このガイドは Mac コンピュータに適用されます
Okta Desktop Password Sync と Platform SSO について
Iru Endpoint の Platform シングルサインオン (SSO) を使用した Okta Desktop Password Sync は、ローカルの macOS パスワードを Okta と一致させ、Okta のサインインを macOS のログインウインドウにまで拡張します。仕組み
Desktop Password Sync は Okta Verify Auto App Library Item を使用して配布します。App Store 版の Okta Verify がすでに Blueprint にある場合は、このガイドの後半にある Okta Verify Auto App に切り替えるを参照してください。
要件
Okta の要件
- Okta Identity Engine を使用していること。
- Mac コンピュータが Platform SSO 2.0 とログインウインドウからの Desktop Password Sync をサポートしていること。
- Okta で組織が Desktop Password Sync アプリケーションを利用できること。アプリカタログで Desktop Password Sync アプリが見つからない場合は、Okta のアカウント担当者にお問い合わせください。
- 組織で Okta Verify オーセンティケーターが設定されていること。
- Desktop Password Sync を配布する Blueprint に割り当てられた Okta Verify Auto App Library Item が Library にあること。
その他の要件
- このガイドにある 2 つの Custom Profile mobileconfig テンプレート (Mobileconfig テンプレートファイルを編集するを参照) と、Okta Platform SSO 用の Single Sign-on Extension Library Item (Okta Platform SSO Single Sign-on Extension Library Item を構成するを参照)。
macOS 15 以降での FileVault のサポート
Okta の認証ポリシーでは、macOS 15 以降で、Desktop Password Sync 中の FileVault インターフェイスを含め、より強力なチェックを要求できます。これは Okta で構成します。FileVault のネットワーク要件を参照してください。Device Access SCEP 証明書を作成する
Okta で Desktop SCEP 認証局を構成する
1
Okta 管理ポータルにアクセスする
Okta 管理ポータルにログインします。
2
セキュリティに移動する
左側のナビゲーションで セキュリティ を選択します。
3
デバイスインテグレーションを選択する
展開されたメニューで Device Integrations を選択します。
4
Device Access を選択する
Device Integration ペインで Device Access を選択します。
5
SCEP 構成を追加する
Add SCEP configuration を選択します。
6
Static SCEP URL を選択する
Static SCEP URL を選択します。
7
構成を生成する
生成 を選択します。
8
SCEP URL をコピーする
SCEP URL をコピーします。
9
シークレットキーをコピーする
Secret key をコピーします。シークレットキーは今すぐ記録してください。表示できるのはこの 1 回だけです。その後、Okta はハッシュを保存します。
10
構成を保存する
保存 を選択します。
11
シークレットキーをリセットする (任意)
Reset the secret key が必要な場合は、統合の右側にある アクション メニューから実行できます。
SCEP Library Item を追加する
この Library Item を Iru Endpoint の Library に追加するには、Library の概要の記事を参照してください。SCEP Library Item を構成する
1
Library Item に名前を付ける
Library Item に名前を付けます。
2
Blueprint に割り当てる
目的の Blueprints に割り当てます。
3
SCEP URL を構成する
URL フィールドに、先ほどコピーした SCEP サーバーの URL を貼り付けます。
4
名前を入力する (任意)
名前 を入力します (任意)。
5
チャレンジを構成する
Challenge フィールドに、先ほどコピーしたシークレットキーを貼り付けます。
6
サブジェクトを設定する
件名 フィールドに CN=$SERIAL_NUMBER と入力します。SCEP Library Item を保存すると、Iru Endpoint は CN に PROFILE_UUID を付加します。
7
サブジェクト代替名を構成する
Subject Alternative Name のタイプを なし に設定します。
8
キーサイズを設定する
Key Size で 2048 を選択します。
9
キーの用途を設定する
Key Usage で Signing を選択します。
10
再試行を構成する
Retries を選択し、5 と入力します。環境に応じて異なる再試行回数が必要な場合は変更してください。
11
再試行の間隔を構成する
Retry delay を選択し、30 秒と入力します。環境に応じて異なる間隔が必要な場合は変更してください。
12
秘密鍵へのアクセスを有効にする
Allow apps to access the private key を選択します。
13
キーの抽出を防止する
Prevent the private key data from being extracted in the keychain を選択します。
