サインオン・ポリシーの作成

• アイデンティティ・プロバイダの認証(オプション): このルールによって評価されるユーザー・アカウントの認証に使用されるアイデンティティ・プロバイダをすべて入力または選択します。これを空のままにすると、その他の条件が認証に使用されます。
• グループ・メンバーシップ: 「アクション」を入力または選択し、「追加」を選択して、このルールの基準を満たすメンバーであるグループを追加します。
• 管理者: このルールの基準を満たすためにユーザーをアイデンティティ・ドメインの管理者ロールに割り当てる必要がある場合、このオプションを選択します。

  サインイン状態を保持: ユーザーに対して有効なサインイン状態を保持が存在する場合にのみルールを適用するには、このオプションを選択します。

  この条件を使用するには、「サインイン状態を保持」を有効にする必要があります。セッション設定の変更を参照してください。

  サインオン・ポリシーは、「サインイン状態を保持」セッションをオーバーライドします。つまり、ユーザーが「サインイン状態を保持」を使用してサインインしていても、セッションが期限切れになった後、ポリシーで再認証またはマルチファクタ認証(MFA)が必要とされている場合、ユーザーは再認証するかMFAを提供するよう要求されます。

• ユーザーの除外: ルールから除外するユーザーを入力または選択してください。ユーザーの検索を開始するには、3文字以上入力する必要があります。
  重要
  
  各ポリシーから1人のアイデンティティ・ドメイン管理者を除外してください。これにより、問題が発生した場合、少なくとも1人の管理者が常にアイデンティティ・ドメインにアクセスできます。
• クライアントIPアドレスによるフィルタ: 次のいずれかのオプションを選択します。

  • 任意の場所: ユーザーは、任意のIPアドレスを使用してアイデンティティ・ドメインにサインインできます。

  • 次のネットワーク境界に制限: ユーザーは、定義済のネットワーク・ペリの中に含まれているIPアドレスのみを使用して、アイデンティティ・ドメインにサインインできます。「ネットワーク・ペリメータ」テキスト・ボックスで、定義したネットワーク境界を入力または選択します。詳細は、ネットワーク・ペリメータの作成を参照してください。

「アクセスの拒否」を選択した場合は、次のステップに進みます。

「アクセスの許可」を選択した場合は、次の追加オプションの値を入力します。

• 再認証のプロンプト: スイッチを切り替えて、既存のIAMドメイン・セッションがある場合でも、割り当てられたアプリケーションにアクセスするための資格証明の再入力をユーザーに強制します。
  • このオプションを選択すると、サインオン・ポリシーに割り当てられたアプリケーションのシングル・サインオンが防止されます。たとえば、認証されたユーザーは新しいアプリケーションにサインインする必要があります。
  • 選択せず、ユーザーが以前に認証されている場合、ユーザーは資格証明を入力せずに既存のシングル・サインオン・セッションを使用してアプリケーションにアクセスできます。
• 追加ファクタのプロンプト: スイッチを切り替えて、アイデンティティ・ドメインにサインインするための追加ファクタの入力を求めます。

  このオプションを選択する場合は、マルチファクタ認証(MFA)に登録するかどうか、およびこの追加ファクタをサインインに使用する頻度を指定します。

• 任意のファクターまたは指定ファクターのみ: 次のオプションのいずれかを選択します。
  • 任意のファクタ: ユーザーは、MFAテナント・レベル設定で有効な任意の要素の登録および検証を要求します。
  • 指定されたファクタ: MFAテナント・レベル設定で有効になっているファクタのサブセットを登録および検証するようユーザーに求めるプロンプトのみ。「指定されたファクタ」を選択した後、このルールで施行する必要があるファクタを選択します。
• 頻度: ユーザーが2番目のファクタを要求する頻度を指定します。
  • セッションごと、または信頼できるデバイスごとに1回: ユーザーは、認可デバイスから開いたセッションごとに、ユーザー名とパスワードの両方に加えて、2番目の要素を使用する必要があります。
  • 毎回:ユーザーが信頼できるデバイスからサインインするたびに、ユーザー名とパスワードと2番目の要素を使用する必要があります。
  • カスタム間隔: ユーザーがサインインするために2番目の要素を提供する必要のある頻度を示します。たとえば、ユーザーがこの追加係数を2週間ごとに使用する場合は、「数値」に「14」を選択し、「間隔」に「日数」を選択します。MFAを構成した場合、この数は、MFA設定に従ってデバイスを信頼できる日数以下にする必要があります。詳細は、マルチファクト認証の管理に関する項を参照してください。
• 登録: 次のいずれかのオプションを選択します。
  重要
  
  サインオン・ポリシーのテストが終了するまで、「登録」を「オプション」に設定します。
  • 必須により、ユーザーはMFAに登録されます。
  • 「オプション」を選択すると、MFAへの登録をスキップするオプションが表示されます。ユーザー名とパスワードの入力後、ユーザーにはインライン登録設定プロセスが表示されますが、「スキップ」を選択できます。ユーザーは、後でマイ・プロファイルの「セキュリティ」設定の「2ステップの検証」設定からMFAを有効にすることができます。ユーザーは、次回サインインしたときに要素を設定するよう求められていません。「登録」を「必須」に設定し、後で「オプション」に変更した場合、変更の影響は新規ユーザーのみになります。MFAにすでに登録されているユーザーには、インライン登録プロセスが表示されず、サインイン時に「スキップ」を選択できません