EIAM 条件付きポリシーによるアイデンティティベースアクセス強制 - Identity as a Service - Alibaba Cloud - Identity as a Service

このトピックでは、条件付きアクセスの概念、設定、一般的なユースケースについて説明します。

概要

条件付きアクセスポリシーを使用すると、アプリケーションごとに異なる二要素認証方式を要求するなど、アクセスシナリオに応じて異なるアクセス決定を適用できます。

カスタムポリシーは別途購入が必要です (Conditional Access Billing)。デフォルトポリシーは無料で使用できます。

基本概念

用語	説明
カスタムポリシー	訪問者、アクセス対象、制限などのカスタム条件を定義できます。この機能には条件付きアクセスモジュールが必要です。
デフォルトポリシー	IDaaS EIAM インスタンスに事前設定されているシステムポリシーです。二要素認証の設定は調整できますが、その他の条件はカスタマイズできません。
アクセス条件	アクセスコンテキストがポリシー内のすべての条件に一致した場合にのみ、システムはアクセス決定を行います。それ以外の場合、システムは優先度が低いポリシーを評価します。
アクセス決定	すべてのアクセス条件が満たされた場合に実行するアクションです。使用できるアクションは、Allow access、Deny access、または Require Two-Factor Authentication です。

カスタム条件付きアクセスポリシーの追加

カスタム条件付きアクセスポリシーを追加するには、Login > Conditional Access Policy > [ポリシーの追加] をクリックします。最大 10 個のカスタムポリシーを追加できます。

ページの デフォルトポリシー セクションには、事前設定されたデフォルトポリシーが含まれています。このポリシーの Access decision は Allow access であり、二要素認証を要求します。このポリシーはすべてのアカウント、組織、グループに適用され、優先度は 1001 で、デフォルトで有効になっています。

手順 1：基本情報

ポリシー名：ポリシーの名前を入力します。この名前はコンソールにのみ表示され、エンドユーザーには表示されません。
優先度：各アクセスリクエストでトリガーされる条件付きアクセスポリシーは 1 つのみです。優先度を設定して、柔軟なアクセス制御を実装できます。1～100 の値を入力します。値が小さいほど優先度が高くなります。

手順 2：アクセス対象

アクセス対象は、ポリシーによって保護されるアプリケーションです。[All Applications] または [Specific Application] を選択できます。

[All Applications]：任意のアプリケーションにアクセスした場合に、この条件が満たされます。
[Specific Application]：指定したアプリケーションにアクセスした場合にのみ、この条件が満たされます。IDaaS アプリケーションポータル、またはインスタンス内で作成した他のアプリケーションを選択できます。

手順 3：訪問者

訪問者は、アクセスリクエストを開始するアカウントです。[すべてのアカウント]、[すべてのグループ]、またはSpecific Accountを選択できます。

[All Accounts]：任意のアカウントがこの条件を満たします。
[All Groups]：アカウントが任意のグループに属している場合に、この条件が満たされます。
[Specific Account]：指定したアカウントのみがこの条件を満たします。アカウントを直接選択するか、組織またはグループで選択できます。

また、Exclude Visitors を使用して、この条件を満たさないアカウントを指定し、それらのアカウントがこのポリシーをトリガーするのを防ぐことができます。

除外ルールを設定するには、[Set] リンクをクリックします。アカウントは、直接、または組織やグループ単位で除外できます。組織を除外すると、その組織に属するすべてのアカウントがポリシーをトリガーしなくなります。これは、訪問者スコープで個別に指定されている場合でも同様です。

手順 4：条件

ネットワークスコープは、他の設定を変更せずに IP アドレスを動的に調整できるよう、独立して定義できるエンティティです。[Network Scope] 設定で管理できます。この条件では、[No network scope restrictions] または [Specific network scope] を選択できます。

[No network scope restrictions]：ネットワーク上の場所 (IP アドレス) に関係なく、訪問者はこの条件を満たします。
[Specific network scope]：アクセスリクエストの送信元が指定したネットワークスコープ (IP アドレス) の場合にのみ、この条件が満たされます。

手順 5：アクセス決定

アクセスリクエストがポリシーのすべての条件を満たすと、ポリシーがトリガーされ、IDaaS は指定したアクセス決定 (Allow access、Deny access、または Require Two-Factor Authentication) を適用します。