14
自動再配布を構成する
Automatic profile redistribution を選択し、証明書の有効期限が切れる 30 日前と入力します。環境に応じて異なる間隔が必要な場合は変更してください。
15
構成を保存する
Save を選択します。
Okta で Desktop Password Sync アプリ統合を作成して構成する
1
アプリケーションカタログにアクセスする
Okta 管理コンソールで、アプリケーション > Applications Catalog に移動します。
2
Desktop Password Sync を検索する
Desktop Password Sync を検索し、アプリを選択します。
3
統合を追加する
Add Integration を選択します。This feature isn’t enabled と表示された場合は、Okta のアカウント担当者にお問い合わせください。
4
アプリケーション構成を開く
アプリケーション リストから Desktop Password Sync を開いて構成します。
5
一般設定を構成する
全般 タブでは、アプリケーションのラベルを編集するか、デフォルトのラベルを使用できます。
6
クライアント ID を記録する
Sign on タブで Client ID を記録します。これは Okta Verify の mobileconfig テンプレートを編集する際に必要です。
7
ユーザーまたはグループを割り当てる
割り当て タブで、アプリを個々のユーザーまたはグループに割り当てます。Desktop Password Sync を使用するには、ユーザーにアプリが割り当てられている必要があります。
8
構成を保存する
保存 を選択します。
Mobileconfig テンプレートファイルを編集する
次の 2 つの mobileconfig テンプレートをダウンロードし、Visual Studio Code、Sublime Text、BBEdit などのプレーンテキストエディタで編集します。Okta_Associated_Domains_Configuration_Template.mobileconfig: Okta Verify と auth-service 拡張機能用の関連ドメインOkta_Verify_Configuration_Template.mobileconfig: Okta Verify と auth-service 拡張機能用の Okta テナント URL と Desktop Password Sync のクライアント ID
1
関連ドメインのテンプレートをダウンロードする
サポート用 GitHub リポジトリ (GitHub) から Okta_Associated_Domains_Configuration_Template.mobileconfig をダウンロードします。
2
Okta Verify のテンプレートをダウンロードする
サポート用 GitHub リポジトリ (GitHub) から Okta_Verify_Configuration_Template.mobileconfig をダウンロードします。
Okta Associated Domains テンプレート
Okta_Associated_Domains_Configuration_Template.mobileconfig ファイルは、com.apple.associated-domains ペイロードを配布します。これにより、Platform SSO と Desktop Password Sync のために、Okta Verify と Okta auth-service 拡張機能が Okta テナントに接続されます。1
構成テンプレートを開く
テキストエディタで Okta_Associated_Domains_Configuration_Template.mobileconfig ファイルを開きます。
2
auth-service-extension の AssociatedDomains を更新する
最初の 構成 エントリで AssociatedDomains を更新し、サンプルのドメインを Okta テナントのアドレスに置き換えます。
-
例: authsrv:accuhive.okta.com
3
Okta Verify の AssociatedDomains を更新する
2 番目の 構成 エントリで、com.okta.mobile の AssociatedDomains を更新し、サンプルのドメインを Okta テナントのアドレスに置き換えます。
-
例: authsrv:accuhive.okta.com
4
構成ファイルを保存する
mobileconfig ファイルを保存します。このファイルは、Iru Endpoint で Library Item を追加するで Custom Profile Library Item としてアップロードします。
Okta Verify テンプレート
1
Okta Verify テンプレートを開く
テキストエディタで Okta_Verify_Configuration_Template.mobileconfig ファイルを開きます。
2
com.okta.mobile で OktaVerify.OrgUrl を設定する
com.okta.mobile ペイロードで、OktaVerify.OrgUrl を Okta テナントの URL に設定します。
3
com.okta.mobile で OktaVerify.PasswordSyncClientID を設定する
com.okta.mobile ペイロードで、OktaVerify.PasswordSyncClientID を先ほど記録した Desktop Password Sync アプリの Client ID に設定します。
4
com.okta.mobile.auth-service-extension で OktaVerify.OrgUrl を設定する
