--- title: 【Okta】誰がAIエージェントを使える？OIGで利用権を棚卸ししてみた【生成AIセキュリティ対策シリーズ】｜Nextmode Blog description: Okta Identity Governance（OIG）のアクセス認定で、AIエージェントを利用できるユーザーのアクセス権を棚卸し。キャンペーン作成から承認・剥奪、グループルールによる手動修復の注意点まで、実機検証をもとに紹介します。 image: https://info.nextmode.co.jp/hubfs/%E3%83%96%E3%83%AD%E3%82%B0%EF%BC%BF%E3%82%AD%E3%83%BC%E3%83%93%E3%82%B8%E3%83%A5%E3%82%A2%E3%83%AB/%E7%94%9F%E6%88%90AI%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3_Okta.png --- [![nextmode blog](https://info.nextmode.co.jp/hubfs/raw_assets/public/NextMode_Theme/nextmode%20blog.png)](https://info.nextmode.co.jp/blog) [ホワイトペーパー](https://info.nextmode.co.jp/white-paper/) [資料請求](https://info.nextmode.co.jp/request/) [お問い合わせ](https://nextmode.co.jp/contact/) - [会社TOP](https://nextmode.co.jp/) - [生成AIセキュリティ](https://nextmode.co.jp/services/ai/security/) - [SaaSライセンス＆サポート](https://nextmode.co.jp/services/saas/) - [Oktaライセンス＆サポート](https://nextmode.co.jp/services/saas/okta/) - [Netskopeライセンス＆サポート](https://nextmode.co.jp/services/saas/netskope/) - [Notionライセンス＆サポート](https://nextmode.co.jp/services/saas/notion/) - [Asanaライセンス＆サポート](https://nextmode.co.jp/services/saas/asana/) - [SysCloudライセンス＆サポート](https://nextmode.co.jp/services/saas/syscloud/) - [CrowdStrikeライセンス＆サポート](https://nextmode.co.jp/services/saas/crowdstrike/) - [AWS総合支援](https://nextmode.co.jp/services/aws/) - [AWS導入コンサル・構築](https://nextmode.co.jp/services/aws_consulting/) - [AWS運用・保守代行](https://nextmode.co.jp/services/aws_operation/) - [導入事例](https://nextmode.co.jp/casestudy/) - [会社情報](https://nextmode.co.jp/company/) - [セミナー](https://info.nextmode.co.jp/seminar/) - [ブログ](https://info.nextmode.co.jp/blog) [![YouTube](https://nextmode.co.jp/assets/images/common/icon_youtube.svg)](https://www.youtube.com/@nextmode) 目次 2026/10/19 09:59 # 【Okta】誰がAIエージェントを使える？OIGで利用権を棚卸ししてみた【生成AIセキュリティ対策シリーズ】 [» Okta](https://info.nextmode.co.jp/blog/tag/okta) [» OIGシリーズ](https://info.nextmode.co.jp/blog/tag/oigシリーズ) [» 生成AIセキュリティ対策シリーズ](https://info.nextmode.co.jp/blog/tag/生成aiセキュリティ対策シリーズ) [テクニカルサポート](https://info.nextmode.co.jp/blog/author/tech-support) 共有： [facebook-f icon](http://www.facebook.com/share.php?u=https://info.nextmode.co.jp/blog/okta-oig-ai-agent-user-access) [linkedin-in icon](http://www.linkedin.com/shareArticle?mini=true&url=https://info.nextmode.co.jp/blog/okta-oig-ai-agent-user-access) [Twitter icon](https://twitter.com/intent/tweet?url=https://info.nextmode.co.jp/blog/okta-oig-ai-agent-user-access) [pinterest-p icon](http://pinterest.com/pin/create/link/?url=https://info.nextmode.co.jp/blog/okta-oig-ai-agent-user-access) [envelope icon](mailto:?body=https://info.nextmode.co.jp/blog/okta-oig-ai-agent-user-access) ## はじめに --- こんにちは、ネクストモード株式会社テクニカルサポート担当です。 