本記事では、OneLogin で OneLogin Security Questions を多要素認証（MFA）として利用するためのユーザーポリシーの設定手順をご案内します。管理画面における認証要素の追加、ユーザーポリシーへの組み込み、個別またはグループ単位でのユーザー適用、CSVやMapping機能を使ったグループ割り当ての手順もご説明します。
OneLogin Security Questionsは他のデバイスに依存しないMFAであるため、ユーザーは質問に対する回答を設定するだけでご利用いただけます。
注: 秘密の質問は、一般的な質問の回答が簡単に推測されるため、安全性の低い認証方式です。秘密の質問でログインする場合は、他の認証要素と併用することを推奨いたします。
前提条件
- OneLoginのライセンスプラン が SSO, Advanced, Professional または旧ライセンスプラン Starter, Enterprise, Unlimited のいずれかであること
- OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
目次
1. OneLogin Security Questionsを認証要素に追加
- OneLoginに管理者でログインし、管理 を開きます
- Security > Authentication Factors を開きます
-
Security Questions タブに移動し、When users set up their answers から、ユーザーが初回ログイン時に設定する質問の答えの数を選択します
-
When users reset their passwords or try to authenticate with MFA. から、パスワードリセット時に聞く質問の数を選択します
*パスワードをリセットするときに聞く質問の数を設定できます。初回ログイン時に設定する質問より多くの質問を設定することができないのでご注意ください。
- Enabled questions > Options から、ユーザーが回答できる質問を選択し、［Save］をクリックします
*エンドユーザーは初回ログイン時に指定した数だけの質問に答えます。以降、ログイン時にそのうちの一つの質問が認証として聞かれるようになります。
- ［New Auth Factor］をクリックします
-
OneLogin Security Questions の［Choose］をクリックします
- ［Save］をクリックします
2. ユーザーポリシーの作成
次に、OneLogin Security Questionsをユーザーポリシーに追加します。
- Security > Policies を開きます
- ［New User Policy］をクリックします
- 任意のポリシー名を入力し、MFA タブに移動します
- One-time passwordsエリアの OTP Auth Required と OneLogin Security Questions にチェックを入れます。この操作によるポリシーを適用されたユーザーはサインイン時にOneLogin Security Questionsによる認証が強制になります
- また、同じページの下部にあるEnforcement Settingsの欄にある OTP required for を All users にすることにより、このポリシーを適用するユーザー全員にOTP認証を強制することができます
（捕捉）Unknown Browserについて
Enforcement Settingsエリアの OTP required at には、At every login だけでなく、Unknown Browser という選択肢があります。これを設定すると、一度OneLoginにサインインしたブラウザに対して、OTP認証が要求されなくなります。
Unknown Browser を設定する場合、Security cookie expirationの項目に登録した日からの有効日数を入力してください。これにより、指定した日数だけOTP認証が要求されなくなります。
- OTP認証を毎ログインで要求されるのが面倒である場合、この設定をしてあげることによりOTP認証を指定期間だけスキップすることが可能です。
-
Unknown Browser を設定後に未使用のブラウザーでサインインした場合、次のようなメッセージが表示されます
- ［ユーザー情報を保存］をクリックすることによりOTP認証スキップが指定した日数だけ適用されます
ここまでが［Enforcement Settings］の設定になります。
-
Password タブに移動します
-
OneLogin Security Questions にチェックを入れ、［Save］をクリックします。この操作により、ユーザーがパスワードリセットをする際にもOneLogin Security Questionsが適用されます
ユーザーポリシーの作成は以上です。
3. ユーザーポリシーの適用
最後に、OneLogin Security Questionsのポリシーをユーザーに割り当てます。
ポリシーを割り当てる方法として、以下の2つの方法があります。
- 個人に直接割り当てる方法
- グループにポリシーを割り当てる方法
少数に対してポリシーを適用したい場合は1. の方法を、グループ単位で一括でポリシーを適用したい場合は2. の方法を利用することを推奨します。
ユーザー単位でのポリシー適用
一人ずつポリシーを割り当てたい場合、こちらをご確認ください。
- Users > Users を選択します
- ポリシーを反映したい（OneLogin Security Questionsを適用したい）ユーザーをページ内で検索し、そのユーザーをクリックします
-
Authentication タブに移動し、User security policy から ユーザーポリシーの作成 で作成したポリシーを選択し、［Save User］をクリックします
ユーザー単位でのポリシー適用は以上です。
グループ単位でのポリシー適用
グループを使って割り当てたい場合は、こちらをご確認ください。
- Users > Groups をクリックします
- ［New Group］をクリックします
- グループ名を設定し、Security policy から ユーザーポリシーの作成 で作成したポリシーを選択し、［Save］をクリックします
グループ単位でのポリシー適用は以上です。
グループへのユーザー割り当て
（注意）3-1. でユーザーにポリシーを直接割り当てた場合、この設定は必要ありません。
グループへユーザーを割り当てる方法を説明します。
3-3-1. csvによるグループの割り当て方法、3-3-2. グループによるグループの割り当て方法 の2種類があります。
手動で一斉に割り当てる場合はcsvによる割り当て方法、ユーザーパラメータを利用して自動的に割り当てる場合はMappingによる割り当て方法を推奨します。
CSVファイルによるグループ割り当て
- Usersページ右上の More Actions > Import users を選択します
- ［⤓ CSVテンプレートをダウンロードする］をクリックし、CSVファイルをダウンロードします
- グループに追加したいユーザーと、groupの列に先ほど作成したユーザーグループを記入します
- 作成したcsvファイルをUpload Fileよりアップロードし、［Import］をクリックします
CSVファイルによるグループ割り当ては以上です。
マッピングによるグループ割り当て
OneLoginのMapping機能を使うと、指定の条件を持ったユーザーを自動的にグループへ追加することが可能になります。（Mappingでは、ポリシーを直接ユーザーに追加することができません）その使い方の例を紹介します。
- Users > Mappings を開きます
- ［New Mapping］をクリックします
- 任意の Conditions および Actions を設定します
例）Departmentが 営業部 の場合、今回作成した 新しいグループ を割り当てる
グループへのユーザー割り当ては以上です。