OktaでBYODの統制を目指す——アカウント管理ポリシー×一時アクセスコードを活用する

はじめに

3行まとめ

• Okta Fastpassで認証すると、Okta上でデバイスが「登録済み」として登録され、この状態を条件に認証ポリシーを構成してアクセス制御を行うことがよくあります。
• ただし、Okta Fastpass を用いた認証を管理者側で制御するのは難しく、最悪の場合、デバイスが無制限に「登録済み」とされてしまう可能性があります。その結果、「登録済み」を条件とした認証ポリシーの効力が弱くなることがありました。
• 「Oktaのアカウント管理ポリシーと一時アクセスコードを活用する」ことで、Okta Fastpass を用いた認証による「登録済みデバイス」化を管理者側で制限でき、デバイスが無制限に登録されてしまうリスクを低減できます。

機能の概要

Oktaアカウント管理ポリシー

help.okta.com

一時アクセスコードauthenticatorを構成する

help.okta.com

実現方法

設定方法

1. Oktaの管理画面を開きます。
2. 左メニューからセキュリティ＞Authenticatorを選択します。
3. [セットアップ]タブより、[Authenticatorを追加]を選択します。
4. 一時アクセスコードを追加します
5. 最小/最大有効期限やコードの複雑さ、複数回使用可能なコードの許可を任意の設定とし保存します。

1. Oktaの管理画面の左メニューからセキュリティ＞認証ポリシーを選択します。
2. [Oktaアカウント管理]を選択します。

   

3. [ルール]を追加]を選択します。
4. ルール名を記載し、IF部分の以下項目を編集します。
   1. ユーザーのグループメンバーシップ：ルールを適用するグループを指定します。
   2. 次のカスタム式をtrueとする：accessRequest.operation=='enroll'を記述します。

      

5. THEN部分の以下項目を編集します。
   1. アクセス：成功後に許可＞認証
   2. ユーザーが認証に使用する要素：認証方法チェーン
      1. 最初の認証方法：一時アクセスコード
      2. 次の認証方法：任意の認証方法。（今回はOkta Verify - プッシュを指定）
      3. 認証を求める：ユーザーがリソースにサインインするたび

         

ポイント：認証方法チェーンを利用し、最初の認証方法を一時アクセスコードのみとすることで、一時アクセスコードが管理者から払い出されていない状態では認証器の登録が実施できなくなります。

動作確認

• テストユーザーをtestgroupに所属させ、アカウント管理ポリシーの認証器登録ルールが適用された状態とします。
• パスワードとiOS/Android版 Okta Verify をセットアップします。
• Windows/Mac版 Okta Verify をインストールします。

1. ログイン画面から[Okta Fastpassでサインインする]を選択します。
2. PC版 Okta Verify アプリより、アカウントの追加を選択します。
3. ブラウザに遷移するため認証を試行します。
4. 「現時点ではセキュリティ方式をセットアップできません」のエラーがでます。これは一時アクセスコードを管理者が発行していないためです。

   

1. Oktaの管理画面を開きます。
2. 左メニューからディレクトリ＞ユーザー を選択します。
3. その他のアクション＞一時アクセスコードを作成 を選択します。
4. 最大有効期限の範囲内での期限と1回限りか複数回使用可能かを選択し、[コードを作成する]を選択します。
5. コードが発行されるため、ユーザーに伝達します。

1. ログイン画面から[Okta Fastpassでサインインする]を選択します。
2. PC版Okta Verifyアプリより、アカウントの追加を選択します。
3. ブラウザに遷移するため認証を試行します。
4. 一時アクセスコードが要求されるため、管理者より共有があったコードを入力します。

   

5. 二段階目の認証が要求されるため、応答します。

   

6. 本人確認が成功し、以降Okta Fastpassの設定を進めます。

   

注意点

• 認証器の登録タイミングを管理者が制御できても、登録されるデバイス自体を制御できるわけではありません。
  • Okta管理コンソールの「ディレクトリ＞デバイス」、または Okta SystemLog の Add device to user イベントからデバイスのシリアルナンバーを確認し、BYODデバイスとして申請があったデバイスかどうかを確認する必要があります。
  • 定期的に Okta SystemLog を検索し、Add device to user イベントがあればデバイスのシリアルナンバーを Slack 等に通知する、といった Okta Workflows を用いた運用で多少省力化できるかもしれません。

    

• ユーザーが認証器を登録する際は、その都度、管理者へ連絡してもらう運用の整備が必要です。
• 初回アクティベーション時の挙動には注意が必要です。
  • Okta SystemLogを確認した限り、初回アクティベーション時は Okta Dashboard に対する認証ポリシーが適用され、アカウント管理ポリシーでは評価されていませんでした。
  • ただし、初回アクティベーション時の認証器登録で「パスワードのみ登録した状態で中断し、モバイル版 Okta Verify を登録していない」ケースでは、認証器登録を再開しようとするとアカウント管理ポリシーで評価され、本記事の設定だと Okta Verify が未登録のためアクティベーションが進まない状態となりました。
    • そのため、アクティベーション直後はアカウント管理ポリシーを適用しない（適用対象の Okta グループに所属させない）。
      アクティベーションから一定日数が経過したタイミングで、アカウント管理ポリシー適用対象の Okta グループに所属させる、という運用が現実的だと思います。

まとめ