Elastic Desktop Service (EDS) Enterprise のログインとセキュリティ設定を使用すると、エンドユーザーが利用できるログイン方法を制御し、クラウドコンピューター利用のあらゆる段階でセキュリティを強化できます。たとえば、シングルサインオン (SSO)、多要素デバイス認証、クライアントログイン検証などの機能により、エンドユーザーはログイン前に厳格な本人確認を受けることが保証されます。タイムアウトによる自動ログアウト機能は、偶発的なデータ漏えいのリスクを効果的に制御するのに役立ちます。このトピックでは、これらのログインセキュリティ機能とその使用方法について説明します。
組織 ID によるログイン
基本情報
Organization ID
初期の組織 ID は、システムによって自動的に生成される 8 桁のランダムな一意の識別子です。大文字の英字 (I や O のように数字と混同しやすい文字を除く) と数字のみを含みます。組織 ID を使用して Alibaba Cloud Workspace クライアントにログインし、オフィスネットワーク内のすべてのクラウドコンピューターにアクセスできます。
Organization ID Network Access Mode
この設定を構成すると、クライアントは PrivateLink サービスを使用してプライベートネットワーク経由でクラウドコンピューターに接続します。VPC オプションを選択すると、追加費用なしで PrivateLink サービスが自動的に有効になります。
Internet
クラウドコンピューターのゲートウェイは、インターネットからのクライアント接続を受け入れ、シンプルさと利便性を提供します。クラウドコンピューターはゲートウェイによって保護され、インターネットから分離されます。
VPC
クラウドコンピューターは、プライベートネットワーク (VPC) 内からのクライアント接続のみを受け入れ、インターネットからの接続は受け入れません。
Internet and VPC
クライアントが接続方法を決定し、ゲートウェイはインターネットとプライベートネットワーク (VPC) の両方に開かれます。
ログイン情報
ログイン方法
このタブでは、Enterprise Identity Source を有効化または無効化し、その表示順序を調整できます。
ログインセキュリティ
多要素認証 (MFA)
多要素認証 (MFA) を有効にすると、エンドユーザーが Alibaba Cloud Workspace クライアントにログインする際に、ユーザー名とパスワードだけでなく、MFA 用の動的パスワードまたは認証コードも入力する必要があり、セキュリティ層が追加されます。詳細については、ログインのための多要素認証 (MFA) の設定をご参照ください。
クライアントログイン検証
この機能はデフォルトで無効になっています。有効にすると、新しいデバイスから Alibaba Cloud Workspace クライアントにログインするユーザーは、メールで送信されたコードで本人確認を行う必要があります。
この機能は、パブリックネットワーク接続を使用する簡便アカウントにのみ有効です。
組織 ID の場合
左側のナビゲーションウィンドウで、 を選択します。
Logon ページで、Security タブの Client Logon Verification スイッチをオンにします。
ダイアログボックスで情報を確認し、OK をクリックします。
オフィスネットワークの場合
左側のナビゲーションウィンドウで、 を選択します。
上部のナビゲーションバーで、リージョンを選択します。
Office Network ページで、対象の オフィスネットワークを見つけ、オフィスネットワーク ID をクリックします。
オフィスネットワーク詳細ページの下部にある 詳細 セクションで、Client Logon Verification スイッチをオンにします。
説明SSO 設定、多要素認証、クライアントログイン検証は相互排他的です。一度に有効にできるのは、オフィスネットワークのこれらのログイン検証方法のうち 1 つだけです。ただし、組織 ID の場合、これらの機能は相互排他的ではなく、同時に有効にすることができます。
ダイアログボックスで情報を確認し、OK をクリックします。
信頼できるデバイス認証
この機能はデフォルトで無効になっています。有効にすると、ユーザーは追加した限定されたログインクライアントからのみログインできます。
この機能は簡便アカウントにのみ適用されます。
前提条件
コンソールで Alibaba Cloud Workspace クライアントを追加し、それにユーザーをバインドしていること。詳細については、ソフトウェアクライアントの管理をご参照ください。
操作手順
組織 ID の場合
左側のナビゲーションウィンドウで、 を選択します。
Logon ページで、Security タブの Trusted Device Authentication スイッチをオンにします。