Oktane 2026 で発表された Blueprint Alliance では、AI エージェントのガバナンスを次の4つの問いで整理しています。 1. Where are my agents?（エージェントはどこにいるか） 2. What can they do?（エージェントは何ができるか） 3. What are they doing?（エージェントは何をしているか） 4. How do I respond?（どう対応するか） こうしたガバナンスを実践するうえでは、AI エージェント自身に与える権限に加え、そのエージェントを利用できるユーザーの範囲も適切に管理することが重要です。 Blueprint Alliance については以下の記事をぜひご参照ください。   AI エージェントのアクセス管理は、次の2つの方向から考えることができます。 - ユーザーから AI エージェントへのアクセス：誰がどの AI エージェントを利用できるか - AI エージェントからリソースへのアクセス：エージェントがどのリソースにアクセスできるか 今回は前者を対象に、Okta Identity Governance（OIG）のアクセス認定を使って、ユーザーの AI エージェント利用権を棚卸しします。具体的には、AI エージェントにリンクされたユーザーサインオンアプリへのアクセスをレビューし、各ユーザーが引き続きそのエージェントを利用する必要があるかを確認します。 ※本記事は執筆時点の情報に基づきます。機能の提供状況や画面・挙動は変更される場合があります。公開前に最新の公式ドキュメントをご確認ください。   ## 今回棚卸しするアクセスとは --- Okta では以下のような構成で AI エージェントとリソースが定義されています。ユーザーが AI エージェントを利用するには AI エージェントがリンクされているユーザーサインオンアプリに対してアサインされている必要があります。 今回はユーザーサインオンアプリに対して棚卸し（ユーザーがどの AI エージェントを利用できるか）を行います。 ![ユーザーがユーザーサインオンアプリを通じて AI エージェントを利用し、エージェントが MCP サーバーへアクセスする関係図。今回の棚卸し対象であるユーザーの利用権を囲みで示す。](https://info.nextmode.co.jp/hs-fs/hubfs/okta-oig-ai-agent-user-access-01.png?width=800&height=125&name=okta-oig-ai-agent-user-access-01.png)   ## Resource campaign を作成する --- ※対象の AI エージェントにアクティブなリソース接続がない場合、キャンペーンは予定日に開始されません。 1. Identity Governance \> Access Certifications \> Certification campaigns タブから Create campaign の Resource campaign をクリックします。 2. General では以下のようにキャンペーン名や開始日を指定します。 ![Okta のアクセス認定キャンペーンの General 設定画面。キャンペーン名、開始日時、タイムゾーン、レビュー期間、監査用レポートの作成を設定する項目を示す。](https://info.nextmode.co.jp/hs-fs/hubfs/okta-oig-ai-agent-user-access-02.png?width=1000&height=656&name=okta-oig-ai-agent-user-access-02.png) 3. Resources では AI agent を指定し、リンクされたユーザーサインオンアプリを選択します。 ![Okta のアクセス認定キャンペーンの Resources 設定画面。リソース種別に Application が表示され、棚卸し対象のユーザーサインオンアプリが選択されている。](https://info.nextmode.co.jp/hs-fs/hubfs/okta-oig-ai-agent-user-access-03.png?width=1000&height=656&name=okta-oig-ai-agent-user-access-03.png) 4. Identities では、レビュー対象としてすべてのユーザーや、指定した日数以上アクセスしていないユーザーを設定できます。また、除外するユーザーを個別に指定することもできます。 ![Okta のアクセス認定キャンペーンの Identities 設定画面。選択したリソースにアサインされた全ユーザーをレビュー対象にする設定と、除外ユーザーを指定する項目を示す。](https://info.nextmode.co.jp/hs-fs/hubfs/okta-oig-ai-agent-user-access-04.png?width=1000&height=656&name=okta-oig-ai-agent-user-access-04.png) 5. Reviewer では Resource owners を選択しました。今回の検証環境では、リンクされた AI エージェントの Owners がレビュアーとしてアサインされました。また、Fallback reviewer も指定します。 ![Okta のアクセス認定キャンペーンの Reviewer 設定画面。レビュアーに Resource owners を選択し、オーナーが未設定の場合に備えて Fallback reviewer を指定している。](https://info.nextmode.co.jp/hs-fs/hubfs/okta-oig-ai-agent-user-access-05.png?width=1000&height=656&name=okta-oig-ai-agent-user-access-05.png) 6. Notifications で通知設定を行います。