はじめに
こんにちは、ネクストモードのゆきなわです。
Okta Verify Authenticator の需要な仕様変更が発表されました。これまで Authenticator 登録ポリシー（Authenticator Enrollment Policy）上で単一の Authenticator として扱われていた Okta Verify が FastPass / プッシュ / TOTP の3つに分割され、グループ単位で個別に割り当てできるようになります。
あわせて、Okta FastPass の同一デバイス登録（Same-Device Enrollment）の画面表示が、ユーザーに割り当てられた Authenticator に応じて動的に切り替わる動作へ変更されます。
2026年8月12日に早期アクセス（Early Access：EA）として提供が開始されており、GA（一般提供）到達時にはすべてのテナントへ自動適用される恒久的な仕様変更となる予定です。本記事では、変更内容と管理者が事前に確認しておきたいポイントを整理します。
本記事のポイント
- Okta Verify が「Okta Verify - Okta FastPass」「Okta Verify - プッシュ」「Okta Verify - TOTP」の3つの Authenticator に分割され、Authenticator 登録ポリシーでグループごとに必須（Required） / 任意（Optional） / 無効（Disabled）を個別指定できるようになります。
- FastPass の同一デバイス登録は、割り当てられた Authenticator に応じて登録フローの表示が切り替わるようになります。
- GA（今後6か月以内を予定）到達時に全テナントへ自動適用されます。EA 期間中に検証環境で有効化し、事前確認しておくことを推奨します。
⚠️本記事は2026年8月現在の情報に基づきます。機能や仕様、提供時期等は予告なく変更される場合があります。最新情報は公式ドキュメント等をご確認ください。
変更内容
①Okta Verify Authenticator の分割
Authenticator 登録ポリシー上で、これまで単体だった Okta Verify が次の3つの Authenticator に分割されます。
- Okta Verify - Okta FastPass
- Okta Verify - プッシュ（Okta Verify - Push）
- Okta Verify - TOTP
従来、認証方式の有効・無効は org 全体の Okta Verify 設定でのみ制御可能でしたが、本変更により、Authenticator 登録ポリシーにて認証方式ごとに必須（Required）/ 任意（Optional）/ 無効（Disabled）をグループ単位で個別に指定できるようになります（下図1、2）。
図1：［セキュリティ（Security）］ > ［Authenticator］ のセットアップ画面。Okta Verify の配下に「Okta Verify - Okta FastPass」「Okta Verify - TOTP」「Okta Verify - プッシュ」が個別の Authenticator として表示される。アクションからそれぞれ追加・削除が可能。
図2：Authenticator 登録ポリシーの編集画面。Okta FastPass登録 / プッシュ登録 / TOTP登録 をグループ単位で必須 / 任意 / 無効から個別に指定できる（画像は「全員」グループのポリシーですべて「任意」の例）
②FastPass 同一デバイス登録の動作変更
同一デバイス登録（Same-Device Enrollment）は、QRコードやSMS／メールのリンクを使わず、ユーザーが操作中の端末で Okta Verify の登録を完了できる方式です。従来より少ない手順で、フィッシング耐性の高い登録を実現します。
本変更により、この Authenticator 登録画面が、Authenticator登録ポリシーの割り当て内容に応じて動的に切り替わるようになります（下図3）。
| 割り当て | 表示される登録フロー |
|---|---|
| FastPass が必須の場合 | 現在の端末上での Okta Verify 登録手順 |
| TOTP またはプッシュのみが必須の場合 | モバイル端末での Okta Verify 登録手順 |
図3：プッシュのみを必須にした設定で、PC 画面からエンロールした場合の表示例。モバイル端末での Okta Verify 登録手順が案内される（Okta Verifyの一般設定で「セキュリティが高いチャンネル」を設定済みの環境）
提供時期と対象
| 項目 | 内容 |
|---|---|
| 対象 | Okta Verify を利用しているすべての org |
| EA（早期アクセス） | 2026年8月12日 提供開始（［設定（Settings）］ > ［機能（Features）］ の早期アクセスから有効化） |
| GA（一般提供） | 今後6か月以内を予定（GA 到達時に全テナントへ自動適用・恒久的な仕様） |
なお、本 EA 機能は有効化後、管理者自身で無効化できません。無効化には Okta サポートへの申請が必要です（後述）。
