WebAuthn - ユーザーポリシーの設定

OneLogin のWebAuthnでは、エンドユーザーがパスワードに代わる認証要素として、指紋や顔認証などの生体認証やセキュリティキーを自由に選択することが可能です。

前提条件

• OneLoginのライセンスプラン が SSO, Advanced, Professional または旧ライセンスプラン Starter, Enterprise, Unlimited のいずれかであること
• OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること

目次

1. WebAuthnを認証要素に追加
2. ユーザーポリシーの作成
3. ユーザーポリシーの適用
   • ユーザー単位でのポリシー適用
   • グループ単位でのポリシー適用
4. グループへのユーザー割り当て
   • CSVファイルによるグループ割り当て
   • マッピングによるグループ割り当て

1. WebAuthnを認証要素に追加

WebAuthnに関するユーザーポリシーの設定により、ユーザーにOTP認証を適用させることができます。

1. OneLoginに管理者でログインし、管理 を開きます
   
    
2. Security > Authentication Factors を開きます
   
    
3. ［New Auth Factor］をクリックします
   
    
4. WebAuthn の［Choose］をクリックします
   
    
5. ［Save］をクリックします

WebAuthnの追加は以上です。

2. ユーザーポリシーの作成

WebAuthnを設定後、WebAuthnを実際にユーザーへ適用させる為にPolicyを設定します

1. Security > Policies を開きます
   
    
2. 画面右上の［New User Policy］をクリックします
   
    
3. 任意のポリシー名を入力します
   
    
4. MFA タブに移動し、Require MFA と WebAuthn にチェックを入れます
   
    

5. また、同じページの下部にある Enforcement Settings の欄にある OTP required for を All users にすることにより、このポリシーを適用するユーザー全員にOTP認証を要求することができます

    

   （補足）Unknown Browserについて

   Enforcement Settings内の項目 OTP required at  には、 At every login だけでなく、 Unknown Browser という選択肢があります。これを設定すると、一度OneLoginにサインインしたブラウザに対して、OTP認証が要求されなくなります

   Unknown Browserを設定する場合、Security cookie expirationの項目に登録した日からの有効日数を入力してください。これにより、指定した日数だけOTP認証が要求されなくなります

   OTP認証をログインごとに要求する必要がない場合、この設定をすることによりOTP認証を指定期間(画像では30日間)だけスキップすることが可能です

   
   
   
   Unknown Browser を設定後に未使用のブラウザーでサインインした場合、次のようなメッセージが表示されます
   ［ユーザー情報を保存］をクリックすることによりOTP認証スキップが指定した日数だけ適用されます

   

    

   Enforcement settingsの設定は以上です。

    

6. Account Recovery タブに移動し、 WebAuthn にチェックを入れ、［Save］をクリックします

ユーザーポリシーの作成は以上です。

3. ユーザーポリシーの適用

最後に、WebAuthnのポリシーをユーザーに割り当てます

少数に対してポリシーを適用したい場合は個人に直接割り当てる方法を、グループ単位で一括でポリシーを適用したい場合はグループにポリシーを割り当てる方法を利用することを推奨します

ユーザー単位でのポリシー適用

一人ずつポリシーを割り当てたい場合、こちらをご確認ください

1. Users > Users を開きます
   
    
2. ポリシーを適用したいユーザーを選択します
   
    
3. 画面左側にあるサイドバーの Authentication タブをクリックします
   
    
4. Authentication タブに移動し、User security policy > ユーザーポリシーの作成 で作成したポリシー を選択し、［Save User］をクリックします

グループ単位でのポリシー適用

グループを使って割り当てたい場合は、こちらをご確認ください

1. Users > Groups を開きます
   
   
   
2. ［New Group］より新しいポリシーグループを作成します
   
    
3. 任意のグループ名を入力します
   
    
4. Security policy を先ほど追加したpolicy（画像ではWebAuhn）にして、右上の［Save］をクリックします
   

ユーザーポリシーの適用は以上です。

4. グループへのユーザー割り当て

注: 上記でユーザーにポリシーを直接割り当てた場合、この設定は不要です。

グループへユーザーを割り当てる2つの方法をご説明します。手動で一斉に割り当てる場合はcsvによる割り当て方法、ユーザーパラメータを利用して自動的に割り当てる場合はMappingによる割り当て方法を推奨します。

CSVファイルによるグループ割り当て

1. More Actions > Import users を選択します
   
    
2. ［⤓ CSVテンプレートをダウンロードする］をクリックし、CSVファイルをダウンロードします
   
    
3. グループに追加したいユーザーと、groupの列に先ほど作成したユーザーグループ（画像では新しいグループ）を入力します
   
   
    
4. ［⤒ Upload File］をクリックし、編集したCSVファイルをアップロードします

マッピングによるグループ割り当て

OneLoginのMapping機能を使うと、指定の条件を持ったユーザーを自動的にグループへ追加することが可能になります（Mappingでは、ポリシーを直接ユーザーに追加することができません）。その使い方の例をご紹介します。

1. Users > Mappings を開きます
   
    
2. ［New Mapping］をクリックします
   
    
3. 任意の Conditions と Actions を設定します
   例）以下の通りに設定した場合、Departmentが営業部のユーザーに対し、WebAuthnが適用されます。

グループへのユーザー割り当ては以上です。