Okta のよくある質問
以下は、Okta と GitLab におけるその実装に関するよくある質問です。ここに記載されていない追加の質問がある場合は、Slack の Compass アプリ（上部の検索バーに「Compass」と入力して見つけます）または [email protected] へメールで IT にお問い合わせください。
Okta を使用してアプリケーションにログインするにはどうすればよいですか？
- gitlab.okta.comにアクセスすると、利用可能なアプリケーションの一覧が表示されます。
- ログインするアプリケーションを検索してクリックします。
- 新しいタブが開き、自動的にログインされます。
Okta SSO でアプリケーションへのログインに問題がある場合は、Slack の Compass アプリ（上部の検索バーに「Compass」と入力して見つけます）または [email protected] へメールで IT にお問い合わせください。表示されているエラーのスクリーンショットを必ず添付してください。
Okta は GitLab のアカウント作成をどのようにサポートしますか？
アクティベーションワークフローは、Workday 内でアカウントが作成されると開始されます。
Okta はどのブラウザで動作しますか？
Okta は Firefox、Safari、Chrome をサポートしています。
プラグインとは何ですか？
プラグインは、簡単にインストールでき、ウェブブラウザの一部として使用するアプリケーションです。
プラグインを使用する必要がありますか？
GitLab は多くのアプリケーションに Secure Web Authentication (SWA) を使用しており、これらのアプリケーションを使用するには Okta プラグインが必要です。SAML をサポートするアプリケーションでは、プラグインは必要ありません。GitLab は、必要に応じてすべてのユーザーがブラウザプラグインをインストールすることを推奨します。
Okta プラグインをインストールしても安全ですか？
はい、Okta プラグインは非常に安全にインストールできます。
新しいタブを作成するにはどうすればよいですか？
新しいタブを作成するには、最後のタブの隣にある「+」記号をクリックします。新しいタブ名（たとえば「Personal」）を入力するよう求められます。タブの新しい名前を入力し、保存をクリックして作成します。
タブはいくつ作成できますか？
最大 5 つのタブを作成できます。
タブを削除するにはどうすればよいですか？
タブを削除するには、そのタブのすべてのアプリケーションを別のタブへ移動する必要があります。タブを空にすると、Delete Tab オプションが表示されます。そのオプションを選択すると、タブが削除されます。
アプリを追加するようリクエストするにはどうすればよいですか？
まず、CorpSec Issueを作成してください
すべての新しいソフトウェアは Procurement を経る必要があります。その後、Okta に追加されます。
リクエストを作成する前に考慮する事項：
- ベンダーの担当者（AE、CSM）は、SSO、SAML、または SCIM がサポートされていることを確認していますか？
- ベンダーの技術担当者との通話を設定し、SSO と自動ユーザー管理で利用可能な機能を確認するためのメールスレッドを開始してください。
- ユーザーの作成、更新、無効化はどのように処理すべきですか？
- どのユーザーグループがアクセスを必要としますか？既存の Google Groups の正確なリスト、またはユーザーのリストが必要になります。
- タイムライン： アプリケーション統合の完了には最大 4 週間かかります。リクエストが緊急の場合は、マネージャーをタグ付けし、緊急性と完了希望日を説明してください。
アプリの更新をリクエストするにはどうすればよいですか？
まず、CorpSec Issueを作成し、イテレーション計画と仕様収集のために @gitlab-com/gl-security/corp/identity をタグ付けしてください。アプリケーション更新リクエストは、Business Technology チーム内の 変更管理 Issueで追跡されます。必要なすべての情報フィールドが入力されるよう、okta_existing_app_udate テンプレートを使用してください。
アプリの表示順序を変更するにはどうすればよいですか？
アプリの表示順序を変更するには、アプリアイコンをクリックして押したままにし、表示したい場所へドラッグアンドドロップします。
アプリをあるタブから別のタブへ移動するにはどうすればよいですか？
