Okta と Junify の違い、SWA で共有アカウントを使う場合との使い分け

社員も社外の協力者も全員が Okta の ID を持ち、ログインした後の操作まで管理しなくてよい会社なら、Okta で足ります。SAML などに対応したサービスは SSO(一度のログインで複数のサービスに入れる仕組み)でつなぎます。ID とパスワードで入るサービスも、SWA でパスワードを見せずに共有できます。Junify が補うのは、Okta に ID のない人と使う共有アカウントと、ログインした後のセッション(サービスに入ったままの状態)やダウンロード、画面の録画まで管理したいアカウントです。

Okta が担うこと

Okta は、社員や取引先の人の ID とログインをまとめて扱うID 管理サービスです。8,000 以上のサービスとの連携が用意され、SAML や OpenID Connect(ID 管理サービスとサービスをつなぐ規格)などでつなぎます。

製品ページによれば、人が辞めたときに Okta でその人を止めれば、SSO でつないだサービスすべてへのアクセスがまとめて取り消されます。誰が・いつ・どのサービスにログインしたかは、レポートで確かめられます。

SWA で共有アカウントを使わせる仕組み

SAML などに対応していないサービスには、Okta の SWA(Secure Web Authentication)を使います。利用者が Okta の画面でアイコンを押すと、拡張機能の Okta Browser Plugin が入力します。

方式の 1 つに、1 組の ID とパスワードを管理者が設定し、割り当てた複数の人で使うものがあります。公式ヘルプによれば、この方式では利用者は共有のパスワードを表示できず、見たり変えたりできるのは管理者だけです。拡張機能はログインが済んだ後にブラウザーへ ID とパスワードを残さず、ブラウザーにパスワードを保存させない設定もあります。

公式資料で確かめた Okta の範囲

Okta に ID のない人

Okta に ID のない社外の人に使わせるには、その人を Okta の利用者として登録することになります。

ログインした後の操作と二段階認証のコード

SWA の公式資料では、ログインした後のダウンロードを止める機能、アップロードや印刷を検知する機能、Web のサービスの画面の録画、認証アプリに出るコードを入力する機能は確かめられませんでした(別製品の Okta Privileged Access の録画は、サーバーへの接続が対象です)。

ログインした後のセッション

ただし開発者向けの資料は、Okta で利用者を止めるだけでは、サービスの中のセッションには影響しないとしています。そこで Universal Logout が、サービスの側のセッションも終わらせます。対象は Box、Google Workspace、Slack Enterprise など対応するサービスと、取り消しの規格に対応した SAML などのサービスで、Microsoft 365 などは一部の対応のため、利用中のアクセスの期限が切れるまでセッションが続きます。自動で働かせるには Identity Threat Protection with Okta AI が要ります(Adaptive MFA だけなら管理画面から手動)。この製品は、会社が管理する Chrome のプロフィールのクッキーも消せます(個人のプロフィールは対象外)。SWA のサービスに Universal Logout が効くかは確かめられませんでした。

Junify が担うこと

Junify では、管理者が共有アカウントを登録し、使ってよい人を決めます(割り当て)。本人確認は担当者のスマホの Junify アプリで行うので、Okta に ID のない人も使えます。

パスワードは Chrome の拡張機能が入力し、担当者には見せません。担当者がいまパスワードを知っているアカウントは、導入時に変えて Junify だけが持ちます。その後は割り当てを外せば入れず、人が抜けるたびにパスワードを変えて配り直す作業がなくなります。

ログインは拡張機能が管理する Chrome のシークレットウィンドウで開き、業務のサービスのクッキーは普段の Chrome に入りません。管理者が遠隔でセッションを終えると、シークレットウィンドウがすべて閉じ、そのパソコンのログイン状態も消えます。位置や IP の条件から外れれば、ログインした後でもそのアカウントのタブを閉じ、そのサービスのクッキーを消します。SAML に対応していないサービスでも同じで、Chrome のプロフィールを会社の管理に登録する必要もありません。

ダウンロードはアカウントごとに許可・禁止でき、アップロードと印刷は検知して管理者に知らせます。録画と AI による要約もできます。誰が・いつ・どのアカウントを使ったかは一人ずつ残ります。認証アプリ方式の二段階認証なら、そのコードも Junify が入力します(SMS やメールのコードは対象外)。

Okta と Junify を併用するとき

社員の ID と SAML などに対応したサービスは Okta のままにし、使う人が全員 Okta の利用者でログイン後の管理が要らない共有アカウントも SWA のままで構いません。Junify に移すのは、Okta に ID のない人が使うアカウントと、セッションやダウンロードの管理、録画、認証アプリのコードの入力が要るアカウントです。

SAML に対応していないサービスの扱い方の全体は、SAML に対応していない SaaS に SSO に近い運用を作る方法にまとめています。

どちらが合うか

Okta の欄には公式資料に書かれていることだけを置き、書かれていないことは「確かめられなかった」としています(できないという意味ではありません)。

Okta だけで足りるのは、共有アカウントを使う人が全員 Okta の利用者で、記録がログインまでで足りる会社です。Chrome 以外のブラウザーでも使わせたい場合も Okta が合います。

Junify が合うのは、Okta に ID のない人と使う共有アカウントがある会社や、ログインした後のセッションやダウンロード、録画まで管理したい会社です。