Justification Settings でレビュー時に理由の入力を求めるかどうかを指定します。 ![Okta のアクセス認定キャンペーンの通知と判断理由の設定画面。レビュー割り当て時とキャンペーン終了時の通知を有効にし、アクセス剥奪時のみ理由の入力を必須にしている。](https://info.nextmode.co.jp/hs-fs/hubfs/okta-oig-ai-agent-user-access-06.png?width=1000&height=655&name=okta-oig-ai-agent-user-access-06.png) 7. Remediation ではレビュアーの判断に応じた修復方法を設定します。Reviewer revokes access の場合に Remove access とすることでアクセス権の剥奪を行うことができます。また、Automatically remove group-based access を有効にすると、グループ経由のアサインも自動解除の対象にできます。ただし、グループルールによるアサインなど、一部は手動修復が必要です。 ![Okta のアクセス認定キャンペーンの Remediation 設定画面。アクセス剥奪の判断時に Remove access を選択し、グループ経由のアクセスを自動解除する設定を有効にしている。](https://info.nextmode.co.jp/hs-fs/hubfs/okta-oig-ai-agent-user-access-07.png?width=1000&height=656&name=okta-oig-ai-agent-user-access-07.png) 8. 最後に Schedule Campaign をクリックして作成は完了です。   ## レビュアーとしてアクセスを承認・剥奪する --- レビュアーは、対象ユーザーに対して Approve（承認）または Revoke（剥奪）を選択し、レビュー結果を送信します。 ![Okta のアクセス認定のレビュー画面。AI エージェントにリンクされたアプリへのユーザーアクセスを一覧表示し、各ユーザーについて Approve または Revoke を選択できる。](https://info.nextmode.co.jp/hs-fs/hubfs/okta-oig-ai-agent-user-access-08.png?width=1000&height=656&name=okta-oig-ai-agent-user-access-08.png)   ## 棚卸し後のアクセスを確認する --- 今回の設定では、レビュアーが Revoke を選択・送信すると、ユーザーサインオンアプリへのアサインが解除され、そのアプリを通じて AI エージェントを利用できなくなります。 一方、有効なグループルールによってグループに追加されたユーザーでは、今回の検証ではアクセスが自動で取り消されず、手動修復が必要となりました。アサイン元のグループやルールを確認し、必要な修復を行います。 以下は棚卸し完了後に送付されるメールですが、Reviews requiring manual remediation と手動での修復が必要であることが記載されています。 ![Okta のアクセス認定キャンペーン終了通知メール。アクセスの承認・剥奪結果と修復状況が記載され、手動修復が必要なレビューを示す項目が赤線で強調されている。](https://info.nextmode.co.jp/hs-fs/hubfs/okta-oig-ai-agent-user-access-09.png?width=800&height=767&name=okta-oig-ai-agent-user-access-09.png)   ## まとめ --- 今回は、Okta Identity Governance（OIG）のアクセス認定を使い、AI エージェントにリンクされたユーザーサインオンアプリへのアクセス権を棚卸ししました。「このユーザーは、引き続きこの AI エージェントを利用する必要があるか」をレビュアーが判断することで、不要になった利用権を見直せます。 今回の検証では、アクセス剥奪時にアプリのアサインを解除する修復設定により、Revoke を選択・送信したユーザーのアサインが解除されることを確認しました。一方、有効なグループルールによってアサインされたユーザーではアクセスが維持されるケースも観測されたため、棚卸しの際はレビュー結果だけでなく、アサイン経路と修復後の状態も確認することが重要です。 本記事で扱ったのは「ユーザーが AI エージェントを利用するためのアクセス権」です。次回はもう一方の「AI エージェントがリソースへアクセスするための接続」に着目し、MCP サーバーを含むリソースへのアクセスを棚卸しする方法を紹介する予定です。   ## 参考リンク --- - [アクセス認定](https://help.okta.com/oie/ja-jp/content/topics/identity-governance/access-certification/iga-access-cert.htm) - [AIエージェントを使用するアプリを認定するリソースキャンペーンを作成する](https://help.okta.com/oie/ja-jp/content/topics/ai-agents/create-resource-campaign-for-apps-with-ai-agents.htm)   ### Okta に関するお問い合わせ AI エージェントのアイデンティティ管理やセキュリティ統制に関するご相談は、ネクストモードまでお気軽にお問い合わせください。 [![SaaSバナー\_Okta](https://hubspot-no-cache-na2-prod.s3.amazonaws.com/cta/default/20481958/interactive-256988631778.png)](https://info.nextmode.co.jp/hs/cta/wi/redirect?encryptedPayload=AVxigLJjnsusibE2amDAdYIdGBX7t4Pk%2BBIIyLi7Qp5Y1z7gOgUYJQArkhk9mRTNRS9CbiR5EMcW7%2FYmWC5NL4Uyf6Hml51ekCToYmmxADtj%2Bich00v9zq9hYIVjkRio3XfMvNc4MTaMFDtBUXEFYe%2FAJp9o8brurt0KuV6GdkLaPswiKMck4NKNrgot0%2BKsV7AhdLTcOyDvlEAFcLECRDTFJtsV&webInteractiveContentId=256988631778&portalId=20481958) ### 関連記事 [![【Okta】AIエージェントは何に接続できる？OIGでリソース接続を棚卸ししてみた【生成AIセキュリティ対策シリーズ】](https://info.nextmode.co.jp/hubfs/%E3%83%96%E3%83%AD%E3%82%B0%EF%BC%BF%E3%82%AD%E3%83%BC%E3%83%93%E3%82%B8%E3%83%A5%E3%82%A2%E3%83%AB/%E7%94%9F%E6%88%90AI%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3_Okta.png) 【Okta】AIエージェントは何に接続できる？OIGでリソース接続を棚卸ししてみた【生成AIセキュリティ対策シリーズ】 テクニカルサポート 2026/10/19](https://info.nextmode.co.jp/blog/okta-ai-agent-resource-connection-review) [![【Okta】Workflows のバージョンに名前と説明を追加！変更履歴をわかりやすく](https://info.nextmode.co.jp/hubfs/%E3%83%96%E3%83%AD%E3%82%B0%EF%BC%BF%E3%82%AD%E3%83%BC%E3%83%93%E3%82%B8%E3%83%A5%E3%82%A2%E3%83%AB/Okta_Blog-1.png) 【Okta】Workflows のバージョンに名前と説明を追加！変更履歴をわかりやすく テクニカルサポート 2026/10/12](https://info.nextmode.co.jp/blog/okta-workflows-version-naming) [![【世界一周ワーケーション：中国編②】深セン・南頭古城](https://info.nextmode.co.jp/hubfs/ebdcf542-d03c-43c1-b16d-b3993bd44302.jpg) 【世界一周ワーケーション：中国編②】深セン・南頭古城 ![](https://info.nextmode.co.jp/hubfs/satomi.jpeg) ネクストモード　代表取締役社長　里見宗律 2026/10/10](https://info.nextmode.co.jp/blog/china_2) ### Category [» 技術](https://info.nextmode.co.jp/blog/tag/技術) [» Okta](https://info.nextmode.co.jp/blog/tag/okta) [» Notion](https://info.nextmode.co.jp/blog/tag/notion) [» イベントレポート](https://info.nextmode.co.jp/blog/tag/イベントレポート) [» Netskope](https://info.nextmode.co.jp/blog/tag/netskope) [» CrowdStrike](https://info.nextmode.co.jp/blog/tag/crowdstrike) [» Notion AI](https://info.nextmode.co.jp/blog/tag/notion-ai) [» AWS](https://info.nextmode.co.jp/blog/tag/aws) [» Asana](https://info.nextmode.co.jp/blog/tag/asana) [» カルチャー](https://info.nextmode.co.jp/blog/tag/カルチャー) [» ワーケーション](https://info.nextmode.co.jp/blog/tag/ワーケーション) [» 生成AIセキュリティ対策シリーズ](https://info.nextmode.co.jp/blog/tag/生成aiセキュリティ対策シリーズ) [» Oktane25](https://info.nextmode.co.jp/blog/tag/oktane25) [» SaaS](https://info.nextmode.co.jp/blog/tag/saas) [» AI](https://info.nextmode.co.jp/blog/tag/ai) [» re:Invent](https://info.nextmode.co.jp/blog/tag/reinvent) [» リモートワーク](https://info.nextmode.co.jp/blog/tag/リモートワーク) [» Keeper](https://info.nextmode.co.jp/blog/tag/keeper) [» ネクストモードアドベントカレンダー2024](https://info.nextmode.co.jp/blog/tag/ネクストモードアドベントカレンダー2024) [» Oktane24](https://info.nextmode.co.jp/blog/tag/oktane24) [» Oktane23](https://info.nextmode.co.jp/blog/tag/oktane23) [» Oktane26](https://info.nextmode.co.jp/blog/tag/oktane26) [» Asana