Allow access：ポリシーがトリガーされた場合に、アクセスリクエストを許可します。セキュリティまたは利便性を高めるために、追加設定を構成できます：
- 二要素認証モードの選択：二要素認証を要求するかどうかを制御します。
  - [Do Not Require Two-Factor Authentication]：アカウントは二要素認証を完了せずに、アプリケーションへ直接アクセスできます。
  - [Custom Two-Factor Authentication]：アカウントは、指定されたいずれかの方法で二要素認証を完了する必要があります。たとえば、機密性の高いアプリケーションに対して、より厳格な認証方式を要求できます。
- 二要素認証方式の選択：アカウントが使用を許可される認証方式を 1 つ以上選択します。アカウントは、選択されたいずれかの方式で認証に合格する必要があります。
- MFA 自動パススルー：アカウントがすでにログインしており、現在のセッションがポリシー条件を満たしている場合、アカウントは二要素認証を省略できます。たとえば、アプリケーション A と B がどちらも SMS 検証コードを要求する同一の条件付きアクセスポリシーで保護されている場合、アプリケーション A にアクセスしたアカウントは、再認証せずにアプリケーション B にアクセスできます。
- MFA 自動パススルーの有効期間：不正利用を防止し、アクセスのセキュリティを確保するために、この機能の有効期間を設定します。
Deny access：ポリシーがトリガーされた場合に、アクセスリクエストを拒否します。

重要

Access Policy が [アクセスを拒否] に設定されている場合、ポリシーに該当するアカウントは、対応するアプリケーションからブロックされます。 IDaaS アプリケーションポータルにアクセス拒否ポリシーを適用すると、ユーザーがログインできなくなるため、ご注意ください。また、ポリシーは追加または変更してから有効になるまで約 3 分かかります。

カスタム条件付きアクセスポリシーの削除

カスタム条件付きアクセスポリシーは手動で削除できます。削除する前に、ポリシーを無効にする必要があります。ユーザーアクセスへの影響を避けるため、ポリシーを無効化した後はアクセス状況を監視し、問題がないことを確認してください。削除は元に戻せません。

デフォルト条件付きアクセスポリシー

デフォルト条件付きアクセスポリシーは、最も優先度が低いポリシーとして機能します。すべてのアカウントとアプリケーションに対して常に有効であり、そのスコープと条件は調整できません。二要素認証を有効または無効にする、または認証方式を変更するには、[Two-Factor Authentication] ページに移動します。

ユースケース

シナリオ	ポリシー	設定	説明
オフィスの IP からのみ IDaaS (または特定のアプリケーション) へのサインインを許可する	ポリシー 1	優先度：1 Application Scope：All Visitor Scope：All Client Network Scope：オフィスの IP Access Decision：Allow access	この高優先度ポリシーは、IP 条件が満たされた場合にアクセスを許可します。
オフィスの IP からのみ IDaaS (または特定のアプリケーション) へのサインインを許可する	ポリシー 2	優先度：2 Application Scope：All Visitor Scope：All Client Network Scope：No network scope restrictions Access Decision：Deny access	この優先度の低いポリシーは、ポリシー 1 がトリガーされない場合にアクセスを拒否します。
特定のアプリケーションの二要素認証として WebAuthn ログインを要求する	ポリシー 3	優先度：1 Application Scope：Specific Application Visitor Scope：All Client Network Scope：No network scope restrictions Access Decision：Allow access Two-Factor Authentication Mode：Custom Two-Factor Authentication、Authentication Method：WebAuthn Automatic MFA pass-through：Any	指定したアプリケーションにアクセスする際、ユーザーは WebAuthn (ローカルの指紋認証や顔認証など) を使用して二要素認証を完了する必要があります。
機密性の高いアプリケーションへのアクセスごとに二要素認証を要求する	ポリシー 4	優先度：1 Application Scope：Specific Application Visitor Scope：All Client Network Scope：No network scope restrictions Access Decision：Allow access Two-Factor Authentication Mode：Custom Two-Factor Authentication Automatic MFA pass-through：Disabled	アプリケーションへのシングルサインオン (SSO) のたびに、二要素認証が必要です。
グループ A とグループ B のアカウントで異なるアクセス要件を設定する	ポリシー 5	優先度：1 Application Scope：All Visitor Scope：Group A Client Network Scope：No network scope restrictions Access Decision：Allow access	これはグループ A の条件付きアクセスポリシーです。
グループ A とグループ B のアカウントで異なるアクセス要件を設定する	ポリシー 6	優先度：2 Application Scope：All Visitor Scope：Group B Client Network Scope：No network scope restrictions Access Decision：Allow access Two-Factor Authentication Mode：Custom Two-Factor Authentication	これはグループ B の条件付きアクセスポリシーです。