com.okta.mobile.auth-service-extension ペイロードで、OktaVerify.OrgUrl を Okta テナントの URL に設定します。
5
com.okta.mobile.auth-service-extension で OktaVerify.PasswordSyncClientID を設定する
com.okta.mobile.auth-service-extension ペイロードで、OktaVerify.PasswordSyncClientID を先ほど記録した Desktop Password Sync アプリの Client ID に設定します。
6
Okta Verify 構成ファイルを保存する
Okta_Verify_Configuration_Template.mobileconfig を保存します。
Okta Platform SSO Single Sign-on Extension Library Item を構成する
Single Sign-on Extension Library Item を使用して、登録済みの Mac コンピュータに Okta Verify のリダイレクト拡張機能と Platform SSO の設定を配布します。この Library Item を割り当てる前に、Okta Associated Domains と Okta Verify Configuration の Custom Profile を完成させてください。
1
Library Item に名前を付ける
新しい Library Item の 名前 を入力します (例: Okta Platform SSO)。
2
プラットフォームを選択する
インストール先 プラットフォームとして Mac を選択します。
3
Blueprint に割り当てる
この配布用の SCEP Library Item および Custom Profile Library Item と同じ Blueprints に Library Item を割り当てます。
4
拡張機能のタイプを選択する
拡張機能の種類 で Redirect を選択します。
5
拡張機能の識別子を構成する
Extension identifier に次のように入力します。
6
Team Identifier を設定する
Team identifier に次のように入力します。
7
URL を構成する
次の URLs を追加し、
accuhive.okta.com を Okta 組織のホスト名 (関連ドメインと Okta Verify のテンプレートで使用したものと同じホスト名) に置き換えます。8
Hosts を空のままにする
Hosts は空のままにします。
9
Platform SSO を有効にする
Platform SSO をオンに切り替えます。
10
認証方法を選択する
認証方法 で パスワード を選択します。Desktop Password Sync では、macOS のログインウインドウでパスワード認証が必要です。
11
登録トークンを入力する (任意)
Okta または組織が Platform SSO の登録に必要とする場合にのみ、Registration token を入力します。
12
macOS 15 以降の設定を有効にする (任意)
Platform SSO で、Desktop Password Sync または FileVault のために組織が必要とする macOS 15 and later のオプションをオンにします。macOS 15 以降での FileVault のサポートと Okta の macOS PSSO バージョン履歴を参照してください。
13
既存ユーザーの権限を設定する
Existing user permissions を 標準、管理者、または グループ に設定します。
14
新規ユーザーの権限を設定する
New Users のデフォルトの権限を設定します。
15
共有デバイスキーを有効にする
Use shared device keys を選択します。この設定は Desktop Password Sync に必須です。
16
ID プロバイダーによる承認を有効にする
Allow authorization (with identity provider account) をオンにして、ユーザーが Okta の資格情報でシステムのプロンプトを承認できるようにします。
17
ローカルアカウントの自動作成を有効にする (任意)
ログインウインドウでローカルアカウントを自動的に作成したい場合は、Allow creation of new users at login window を有効にします。
18
デバイス構成証明を有効にする (任意)
組織でデバイス構成証明を使用している場合は、Platform SSO の構成証明でデバイスの UDID とシリアル番号を送信するオプションをオンにします (macOS 15.4 以降)。
19
アカウント表示名を入力する
通知やサインインのプロンプトでユーザーが認識できる Account display name を入力します (多くの場合、会社名)。この値はシステム全体に適用され、Mac のすべてのユーザーに表示されます。
20
フルログインを要求するまでの時間を設定する
Require full login after に秒数を入力します。デフォルトは 18 時間 (64800 秒) です。最小値は 1 時間 (3600 秒) です。
21
アカウント名とフルネームを設定する
Account name と フルネーム を、新規ユーザーの作成時または承認時に使用する Okta の属性に設定します。どの値を使用すればよいかわからない場合は、Okta 管理者に確認するか、権限とアカウントの設定の Set Account name and フルネーム を参照してください。
22
グループを構成する (任意)
任意: 管理者グループ、追加グループ、Authorization rights を構成します。
- 管理者グループ は、Mac で管理者アクセス権を付与する Okta のグループです。