ダイアログボックスで情報を確認し、OK をクリックします。
オフィスネットワークの場合
左側のナビゲーションウィンドウで、 を選択します。
上部のナビゲーションバーで、リージョンを選択します。
Office Network ページで、対象の オフィスネットワークを見つけ、オフィスネットワーク ID をクリックします。
オフィスネットワーク詳細ページの下部にある 詳細 セクションで、Trusted Device Authentication スイッチをオンにします。
ダイアログボックスで情報を確認し、OK をクリックします。
信頼できないクライアントからのログインをブロック
この設定はデフォルトで無効になっています。有効にすると、信頼できるクライアント (たとえば、管理対象ハードウェアクライアント、管理対象デスクトップクライアント、およびユーザー向けに追加されたログイン制限クライアント) のみがログインできます。他のすべてのクライアントは信頼できないと見なされ、ブロックされます。
これは厳格な制御措置であり、ユーザーのアクセスに影響を与える可能性があります。注意して有効にしてください。
操作手順
左側のナビゲーションウィンドウで、 を選択します。
Logon ページで、Security タブの Block Logons of Untrusted Terminals スイッチをオンにします。
ダイアログボックスで、Interception Scope を選択します (少なくとも 1 つは必須です)。
範囲
効果
Organization ID
信頼できるクライアント以外のすべてのクライアントは、この組織 ID を使用してログインできなくなります。
Office Network ID
信頼できるクライアント以外のすべてのクライアントは、このオフィスネットワーク ID を使用してログインできません。
OK をクリックします。
シングルサインオン (SSO)
シングルサインオン (SSO) は、一度のサインオンで複数の信頼できるアプリケーションシステムに効率的にアクセスできるセキュアな通信技術です。SSO は ID フェデレーションに基づいてログインを実装します。
SSO シナリオで頻繁に使用される用語は次のとおりです。
-
ID プロバイダー (IdP)：外部 ID プロバイダーのメタデータを含むエンティティ。IdP は ID 管理サービスを提供し、ユーザー名やパスワードなどのユーザー ID 情報を収集・保存し、ユーザーログイン時にユーザー ID を検証します。
一般的な IdP：
-
オンプレミス IdP：Microsoft Active Directory フェデレーションサービス (AD FS) や Shibboleth などのオンプレミスアーキテクチャを使用します。
-
クラウド IdP：Azure AD、Google Workspace、Okta、OneLogin。
-
-
サービスプロバイダー (SP)：IdP の ID 管理機能を使用して、IdP との信頼関係に基づいてユーザーに特定のサービスを提供するアプリケーション。OpenID Connect (OIDC) など、Security Assertion Markup Language (SAML) プロトコルに準拠していない特定の ID システムでは、SP は IdP の依拠当事者です。
-
SAML 2.0：企業向けのユーザー ID 認証の標準プロトコル。SP と IdP 間の通信の技術的実装の 1 つです。SAML は、企業が SSO を実装するために使用するデファクトスタンダードです。
SSO 設定を有効にして構成すると、エンドユーザーは SSO を使用して Alibaba Cloud Workspace クライアントにログインします。オフィスネットワークの場合、SSO 設定はデフォルトで無効になっています。組織 ID の場合、SSO 設定はデフォルトで有効になっています。スイッチをオンにする必要はなく、SSO 設定の無効化はサポートされていません。
操作手順
オフィスネットワークで SSO を有効にするには、次の手順に従います。
左側のナビゲーションウィンドウで、 を選択します。
上部のナビゲーションバーで、リージョンを選択します。
Office Network ページで、対象の オフィスネットワークを見つけ、オフィスネットワーク ID をクリックします。
オフィスネットワーク詳細ページの下部にある 詳細 セクションで、SSO スイッチをオンにします。
説明SSO 設定、多要素認証、クライアントログイン検証は相互排他的です。一度に有効にできるのは、オフィスネットワークのこれらのログイン検証方法のうち 1 つだけです。ただし、組織 ID の場合、これらの機能は相互排他的ではなく、同時に有効にすることができます。
パスワードポリシー
Configure Password Rule をオンにして、パスワード設定を構成できます。
Password Length：パスワードの長さを設定します。