有効化時の設定移行
既存ユーザーの Authenticator 再登録は不要で、移行はバックエンドで自動的に実施されます。認証そのものが停止するような影響はありません。
機能を有効化すると、既存の Okta Verify 設定に応じて、各 Authenticator は次のとおり初期設定されます。
| 既存の Okta Verify 設定 | FastPass | プッシュ | TOTP |
|---|---|---|---|
| 必須（Required） | 必須 | 任意 | 任意 |
| 任意（Optional） | 任意 | 任意 | 任意 |
| 無効（Disabled） | 無効 | 無効 | 無効 |
早期アクセス期間中の推奨対応
一般提供時には自動適用され、エンドユーザーの Authenticator 登録画面の挙動が変わる可能性があります。次の観点での事前確認をおすすめします。
- 現行ポリシーの確認と割り当ての整理
- org 全体の Okta Verify 設定を確認し、個別制御を行いたい場合は FastPass / プッシュ / TOTP をどのユーザーグループに割り当てるかを事前に検討します。
- EA 機能の有効化
- Admin Console で ［設定（Settings）］ > ［機能（Features）］ を開き、早期アクセス（Early Access）の一覧から、それぞれ以下を有効化します。
- Flexible Okta Verify authenticator configuration（下図4）
- Okta FastPassの同一デバイスの登録（Same-Device Enrollment for Okta FastPass）（下図5）
- Admin Console で ［設定（Settings）］ > ［機能（Features）］ を開き、早期アクセス（Early Access）の一覧から、それぞれ以下を有効化します。
- 動作確認およびドキュメントの更新
- 現行のサインインポリシーに対して、登録フローが想定どおりに切り替わることを確認します。あわせて、社内向けの登録手順書やヘルプデスク向けドキュメントの更新を検討します。
図4：［設定（Settings）］ > ［機能（Features）］ の早期アクセス一覧にある「Flexible Okta Verify authenticator configuration」を有効化。有効化後に無効化するにはサポートへの連絡が必要である旨が表示される
図5：同じく早期アクセス一覧の「Okta FastPassの同一デバイスの登録」を有効化。登録プロセスがよりシームレスになり、ユーザーに求められる Okta Verify のインストールとセットアップの手順が少なくなる
⚠️有効化前の注意点
- Flexible Okta Verify authenticator configuration は、有効化後に無効化する場合、Okta サポート（メーカーサポート）への申請が必要です。本番環境での有効化前に、検証環境での検証を推奨します。
- 有効化すると従来のバンドル版 Okta Verify Authenticator は利用できなくなり、再有効化や新規ポリシールールからの参照はできません。認証中のユーザーのサインインフローに影響が出る可能性があるため、メンテナンス時間帯など利用の少ない時間帯での有効化が推奨されています。
- org 内のデバイスは、サポート対象バージョンの Okta Verify（iOS は 9.68.0 以降 / Android は 9.0.0 以降）へ更新しておきます。
- 従来のバンドル版と異なり、TOTP はデフォルトでは有効化されません。また、猶予期間（Grace period）は Authenticator登録ポリシーごとに適用され、同一ポリシー内の Okta Verify 系 Authenticator に個別の猶予期間は設定できません。
おわりに
今回の変更により、「特定のグループのみ FastPass を必須にし、他のグループにはプッシュや TOTP を許可する」といった柔軟な制御が、Authenticator 登録ポリシーだけで実現できるようになります。
一方で、本機能は一般提供（GA）時に全テナントへ自動適用となるため、登録画面の挙動変更の事前把握が欠かせません。EA 期間中に検証環境で有効化し、自組織のポリシーでの動作と影響を確認しておくことをおすすめします。
本記事が、Okta Verify を運用されている皆様の参考になれば幸いです。
参考ドキュメント
- Okta ヘルプ - Flexible Okta Verify authenticator configuration（英語） ※本記事執筆時点で日本語版は未公開
- Okta ヘルプ - Authenticator登録ポリシー
- Okta ヘルプ - Okta Verifyオプションを構成する
- Okta ヘルプ - セルフサービス機能を有効にする
Okta に関するお問い合わせ
ネクストモードでは、Okta の導入から運用までを包括的に支援しています。Okta の導入・活用をご検討の際は、ぜひお問い合わせください。