- 追加グループ は、まだ存在しない場合にローカルグループとして作成されます。
- Authorization rights は、承認権限を 1 つのグループにマッピングします。各権限は 1 回のみ指定できます。たとえば、プリンタ管理をグループにマッピングします。
23
Library Item を保存する
保存 を選択します。
設定アシスタント中の登録を有効にする (macOS 26 以降)
macOS 26 以降では、Platform SSO を設定アシスタント中に実行できるため、Mac は登録のより早い段階で Okta に登録されます。設定中の登録、最初のユーザーの作成、プロフィール写真の同期、および Enable Authenticated Guest Mode Quick Login は、Okta Platform SSO Single Sign-on Extension Library Item の Mac macOS 26 and later セクションで設定します。1
Single Sign-on Extension Library Item を開く
Library で Okta Platform SSO Single Sign-on Extension Library Item を開き、編集 を選択して、Platform SSO セクションの Mac macOS 26 and later に移動します。
2
Enable registration during Setup Assistant を設定する
設定アシスタント中に Okta に登録するには、Enable registration during Setup Assistant で はい を選択します。
3
Create first user during Setup Assistant を設定する
設定アシスタント中に Okta の ID から Mac の最初のローカルアカウントを作成する場合は、Create first user during Setup Assistant で はい を選択します。別の方法で最初のアカウントをプロビジョニングする場合は いいえ を選択します。
4
Synchronize profile picture を設定する
Synchronize profile picture で、設定中にユーザーの Okta プロフィール写真をローカルの macOS アカウントにコピーする場合は はい を、スキップする場合は いいえ を選択します。
5
Enable Authenticated Guest Mode Quick Login を設定する
Enable Authenticated Guest Mode Quick Login のデフォルトは 未構成 です。ユーザーが Okta で一時的にサインインする共有 Mac コンピュータの場合は はい を選択します。標準的な単一ユーザーの Mac コンピュータの場合は、未構成 のままにするか、いいえ を選択します。
6
新規ユーザーの認証方法を設定する
新規ユーザーの認証方法 で、パスワード、Smart card、またはその両方を選択します。任意の 認証方法 に OpenID を追加することもできます。OpenID は macOS 27 以降で使用でき、選択すると Mac macOS 27 and later に WebログインURLの許可リスト が表示されます。
OpenID を使用する予定の場合は、ID プロバイダーに問い合わせて、Platform SSO での OpenID がサポートされていることを確認してください。
7
Library Item を保存する
新規ユーザーの認証方法 に OpenID が含まれている場合は、保存する前に Mac macOS 27 and later の WebログインURLの許可リスト に少なくとも 1 つの URL を追加してください。Web ログイン (macOS 27 以降)を参照してください。保存 を選択します。
Automated Device Enrollment 中に Platform SSO の Library Item をインストールする
設定アシスタント中の登録を使用する場合、SCEP Library Item、両方の Custom Profile Library Item、Okta Platform SSO Single Sign-on Extension Library Item、および Okta Verify Auto App を、設定アシスタントが終了する前にインストールする必要があります。Iru Endpoint で Library Item を追加するでこれらの Library Item を追加して割り当ててから、Automated Device Enrollment を構成します。1
Automated Device Enrollment Library Item を開く
Library で Automated Device Enrollment Library Item を開き、Mac セクションに移動します。
2
設定アシスタント中にLibrary Itemsをインストール をオンにする
Mac の 設定アシスタント中にLibrary Itemsをインストール をオンにして、選択した Library Item が設定アシスタントの完了後ではなく、登録の設定中にインストールされるようにします。
3
必要な Library Item を追加する
Add Library Items を選択し、このガイドの各項目を追加します。
- SCEP Library Item
- Okta Associated Domains (カスタムプロファイル):
Okta_Associated_Domains_Configuration_Template.mobileconfig - Okta Verify の構成 (カスタムプロファイル):
Okta_Verify_Configuration_Template.mobileconfig - Okta Platform SSO (Single Sign-on Extension Library Item)