アプリをあるタブから別のタブへ移動するには、アプリアイコンをクリックして押したままにし、新しいタブへドラッグアンドドロップします。
アプリを削除するにはどうすればよいですか？
インストール済みのアプリは、アプリにマウスを合わせて歯車アイコンを選択すると削除できます。アプリ設定画面に削除オプションが表示されます。GitLab Okta 管理者によって発行されたアプリは削除できませんが、見えない場所へ移動する方法があります。未使用で不要なアプリケーションを保存する新しいタブを作成するのが最適です。
ブックマークとは何ですか？
ブックマークは、現在利用できないアプリの URL ログインを保存する方法です。新しいブックマークを作成すると、Okta ダッシュボードにはそのアプリ URL ログインのアプリアイコンが表示されます。このブックマークには URL のみが保存され、ユーザー名とパスワードは保存されません。
ブックマークを追加するにはどうすればよいですか？
ブックマークを追加するには、ダッシュボード右上の「+Add Apps」ボタンから検索メニューを開きます。アプリを検索してください。アプリが見つからない場合、Okta はブックマークを作成するオプションを表示します。アプリの URL と、表示したいブックマークの名前を入力します。「Add」ボタンをクリックしてブックマークを作成します。ダッシュボード上部の「Home」をクリックして、新しいブックマークを確認します。
どのタブに置いたか覚えていないアプリを検索するにはどうすればよいですか？
ダッシュボードの上部にある「Launch App」検索バーでアプリを見つけることができます。アプリをどのタブに置いたか覚えていない場合は、Launch App 検索に移動し、アプリの名前を入力して、表示されたらその名前を選択して開きます。
Okta はアプリに入力した情報を保存しますか？
いいえ、Okta はさまざまなアプリへのインテグレーターとして機能するだけです。ユーザーがアプリ内に保存する情報には、Okta はアクセスできません。ユーザー名とパスワード（ユーザー認証情報）は、業界標準の暗号化 AES とランダムに生成された対称鍵の両方を使用して暗号化されます。
SWA と SAML の違いは何ですか？
SWA - SWA 統合は、独自のフェデレーションサインオン方式をサポートしないアプリにシングルサインオンを提供します。ウェブベースのあらゆるアプリで動作します。SWA アプリ統合が成功すると、エンドユーザーがアプリのチクレットをクリックした際に次のことが起こります：
- ユーザー名とパスワードのフィールドが入力されます。
- ユーザーはアプリに自動的にサインインします。
SAML - SAML（Security Assertion Markup Language）統合は、エンドユーザーがワンクリックでアプリにアクセスできるフェデレーテッド認証標準を提供します。 SAML は、Okta などのアイデンティティプロバイダー (IdP) とサービスプロバイダー (SP) の間で認証および認可データを交換するための XML ベースの標準です。 アプリケーションが SAML をサポートしている場合、これは SWA より優れた認証プロトコルです。SAML が有効な場合、Okta はアプリケーションの認証プロバイダーになります。また、この認証プロトコルにより、ユーザーの認証の動作をより詳細に制御できます。 Okta は、認証ポリシーに基づく Okta の信頼判断によって認可される「パスワードレス」アサーション方式である SAML アサーションを使用してクラウドアプリケーションを認証できます。これにより、認証情報漏洩への露出が減り、監査可能性が向上します。
セルフサービスアプリケーションは Okta でどのように動作しますか？
この例は、Okta ページにリンクされている Application configuration ビデオにあります。要するに、Add Apps ボタンをクリックし、リクエストするアプリを検索して、リクエストボタンをクリックします。ベストプラクティスとして、アプリケーションオーナーがリクエストの要件を理解できるよう、作成したアクセスリクエスト Issue へのリンクを追加してください！
アプリの名前を変更したり、名前に用途を追記したりできますか？
はい、各アプリにアプリノートを追加し、直感的なラベルを追加できるように取り組みます。例として、すでに Workday と他のいくつかで有効にしています。アプリを構成してユーザー体験を改善するには、Okta メインページの Dashboard Tips ビデオを参照してください。
