この記事では、Windowsデバイス用のOkta Desktop MFAをセットアップする手順について説明します。 

• Okta Device Access
• Okta Identity Engine（OIE）
• Desktop MFA
• Windowsデバイス

WindowsデバイスにデスクトップMFA機能を追加するには、いくつかの手順を完了する必要があります。

Desktop MFAアプリ統合を作成して構成する

1. Admin Consoleで［Settings（設定）］>［Account（アカウント）］>［Embedded widget sign-in support（組み込みウィジェットサインインサポート）］に移動し、［Interaction Code（インタラクションコード）］ チェックボックスが選択されていることを確認します。
2. Admin Consoleで、［Applications（アプリケーション）］>［Applications（アプリケーション）］に移動します。
3. ［Browse App Catalog（アプリカタログを参照）］をクリックし、Desktop MFAを探します。
4. ［Add Integration（統合を追加）］をクリックします。

注：「This feature isn’t enabled（この機能は有効化されていません）」というエラーメッセージが表示されるときは、アカウント担当者に連絡してください。

5. ［一般設定］ページでアプリケーションラベルを編集します。デフォルト値を受け入れるときは、［Done（完了）］をクリックします。Okta Desktop MFA統合アプリが作成されます。
6. ［General（一般）］タブで［Client Credentials（クライアントの資格情報）］セクションに移動し、クライアントのIDとクライアントのシークレットを探します。IDとシークレットは、アプリ統合の作成時に生成されます。これらの値は、MDMソリューションを使ってDesktop MFA for Windowsをデプロイするときに必要になるため、注意することが重要です。
7. ［Sign On（サインオン）］タブで［Settings（設定）］セクションに移動し、［Edit（編集）］をクリックします。［Application Username Format（アプリケーションユーザー名の形式）］ドロップダウンメニューをクリックし、適切なユーザー名の形式を選択します。使用するコマンドはAD SAMアカウント名ですが、ユーザー名の形式はデバイスでのログインプロセス中に提供された資格情報と一致する必要があります。
8. そのデバイスにアクセスする必要があるユーザーにアプリケーションを割り当てます。

Desktop MFA for Windowsをエンドポイントにデプロイする

Okta VerifyアプリケーションがMDMソリューションを使ってすでにデプロイされている場合、インストールコマンドラインに次の値を追加する必要があります。

• ORGURL：Okta orgのURL。OrgURLの末尾にスペースや「/」バーを付けないでください（特に末尾に/を追加しないように注意してください）。
• CLIENTID：Desktop MFAアプリ統合の［General（一般）］タブに保存したクライアントID。「Desktop MFAアプリ統合を作成して構成する」を参照してください。
• CLIENTSECRET：Desktop MFAアプリ統合の［General（一般）］タブに保存したクライアントシークレット。「Desktop MFAアプリ統合を作成して構成する」を参照してください。
• SKU：SKU=ALL

例：OktaVerifySetup--x.x.x.x-yyyyyyy.exe SKU=ALL ORGURL=https://customerorg.oktapreview.com/ CLIENTID=<ClientID> CLIENTSECRET=<ClientSecret>

注：SKU=ALLという設定でOkta Verifyをインストールすると、ユーザーのサインイン時にWindows資格情報プロバイダーは非表示になります。Okta Verifyがすでにデプロイされている場合は、デバイスを再同期してください。

構成をまだ作成していない場合は、「Intuneを使用したOkta Verifyのデプロイ」の記事または『WindowsデバイスへのOkta Verifyのデプロイ』のドキュメントを参照してください。

Desktop MFAポリシーを構成する

Okta Verifyアプリケーションがデプロイされたら、ポリシーレジストリを作成する必要があります。これは、手動で、またはIntuneなどのMDMソリューションからデプロイされるPowerShellスクリプトを使用して行うことができます。『IntuneでPowerShellスクリプトをWindows 10/11デバイスで使用する』のドキュメントを参照してください。

注：Okta Desktop MFAポリシー（登録済み）はデバイスレベルであり、特定のユーザーに対してのみ設定することはできません。
レジストリキーは、
HKLM\Software\Policies\Okta\Okta Device Accessに保存されます。

Desktop MFAがどのように機能するかを定義するポリシーは、Windowsエンドポイントレジストリキーに構成されます。

注：すべてのレジストリが必要なわけではありません。レジストリの組み合わせにより、目的の認証フローが作成されます。ポリシーを設定する前に、ロックアウトを防ぐためにオフライン認証方法をセットアップすることをお勧めします。        

ユーザーがロックされている場合は、レジストリ HKLMSoftwareOktaOkta Device AccessUserポリシーでLoginWithOutEnrollendFactorCounterの値をゼロに変更することでロックを解除できます。

