをOkta Admin Consoleから実行する権限を委任管理者に付与します。
委任されたフローの表示 代理管理者に、Admin Consoleでフローを表示する権限のみを付与します。

認証サーバー権限

権限

 説明
承認サーバーの管理 代理管理者に、Okta organizationの承認サーバーを表示、作成、編集、削除する権限を付与します。
承認サーバーの表示 代理管理者に、Okta organizationの承認サーバーの表示のみを実行する権限を付与します。

カスタマイズ権限

権限

説明
カスタマイズの管理 代理管理者に、Okta organizationのブランディングのカスタマイズを表示、作成、編集、および削除する権限を付与します。
カスタマイズの表示 代理管理者に、Okta組織のブランディングのカスタマイズの表示のみを実行する権限を付与します。

ディレクトリ権限

権限

説明
ディレクトリの管理 代理管理者に、Okta組織のディレクトリ統合アプリケーションを表示、作成、編集、削除する権限を付与します。

アプリケーションのユーザー割り当てを管理し、そのようなアプリケーションのインポートを行うには、ユーザーとグループに追加の権限が必要になる場合があります。
ディレクトリの表示 代理管理者に、ディレクトリ統合アプリケーションとその詳細の表示のみを実行する権限を付与します。

IDプロバイダー権限

権限

説明
IDプロバイダーの管理 代理管理者に、IdP構成を表示、作成、編集、削除する権限を付与します。
IDプロバイダーの表示 代理管理者に、IdP構成の表示のみを実行する権限を付与します。

デバイス権限

早期アクセスリリース。「セルフサービス機能を有効にする」を参照してください。

権限

説明
デバイスの管理 代理管理者に、Okta組織のデバイスを表示、一時停止、停止解除、アクティブ化、非アクティブ化、削除する権限を付与します。
デバイスの表示 代理管理者に、Okta組織のデバイスを表示する権限を付与します。
デバイスのアクティブ化 代理管理者に、Okta組織のデバイスを表示およびアクティブ化する権限を付与します。
デバイスの非アクティブ化 代理管理者に、Okta組織のデバイスを表示および非アクティブ化する権限を付与します。

代理管理者がデバイスを非アクティブ化すると、登録済み要素が非アクティブ化され、アクティブ化されたとにユーザーは要素をデバイスに再登録する必要があります。デバイスのアクティブ化/非アクティブ化の詳細については、「デバイスライフサイクル」を参照してください。
デバイスの一時停止 代理管理者に、Okta組織のデバイスを表示および一時停止する権限を付与します。
デバイスの停止解除 代理管理者に、Okta組織のデバイスを表示および停止解除する権限を付与します。
デバイスの削除 代理管理者に、Okta組織のデバイスを表示および削除する権限を付与します。

領域権限

早期アクセスリリース。「セルフサービス機能を有効にする」を参照してください。

権限

説明
領域の管理 代理領域管理者に、Okta組織の1つ以上の領域を管理する権限を付与します。
ユーザーの管理 代理領域管理者に、ユーザーを追加・削除する権限とユーザーを領域間で移動する権限を付与します。

代理管理者がユーザーを領域間で移動するには、［領域の管理］権限が必要です。

代理領域管理者はロール内できめ細かい権限を設定することもできます。たとえば、領域のユーザーにグループメンバーシップ権限とアプリ権限を付与する場合は、リソースセットの一部であるアプリまたはグループにそれらの権限を割り当てることができます。

エージェント権限

権限

説明
エージェントの表示 代理管理者に、エージェントのステータスを表示する権限とエージェントをダウンロードする権限を付与します。
エージェントの登録 代理管理者に、エージェントとドメインを登録する権限を付与します。
エージェントの管理 代理管理者に、エージェントコミュニケーションを管理する権限とエージェントをアップデートする権限を付与します。

関連項目

ロールの作成

リソースセットの作成