本記事では、OneLogin で OneLogin Email を多要素認証として利用するためのユーザーポリシーの設定手順をご案内します。管理者がユーザーポリシーを作成し、個々のユーザーやグループに割り当てる方法、およびスマートフォンを必要とせずに OTP 認証を有効にする方法、CSV ファイルやマッピング機能を使用してグループを割り当てる方法をご紹介します。
OneLogin Email を利用すると、ユーザー名とパスワードに加え、ユーザーのメールアドレス宛に送られるリンクや認証コードが要求され、OneLogin のセキュリティをより一層強化できます。
OneLogin Protect等のスマートフォンアプリケーションが必要なOTP認証と異なり、スマートフォンをお持ちでない方についても、OneLogin Emailを設定することによりOTP認証を実現することができます。
もし社内でスマートフォンをお持ちでないエンドユーザーがいる場合、スマートフォンをお持ちのユーザーにはOneLogin Protectのユーザーポリシーを割り当て、スマートフォンをお持ちでないユーザーには別途OneLogin Emailのユーザーポリシーを割り当ててあげることによりOTP認証を適用させる、などの活用例があります。
前提条件
- OneLoginのライセンスプラン が SSO, Advanced, Professional または旧ライセンスプラン Starter, Enterprise, Unlimited のいずれかであること
- OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
目次
1. OneLogin Emailを認証要素に追加
- OneLoginに管理者でログインし、管理 を開きます
- Security > Authentication Factors を開きます
- ［New Auth Factor］をクリックします
-
OneLogin Email の［Choose］をクリックします
-
Send to email attribute タブから、Emailの指定を行います
OneLogin Emailでは、
・OneLoginのユーザーアカウントに登録されているメールアドレス (User → Email)
・エンドユーザー自身でのメールアドレス指定 (End User Provided)
・Custom User Fields に登録されているメールアドレス (Custom User Fields 名)
の3種類をお選びいただけます
-
OTP Timeout タブから、認証コードの有効期間を設定します
-
MFA Typeを設定します
- Magic Link - メールにリンクが送信されます（非推奨）
-
OTO format - 認証コードが送信されます
- Alphanumeric - 認証コードが英数字になります（例：74BD01）
-
Numeric - 認証コードが数字になります（例：284810）
- ［Save］をクリックし、保存します
2. ユーザーポリシーの作成
- 管理画面から Security >［Policies］を選択します
- 画面右上の［New User Policy］をクリックします
- 任意のポリシー名を入力します
- ポリシー名の入力後、MFAタブ をクリックします
- One-time passwords 項目から OTP Auth Required、OneLogin Emailにチェックを入れます
-
また、同じページの下部にある Enforcement Settings > OTP required for を All users に選択し、［Save］をクリックします
この設定により、ポリシーを与えられたユーザー全員にOTP認証を適用することができます
（補足）Unknown Browserについて
Enforce Settings内の項目「OTP required at」 には、「At every login」だけでなく、「Unknown Browser」という選択肢があります。これを設定すると、一度OneLoginにサインインしたブラウザに対して、OTP認証が要求されなくなります。
「Unknown Browser」を設定する場合、Security cookie expirationの項目に登録した日からの有効日数を入力してください。これにより、指定した日数だけOTP認証が要求されなくなります。
OTP認証を毎ログインで要求されるのが面倒である場合、この設定をしてあげることによりOTP認証を指定期間だけスキップすることが可能です
「Unknown Browser」を設定後に未使用のブラウザーでサインインした場合、次のようなメッセージが表示されます
［ユーザー情報を保存］をクリックすることによりOTP認証スキップが指定した日数だけ適用されます
-
Account Recoveryタブ をクリックします
-
Select Factors Available 項目から Email、OneLogin Emailにチェックを入れます
この操作により、ユーザーがパスワードリセットをする際にもOneLogin Emailが適用されます
- ［Save］をクリックし、保存します
ユーザーポリシーの作成は以上です。
3. ユーザーポリシーの適用
3.1 個人に直接割り当てる方法
- 管理画面から Users >［Users］を選択します
- ポリシーを反映したい（OneLogin Emailを適用したい）ユーザーをクリックします
- 画面左側にあるサイドバーの Authentication タブをクリックします
-
User security policy のプルダウンから、先ほど追加したポリシー(ここではOneLoginEmail_policy)を選びます
- ［Save User］をクリックし、保存します
3.2 グループにポリシーを割り当てる方法
- 管理画面から Users >［Groups］を選択します
- ページ右上にある［New Group］より新しいポリシーグループを作成します
- 任意のグループ名を入力します
-
Security policy タブから先ほど追加したポリシー(ここではOneLoginEmail_policy)を選びます
- ［Save］をクリックし、保存します
3.3 グループへユーザーを割り当てる方法
3.3.1 csvによるグループの割り当て方法
- 管理画面から Users へ移動し、More Actions > ［import users］をクリックします
- ［CSVテンプレートをダウンロードする］をクリックし、CSVファイルをダウンロードします
- ダウンロードしたCSVファイルを開き、グループに追加したいユーザーと、groupの列に先ほど作成したユーザーグループを記入します
- ［Upload File］をクリックし、編集したCSVファイルをアップロードします
- アップロードできたことを確認し、［import］をクリックします
3.3.2 Mappingによるグループの割り当て方法
- 管理画面から Users >［Mapping］を選択します
- ページ右上にある［New Mapping］より新しいマッピングを作成します
- 任意のマッピング名を入力します
-
Conditions、Actionsを設定します
例として、Conditions Department equals 開発部 Actions Set group OneLoginEmail_Group と設定した場合、Departmentの値が開発部のユーザーに対し、OneLogin Emailが適用されます。
このようにMapping機能を活用することにより、自動的にOneLogin Emailのポリシーをユーザーに設定することができます。