Password Validity：この設定をオンにして、パスワードの有効期限ポリシーを構成します。
説明パスワードの有効期間は 7 日から 365 日まで設定できます。特定のユーザーに個別のパスワード有効期間を設定している場合、そのユーザーのパスワード有効期限が優先されます。
Password Rule: Uppercase letters、小文字、Digits などのオプションを選択してパスワードの複雑さを設定します。
関連トピック
SAML ベースの SSO の設定方法については、SAML ベースの SSO の設定をご参照ください。
クラウドコンピューターとエンタープライズ IdP を統合するためのベストプラクティスについては、シングルサインオン (SSO)をご参照ください。
オフィスネットワークログイン
このタブでは、Office Network ID-based Logon を有効にできます。有効にすると、Organization ID-based Logon と Office Network ID-based Logon の両方が利用可能になります。無効にすると、Organization ID-based Logon のみが利用可能になり、Office Network ID-based Logon は利用できなくなります。
よくある質問
組織 ID と オフィスネットワーク ID の違い
エンドユーザーが Alibaba Cloud Workspace クライアントにログインする際、オフィスネットワーク ID または組織 ID を使用できます。組織 ID でログインすると、すべての オフィスネットワークにわたるクラウドコンピューターにアクセスできます。以下のリストは、組織 ID でのログインをサポートする Alibaba Cloud Workspace クライアントを示しています。
簡便アカウントの場合、すべての Alibaba Cloud Workspace クライアントが組織 ID でのログインをサポートします。
エンタープライズ AD アカウントの場合、次の Alibaba Cloud Workspace クライアントが組織 ID でのログインをサポートします：Windows クライアントおよび macOS クライアント (V6.4 以降)。
組織 ID と オフィスネットワーク ID の両方に対して、さまざまなログインおよびセキュリティ検証方法を有効にできます。ただし、サポートされる機能は異なります。次の表は、簡便オフィスネットワークを例として、これらの違いを概説しています。
AD オフィスネットワークでサポートされるセキュリティ検証方法は、多要素認証 (MFA) とシングルサインオン (SSO) です。
項目 | 組織 ID | オフィスネットワーク ID |
概念 | 組織 ID は、ご利用の企業の一意の識別子です。Elastic Desktop Service (EDS) を有効化すると、システムが自動的に組織 ID を作成します。 プライマリ Alibaba Cloud アカウントが企業認証を完了している場合、自動生成された組織 ID をカスタマイズできます。 | オフィスネットワーク ID は、オフィスネットワークの一意の識別子です。システムによって自動的に生成され、変更することはできません。 |
有効範囲 | 組織 ID レベルのログイン設定とそのセキュリティ構成は、すべてのクラウドコンピューターに有効です。 | オフィスネットワークレベルのログイン設定とそのセキュリティ構成は、その オフィスネットワーク内のクラウドコンピューターにのみ有効です。 |
簡便アカウントログイン | サポート | サポート |
エンタープライズ AD アカウントログイン | サポート | サポート |
自動ログイン | サポート | サポート対象外 |
タイムアウトによる自動ログアウト | サポート | サポート対象外 |
同時クライアント制限 | サポート | サポート対象外 |
SMS ログイン | サポート | サポート対象外 |
MFA | サポート | サポート |
クライアントログイン検証 | サポート | サポート |
信頼できるデバイス認証 | サポート | サポート |
SSO | サポート | サポート |
ログイン検証方法の設定
組織 ID と オフィスネットワークに対して、ログイン検証方法を個別に設定できます。それぞれの設定は独立しており、互いに影響しません。
組織 ID で Alibaba Cloud Workspace クライアントにログインする場合、組織 ID に設定された検証方法が適用されます。
オフィスネットワーク ID で Alibaba Cloud Workspace クライアントにログインする場合、オフィスネットワーク ID に設定された検証方法が適用されます。
組織 ID のログイン方法の管理
組織 ID に複数のログイン方法が設定されている場合、次の手順に従って Alibaba Cloud Workspace 端末のインターフェイスで、それらの可視性と表示順序を設定します。