私のアプリケーションが SAML2.0 経由で統合されていない理由はありますか？
SAML への変換が必要なアプリケーションがあります。更新をリクエストするには、変更管理 Issueを作成してください。
GitLab Okta のユーザー名とパスワードは何ですか？
GitLab では、GitLab メールアドレスがユーザー名です。パスワードを忘れた場合は、Slack の Compass アプリ（上部の検索バーに「Compass」と入力して見つけます）または [email protected] へメールで IT にお問い合わせください。
安全なパスワードを作成するにはどうすればよいですか？
Okta は、パスワードポリシーに沿ったパスワード複雑性ルールと長さを使用して、強力なパスワードをサポートします。ルールを確認するには、GitLab のパスワードポリシーガイドラインに従ってください。
多要素認証 (MFA) はどのように機能しますか？
ユーザー認証情報は、業界標準の暗号化 AES とランダムに生成された対称鍵の両方を使用して暗号化されます。対称暗号鍵を含むこのキーストアは、メモリ内にのみ保持され、Okta アプリのみがアクセスできるマスターキーで暗号化されます。起動時に、アプリにはマスターキーにアクセスし、復号してメモリに保存できるマスターパスフレーズが提供されます。所属企業の技術運用管理者がマスターパスフレーズを入力します。このマスターパスフレーズを知っているのは限られた数の管理者だけです。その結果、攻撃者がデータを復号するには、マスターキー、秘密鍵、ユーザーのアプリコンテキストがすべて必要です。
一部のアプリではパスワードを入力する必要があり、他のアプリでは不要なのはなぜですか？
Okta では、単一の統合ダッシュボードを通じてアプリケーションにアクセスできます。これらのアプリケーションへのアクセスは、Security Assertion Markup Language (SAML) または Okta の Secure Web Authentication (SWA) テクノロジーのいずれかによるシングルサインオン (SSO) テクノロジーで提供されます。
SWA では、そのアプリケーションを初めて使用する際に、ユーザー名とパスワードの入力が必要になる場合があります。アプリでパスワード変更が必要な場合は、Okta ダッシュボード内で変更してください。SAML では、Okta がトークン経由でアクセスを自動的に渡すため、アプリで更新が必要な場合も手動で変更する必要はありません。
アプリのパスワードを変更するにはどうすればよいですか？
特定のアプリケーションのパスワードを変更するには、アプリアイコンにマウスを合わせます。歯車をクリックして設定に移動すると、その特定のアプリケーションのパスワードを変更するオプションを提供するメニューが開くはずです。
ユーザー名とパスワードを更新できない場合は、GitLab Okta サポートまたは IT Ops チームにお問い合わせください。 パスワードが安全だと確信できますか？ はい、GitLab 管理者や IT サポートを含め、誰もパスワードデータにアクセスしたり閲覧したりできません。
ユーザー名とパスワードはどこに、どのように保存されますか？
Okta は強力な暗号化でデータを保護し、ユーザー名とパスワードの認証情報には強力な（256 ビット AES）暗号化を使用します。この情報は Okta により保存および維持されます。
再認証が必要になるまでログインはどのくらい続きますか？
Okta には、管理された 2 つの再認証パラメーターがあります。Factor Lifetime と Session Lifetime です。
Factor Lifetime: Factor Lifetime を設定すると、エンドユーザーは Factor Lifetime で指定された時間だけサインアウトし、次回のサインイン時に MFA で再認証する必要がなくなります。エンドユーザーは、この設定を適用する必要があることを確認するチェックボックスをオンにする必要があります。私たちはこれを 15 分に構成しました。普段使用しているデバイス以外のマシンでログインする場合は、このボタンをオンにしないようにしてください！
Session Lifetime: 認証プロンプトがトリガーされるまでの最大アイドル時間です。私たちはこれを 4 時間に構成しました。
過剰な認証リクエストに問題がある場合は、Issue を記録してください。調査します。
GitLab Okta 管理者は私のログイン情報を確認できますか？
GitLab 管理者はユーザー名を確認できますが、パスワードやその他の認証情報、認証に使用するデバイスにはアクセスできません。
