שני הפוסטים שפרסמנו על הנושא ב-2025 נכתבו כשחלק מהיכולות עוד היו ב-preview. זה המדריך המעודכן, אותו מדריך שאנחנו עובדים לפיו בפרויקטי אבטחת מידע ב-Microsoft 365 אצל לקוחות שעובדים עם Okta.
שלוש הדרכים במבט אחד
| דרך | איך זה עובד | מתי זה מתאים |
|---|---|---|
| 1. Okta מאמת את Microsoft 365 (Federation) | Entra ID סומך על Okta בהתחברות. Conditional Access עדיין חל | כש-Okta חייב להישאר ספק הזהויות הראשי |
| 2. Entra ID מאמת את Okta | המשתמש נכנס ל-Okta, מופנה ל-Entra ID, נבדק ב-Conditional Access וב-Intune, וחוזר ל-Okta | כשרוצים ש-Conditional Access ו-Intune ישמרו גם על האפליקציות שמחוברות ל-Okta |
| 3. Okta Verify כ-External MFA | Entra ID מאמת את הסיסמה, ו-Okta Verify משמש לאימות הנוסף | כשהמשתמשים מנוהלים ב-Entra ID אבל רגילים ל-Okta Verify |
דרך 1: Okta מאמת את Microsoft 365 (Federation)
- Conditional Access ממשיך לחול על Microsoft 365. כדי ש-MFA של Okta ייחשב גם ב-Entra ID, מגדירים את ההגדרה federatedIdpMfaBehavior לערך enforceMfaByFederatedIdp.
- מגבלה: Authentication strengths לא עובדים כרגיל. אפשר לדרוש רק את השילוב "federated multifactor".
- מגבלה: הזיהוי של סיסמאות שדלפו ב-Entra ID Protection דורש סנכרון של Password hash.
- Microsoft מגדירה Federation כאפשרות ולא כהמלצה, ומפרסמת מדריך למעבר הדרגתי מ-Federation של Okta ל-Entra ID.
דרך 2: Entra ID כספק הזהויות של Okta
ב-Entra ID רושמים את Okta כאפליקציה, וב-Okta מוסיפים את Microsoft כספק זהויות. מעכשיו מי שנכנס ל-Okta מופנה ל-Entra ID, ו-Conditional Access, Intune ו-ID Protection בודקים את ההתחברות לפני שהוא חוזר לאפליקציות ב-Okta.
- כללי ניתוב (Routing rules) ב-Okta קובעים מי מופנה ל-Microsoft: לפי רשת, מערכת הפעלה, אפליקציה או מאפייני משתמש. כך אפשר להתחיל מקבוצת פיילוט.
- השתמשו ב-Custom OIDC IdP שמוגבל לטננט שלכם. ספק ה-Microsoft המובנה ב-Okta עובד מול כתובת כללית, כך שגם חשבונות מטננטים אחרים וחשבונות Microsoft פרטיים יכולים להתחבר.
- אל תפנו ל-Microsoft משתמשים שהדומיין שלהם עדיין ב-Federation מול Okta. זה יוצר לולאה. מבטלים קודם את ה-Federation, לפי המדריך של Microsoft.
- ודאו ששם המשתמש (UPN) זהה בשני הצדדים, או בחרו מאפיין משותף אחר.
- הדרך הזו שמה את Entra ID לפני ההתחברות ל-Okta. היא לא מעבירה ל-PIM או ל-Access Reviews את ניהול ההרשאות שבתוך האפליקציות ב-Okta.
דרך 3: Okta Verify כ-External MFA
External MFA, שנקרא קודם External authentication methods, זמין לכלל הלקוחות מתחילת 2026. Entra ID מאמת את הגורם הראשון, Conditional Access מחליט שנדרש MFA, והמשתמש מאשר ב-Okta Verify כמו שהוא רגיל.
- דרישות: Entra ID P1 או P2, והגורם הראשון חייב להיות מאומת ב-Entra ID. ב-Okta מוסיפים מהקטלוג את האפליקציה Microsoft Entra ID External Authentication Methods, ומקשרים כל משתמש ל-Object ID שלו ב-Entra.
- מה זה מכסה: את הדרישה "Require multifactor authentication" ב-Conditional Access. זה לא מכסה Authentication strengths, גם לא את ה-MFA strength המובנה.
- מגבלות נוספות: לא נתמך בהתקנה הראשונית של Windows 10 (צריך Windows 11), וצריך הסכמת אדמין לאפליקציה של הספק.
- Custom controls יוצאים משימוש: מספטמבר 2026 אי אפשר להוסיף או לערוך אותם, וב-2027 הם מוסרים לגמרי. מי שמחבר Okta ל-Entra דרך Custom controls צריך לעבור ל-External MFA.
מה זה נותן: תגובה אוטומטית שעובדת רק כש-Entra ID בשליטה
הסיבה העיקרית לכל זה היא הלולאה בין Defender, Intune ו-Conditional Access, באפליקציות ש-Entra ID מגן עליהן:
- Defender מזהה סיכון במחשב. למשל נוזקה או התנהגות חשודה.
- Intune מסמן את המחשב כלא תואם. מדיניות Compliance רואה את רמת הסיכון.
- Conditional Access חוסם גישה. מהמחשב הזה לשירותי הענן, עד שהבעיה נפתרת.
- Defender מטפל ומנקה את הסיכון. והגישה חוזרת אוטומטית, בלי פנייה לתמיכה.
איך מתחילים
- ממפים את המצב הקיים. מי מאמת את Microsoft 365 היום, איפה מתבצע ה-MFA, ואילו אפליקציות מחוברות ל-Okta.
- בוחרים דרך. ברוב המקרים דרך 2, ולפעמים יחד עם דרך 3.
- מתחילים בפיילוט. קבוצה קטנה דרך Routing rules, ומדיניות Conditional Access במצב Report-only.
- בודקים את יומני ההתחברות. ב-Entra ID וב-Okta, לפני שמחמירים.
- מרחיבים בהדרגה. ומודיעים למשתמשים מראש שיתבקשו להתחבר דרך Microsoft.
עובדים עם Okta ורוצים את Conditional Access ו-Intune של Microsoft? ב-OnCloud אנחנו מתכננים ומטמיעים את החיבור בין Okta ל-Entra ID, מפיילוט ועד כל הארגון.
צרו איתנו קשרמקורות
- Microsoft: Tutorial — migrate Okta federation to Microsoft Entra ID (Okta as an app, Microsoft as IdP in Okta)
- Microsoft: External MFA (external authentication method provider)
- Microsoft: Manage an external authentication method
- Microsoft Entra blog: External MFA in Microsoft Entra ID is now generally available
- Microsoft: Migrate from custom controls to external MFA
- Microsoft: Migrate from federation to cloud authentication
- Microsoft: How authentication strengths work with federated MFA
- Okta: Configure Okta as a Microsoft Entra ID external authentication method
- Okta: Make Microsoft Entra ID an identity provider
- Okta: Configure identity provider routing rules
- Okta: Configure Microsoft Entra ID as a custom OIDC identity provider
- Okta: Use Okta MFA to satisfy Microsoft Entra ID MFA (federated)