本記事では、特定のアプリケーションに対してIPアドレス制限を設定し、シングルサインオン（SSO）を許可する接続元を特定のIPアドレスに制限する方法をご案内します。
OneLogin のアプリポリシー（App Policy）を活用することで、特定のアプリケーションへのSSO時に、追加のアクセスポリシーを適用することが可能です。
目次
前提条件
- OneLoginのライセンスプラン が SSO, Advanced, Professional または旧ライセンスプラン Starter, Enterprise, Unlimited のいずれかであること
- OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
アプリポリシーの作成
まずはIPアドレス制限を設定するアプリポリシーを作成します。
- OneLoginに管理者でログインし、管理 を開きます
- Security > Policies を開きます
- ［New App Policy］をクリックします
- 任意のポリシー名を入力します
- 次にIPアドレス制限のために IP address whitelist > Allowed IP addresses にアクセスを許可したい拠点オフィスのグローバルIPアドレスを登録します
例）142.33.216.15 142.33.213.64 241.103.95.40-241.103.95.42
*グローバルIPアドレスは固定IPアドレスである必要があります。
*複数のIPアドレスを指定する場合は半角スペース（ ）区切り、IPレンジを指定する場合は半角ハイフン（-）でレンジを記述してください。
*CIDR表記での登録はできないため、CIDRとしてIPレンジ情報をお持ちの方は外部サイトなどをご参考にIPレンジを計算してご記入ください。
- ［Save］をクリックします
アプリポリシーの作成は以上です。
アプリポリシーをコネクタに割り当てる
次に作成したアプリポリシーをコネクタに割り当て、実際にアクセス制御を開始します。
- Applications > Applications を開きます
- まずは社内IPアドレスからのアクセスに制限したいアプリを検索し、選択します
- コネクタ設定画面内の Access タブを開き、画面上部にある Policy のプルダウンからさきほど作成したアプリポリシーを選択します
- アプリポリシーの選択が完了したらページ右上の［Save］をクリックして保存します
アプリポリシーのコネクタへの割り当て設定は以上です。
本設定以降は、IPアドレス制限が定義されたアプリポリシーが割り当てられたアプリにシングルサインオンする際にIPアドレス判定が行われます。許可されたIPアドレス以外からシングルサインオンしようとすると下記アクセス拒否画面が表示されますので、設定前にユーザーへのご周知とIPアドレスの正確性についてよくご確認ください。