共有シグナルレシーバーを構成する

Oktaを共有シグナルレシーバーとして構成すると、Oktaがセキュリティ関連のイベントをセキュリティイベントプロバイダーのアプリから受信できるようになります。この統合は、OpenID Shared SignalsとEvents Frameworkの仕様を基にしています。

統合をセットアップするには、管理者は、Oktaにシグナルを送信するセキュリティプロバイダーから構成の詳細情報を収集する必要があります。Admin Consoleでストリームを構成すると、Oktaはシグナルをイベントとして取り込めるようになります。SSFセキュリティイベントトークンAPIを参照してください。

これらのシグナルはリスクエンジンに情報を伝え、Oktaではエンティティリスクの検出（user.risk.detectイベント）としてレポートされます。Oktaは、受信したShared Signals Framework（SSF）およびContinuous Access Evaluation Protocol（CAEP）イベント（システムログイベントではsecurity.events.provider.receive_event）のパブリッシュも行います。user.risk.detectイベントで伝達されるリスク評価は、Workflows、セッション取り消し、またはUniversal Logoutを使ってエンティティリスクポリシーがアクションを構成する際に使用されます。これにより、デバイス上、ネットワーク上、アプリ内のアクティビティのようなIDのスコープ外の脅威面とのインタラクションやデータとのインタラクションによってエンティティのリスクが確実に通知されます。

SSFの統合により、Oktaとインタラクションしていない場合でもOktaユーザーを保護できます。

開始する前の確認事項

スーパー管理者ロール、またはShared Signals Frameworkレシーバーのストリームを管理（Manage shared signals framework receiver streams）ロールとすべてのShared Signals Frameworkレシーバー（All Shared Signals Framework receivers）リソースセットを持つカスタム管理者が必要です。

セキュリティイベントプロバイダーからリスクシグナルを受信するには、SSFトランスミッターを構成する必要があります。これは、セキュリティプロバイダーのアプリで行われ、統合を構成するためにAdmin Consoleで使用されるJWKS（JSON Webキーセット）が提供されます。SSFトランスミッターの構成については、セキュリティプロバイダーのドキュメントを参照してください。

セキュリティイベントプロバイダー

アイデンティティ脅威保護（ITP）はデフォルトでOkta Verifyを継続的にポーリングして、シグナルを取得します。また、ITPはCrowdStrike FalconやWindowsセキュリティセンター（構成されている場合）など、対応のエンドポイントセキュリティ統合からもシグナルを取得します。

ITPは、カスタムSSFトランスミッター（「SSFレシーバーを構成してSETを公開する」を参照）、または以下のセキュリティイベントプロバイダー（構成されている場合）から信号を受信することもできます。

セキュリティイベントプロバイダーのアプリを構成する

Oktaでセキュリティイベントを表示するには、事前にOktaと情報を共有するようにセキュリティプロバイダーのアプリを準備する必要があります。

セキュリティプロバイダーのアプリで発行者とJWKSのURLを生成してOkta orgへのシグナルの送信を保護します。

次の手順に従ってOktaをSSFレシーバー、Jamfをトランスミッターとしてセットアップします。シグナルソース、およびシグナルをOktaと共有するためのセキュリティプロバイダーアプリの構成については、セキュリティプロバイダーアプリのドキュメントを参照してください。

1. Jamfにスーパー管理者としてサインインします。
2. 統合（Integrations） > SSFストリーム（SSF Streams）を開きます。
3. 新規SSFストリームを作成（Create new SSF stream）をクリックします。
4. オーディエンスを入力します。これは、ストリームを識別するURLです。この場合のオーディエンスは、Oktaテナントのアドレス（たとえば、https://your-org.oktapreview.com、https://your-org.asqula.comなど）です。
5. 作成（Create）をクリックします。

ストリームが作成されると、Jamfはトークンを返します。SSFレシーバーは、自動検出のサポートにこのトークンを使用します。このトークンは、Oktaでは使用されません。代わりに良く知られたURL（Well-known URL）をコピーしてAdmin Consoleに入力します。

共有シグナルを受信する

Okta orgがSSFを使ってプロバイダーアプリからのセキュリティシグナルを受信できるようにします。SSFはセキュリティプロバイダーアプリ間にネットワークを作成し、セキュリティ情報を継続的にOktaと共有してユーザーに対するセキュリティ脅威を防止および緩和する上で役立ちます。

1. Admin Consoleでセキュリティ（Security） > デバイス統合（Device integrations）に移動します。
2. 共有シグナルを受信（Receive shared signals）タブをクリックします。
3. ストリームを作成（Create stream）をクリックします。
4. 統合名（Integration name）を入力します。
5. 良く知られたURLまたは発行者URLとJWKS URLを使用して統合をセットアップできます。これらは、Oktaによる受信を構成するシグナルのトランスミッターから送信されます。統合（この例では良く知られたURL）を選択します。
6. セキュリティプロバイダーアプリからのURLを良く知られたURL（Well-known URL）フィールドに貼り付けます。
7. 作成（Create）をクリックします。

ストリームが正しく作成されると、Admin Consoleのストリームリストに表示されます。デフォルトでは、ステータスはアクティブ（Active）に設定されます。

ストリームアクション

ストリームが作成されると、ストリームリストに表示されます。デフォルトでは、追加されたすべてのストリームはアクティブ（Active）です。ストリームを編集、非アクティブ化、または削除するには、アクション（Actions）をクリックしてドロップダウンメニューからオプションを選択します。

ストリームイベントを監視する

SSFストリームを構成すると、OktaはCAEPに準拠するセキュリティイベントトークン（SET）を受信するようになります。SETはエンティティリスクの計算方法をOktaに伝えます。これは、security.events.provider.receive_eventというシステムログイベントで確認できます。

管理者は、いくつかの方法でSSFストリームを監視できます。

• security.events.provider.receive_eventというシステムログイベント内のSETコンテンツを表示します。
• それがuser.risk.detectイベントでカプセル化されていることを確認します。
• Oktaで受信または表示できる、送信がサポートされるリスクイベントのタイプについては、セキュリティプロバイダーのドキュメントを参照してください。
• Oktaが検出したエンティティリスクを表示するには、エンティティリスクレポート（Entity risk report）を使用します。

orgでITPが有効化されていない場合、システムログイベントは制限されます。システムログのIdentity Threat Protectionイベントを参照してください。

関連項目

Shared Signals Framework

エンドポイントセキュリティ統合

検出

共有シグナルトランスミッターを構成する

イベントタイプ