メインコンテンツへスキップ
ご案内 7/30 更新Salesforce SSOをご利用のお客様へ：OneLoginアップデートに伴う設定のご案内 詳細

ユーザーポリシーの設定 - Duo Mobileアプリ

ペンティオ サポート担当者
  • 作成日
  • 更新日

本記事では、OneLogin で ‎Duo Mobileアプリ を多要素認証（MFA）として利用するためのユーザーポリシーの設定手順をご案内します。Duo Security の設定、ユーザーポリシーの作成、個々のユーザーやグループへのポリシーの割り当て、および CSV ファイルやマッピング機能を使用したグループへのポリシーの割り当ての手順をご紹介します。

無料の Duo Mobileアプリ を利用すると、ユーザー名とパスワードに加え、定期的に生成される6桁のワンタイムパスワード（OTP）の入力が要求され、OneLogin のセキュリティをより一層強化できます。

 

前提条件

  • OneLoginのライセンスプラン が SSO, Advanced, Professional または旧ライセンスプラン Starter, Enterprise, Unlimited のいずれかであること
  • OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
  • Duo Securityにおける管理者権限を持っていること

 

目次

  1. Duo Securityを認証要素に追加
  2. ユーザーポリシーの作成
  3. ユーザーへのポリシー反映

 

1. Duo Securityを認証要素に追加

Duo Securityに関するユーザーポリシーの設定により、ユーザーにOTP認証を適用させることができます。

  1. OneLoginに管理者でログインし、管理 を開きます

     
  2. Security > Authentication Factors を開きます

     
  3. ［New Auth Factor］をクリックします

     
  4. Duo Security の［Choose］をクリックします


     
  5. Duo Securityに管理者権限を持つアカウントでログインします
    Duo_1-7.png

     
  6. Applicationsタブ > protect an Application をクリックします
    Duo_1-8.png

     
  7. 検索欄へ 「OneLogin」と入力し、［Protect］ をクリックします
    Duo_1-9.png

     

  8. 下記の3点の値をコピーします
    •

    • Client secret
    • API hostname
    これらの設定値はOneLoginに入力します
    Duo_1-10.png

     
  9. ページの最後にある［Save］をクリックします
    Duo_1-11.png

     
  10. Usesタブ > ［Add Users］ をクリックします
    Duo_1-12.png

     

  11. MFAにDuo Securityを設定したいユーザーの識別子を入力し、［Add User］ をクリックします
    （例：hikari.nakamra@gmail.com）
    Duo Securityでは、Username（Duo Securityの値）を識別子としてOneLogin側のユーザーを判別します。例として、OneLoginの識別子を Email（OneLoginの値） に設定すると、Email（OneLoginの値）とUsername（Duo Securityの値）が一致した場合にのみ認証が適用される、という仕組みになっています。

    Duo_1-1-13.png

     

  12. OneLoginの設定画面から手順1-10でコピーしたDuoの設定値を入力します

    OneLogin Duo Security

    Duo_1-14.png

     

  13. 手順1-13で設定した識別子に合わせ、Duo OTP Identifier を選択します
    Duo_1-15.png

     
  14.  設定が完了したら［Save］をクリックします
    Duo_1-15.png

 

2. ユーザーポリシーの作成

次に、Duo Securityをユーザーポリシーに追加します。 

  1. Security > Policies を開きます
    poli-SMS_2-2.png

     
  2. ［New User Policy］ をクリックします


     
  3. 任意のポリシー名を入力します
    Duo_2-4.png

     
  4. ポリシー名の入力後、MFAタブ をクリックします
    Duo_2-5.png

     
  5. One-time passwords 項目から OTP Auth Required、Duo Security にチェックを入れます
    この操作によりポリシーを適用されたユーザーはサインイン時にOneLogin SMSによる認証が強制になります
    Duo_2-6.png

     

  6. Enforcement Settings > OTP required for を All users に選択し、［Save］をクリックします
    この設定により、ポリシーを与えられたユーザー全員にOTP認証を適用することができます
    Duo_2-7.png
     

    （補足）Unknown Browserについて

    Enforce Settings内の項目「OTP required at」 には、「At every login」だけでなく、「Unknown Browser」という選択肢があります。これを設定すると、一度OneLoginにサインインしたブラウザに対して、OTP認証が要求されなくなります

    「Unknown Browser」を設定する場合、Security cookie expirationの項目に登録した日からの有効日数を入力してください。これにより、指定した日数だけOTP認証が要求されなくなります。

    OTP認証を毎ログインで要求されるのが面倒である場合、この設定をしてあげることによりOTP認証を指定期間だけスキップすることが可能です
    Duo_2-8-2.png

     

  7. Account Recoveryタブ をクリックします
    Duo_2-8-8.png

     
  8. Select Factors Available 項目から Email、OneLogin SMS にチェックを入れます
    この操作により、ユーザーがパスワードリセットをする際にもOneLogin SMSが適用されます
    Duo_2-9.png