AI](https://info.nextmode.co.jp/blog/tag/asana-ai) [» OIGシリーズ](https://info.nextmode.co.jp/blog/tag/oigシリーズ) [» Slack](https://info.nextmode.co.jp/blog/tag/slack) [» その他](https://info.nextmode.co.jp/blog/tag/その他) [» 脱Excelシリーズ](https://info.nextmode.co.jp/blog/tag/脱excelシリーズ) [» SysCloud](https://info.nextmode.co.jp/blog/tag/syscloud) [» Oktane22](https://info.nextmode.co.jp/blog/tag/oktane22) [» Google](https://info.nextmode.co.jp/blog/tag/google) [» HubSpot](https://info.nextmode.co.jp/blog/tag/hubspot) [» Zapier](https://info.nextmode.co.jp/blog/tag/zapier) [» Azure AD](https://info.nextmode.co.jp/blog/tag/azure-ad) [» Entra ID](https://info.nextmode.co.jp/blog/tag/entra-id) [» Googleドライブ](https://info.nextmode.co.jp/blog/tag/googleドライブ) [» SentinelOne](https://info.nextmode.co.jp/blog/tag/sentinelone) [» ゼロトラスト](https://info.nextmode.co.jp/blog/tag/ゼロトラスト) [» DocuSign](https://info.nextmode.co.jp/blog/tag/docusign) [» Jamf](https://info.nextmode.co.jp/blog/tag/jamf) [» セキュリティ対策](https://info.nextmode.co.jp/blog/tag/セキュリティ対策) [» トラブルシューティング](https://info.nextmode.co.jp/blog/tag/トラブルシューティング) [» 利用者目線](https://info.nextmode.co.jp/blog/tag/利用者目線) [» 運用](https://info.nextmode.co.jp/blog/tag/運用) [» GitHub](https://info.nextmode.co.jp/blog/tag/github) [» GitHub Gist](https://info.nextmode.co.jp/blog/tag/github-gist) [» JOUG](https://info.nextmode.co.jp/blog/tag/joug) [» Notion Calendar](https://info.nextmode.co.jp/blog/tag/notion-calendar) [» Proflly](https://info.nextmode.co.jp/blog/tag/proflly) [» kintone](https://info.nextmode.co.jp/blog/tag/kintone) [![ネクストモード株式会社](https://nextmode.co.jp/assets/images/common/logo_white.svg)](https://nextmode.co.jp/) Service - [生成AIセキュリティ](https://nextmode.co.jp/services/ai/security/) - [SaaSライセンス＆サポート](https://nextmode.co.jp/services/saas/) - [Oktaライセンス＆サポート](https://nextmode.co.jp/services/saas/okta/) - [Netskopeライセンス＆サポート](https://nextmode.co.jp/services/saas/netskope/) - [Notionライセンス＆サポート](https://nextmode.co.jp/services/saas/notion/) - [Asanaライセンス＆サポート](https://nextmode.co.jp/services/saas/asana/) - [SysCloudライセンス＆サポート](https://nextmode.co.jp/services/saas/syscloud/) - [CrowdStrikeライセンス＆サポート](https://nextmode.co.jp/services/saas/crowdstrike/) - [Keeperライセンス＆サポート](https://nextmode.co.jp/services/saas/keeper/) - [AWS総合支援](https://nextmode.co.jp/services/aws/) - [AWS導入コンサル・構築](https://nextmode.co.jp/services/aws_consulting/) - [AWS運用・保守代行](https://nextmode.co.jp/services/aws_operation/) Company - [会社情報](https://nextmode.co.jp/company/) - [サービス一覧](https://nextmode.co.jp/services/) - [導入事例](https://nextmode.co.jp/casestudy/) - [お知らせ](https://nextmode.co.jp/news/) - [サステナビリティ](https://nextmode.co.jp/sustainability/) - [採用](https://nextmode.co.jp/recruit/) - [私たちの働き方](https://nextmode.co.jp/workstyle/) - [カルチャー](https://nextmode.co.jp/culture/) Contact - [お問い合わせ](https://nextmode.co.jp/contact/) - [資料請求](https://info.nextmode.co.jp/request/) Media - [セミナー](https://info.nextmode.co.jp/seminar) - [ブログ](https://info.nextmode.co.jp/blog) - [ホワイトペーパー](https://info.nextmode.co.jp/white-paper/) - [![ネクストモード公式YouTubeチャンネル](https://nextmode.co.jp/assets/images/common/icon_youtube.svg)](https://www.youtube.com/channel/UCeW8ocoe9C3E0GOINh167MA) - [![ネクストモード公式Xアカウント](https://nextmode.co.jp/assets/images/common/icon_x.svg)](https://twitter.com/Nextmode_Inc) [English](https://nextmode.co.jp/en/) - [NTTグループカスタマーハラスメント基本方針](https://group.ntt/jp/group/customer_harassment/) - [就活ハラスメント防止方針](https://docs.nextmode.co.jp/nextmode_recruit_harassment.pdf) - 運用アシスタント利用規約([AWS](https://docs.nextmode.co.jp/nextmode-unyo-assistant-aws-terms-of-use.pdf)/[Azure](https://docs.nextmode.co.jp/nextmode-unyo-assistant-azure-terms-of-use.pdf)) - [日中運用支援定型約款](https://docs.nextmode.co.jp/nextmode-nittyu-unyo-shien-terms-of-use.pdf) - [定型約款](https://docs.nextmode.co.jp/nextmode-standard-contracts.pdf) [プライバシーポリシー](https://nextmode.co.jp/company/privacy.html) Copyright(c) Nextmode, Inc. ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "テクニカルサポート", "url" : "https://info.nextmode.co.jp/blog/author/tech-support" }, "dateModified" : "2026-10-19T00:59:59.958Z", "datePublished" : "2026-10-19T00:59:59.000Z", "headline" : "【Okta】誰がAIエージェントを使える？OIGで利用権を棚卸ししてみた【生成AIセキュリティ対策シリーズ】｜Nextmode Blog", "image" : [ "https://info.nextmode.co.jp/hubfs/%E3%83%96%E3%83%AD%E3%82%B0%EF%BC%BF%E3%82%AD%E3%83%BC%E3%83%93%E3%82%B8%E3%83%A5%E3%82%A2%E3%83%AB/%E7%94%9F%E6%88%90AI%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3_Okta.png" ], "mainEntityOfPage" : { "@id" : "https://info.nextmode.co.jp/blog/okta-oig-ai-agent-user-access", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://info.nextmode.co.jp/hubfs/nm_l_color.png" }, "name" : "ネクストモード株式会社" } } ``` ```json { "@context" : "https://schema.org", "@id" : "https://nextmode.co.jp/#organization", "@type" : "Organization", "alternateName" : "Nextmode, Inc.", "logo" : "https://nextmode.co.jp/assets/images/common/logo_white.svg", "name" : "ネクストモード株式会社", "sameAs" : [ "https://www.youtube.com/channel/UCeW8ocoe9C3E0GOINh167MA", "https://twitter.com/Nextmode_Inc", "https://info.nextmode.co.jp/" ], "url" : "https://nextmode.co.jp/" } ```