この記事では、ユーザーがパスワードを正しく入力できなかったため、または必要な多要素認証（MFA）を満たさなかったためにアカウントからロックアウトされた状況について説明します。
この記事では、以下に関する情報を紹介します。
- パスワードが誤って入力された場合に許容されるログイン試行の失敗回数。
- MFAが満たされない場合に許容されるログイン試行の失敗回数。
- ブロックされたユーザーのロックを解除する方法。
- 多要素認証
- パスワードポリシー
- ロックアウト
- Okta Identity Engine（OIE）
パスワードが誤って入力された場合に許容されるログイン試行の失敗回数
ユーザーが自分のOktaアカウントにアクセスし、パスワードの入力を求められた場合は、構成されているパスワードポリシーが適用されます。ユーザーは、パスワードポリシーで許容される限り、何度でも正しいパスワードの入力を試みることができます。
パスワードポリシーがまだ構成されていない場合は、以下の手順に従って構成することができます。デフォルトでは、失敗回数は10回に設定されます。
- Okta Admin Consoleにログインします。
- ［セキュリティ］>［Authenticator］>［パスワード］>［アクション］>［編集］に移動します。
- 修正するパスワードポリシーを選択し、［編集］ボタンをクリックします。
- ［パスワード設定］セクションで［ロックアウト］設定を見つけます。
- 必要に応じて、次のフィールドを設定します。
- 試行に<X>回失敗するとユーザーがロックアウトされる
- アカウントは<数字>分後に自動的にロック解除される
MFAが満たされない場合に許容されるログイン試行の失敗回数
Okta ClassicとOIEとで、MFA/Authenticatorのエラーにおける動作にいくつかの違いがあり、GUIを使用する場合とAPI呼び出しを使用する場合でさらなる違いがあります。
- Okta Classic Engineでは、5分以内にMFA試行が5回連続で失敗すると、ユーザーはロックアウトされます。この値はハードコーディングされており変更できません。SMS、音声、OTP（カスタム、Okta Verifyなど）に適用されます。MFAロックアウトカウンターをリセットする唯一の方法は、MFAでログインに成功することです。
- Okta Identity Engine（OIE）で、ユーザーがSMS、音声、OTP（Okta Verifyモバイルアプリケーションを含む）から誤ったコードを5回連続して入力すると、システムがレート制限をトリガーし、429 Too Many Requests HTTPステータスコードが発生します。潜在的なセキュリティ侵害を防ぐために、ユーザーのAuthenticatorは一時的に5分間ロックされ、その間は使用できません。
注：これらの動作には例外があります。
- APIを介してプログラムでSMSを使用する場合、上記の制限は適用されず、試行が5回失敗するとアカウントがロックアウトされます。
- Okta Verify Pushは例外であり、認証試行の失敗または拒否によってレート制限やロックアウトは発生しません。
以下に例を示します。
アカウントのロックを解除
パスワードの入力回数が制限を超えたなどの理由でロックされたアカウントのロックを解除するには、以下の手順に従ってください。
- Okta Admin Consoleで、［ディレクトリ］>［ユーザー］に進みます。
- 左側のメニューで、［その他のアクション］を選択します。
- ロック解除する必要があるユーザー名を［ユーザーとユーザー名］列からクリックします。
- ［その他のアクション］ドロップダウンメニューをクリックし、［アカウントのロック解除］をクリックします。
-
- ユーザーがパスワードがわからない場合は、パスワードをリセットするか、ユーザーにパスワードのリセットを依頼します（セルフサービスによるパスワードのリセットが有効になっている場合）。
MFAの失敗によりアカウントがブロックされた場合は、ロック解除とは別に、Authenticatorのリセットもお勧めします。これを実現するには、以下の手順に従います。
- Okta Admin Consoleで、［ディレクトリ］>［ユーザー］に移動し、MFAのリセットが必要なユーザーを選択します。
- 左側のメニューで、［その他のアクション］ドロップダウンメニューを選択し、［Authenticatorをリセット］をクリックします。
ユーザーがパスワード入力に何度も失敗してロックアウトされると、失敗したログインカウンターをリセットするには、（アカウントのロックが解除された後）ユーザーが同じアカウントで正常にログインするしか方法がありません。アカウントのロックが解除された後、ユーザーがログイン、パスワードの変更、MFAのリセットを再試行できる時間制限はありません。
注：Okta Verify Pushは例外であり、5回失敗した後もレート制限はありません。
