ユーザーポリシーの設定 - YubiKey

YubiKey を利用すると、ユーザー名とパスワードに加え、ハードウェアキーが要求され、OneLogin のセキュリティをより一層強化できます。

前提条件

• OneLoginのライセンスプラン が SSO, Advanced, Professional または旧ライセンスプラン Starter, Enterprise, Unlimited のいずれかであること
• OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること

目次

1. Yubikeyを認証要素に追加
2. ユーザーポリシーの作成
3. ユーザーポリシーの適用
   • 個人に直接割り当てる方法
   • グループにポリシーを割り当てる方法
   • グループへユーザーを割り当てる方法
     • csvによるグループの割り当て方法
     • Mappingによるグループの割り当て方法

1. Yubikeyを認証要素に追加

YubiKeyを認証要素に設定することで、ユーザーにOTP認証を適用させることができます

1. OneLoginに管理者でログインし、管理 を開きます
   
    
2. Security > Authentication Factors を開きます
   
    
3. ［New Auth Factor］をクリックします
   
    
4. YubiKey の［Choose］をクリックします
   
    
5. YubiKeyの設定画面が出てきますので、User description に名前を設定します
   例) YubiKey
   
   
    
6. ［Save］をクリックし、保存します

YubiKeyの設定は以上です。

2. ユーザーポリシーの作成

次に、YubiKeyをユーザーポリシーに追加します

1. 管理画面から Security >［Policies］を選択します
   
    
2. 画面右上の［New User Policy］をクリックします
   
    
3. 任意のポリシー名を入力します
   
    
4. ポリシー名の入力後、MFA タブをクリックします
   
    
5. One-time passwords 項目から OTP Auth Required、YubiKey にチェックを入れます
   この操作によるポリシーを適用されたユーザーはサインイン時にYubiKeyによる認証が強制になります
   
   
    

6. 同じページの下部にある Enforcement Settings > OTP required for を All users に選択し、［Save］をクリックします
   この設定により、ポリシーを与えられたユーザー全員にOTP認証を適用することができます
   
   
    

   （補足）Unknown Browserについて

   Enforce Settings内の項目「OTP required at」 には、「At every login」だけでなく、「Unknown Browser」という選択肢があります。これを設定すると、一度OneLoginにサインインしたブラウザに対して、OTP認証が要求されなくなります

   「Unknown Browser」を設定する場合、Security cookie expirationの項目に登録した日からの有効日数を入力してください。これにより、指定した日数だけOTP認証が要求されなくなります。

   OTP認証を毎ログインで要求されるのが面倒である場合、この設定をしてあげることによりOTP認証を指定期間だけスキップすることが可能です
   
   
   
   「Unknown Browser」を設定後に未使用のブラウザーでサインインした場合、次のようなメッセージが表示されます
   ［ユーザー情報を保存］をクリックすることによりOTP認証スキップが指定した日数だけ適用されます
   
   
    

7. Account Recovery タブをクリックします
   
    
8. Select Factors Available 項目から Email、YubiKey にチェックを入れます
   この操作により、ユーザーがパスワードリセットをする際にもYubiKeyが適用されます
   
    
9. ［Save］をクリックし、保存します

ユーザーポリシーの作成は以上です。

3. ユーザーポリシーの適用

最後に、YubiKeyのポリシーをユーザーに割り当てます

ポリシーを割り当てる方法として、以下の2つの方法があります

1. 個人に直接割り当てる方法
2. グループにポリシーを割り当てる方法

少数に対してポリシーを適用したい場合は1. の方法を、グループ単位で一括でポリシーを適用したい場合は2. の方法を利用することを推奨します

3.1 個人に直接割り当てる方法

1. 管理画面から Users >［Users］を選択します
   
    
2. ポリシーを反映したい（YubiKeyを適用したい）ユーザーをクリックします
   
    
3. Authentication タブをクリックします
   
    
4. User security policy のプルダウンから、先ほど追加したポリシー(ここではYubiKey Policy)を選びます
   
    
5. ［Save User］をクリックし、保存します

以上までが個人にポリシーを割り当てる方法になります

3.2 グループにポリシーを割り当てる方法

1. 管理画面から Users >［Groups］を選択します
   
    
2. ページ右上にある［New Group］より新しいポリシーグループを作成します
   
    
3. 任意のグループ名を入力します
   
    
4. Security policy タブから先ほど追加したポリシー(ここではYubiKey_Group)を選びます
   
    
5. ［Save］をクリックし、保存します

グループへのポリシーを割り当ては以上です。

グループにユーザーを割り当てることにより、ユーザーに対してポリシーを適用させることができます

3.3 グループへのユーザー割り当て

（注意）3.1 でユーザーにポリシーを直接割り当てた場合、この設定は必要ありません

グループへユーザーを割り当てる方法を説明します

3.3.1 csvによるグループの割り当て方法、3.3.2 グループによるグループの割り当て方法 の2種類があります

手動で一斉に割り当てる場合はcsvによる割り当て方法、ユーザーパラメータを利用して自動的に割り当てる場合はMappingによる割り当て方法を推奨します

3.3.1. CSVファイルによるグループ割り当て

1. 管理画面から Users へ移動し、More Actions  > ［import users］をクリックします
   
    
2. ［CSVテンプレートをダウンロードする］をクリックし、CSVファイルをダウンロードします
   
    
3. ダウンロードしたCSVファイルを開き、グループに追加したいユーザーと、groupの列に先ほど作成したユーザーグループを記入します
   
    
4. ［Upload File］をクリックし、編集したCSVファイルをアップロードします
   
    
5. アップロードできたことを確認し、［import］をクリックします
   

CSVファイルによるグループ割り当ては以上です。

3.3.2. マッピングによるグループ割り当て

OneLoginのMapping機能を使うと、指定の条件を持ったユーザーを自動的にグループへ追加することが可能になります。（Mappingでは、ポリシーを直接ユーザーに追加することができません）その使い方の例を紹介します

1. 管理画面から Users >［Mapping］を選択します
   
    
2. ページ右上にある［New Mapping］より新しいマッピングを作成します
   
    
3. 任意のマッピング名を入力します
   
    

4. Conditions、Actionsを設定します
   
   例として、

   Conditions	Department	equals	営業部
   Actions	Set group	YubiKey_Group

   と設定した場合、Departmentの値が営業部のユーザーに対し、YubiKeyが適用されます。

   このようにMapping機能を活用することにより、自動的にYubiKeyのポリシーをユーザーに設定することができます。