サインオン・ポリシーの作成

• アイデンティティ・プロバイダの認証(オプション): このルールによって評価されるユーザー・アカウントの認証に使用される、すべてのアイデンティティ・プロバイダを入力またはを選択します。これを空のままにすると、その他の条件が認証に使用されます。
• グループ・メンバーシップ: 「アクション」を入力または選択し、「追加」を選択して、このルールの基準を満たすメンバーであるグループを追加します。
• 管理者: このルールの基準を満たすためにユーザーをアイデンティティ・ドメインの管理者ロールに割り当てる必要がある場合、このオプションを選択します。

  サインイン状態を保持: ユーザーに有効な「サインイン状態を保持」が存在する場合にのみルールを適用するには、このオプションを選択します。

  この条件を使用するには、「サインイン状態を保持」を有効にする必要があります。セッション設定の変更を参照してください。

  サインオン・ポリシーは、「サインイン状態を保持」セッションをオーバーライドします。つまり、ユーザーが「サインイン状態を保持」を使用してサインインしていても、セッションが期限切れになった後、ポリシーで再認証またはマルチファクタ認証(MFA)が必要とされている場合、ユーザーは再認証するかMFAを提供するよう要求されます。

• ユーザーの除外: ルールから除外するユーザーを入力または選択してください。ユーザーの検索を開始するには、3文字以上入力する必要があります。
  重要
  
  各ポリシーから1人のアイデンティティ・ドメイン管理者を除外してください。これにより、問題が発生した場合に、少なくとも1人の管理者が常にアイデンティティ・ドメインにアクセスできます。
• クライアントIPアドレスによるフィルタ: 次のいずれかのオプションを選択します。

  • Anywhere: ユーザーは、任意のIPアドレスを使用してアイデンティティ・ドメインにサインインできます。

  • 次のネットワーク・ペニメータに制限: ユーザーは、定義済のネットワーク・ペニメータに含まれるIPアドレスのみを使用して、アイデンティティ・ドメインにサインインできます。「ネットワーク・ペリメータ」テキスト・ボックスで、定義したネットワーク境界を入力または選択します。詳細は、「ネットワーク・ペリメータの作成」を参照してください

「アクセスの拒否」を選択した場合は、次のステップにスキップします。

「アクセスの許可」を選択した場合は、次の追加オプションの値を入力します。

• 再認証のプロンプト: スイッチを切り替えて、既存のIAMドメイン・セッションがある場合でも、割り当てられたアプリケーションにアクセスするための資格証明をユーザーに強制的に再入力させます。
  • このオプションを選択すると、サインオン・ポリシーに割り当てられたアプリケーションのシングル・サインオンが防止されます。たとえば、認証されたユーザーは新しいアプリケーションにサインインする必要があります。
  • 選択せず、ユーザーが以前に認証されている場合、ユーザーは資格証明を入力せずに既存のシングル・サインオン・セッションを使用してアプリケーションにアクセスできます。
• 追加のファクタを要求: スイッチを切り替えて、アイデンティティ・ドメインにサインインするための追加のファクタを要求します。

  このオプションを選択するときに、多要素認証(MFA)に登録するかどうか、およびこの追加ファクタを使用してサインインする頻度を指定します。

• 「任意のファクタ」または「指定されたファクタのみ」: 次のいずれかのオプションを選択します。
  • 任意のファクタ: MFAテナント・レベル設定で有効になっているファクタを登録および検証するようユーザーに求めるプロンプトが表示されます。
  • 指定されたファクタ: MFAテナント・レベル設定で有効になっているファクタのサブセットの登録および検証をユーザーに求めるプロンプトのみが表示されます。「指定されたファクタ」を選択した後、このルールで施行する必要があるファクタを選択します。
• 頻度: ユーザーが2番目のファクタを要求する頻度を指定します。
  • 「セッションごと、または信頼できるデバイスごとに1回」: 認可デバイスから開いたセッションごとに、ユーザー名およびパスワードの両方に加えて、2番目の要素を使用する必要があります。
  • Every time:ユーザーが信頼できるデバイスからサインインするたびに、ユーザー名とパスワード、および2番目の要素を使用する必要があります。
  • 「カスタム間隔」: ユーザーがサインインするために2番目の要素を提供する必要のある頻度を示します。たとえば、ユーザーがこの追加ファクタを2週間ごとに使用する場合は、「数値」に「14」を選択し、「間隔」に「日数」を選択します。MFAを構成した場合、この数は、MFA設定に従ってデバイスを信頼できる日数以下にする必要があります。詳細は、「マルチファクタ認証の管理」に関する項を参照してください。
• 登録: 次のいずれかのオプションを選択します。
  重要
  
  サインオン・ポリシーのテストが終了するまで、「登録」を「オプション」に設定します。
  • 必須の場合、ユーザーはMFAに強制的に登録されます。
  • 「オプション」を選択すると、ユーザーはMFAへの登録をスキップできます。ユーザーとパスワードの入力後、ユーザーにはインライン登録設定プロセスが表示されますが、「スキップ」を選択できます。ユーザーは、後でマイ・プロファイルの「セキュリティ」設定の「2ステップの検証」設定からMFAを有効にすることができます。ユーザーは、次回サインインしたときにファクタを設定するように求められなくなります。「登録」を「必須」に設定し、後で「オプション」に変更した場合、変更の影響を受けたのは新規ユーザーのみに影響します。MFAにすでに登録されているユーザーにはインライン登録プロセスが表示されず、サインイン時に「スキップ」を選択できなくなります