デフォルト値を使用したps1スクリプトの例

# Set variables to indicate value and key to set Set-ExecutionPolicy -ExecutionPolicy Unrestricted $RegistryPath = 'HKLM:\Software\Policies\Okta\Okta Device Access' # Create the key if it does not exist If (-NOT (Test-Path $RegistryPath)) { New-Item -Path $RegistryPath -Force | Out-Null } # Now set the value New-ItemProperty -Path $RegistryPath -Name MFARequiredList -Value * -PropertyType MultiString -Force New-ItemProperty -Path $RegistryPath -Name MaxLoginsWithoutEnrolledFactors -Value 50 -PropertyType DWord -Force New-ItemProperty -Path $RegistryPath -Name MaxLoginsWithOfflineFactor -Value 50 -PropertyType DWord -Force New-ItemProperty -Path $RegistryPath -Name MFAGracePeriodInMinutes -Value 60 -PropertyType DWord -Force New-ItemProperty -Path $RegistryPath -Name SelfServicePasswordResetEnabled -Value 0 -PropertyType DWord -Force New-ItemProperty -Path $RegistryPath -Name PasswordlessAccessEnabled -Value 0 -PropertyType DWord -Force New-ItemProperty -Path $RegistryPath -Name NetworkTimeoutInSeconds -Value 15 -PropertyType DWord -Force New-ItemProperty -Path $RegistryPath -Name OfflineLoginAllowed -Value 1 -PropertyType DWord -Force New-ItemProperty -Path $RegistryPath -Name OnlineLoginAllowed -Value 1 -PropertyType DWord -Force

オフラインのワンタイムパスワードを作成する

現時点では、Okta Verifyワンタイムパスコード（OTP）とYubikeyのみがサポートされています。 

Okta Verify OTPの場合

1. ［One-time password（ワンタイムパスワード）］をクリックします。
2. 表示名を選択して［Next（次へ）］をクリックします。デフォルト名のオフラインワンタイムパスワードを使用することも、カスタムパスワードを作成することもできます。
3. モバイルデバイスにOkta Verifyアプリをインストールします。
4. ［Next（次へ）］をクリックします。
5. モバイルデバイスでOkta Verifyアプリを開き、［Add account（アカウントを追加する）］［Organization（組織）］［Yes, ready to scan（はい、スキャンできます）］を順にタップします。
6. コンピューター画面に表示されるQRコードをスキャンします。
7. コンピューターのオフラインのワンタイムパスワードセットアップウィザードの［Next（次へ）］をクリックします。モバイルデバイス上のOkta Verifyアプリに新しいアカウントが表示されます。
8. モバイルデバイスでOkta Verifyを開き、新しいアカウントで数字を確認します。
9. コンピューターでセットアップウィザードにこの数字を入力します。
10. ［Finish（終了）］をクリックします。

オフラインのYubiKeyの場合

表示名を選択して［Next（次へ）］をクリックします。デフォルト名の「オフラインのYubiKey」を使用することも、カスタム名を作成することもできます。方式が追加されたことを確認するメッセージが表示されます。オフラインのYubiKeyを使ったWindowsへのサインインが可能になりました。

1. ［YubiKey］をクリックします。
2. YubiKeyを挿入します。
3. ［Next（次へ）］をクリックします。
4. モバイルデバイスでOkta Verifyアプリを開き、［Add account（アカウントを追加する）］［Organization（組織）］［Yes, ready to scan（はい、スキャンできます）］を順にタップします。
5. コンピューター画面に表示されるQRコードをスキャンします。
6. コンピューターのオフラインのワンタイムパスワードセットアップウィザードの［Next（次へ）］をクリックします。モバイルデバイス上のOkta Verifyアプリケーションに新しいアカウントが表示されます。
7. モバイルデバイスでOkta Verifyを開き、新しいアカウントで数字を確認します。
8. コンピューターでセットアップウィザードにこの数字を入力します。
9. ［Finish（終了）］をクリックします。コンピューターがオフライン状態のときにオフラインのYubiKeyを使ってWindowsにサインインできるようになります。

Desktop MFAを使ってWindowsにサインインする

1. Windowsコンピューターを起動します。
2. ユーザー名とパスワードを入力します。
3. サインインの方式を選択します。1つ以上のMFA方式を実装できます。
   • Okta Verify Push
   • Okta Verifyワンタイムパスワード
   • オフラインのワンタイムパスワード
   • オフラインのYubiKey

Desktop MFAのさまざまな動作を実装する（パスワードレスと非パスワードレス）

パスワードレス認証が有効なユーザーと、従来のパスワードに加えて追加の要素を維持するユーザーの混在は、現在利用可能な動作としてサポートされていません。

1. パスワードレス認証：
   • パスワードレス認証の場合、システムは1つの所有要素（デバイスなど）による認証を許可し、PINまたは生体認証をプロセス完了の要件とすることに依存しています。
   • この動作は、関連するWindowsレジストリ値を1に設定することで、システム全体に適用されます。このレジストリ値がアクティブな場合、パスワードレスの動作のみをデバイスに適用できます。
2. さまざまな動作の互換性：
   • レジストリ値が設定されていないデバイスでは、標準のDesktop MFAポリシー（パスワードと追加要素）が適用されます。
   • ただし、Desktop MFAポリシーに別のルールを追加して同じデバイスで両方の動作を管理しようとすると、ポリシーが破損し、正しく機能しなくなります。この制限は、セキュリティ上の理由によるものです。

注：トラブルシューティングのために、Desktop MFAのログは、ユーザーのデスクトップコンピューターのC:\Windows\System32\config\systemprofile\AppData\Local\Okta Device Access\Logsにローカルに保存されます。

Okta Desktop Accessのイベントは［イベントビューア］の［アプリケーションとサービスログ］>［Device Access（デバイスアクセス）］でも確認できます。

関連資料

• Desktop MFAから資格情報プロバイダーを除外する
• PowerShellでレジストリキーの値を更新または追加する方法