     
  9. ［Save］をクリックし、保存します 
    Duo_2-10.png

 

ユーザーポリシーの設定は以上です。

 

3. ユーザーポリシーの適用

Duo Securityのポリシーをユーザーに割り当てます。

ポリシーを割り当てる方法として、以下の2つの方法があります。

  1. 個人に直接割り当てる方法
  2. グループにポリシーを割り当てる方法

少数に対してポリシーを適用したい場合は1. の方法を、グループ単位で一括でポリシーを適用したい場合は2. の方法を利用することを推奨します。

 

3-1. 個人への直接割り当て

  1. 管理画面から Usersタブ >［Users］を選択します
    poli-SMS_3-1-1.png

     
  2. ポリシーを反映したい（Duo Securityを適用したい）ユーザーをクリックします
    poli-SMS_3-1-2.png

     
  3. Authenticationタブ をクリックします
    poli-SMS_3-1-3.png

     
  4. User security policy のプルダウンから、先ほど作成したポリシー
    例）Duo Security_Policy
    Duo_3-1-4.png

     
  5. ［Save User］をクリックし、保存します
    Duo_3-1-5.png

 

個人へのポリシーを割り当ては以上です。

 

3-2. グループへのポリシーを割り当て

  1. 管理画面から Users > [Groups] を選択します
    poli-SMS_3-5-1.png

     
  2. ページ右上にある [New Group] より新しいポリシーグループを作成します
    poli-SMS_3-5-2.png

     
  3. 任意のグループ名を入力します
    Duo_3-2-3.png

     
  4. Security policyタブ から先ほど追加したポリシーを選択します
    例）Duo Security_Policy
    Duo_3-2-4.png

     
  5. ［Save］をクリックし、保存します
    Duo_3-2-5.png

 

グループへのポリシー割り当ては以上です。
グループにユーザーを割り当てることにより、ユーザーに対してポリシーを適用させることができます

 

3.3 グループへユーザーを割り当てる方法（グループで割り当てる場合）

（注意）3.1 でユーザーにポリシーを直接割り当てた場合、この設定は必要ありません

グループへユーザーを割り当てる方法を説明します

3.3.1 csvによるグループの割り当て方法、3.3.2 Mappingによるグループの割り当て方法 の2種類があります

手動で一斉に割り当てる場合はcsvによる割り当て方法、ユーザーパラメータを利用して自動的に割り当てる場合はMappingによる割り当て方法を推奨します

 

3.3.1 CSVファイルによるグループ割り当て

  1. 管理画面から Users > [Users] を選択します
    poli-SMS_3-1-1.png

     
  2. More Actions > [import users] をクリックします
    poli-SMS_3-2-2.png

     
  3. [CSVテンプレートをダウンロードする] をクリックし、CSVファイルをダウンロードします
    poli-SMS_3-3-1-3.png

     
  4. ダウンロードしたCSVファイルを開き、グループに追加したいユーザーと、groupの列に先ほど作成したユーザーグループを記入します
    Duo_3-3-1-4.png

     
  5. [Upload File] をクリックし、編集したCSVファイルをアップロードします
    poli-SMS_3-3-1-5.png

     
  6. アップロードできたことを確認し、[import] をクリックします
    poli-SMS_3-3-1-6.png

 

CSVファイルによるグループ割り当ては以上です。

 

3.3.2 マッピングによるグループ割り当て

OneLoginのMapping機能を使うと、指定の条件を持ったユーザーを自動的にグループへ追加することが可能になります（Mappingでは、ポリシーを直接ユーザーに追加することができません）。その使い方の例を紹介します

  1. 管理画面から Usersタブ >［Mapping］を選択します
    poli-SMS_3-3-2-1.png

     
  2. ページ右上にある［New Mapping］をクリックし、新しいマッピングを作成します
    スクリーンショット_2023-03-15_14_53_31 (1).png

     
  3. 任意のマッピング名を入力します
    Duo_3-3-2-3.png

     

  4. Conditions、Actions を設定します
    Duo_3-3-2-4.png
    例として、

    Conditions    
    Department equals インターン
    Actions    
    Set group OneLogin Duo_Group  

    と設定した場合、Departmentの値が営業部のユーザーに対し、Duo Securityが適用されます

     

  5. Conditions、Actionsの設定が完了したら［Save］ をクリックします
    Duo_3-3-2-5.png

     
  6. ［Reapply All Mappings］をクリックします
    Duo_3-3-2-6.png

     
  7. 確認画面が表示されるので、［Continue］ をクリックします
    この操作により、Mappingが実行されます
    Duo_3-3-2-7.png

 

マッピングによるグループ割り当ては以上です。
このようにMapping機能を活用することにより、自動的にOneLogin SMSのポリシーをユーザーに設定することができます。

関連記事

運営会社: ペンティオ株式会社サービス利用規程

CONFIDENTIAL

当ウェブサイトに掲載されている情報は一般公開されているコンテンツを除き、当社の承諾なくご契約者様以外への開示・転送・転載することはできません