左側のナビゲーションウィンドウで、 を選択します。
Logon ページの [全般] Configure タブで、必要に応じて Authentication Method セクションでログイン方法を有効または無効にします。
組織 ID の変更
組織 ID を変更できるのは、Alibaba Cloud アカウントが企業認証を完了した後のみです。変更は、企業認証情報に基づいて行う必要があります。企業認証の詳細については、アカウント認証に関するよくある質問をご参照ください。
エントリポイントを選択します：
概要ページでの変更
左側のナビゲーションウィンドウで、Overview をクリックします。
Overview ページの My Cloud Computer セクションで、現在の組織 ID の右側にある Modify をクリックします。
ログイン設定ページでの変更
左側のナビゲーションウィンドウで、 を選択します。
Logon ページの General タブで、Organization ID の右側にある 設定 をクリックします。
Organization ID ダイアログボックスで、要件を満たす組織 ID を入力し、OK をクリックします。
説明ID は 5～15 文字の長さである必要があります。文字 (大文字と小文字を区別しない)、数字、および次の特殊文字を含めることができます：
~#$%&:'_-+=|(){}[]<>。ID は特殊文字で始めることはできません。ID は 15 日に 1 回しか変更できません。
ログインポリシー
Elastic Desktop Service (EDS) Enterprise は、クラウドコンピューターのための安全で信頼性の高いアクセスシステムを構築するのに役立つ、さまざまなログインポリシーとセキュリティ設定を提供します。
ポリシーの作成
左側のナビゲーションウィンドウで、 を選択します。
Logon ページで、Logon Policy タブをクリックし、Create Policy をクリックします。
没入モード
Windows クライアントで没入モードを有効にすると、Windows クライアントを実行しているローカルデバイスにはクライアントインターフェイスのみが表示されます。これにより、エンドユーザーに没入型のクラウドコンピューター体験を提供し、ローカルデバイスからの注意散漫を取り除きます。
注意事項
サポートされているクライアント
この機能は Windows クライアントでのみサポートされています。
仕組み
没入モードを有効または無効にした後、エンドユーザーは次回のクライアントへのログイン成功時にローカルデバイスを再起動するよう促すプロンプトを受け取ります。エンドユーザーは [再起動] をクリックしてデバイスを再起動し、没入モードに入る必要があります。
説明変更を有効にするには、エンドユーザーはクライアントのポップアップウィンドウで [再起動] をクリックする必要があります。ローカルデバイスの再起動機能を使用してデバイスを再起動しても機能しません。
この機能は、エンドユーザーのローカルデバイスの Windows レジストリ情報を変更します。機能が有効にならない場合、ローカルデバイスのセキュリティソフトウェアによってブロックされている可能性があります。
影響と範囲
没入モードが有効になると、エンドユーザーはクライアントインターフェイスからローカルオペレーティングシステムに戻ることができません。また、コントロールパネル、タスクマネージャー、ブラウザ、ネットワーク設定を開くなど、ローカルオペレーティングシステムの機能を使用することもできません。
この設定は、組織内のすべてのユーザーに影響します。
操作手順
左側のナビゲーションウィンドウで、 を選択します。
Logon ページで、General タブをクリックします。Logon Settings の右側にある Modify Logon Configurations をクリックします。
Modify Logon Configurations パネルで、Immersive Mode セクションに移動し、Use Immersive Mode After Client Logon スイッチをオンにします。
自動ログイン
この設定は、エンドユーザーが Alibaba Cloud Workspace クライアントのログイン画面で自動ログインを有効にできるかどうかを制御します。有効にした場合、ログイン成功後にエンドユーザーがログイン認証情報を再入力せずにいられる期間も制御します。これを Configure by End User に設定できます。また、以下の手順に従って Configure by Administrator に設定し、自動ログインの有効期間を指定することもできます。
左側のナビゲーションウィンドウで、 を選択します。
Logon ページで、General タブをクリックします。Logon Settings の右側にある Modify Logon Configurations をクリックします。
