Intuneを使ってmacOSをOkta Identity Engine Device Trustしてみた

こんにちは！Oktaの検証がすっかり板についてきたたつみんです。

タイトルで言い切った感がありますが、今日はmacOSをJamf ProでなくIntuneを使って、Okta Identity Engine（以下OIE）のDevice Trustを構成できないかと四苦八苦したお話です。

はじめに

Oktaが事前に用意している証明書を用いてIntuneとmacOSの組み合わせでできないかと検証してみたのですがどうしてもうまくいかず、今回は無料プランもあるサードパーティの認証局のSCEPmanが発行した証明書を用いて設定を行います。今回SCEPmanについては詳細な解説は割愛させていただきます。
ご興味がある方は下記の公式ドキュメントをご参照ください。

• Azure アプリの登録手順

Azure App Registration – SCEPman

docs.scepman.com

• Azure MarketplaceからSECPmanの入手

Marketplace deployment – SCEPman

Azure Marketplace Deployment

docs.scepman.com

• ルート証明書の作成方法

Root Certificate – SCEPman

docs.scepman.com

• Intuneを利用したmacOSへのユーザー証明書の展開方法

MacOS – SCEPman

docs.scepman.com

以降の手順ではサードパーティの認証局での証明書の発行済みであり、Azure アプリがすでに構築済みであることを前提とします。

設定手順

Okta事前準備

1. OktaのSecurity>Device integrations>Certificate Authority>Add Certificate Authorityをクリックします。
   
2. SCEPmanで発行した証明書を選択すると自動的にアップロードされます。File Successfully uploadedと表示せれたらCloseをクリックします。
   
3. 正常に登録されると以下のように表示されます。
   

Intuneで証明書の構成

1. デバイス>構成プロファイル>プロファイルの作成をクリックします。
2. プラットフォームをmacOSを選択します。
3. プロファイルの種類はテンプレートを選択します。
4. テンプレート名で信頼済み証明書を選択し、作成をクリックします。
   
5. 名前を入力し、次へをクリックします。（今回はOIE Certificate for macOSとしました）
   
6. SCEPmanで発行した証明書ファイルをアップロードし、次へをクリックします。
   
7. 組み込まれたグループに検証用セキュリティグループを選択し、次へをクリックします。
   
8. 設定内容を確認し、作成をクリックします。
   

IntuneでSCEPの構成

1. デバイス>構成プロファイル>プロファイルの作成をクリックします。
2. プラットフォームをmacOS降を選択します。
3. プロファイルの種類はテンプレートを選択します。
4. SCEP証明書を選択し、作成をクリックします。
   
5. 名前を入力し次へをクリックします。（今回はOIE_macOS_SCEPとしました）
   
6. 証明書の種類をユーザーを選択します。
7. サブジェクト名の形式は以下を入力します。
   CN={{UserName}},E={{EmailAddress}}
8. 属性でユーザープリンシパル名(UPN)を選択し、値に以下を入力します。
   {{UserPrincipalName}}
9. キー使用法はキーの暗号化とデジタル署名の両方を選択します。
10. キーサイズは2048を選択します。
    
11. ルート証明書をクリックし、先の工程でIntuneに登録した信頼済み証明書を選択し、OKをクリックします。
    
12. 拡張キー使用法の定義済みの値でクライアント認証を選択します。（名前とオブジェクト識別子は自動的に反映されます）
13. SCEPサーバーのURLにサードパーティ認証局で生成されたSCEP URLを入力し、次へをクリックします。
    
14. 組み込まれたグループに検証用セキュリティグループを設定し、次へをクリックします。
    
15. 設定内容を確認し、作成をクリックします。
    

Oktaアプリケーションサインオンポリシー設定

1. Okta管理画面からDevice Trustをアクセスの条件にしたいアプリケーションを選択します。
2. Sign Onタブの下にあるSign On PolicyからAdd Ruleをクリックします。
3. Device state isをRegisteredにし、Device management isをManagedにし、Saveをクリックします。
   
4. 最終的に以下のようなサインオンポリシーとなっているかを確認します。
   

サインオンポリシーは上から判定されルールに該当しない場合に次のルールに一致するかどうかを確認します。今回の例ではDevice Trustに合致しない場合はCatch-all Ruleにてアクセスを拒否する設定としています。

Devices上の確認

Okta管理画面のDirectory内のDevicesに該当端末のStatusがManagedとなっていることを確認します。

最後に

Oktaが元から用意している証明書ではどうしてもうまくいかずにサードパティの認証局による証明書の発行をし、IntuneでmacOSのDevice Trustを実現することができました。

SCEPmanについての解説は省いてしまいましたが、ドキュメント記載の内容に沿って進めることで証明書の発行が行えます。IntuneでmacOS端末を管理している場合はぜひ挑戦してみてください。

それでは今日はこれで〜また別の記事でお会いしましょ〜👋