ユーザーポリシーの設定 - ‎Google Authenticatorアプリ

無料の Google Authenticatorアプリ を利用すると、ユーザー名とパスワードに加え、定期的に生成される6桁のワンタイムパスワード（OTP）の入力が要求され、OneLogin のセキュリティをより一層強化できます。

前提条件

• OneLoginのライセンスプラン が SSO, Advanced, Professional または旧ライセンスプラン Starter, Enterprise, Unlimited のいずれかであること
• OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること

目次

1. Authenticatorを認証要素に追加
2. ユーザーポリシーの作成
3. ユーザーポリシーの適用
   • 個人に直接割り当てる方法
   • グループにポリシーを割り当てる方法
   • グループへユーザーを割り当てる方法（グループで割り当てる場合）
     1. csvによるグループの割り当て方法
     2. Mappingによるグループの割り当て方法

1. Authenticatorを認証要素に追加

Authenticatorを認証要素に設定することにより、ユーザーに対してOTP認証を適用することができます。

1. OneLoginに管理者でログインし、管理 を開きます
   
    
2. Security > Authentication Factors を開きます
   
    
3. ［New Auth Factor］をクリックします
   
    
4. Authentication の［Choose］をクリックします
   
    
5. ［Save］をクリックします

2. ユーザーポリシーの作成

次に、Authenticatorをユーザーポリシーに追加します。

1. Security >［Policies］を選択します
   
    
2. ［New User Policy］をクリックします
   
    
3. 任意のポリシー名を入力します
   
   
    
4. MFA タブに移動します
   
    
5. One-time passwords において OTP Auth Required および Authenticator にチェックを入れます
   本操作によりポリシーが適用されたユーザーは、サインイン時にAuthenticatorによる認証が必須となります。
   
    

6. 同じページの下部にある Enforcement Settings > OTP required for を All users に選択し、［Save］をクリックします
   この設定により、ポリシーを与えられたユーザー全員にOTP認証を適用することができます
    

   （補足）Unknown Browserについて

   Enforce Settings内の項目「OTP required at」 には、「At every login」だけでなく、「Unknown Browser」という選択肢があります。これを設定すると、一度OneLoginにサインインしたブラウザに対して、OTP認証が要求されなくなります

   「Unknown Browser」を設定する場合、Security cookie expirationの項目に登録した日からの有効日数を入力してください。これにより、指定した日数だけOTP認証が要求されなくなります。

   OTP認証を毎ログインで要求されるのが面倒である場合、この設定をしてあげることによりOTP認証を指定期間だけスキップすることが可能です
   
   
   「Unknown Browser」を設定後に未使用のブラウザーでサインインした場合、次のようなメッセージが表示されます
   ［ユーザー情報を保存］をクリックすることによりOTP認証スキップが指定した日数だけ適用されます
   
    

7. Account Recovery タブに移動します
   
    
8. Select Factors Available において Email および Authenticator にチェックを入れます
   本操作により、パスワードリセット時にもAuthenticatorが適用されます
   
    
9. ［Save］をクリックし、保存します

以上でユーザーポリシーの設定は完了です。

3. ユーザーポリシーの適用

最後に、Authenticatorのポリシーをユーザーに割り当てます

ポリシーを割り当てる方法として、以下の2つの方法があります

1. 個人に直接割り当てる方法
2. グループにポリシーを割り当てる方法

少数に対してポリシーを適用したい場合は1. の方法を、グループ単位で一括でポリシーを適用したい場合は2. の方法を利用することを推奨します

3.1 個人に直接割り当てる方法

1. 管理画面から Users >［Users］を選択します
   
    
2. Authenticatorのポリシーを適用したいユーザーを選択します
   
    
3. Authentication タブに移動します
   
    
4. User security policy のプルダウンから、先ほど追加したポリシー(ここではAuthenticator_Policy)を選びます
   
    
5. ［Save User］をクリックします

以上で対象ユーザーへのポリシー割り当ては完了です。

3.2 グループにポリシーを割り当てる方法

1. 管理画面から Users >［Groups］を選択します
   
    
2. ページ右上にある［New Group］より新しいポリシーグループを作成します
   
    
3. 任意のグループ名を入力します
   
    
4. Security policy タブから先ほど追加したポリシー(ここではAuthenticator_Group)を選びます
   
    
5. ［Save］をクリックし、保存します

以上でグループへのポリシー割り当ては完了です。

グループにユーザーを割り当てることにより、ユーザーに対してポリシーを適用させることができます。

3.3 グループへユーザーを割り当てる方法（グループで割り当てる場合）

（注意）3.1 でユーザーにポリシーを直接割り当てた場合、この設定は必要ありません

グループへユーザーを割り当てる方法を説明します

3.3.1 csvによるグループの割り当て方法、3.3.2 グループによるグループの割り当て方法 の2種類があります

手動で一斉に割り当てる場合はcsvによる割り当て方法、ユーザーパラメータを利用して自動的に割り当てる場合はMappingによる割り当て方法を推奨します

3.3.1 csvによるグループの割り当て方法

1. 管理画面から Users へ移動し、More Actions  > ［import users］をクリックします
   
    
2. ［CSVテンプレートをダウンロードする］をクリックし、CSVファイルをダウンロードします
   
    
3. ダウンロードしたCSVファイルを開き、グループに追加したいユーザーと、groupの列に先ほど作成したユーザーグループを記入します
   
    
4. ［Upload File］をクリックし、編集したCSVファイルをアップロードします
   
    
5. アップロードできたことを確認し、［import］をクリックします

以上でCSVファイルを用いたユーザーのグループ割り当ては完了です。

3.3.2 Mappingによるグループの割り当て方法

OneLoginのMapping機能を使うと、指定の条件を持ったユーザーを自動的にグループへ追加することが可能になります。（Mappingでは、ポリシーを直接ユーザーに追加することができません）その使い方の例を紹介します。

1. 管理画面から Users >［Mapping］を選択します
   
    
2. ページ右上にある［New Mapping］より新しいマッピングを作成します
   
    
3. 任意のマッピング名を入力します
   
    

4. Conditions、Actionsを設定します
    

   例として、

   Conditions	Department	equals	開発部
   Actions	Set group	Authenticator_Group

    

   と設定した場合、Departmentの値が開発部のユーザーに対し、Authenticatorが適用されます。

   このようにMapping機能を活用することにより、自動的にAuthenticatorのポリシーをユーザーに設定することができます。