- Okta Verify Auto App
4
Automated Device Enrollment Library Item を保存する
Automated Device Enrollment Library Item で 保存 を選択します。
Iru Endpoint で Library Item を追加する
SCEP Library Item、Custom Profile Library Item、Okta Platform SSO Single Sign-on Extension Library Item、および Okta Verify Auto App を Iru Endpoint に追加します。基本については、Library の概要の記事を参照してください。1
関連ドメインの Custom Profile Library Item を作成する
Library Item に名前を付けます (例: Okta Associated Domains)。Blueprints に割り当てます。編集した Okta_Associated_Domains_Configuration_Template.mobileconfig ファイルをアップロードし、保存 を選択します。
2
Okta Platform SSO Single Sign-on Extension Library Item を確認する
まだ完了していない場合は、Okta Platform SSO Single Sign-on Extension Library Item を構成するを完了し、同じ Blueprint に割り当てます。
3
Okta Verify の Custom Profile Library Item を作成する
Okta_Verify_Configuration_Template.mobileconfig 用の Custom Profile Library Item を作成します (例: Okta Verify Configuration)。同じ Blueprint に割り当て、ファイルをアップロードして 保存 を選択します。
4
Okta Verify Auto App を割り当てる
Library で Auto Apps に移動し、Okta Verify を開きます。SCEP Library Item、Custom Profile Library Item、Okta Platform SSO Single Sign-on Extension Library Item と同じ Blueprint に Library Item を割り当てます。
5
デバイスに配布する
デバイスが Library Item と Okta Verify Auto App を受信すると、ユーザーに登録と Okta パスワードの同期を求めるプロンプトが表示されます。
Assignment Map
SCEP Library Item、両方の Custom Profile Library Item、Okta Platform SSO Single Sign-on Extension Library Item、および Okta Verify Auto App を Blueprint の Assignment Map で割り当てます。 Library Item の対象を特定のデバイスグループに絞り込む必要がある場合は、条件付きロジックを使用します。Blueprint の基本については、Blueprint の構成を参照してください。Okta Verify Auto App に切り替える
Okta Verify が別の Library Item を通じてすでに Blueprint にある場合は、Desktop Password Sync のセットアップをやり直すことなく Okta Verify Auto App に切り替えられます。Custom Profile Library Item、Okta Platform SSO Single Sign-on Extension Library Item、および Okta の構成はデバイス上に残ります。1
Assignment Map を編集する
Blueprint の Assignment Map を開き、割り当てを編集 を選択します。
2
以前の Okta Verify の割り当てを削除する
既存の Okta Verify Library Item を Assignment Map から削除します。
3
Okta Verify Auto App を割り当てる
SCEP、Custom Profile、Okta Platform SSO の Library Item と同じ Assignment Map の範囲に Okta Verify Auto App Library Item を追加します。
4
Assignment Map を保存する
保存 を選択して Assignment Map の変更を適用します。
以前の Okta Verify アプリはデバイスから削除されます。関連ドメインのプロファイル、Okta Platform SSO Single Sign-on Extension の構成、および Okta Verify の Custom Profile は残ります。次回の Iru Agent のチェックイン時 (約 15 分以内) に、Iru Endpoint が Okta Verify Auto App をインストールします。Okta Device Trust も使用している場合、Auto App で ODT を更新する必要があるときは、Device Trust 用に Okta Verify を構成するを参照してください。
ユーザーエクスペリエンスと次のステップ
Platform SSO が有効な場合、macOS はシステム設定の Users & Groups にある Password フィールドの Change ボタンを非表示にします。これは Apple が Platform SSO 向けに設計した動作です。