הערות הייצור של Okta מ־3 בנובמבר 2026 מציגות את Provisioning Agent 3.3.2: עדכון Amazon Corretto JRE ל־17.0.21.0.10 והסרת שורשים שהאמון בהם בוטל, בחבילת RPM ובמתקין Windows. הערות הייצור
שתי בדיקות אמון שונות
Okta מזהירה: שרשרת המסתיימת בשורש שהוסר תיכשל באימות TLS מול SCIM. העדכון מחליף את ה־JRE המצורפת, ולכן תעודות מותאמות שיובאו בעבר דורשות ייבוא מחדש. היסטוריית הסוכן
החליפו שרשראות שהאמון בהן בוטל; ייבאו רק תעודות מותאמות מאושרות. אל תשחזרו את כל מאגר האמון הישן.
רשימת בדיקות ממוקדת לעדכון
אלה המלצות תפעוליות, ולא תוצאות של בדיקה שבוצעה:
- מפו את החיבור. תעדו את גרסת הסוכן המותקנת, שמות שרתי SCIM שאליהם הוא מתחבר, שרשראות התעודות שהם מציגים ותעודות אמון שנוספו ידנית. אל תכללו ברשימה סיסמאות, אסימוני גישה או מפתחות פרטיים.
- בחנו את התעודות המותאמות. בררו מי אחראי להן ומדוע הן נדרשות. לפני ייבוא תעודות מאושרות לסביבת הריצה המעודכנת, אמתו את טביעות האצבע שלהן מול מקור ארגוני מוסמך. תעודה שהועתקה מחיבור שלא אומת אינה בסיס מספיק למתן אמון.
- בדקו פריסה מוגבלת. השתמשו בסביבת בדיקה או בפיילוט שאושר. בדקו איזו סביבת Java הסוכן מפעיל ואת החיבור שלו בפועל לכל שרת SCIM רלוונטי. הצלחת ההתקנה לבדה אינה מאשרת שהקצאת החשבונות פועלת.
- בדקו את מחזור חיי החשבון. באמצעות חשבונות בדיקה ייעודיים, אמתו את פעולות הייבוא, היצירה, עדכון המאפיינים וביטול ההפעלה שבהן השילוב משתמש. בדקו שגיאות ואמתו את המצב במערכת היעד, במיוחד אחרי פעולות שהמתינו בתור או נוסו שוב.
תיעוד המחברים של Okta מתאר את מאגר האמון של הסוכן וממליץ על HTTPS. השתמשו בהוראות המתאימות לפלטפורמה המותקנת, ואל תעתיקו נתיב מדוגמה ישנה בלי לבדוק אותו. תיעוד מחברי SCIM
שמרו על גבול האבטחה
אם הקצאת החשבונות נכשלת אחרי העדכון, אל תבטלו את אימות TLS ואל תעבירו את המחבר ל־HTTP. בדקו את השרשרת שהשרת מציג ואת תעודות האמון המאושרות שחסרות, ותקנו את ההגדרה הרלוונטית. חזרה לגרסה קודמת צריכה להיות החלטת התאוששות זמנית ומבוקרת, ולא תחליף לפתרון התלות באמון.
ההערות אינן מזהות שורשים או CVE. ההשפעה תלויה בפריסה; לא בוצעה בדיקה מעשית.