IAMのアイデンティティ・ドメインにアクセスするために必要なMFAファクタを定義するマルチファクタ認証(MFA)設定およびコンプライアンス・ポリシーを構成し、MFAファクタを構成します。
MFA設定を定義するには、アイデンティティ・ドメイン管理者ロールまたはセキュリティ管理者ロールのいずれかに割り当てられている必要があります。
-
ナビゲーション・メニューを開き、「アイデンティティとセキュリティ」を選択します。「アイデンティティ」で、「ドメイン」を選択します。
-
作業するアイデンティティ・ドメインの名前を選択します。必要なドメインを見つけるには、コンパートメントの変更が必要になる場合があります。
-
ドメインの詳細ページで、「認証」を選択します。
-
「認証」ページで、「ファクタの有効化または無効化」を選択します。設定パネルが開きます。
-
「ファクタの有効化または無効化」設定パネルで、アイデンティティ・ドメインへのアクセスに必要な各ファクタを選択します。
- (オプション)ユーザーが構成できる登録されるファクタの最大数を設定します。
- (オプション)「信頼できるデバイス」セクションを使用して、信頼できるデバイス設定を構成します。
「コンピュータを記憶する」と同様に、信頼できるデバイスでは、ユーザーがサインインするたびにセカンダリ認証を行う必要はありません。
- (オプション)「サイン・イン・ルール」で、ロックアウトする前にユーザーにMFA検証を誤って指定することを許可する、失敗したMFA試行の最大数を設定します。
-
「変更の保存」を選択して、変更を確認します。
- (オプション)(オプション)選択したMFAファクタの隣の「編集」を選択して、それらを個別に構成します。
-
アクティブなサインオン・ポリシーで、2ステップ認証が許可されていることを確認します:
-
「ドメイン・ポリシー」タブを選択します。
-
「サインオン・ポリシー」ページで、「デフォルトのサインオン・ポリシー」を選択します。
-
「デフォルトのサインオン・ポリシー」ページで、「サインオン・ルール」を選択します。
-
「デフォルトのサインオン・ルール」の行で、を選択し、「サインオン・ルールの編集」を選択します。
-
「サインオン・ルールの編集」ダイアログ・ボックスの「ユーザーの除外」で、テストが完了するまで、自分自身または別のアイデンティティ・ドメイン管理者をこのルールから除外します。これにより、問題が発生した場合に、少なくとも1人の管理者が常にアイデンティティ・ドメインにアクセスできるようになります。
-
「アクション」で、「追加ファクタの要求」を選択し、「アクセスの許可」が選択されていることを確認します
-
「Save changes」を選択します。
-
他のサインオン・ポリシーを追加した場合は、それらのポリシーごとに前述のステップに従って、MFAを有効にするすべての条件でMFAが有効になっていることを確認します。
ノート
デフォルトのサインオン・ルールの設定により、MFAはグローバルに有効になります。他のサインオン・ルールの設定によって、それらのルールの条件で指定されたユーザーおよびグループのデフォルトのサインオン・ルールがオーバーライドされる場合があります。パスワード・ポリシーの管理を参照してください。
重要
各ポリシーから1つのIdentity Domain Administratorを除外していることを確認します。これにより、問題が発生した場合に、少なくとも1人の管理者が常にアイデンティティ・ドメインにアクセスできるようになります。
サインオン・ポリシーのテストが完了するまで、「登録」を「オプション」に設定します。
-
(オプション) MFA検証失敗およびMFA通知試行の個別のロックしきい値を有効にします。これを有効にするには、REST APIコールの実行方法がわかっていることを確認します。
ノートユーザーMFAスキーマには、次の2つの新しい属性があります:
- mfaIncorrectValidationAttempts - ユーザーによる不正なMFA検証試行を追跡します。
- mfaNotificationAttempts - ユーザーによるMFA通知試行を追跡します。
また、AuthenticationFactorSettingsには2つの新しい属性が追加されています。
- maxMfaIncorrectValidationAttempts - アカウントがロックされる前に試行できる不適切なMFA検証の最大数。この属性に値を設定する場合は、maxMfaNotificationAttemptsの値セットも必要です。この属性が設定されていない場合、MFAのロック動作はmaxIncorrectAttemptsによって決定されます。mfaIncorrectValidationAttemptsがmaxMfaIncorrectValidationAttemptsに達すると、ユーザーはすぐにロックされます。
- maxMfaNotificationAttempts - アカウントがロックされるまでに試行できるMFA通知の最大数。この属性に値を設定する場合は、maxMfaIncorrectValidationAttemptsの値セットも必要です。この属性が設定されていない場合、MFAのロック動作はmaxIncorrectAttemptsによって決定されます。mfaNotificationAttemptsがmaxMfaNotificationAttemptsに達すると、ユーザーは次回通知を開始しようとしたときにロックされ、ユーザーが最後のMFA通知を使用して認証できるようになります。
次のペイロードで<IDENTITY_DOMAIN_URL>/admin/v1/AuthenticationFactorSettings/AuthenticationFactorSettingsエンドポイントに対してPATCHコールを実行して、AuthenticationFactorSettingsを更新し、 maxMfaIncorrectValidationAttemptsとmaxMfaNotificationAttemptsの両方を設定します。
{
"schemas": [
"urn:ietf:params:scim:api:messages:2.0:PatchOp"
],
"Operations": [
{
"op": "add",
"path": "endpointRestrictions.maxMfaIncorrectValidationAttempts",
"value": 3
},
{
"op": "add",
"path": "endpointRestrictions.maxMfaNotificationAttempts",
"value": 3
}
]
}
両方の値は、最小値3から最大値10まで異なる場合があります。
-
構成をテストするには、コンソールからサインアウトし、テスト・ユーザーとしてサインインします。
2番目のファクタの入力を求められます。