こんにちは、 ネクストモード株式会社 のSaaSおじさん久住です
私はいま、ラスベガスで開催されているOktaの年次カンファレンス「Oktane 2025」の会場にいます。毎年恒例となった本レポートですが、今年も皆様のビジネスに役立つ最新情報を、現地の熱気とともにお届けします。
本記事は、Oktane25で開催されたセッション「The Okta Platform Roadmap」の参加レポートです。
このセッションでは、Oktaに関する最新のロードマップが公開されました。
毎度のことながら、膨大な量となっていますので抜粋してお届けします。
セッションは、現代のセキュリティ脅威の80%以上がIDに起因するという事実から始まりました。
「セキュリティを正しく行うためには、IDを正しく管理する必要がある」という思想のもと、「Identity is Security」というコンセプトが改めて強調されました。
Oktaは、この課題に対する答えとして「Identity Security Fabric」という概念を提唱しています。
これは、以下の3つの要素で構成されています。
Secure Identity Platform: IDライフサイクル管理からガバナンスまでを包括するセキュアな基盤
Secure Identity Orchestrations: ユーザー、コンテキスト、ポリシーなどのシグナルを収集し、リアルタイムの自動化を実現
Secure Identity Integrations: エコシステム全体にセキュリティを拡張する統合機能
このファブリックによりサイロ化を防ぎ、接続されたすべてのリソースでシームレスな体験を提供することを目指しています。
このあとは下記の５項目に分けてロードマップの説明がありました。
最初の大きなテーマは、人間以外のID、いわゆる非人間ID（Non-Human Identity, NHI）の保護でした。
NHIは、サービスアカウント、APIキー、AI、VMなど多岐にわたり、その数は人間IDの50倍以上とも言われています。
しかし、多くの組織で管理戦略が欠けているのが現状です。
Oktaは、NHIを保護するために、ライフサイクル全体を包括的にサポートするアプローチをとります。
検出と発見 (Detect and discover): Identity Security Posture Management (ISPM) を通じて、クラウド、SaaSだけでなく、オンプレミスのActive Directory環境も含めたすべてのID（人間・非人間）を可視化します。
プロビジョニングと登録 (Provision and register): NHIをUniversal Directoryに登録し、一元的に管理できるようにします。
認可と保護 (Authorize and protect): Okta Privileged Access (OPA) を使用して、NHIへのアクセスを認可し、保護します。
統制と修復 (Govern and remediate): Identity Governanceを通じてサービスアカウントのアクセス権を定期的にレビューし、脅威を検知して対応（修復）します。
特にAIに関連するIDについても、検出から保護、統制、監視まで、プラットフォーム全体で対応していくことが強調されました。
全体のロードマップは下記のように示されました。
次に、従業員などのIDエクスペリエンスに関するロードマップが語られました。
Identity Verification (IDV): ソーシャルエンジニアリング攻撃からユーザーを保護するため、IDVプロセス中に属性の相互参照を可能にし、検証の精度を高めます。
Okta Device Access: パスワードレスをデバイスログインにも拡張します。
Okta Verifyの分割: FastPass、Push、TOTPを個別の認証要素として設定可能にし、より柔軟な展開を可能にします。
Temporary Access Code: 多要素認証（MFA）デバイスを忘れた場合などに、ITヘルプデスクが一時的なアクセスコードを発行し、業務を継続できるようにします。
Desktop MFA: オフライン状態でもデバイスのリカバリーが可能になります。
Identity Threat Protection (ITP): AIを活用し、セッションハイジャックなどの高度な脅威をリアルタイムで検知・対応します。不審なログイン試行や、FastPassを利用したクレデンシャルベースの攻撃なども検知できるようになります。
Breached Credential Detection: 漏洩した認証情報が利用された際に、パスワードリセットを強制するなど、自動的なポリシー制御を可能にします。
Device Bound SSO: セッションをデバイスのハードウェアに紐付けることで、セッショントークンが盗まれても他の場所で利用されることを防ぎます。
私の認識だとDevice AccessにDesktop SSOの機能が追加されるものだと思っています（違ったらすみません）全体のロードマップは下記のように示されました。
IDの数が増え、多様化する中で、それらを大規模に管理・統制（ガバナンス）するための機能強化も発表されました。
Okta Identity Governance (OIG)
アクセスリクエストのUX向上: 今回の機能強化により、承認者は Slackの画面を離れることなくアクセス申請・承認が可能になります。
非人間IDのガバナンス: サービスアカウントのアクセス権レビューに対応します。
Entitlement Managementの進化: AWS、GitHub、GCPなどの重要なシステムにおける権限の検出をより深く行えるようになります。
Security Posture Reviews: AIを活用してリスクを特定し、検知から修正までをガイドします。これにより、単なるチェックボックス的な対応から、プロアクティブなセキュリティアプローチへと移行できます。
Governance Analyzer: アクセス権レビューキャンペーンにおいて、AIが異常を検知し、リスクの高い項目をハイライトすることで、レビューの効率と精度を向上させます。
全体のロードマップは下記のように示されました。
オンプレミス環境とクラウド環境が混在するハイブリッドな利用形態にも対応を強化します。
Active Directoryの可視化: ISPMエージェントを利用して、AD内の未使用ユーザーや管理者アカウントを検出し、リスクを可視化します。
Okta Access Gateway (OAG) の強化: OAGがOktaに接続できない状況でも認証を継続できるオフラインアクセス機能が発表されました。これにより、インターネット接続が不安定な店舗や遠隔地でも業務を継続できます。
全体のロードマップは下記のように示されました。
最後に、顧客・パートナー向けID（Customer Identity, OCI）に関するロードマップが紹介されました。従業員向けと同じレベルの強度とシンプルさで顧客IDを保護します。
OIG for OCI: OIGの強力なガバナンス機能を、B2BやB2Cのユースケースにも提供します。
パスワードレス: Passkeyのネイティブサポートにより、デバイスの生体認証などを利用した、より簡単で安全な認証体験を実現します。
ITP for OCI: ボット検知モデルなどをOCIにも提供し、アカウント乗っ取りなどの脅威から顧客を保護します。
Native & Web SSO: ネイティブアプリとWebページ間でのシームレスなSSOを実現し、ログインの繰り返しを不要にします。
今回のロードマップセッションは、Oktaが単なるSSOプロバイダーではなく、人間・非人間を問わず、クラウドからオンプレミスまで、すべてのIDを保護するための統合アイデンティティセキュリティプラットフォームへと進化を続けていることを強く印象づけるものでした。
特に、NHIやAIといった新しい領域への迅速な対応と、ITPやOIGにおけるAIの活用は、これからのアイデンティティ管理のあり方を示唆しているように感じます。セキュリティと利便性を両立させるOktaの今後の進化に、ますます期待が高まるセッションでした。