Okta は私たちのパスワードポリシーをサポートしますか？
はい、Okta は GitLab のパスワードポリシーと制限に準拠するよう構成されています。
Okta にすでに統合されている既存のアプリは 1Password から削除できますか？
はい、認証情報を Okta に入れたら、1password から削除できます。
一部のアプリで Google OAuth ログイン（独自の 2FA 付き）を引き続き使用してもよいですか？
はい、問題ありません。最終的にはほとんどすべてのアプリケーションで Okta を使用する予定ですが、それまでの間は既存の認証方式で問題ありません。Okta の利用がさらに広がったら、最も理にかなう場合には、これらのアプリの一部を Google OAuth ではなく Okta を使用するよう移行します。
Okta は業務関連の認証情報にのみ使用されますか？使用される場合、どのように強制されますか？
現時点では、誰かが個人用の認証情報を使用することを妨げるものはありません。詳細については、アプリの構成について作成されたビデオを参照してください。
Okta は MFA を可視化できますか？
MFA は Okta で厳格に強制されます。これは Okta が管理するサービスへのゲートウェイとして機能します。したがって、これらのサービスでは、事実上 Okta ログイン経由の MFA が必要です。
Okta は特定のデバイスまたは条件からのログインを防ぐために使用されますか？
はい、Okta Device Trust と脅威インテリジェンスフィードに基づく IP ベースの制御を通じて行われます。
Okta セッションの有効期限が切れても、一部のアプリが開いたままなのはなぜですか？
Okta セッションからログアウトしていても、Okta はアプリケーションからログアウトしません。
Okta が停止するとどうなりますか？
Okta は「Always On」アーキテクチャで構築されています。しかし、そのサービスが停止した場合は GitLab Okta プラットフォームにログインできず、Single Sign‐On 経由でアプリケーションにアクセスできなくなります。ただし、一部のアプリケーションは直接リンクから引き続きアクセスできる場合があります。 Okta が停止すると、基本的に GitLab も停止します。どのような軽減策でも、セキュリティの攻撃対象領域が拡大します。
Okta が停止した場合のポリシーは何ですか？従業員は待つべきですか、それともバックアッププランがありますか？
Okta が停止した場合、私たちも停止します。どのような軽減策でも、セキュリティの攻撃対象領域が拡大します。 Okta は「Always On」アーキテクチャで構築されています。しかし、そのサービスが停止した場合は GitLab Okta プラットフォームにログインできず、Single Sign‐On 経由でアプリケーションにアクセスできなくなります。ただし、一部のアプリケーションは直接リンクから引き続きアクセスできる場合があります。
Okta の緊急時には誰に連絡すればよいですか？
Slack の Compass アプリ（上部の検索バーに「Compass」と入力して見つけます）または [email protected] へメールで IT にお問い合わせください。
自動レポートはありますか？
いいえ、Okta 内には存在しません。ただし、これはセキュリティ自動化チームが支援できるはずです。MFA やパスワード変更、新しく認識されていないデバイスからの接続などについては、すでに一部の自動セキュリティ通知が有効になっています。GitLab は、組み込みのレポートに基づいてこれらのレポートを実行できます。
Okta がまだできないことには何がありますか？
アクセスリクエストの自動化はその一つです。Okta ではまだマネージャー承認はできません。これを実現するための他の方法と手段に取り組んでいます。
Okta は、すべてのチームメンバーが会社全体の VPN を使用できる VPN プロバイダーと統合できますか？
これを実施する能力はありますが、このためにはアプリケーションのユースケースを理解するためのさらなる調査が必要です。この段階では、VPN の要件は有効になっていません。
オンボーディング時に GitLab 個人アカウントを使用していた人は、オフボーディング時にどうなりますか？
2020-03-23 より前に開始したユーザーは、GitLab グループから削除されます。オフボーディングが行われると、Okta アカウントと関連アカウントは無効化されます。
a1f3c26a)