サインオン・ポリシーへのルールの追加
IAMのアイデンティティ・ドメインのサインオン・ポリシーにルールを追加します。
- 「サインオン・ポリシー詳細」ページで、「サインオン・ルールの追加」を選択します。
-
次の表を使用して、ルールを構成します:
- ルール名: サインオン・ルールの名前を入力します。
- アイデンティティ・プロバイダの認証(オプション): このルールによって評価されるユーザー・アカウントの認証に使用するすべてのアイデンティティ・プロバイダを入力または選択します。これを空のままにすると、その他の条件が認証に使用されます。
- グループ・メンバーシップ: このルールの基準を満たすためにユーザーがメンバーになる必要があるグループを入力または選択します。グループの検索を開始するには、3文字以上入力する必要があります。
- 管理者: このルールの基準を満たすためにユーザーをアイデンティティ・ドメインの管理者ロールに割り当てる必要がある場合、このチェック・ボックスを選択します。
- ユーザーの除外: ルールから除外するユーザーを入力または選択します。ユーザーの検索を開始するには、3文字以上入力する必要があります。
- クライアントIPアドレスによるフィルタ: このフィールドには、「どこにでも」および「次のネットワーク・ペリメータに制限します」という2つのオプションが関連付けられています。
-
「任意の場所」を選択した場合、ユーザーは、任意のIPアドレスを使用してアイデンティティ・ドメインにサインインできます。
-
「次のネットワーク・ペリメータに制限します」を選択した場合、「ネットワーク・ペリメータ」テキスト・ボックスが表示されます。このテキスト・ボックスで、定義したネットワーク・ペリメータを入力または選択します。詳細は、ネットワーク・ペリメータの作成を参照してください。ユーザーは、定義されたネットワーク・ペリメータに含まれているIPアドレスのみを使用して、アイデンティティ・ドメインにサインインできます。
-
- アクセスの許可またはアクセスの拒否: ユーザー・アカウントがこのルールの基準を満たす場合に、ユーザーがコンソールにアクセスできるかどうかを選択します。「アクセスの許可」を選択すると、より多くのオプションが表示されます。
- 再認証を要求: ユーザーに再度アイデンティティ・ドメインへのサインインを強制する場合は、このチェック・ボックスを選択します。選択しない場合、ユーザーは、次回アイデンティティ・ドメインにサインインしたときに認証されます。
- 追加要素を要求する: このチェック・ボックスを選択すると、アイデンティティ・ドメインにサインインするための別の要素がユーザーに要求されます。このチェック・ボックスを選択した場合、ユーザーをマルチファクタ認証(MFA)に登録する必要があるかどうか、およびこの追加ファクタを使用してサインインする頻度を指定する必要があります。「任意のファクタ」を選択すると、ユーザーは、MFAテナント・レベル設定で有効な任意の要素の登録および検証を要求されます。「指定されたファクタのみ」を選択すると、ユーザーは、MFAテナント・レベル設定で有効な要素のサブセットの登録および検証を要求されます。「指定されたファクタのみ」を選択すると、このルールによって適用する必要がある要素を選択できます。
- 頻度:
-
「セッションごと、または信頼できるデバイスごとに1回」を選択すると、ユーザーは、認可デバイスから開いたセッションごとに、ユーザー名とパスワードの両方に加え、2番目の要素を使用する必要があります。
-
「毎回」を選択すると、ユーザーは、信頼できるデバイスからサインインするたびに、ユーザー名とパスワードに加え、2番目の要素を使用する必要があります。
-
「カスタム間隔」を選択する場合、ユーザーがサインインするために2番目の要素を提供する必要がある頻度を指定します。たとえば、ユーザーがこの追加要素を2週間ごとに使用する場合は、「数値」を選択してテキスト・フィールドに14と入力し、「間隔」ドロップダウン・メニューを選択して「日」を選択します。マルチファクタ認証(MFA)を構成した場合、この数値は、MFA設定に従ってデバイスを信頼できる日数以下にする必要があります。詳細は、マルチファクタ認証の管理を参照してください。
-
- 登録: このメニューには、必須とオプションの2つのオプションがあります。
-
「必須」を選択すると、ユーザーはMFAに登録されます。
-
「オプション」を選択すると、ユーザーはMFAへの登録をスキップできます。ユーザー名とパスワードの入力後、ユーザーにはインライン登録設定プロセスが表示されますが、「スキップ」を選択できます。ユーザーは、後でマイ・プロファイルの「セキュリティ」設定の「2ステップ検証」設定からMFAを有効にできます。ユーザーは、次回サインインしたときに要素を設定するよう求められません。
ノート: 「登録」を「必須」に設定し、後で「オプション」に変更した場合、その変更は新規ユーザーにのみ影響します。MFAにすでに登録されているユーザーにはインライン登録プロセスが表示されず、サインイン時に「スキップ」を選択できなくなります。
-
-
「サインオン・ルールの追加」を選択します。