Okta - 特定のアプリのみ自社拠点外からのサインインを許可する

# はじめに

今回は、以下の全5回の最終回になります。

- [サインインを自社拠点IPからのみに制限する](https://qiita.com/mtbRck/private/301e6d9b4badc02ba905)
- [サインイン時にMFAを求める](https://qiita.com/mtbRck/private/949ac045ebe7f46d631b)
- [サインイン時にMFAを求めないパターンを残す](https://qiita.com/mtbRck/private/38e87b1f67201bcbb90f)
- [サインイン時にリスク判定を追加する](https://qiita.com/mtbRck/private/2062e94e2efa8e3ebb64)
- 特定のアプリのみ自社拠点外からのサインインを許可する

自社拠点内からのみの利用に制限したい場合でも、例えばスマホアプリが提供されているサービスであればアプリを利用したいという要望はあるかと思います。

その場合、自社拠点外からもサインインできるように設定する必要があるため、今回はAuthentication Policyを設定していきます。

# アプリを利用許可するためのグループを作成する

アプリを利用しているユーザーの内でも、特定のユーザーにのみ許可したい場合には必要です。
アプリを利用している全ユーザーで問題なければ、アサインに使用しているグループと同じで大丈夫です。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/86989ea7-21d8-9886-0d22-c9c3e533934a.png)

# アプリアクセス許可用のAuthentication Policyを作成する


## ポリシー作成

Add Policy から作成します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/459066f2-5877-d44d-e84e-75ed29ae7fc1.png)

## デフォルトポリシーと同じルールを追加

デフォルトポリシーに設定されている以下のルールを追加します。

- MFA対象外
- 自社拠点IPを許可
- Catch-all Rule

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/d725bfa8-e0e5-0391-819d-a34b837317fb.png)

## アプリアクセス許可用のルールを追加

対象グループに先ほど作成したグループを指定します。

また、IPアドレスによる接続制限がないため必ずMFAを設定します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/4ec06a11-4896-78fe-3187-b797b95d41b7.png)


作成したポリシーが一番上になるようにルールの順番を変更します。
こんな感じ。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/448b439c-35c9-470e-8c49-e82c459c4129.png)


# 対象アプリのAuthentication Policyを変更する

作成した Authentication Policy を対象のアプリに割り当てます。
割り当てる方法は以下の2パターンあり、どちらでも大丈夫です。

- Authentication Policy にアプリを追加する
- アプリの Authentication Policy を変更する

## Authentication Policy にアプリを追加する

Authentication Policy を選択し、Applicationsタブ > Add app からアプリを追加します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/2449b52b-b06e-7d51-f116-16eb50d12fc3.png)

対象アプリを検索して Add > Close します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/0796f213-a61c-d60c-c8e1-dc30cbf4766e.png)

Authentication Policy にアプリが追加されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/0502bd33-f816-d43d-120e-bb992a71aa95.png)

## アプリの Authentication Policy を変更する

対象アプリを検索 SignOnタブ > User authentication から変更します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/20b32b89-bf43-883b-4a8e-d7f2711c8cb5.png)

Edit > アプリアクセス許可用 を選択して Save で完了です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/4eca8cb4-e992-40fa-d113-f8b5f5c58905.png)


# 今回作成した各種ポリシー設定のスクショ
## Global Session Policy

### 自社用デフォルトポリシー

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/1082267d-9d36-5064-41eb-1369a908c323.png)

#### デフォルトルール

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/76d07676-0c9f-756d-d5b0-6cae22d6690b.png)

#### リスク高ルール

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/49bec87c-e38f-a747-019b-f1b0fef39365.png)


### MFA対象外ポリシー

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/166d612b-537c-b00a-d921-d176773ff198.png)

#### MFAを求めないルール

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/6838fdf1-3dbe-2712-26f7-f237c685b536.png)

## Authentication Policy

### デフォルトポリシー

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/3d42a111-d4b9-d0f9-94c2-2d93bd252438.png)

#### 自社拠点IPを許可ルール

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/5d618569-c1b8-82e9-9186-827d4ba51248.png)


#### MFA対象外ルール

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/405ff0e1-520b-7abb-7681-1c2dda9b9c56.png)

#### Catch-all Rule

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/c965d617-4a8a-780a-7864-664515e3133f.png)



### アプリアクセス許可ポリシー

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/e15c2cbe-9c1b-f5a4-86e0-c9c2bbfcc658.png)

#### アプリアクセス許可ルール

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/350435/d248ede6-65c2-ce44-155b-1b6ba0daea29.png)

その他のルールはデフォルトポリシーと同一

# さいごに

全5回、Global Session Policy と Authenticaiton Policy をいろいろいじってみました。
今回でポリシー関連はいったん終わりとなります。
ありがとうございました。