Modify Logon Configurations パネルで、以下の設定を完了し、OK をクリックします。
パラメーター
説明
自動ログイン
オプションには以下が含まれます：
Customized by End User：エンドユーザーは Alibaba Cloud Workspace クライアントで自動ログインを有効または無効にし、自動ログインの期間を設定できます。
Managed by Administrator：管理者は EDS コンソールで自動ログイン機能を設定します。エンドユーザーは Alibaba Cloud Workspace クライアントでこの設定を変更できません。
自動ログイン設定
このオプションは、Automatic Logon が Managed by Administrator に設定されている場合に表示されます。このオプションを有効または無効にできます。
自動ログインの有効期間
Automatic Logon が Managed by Administrator に設定され、Automatic Logon が有効になっている場合、自動ログインの期間を設定できます。
重要簡便アカウントのパスワード有効期間を永続ではなく限定期間 (30～365 日) に設定し、ここで設定した自動ログイン有効期間がそのアカウントの残りのパスワード有効期間より長い場合、簡便アカウントの自動ログインが失敗する可能性があります。簡便アカウントのパスワード有効期間の設定方法の詳細については、簡便アカウントの作成をご参照ください。
タイムアウトによる自動ログアウト
この機能はデフォルトで無効になっています。有効にすると、エンドユーザーが指定された種類の Alibaba Cloud Workspace クライアントにログインしても、クラウドリソース (クラウドコンピューター、クラウドアプリ、クラウドフォン、エンタープライズドライブなど) に接続しない場合、設定したタイムアウト期間後にクライアントは自動的にログアウトします。これにより、クラウドリソースのデータセキュリティを保護できます。
左側のナビゲーションウィンドウで、 を選択します。
Logon ページで、General タブをクリックします。Logon Settings の右側にある Modify Logon Configurations をクリックします。
Modify Logon Configurations パネルで、以下の設定を完了し、OK をクリックします。
パラメーター
説明
タイムアウトによる自動ログアウト
これを有効または無効にできます。
タイムアウト期間
エンドユーザーが Alibaba Cloud Workspace クライアントでどのクラウドリソースにも接続していない期間。このオプションは、Timeout-triggered Automatic Logout が有効になっている場合に表示されます。
対象端末
この機能が適用される Alibaba Cloud Workspace クライアント。
説明Alibaba Cloud Workspace Hardware Terminal を選択した場合、この機能は V7.5 以降のハードウェアターミナルでのみ有効になります。ハードウェアターミナルでパスワードなしのログインが設定されている場合、タイムアウトによる自動ログアウトは有効になりません。
説明クライアントのタイムアウトによる自動ログアウトを設定した後、設定はエンドユーザーが次回ログインしたときに有効になります。
タイムアウト期間に達する前に、エンドユーザーにリマインダーが表示されます。ユーザーはプロセスを停止することを選択できます。ユーザーが何もしない場合、クライアントは自動的にログアウトします。
同時ターミナル数制限
デフォルトでは、エンドユーザーは任意の数の Alibaba Cloud Workspace クライアントに同時にログインできます。同時クライアントログインの数を制限するように設定できます。この制限を超えると、Alibaba Cloud Workspace クライアントでのユーザーの最も古いログインセッションが自動的にログアウトされます。
左側のナビゲーションウィンドウで、 を選択します。
Logon ページで、General タブをクリックします。Logon Settings の右側にある Modify Logon Configurations をクリックします。
Modify Logon Configurations パネルで、以下の設定を完了し、OK をクリックします。
パラメーター
説明
同時クライアント制限
これを有効または無効にできます。
ユーザーがログインできるターミナル/クライアントの数
エンドユーザーが同時にログインできる Alibaba Cloud Workspace クライアントの最大数 (1～10)。このオプションは、Max. Terminals が有効になっている場合に表示されます。