SSO管理

テナントとアプリケーションのワークスペース

ナビゲーションでは、テナント、ドメイン、アプリケーション、フェデレーション、プロビジョニング、エンタイトルメント、アクセスレビュー、PIM、デバイス、ワークフロー、セッション、鍵、監査がまとめられています。テナントの範囲にはテナント設定を、プロトコルとライフサイクルにはアプリケーション編集画面を使います。操作権限は有効なロールと委任された権限によって異なります。連携には生成された仕様 /api/auth/management/openapi.json を使います。

1. 対象のテナントまたはアプリケーションを選び、所有者と状態を確認します。
2. 操作が表示されない場合は、その権限が自分に委任されているか確認します。
3. 保存後、表示状態と監査記録またはバージョン記録を確認します。

ロールと権限

ロール階層では、親ロールの変更やバージョン比較ができます。有効な権限を持つには、メンバーシップが有効で、適切なテナントへの委任が必要です。同階層や上位ロールへのアクセスは許可されません。プラットフォームのロールとアプリケーションのロールは分けて管理してください。ロールを割り当てても、テナントのメンバーシップ、アプリケーションポリシー、職務分掌のルールは上書きされません。

1. アクセスを割り当てる前に、メンバーシップと現在のロール階層を確認します。
2. 最も範囲の狭いロールと権限を選び、適用範囲と有効期限を確認します。
3. 拒否された場合は、サイト全体のロールを広げず、有効なテナント権限を調べます。

ドメインと登録

ドメインの申請では、検出や証明書利用の前に明示的な所有権確認が必要です。アプリケーション登録では、プロトコル、所有者、テナント、ポリシー、ライフサイクルを個別に定義します。新しいバージョンを公開する前に、ポリシーの影響をプレビューしてください。プラットフォームのソーシャルプロバイダーは、ユーザーが連携したIDとは別に管理します。

1. 正確なテナントドメインを追加し、所有権チャレンジを完了します。
2. プロトコルに対応する管理画面でアプリケーションを登録します。
3. ポリシーをプレビュー、公開してテストし、有効なバージョンを確認します。

認証器と登録

認証管理には、認証要素の登録、復旧コード、対応認証器の管理、一時アクセスパス、ハードウェアOATH操作、登録キャンペーンが含まれます。これらには認証管理権限が必要です。機密性の高い操作では、ユーザー本人に紐付く直近のステップアップ認証が必要な場合もあります。管理者ロールだけでは代替できません。

1. キャンペーン開始前にテナントポリシーと登録状況を確認します。
2. ユーザー本人に認証器のチャレンジを完了してもらい、登録を検証します。
3. 紛失した認証要素やパスを失効させ、権限のある操作から交換します。

セッション、鍵、ソーシャルプロバイダー

セッション一覧には、追跡対象のブラウザー、OIDC、SAML、プライベート、特権セッションが含まれます。自分の権限範囲内でのみ失効させてください。ユーザー全体を対象にする操作は複数のアプリケーションに影響する場合があり、中央ブラウザーセッションの失効にはGod権限が必要です。ユーザー自身は連携アプリのトークンや信頼済みデバイスを失効できます。署名鍵とソーシャルプロバイダーには個別の管理機能があります。

1. 許可されたユーザー、テナント、アプリケーション、セッション種別で絞り込みます。
2. 影響を確認してから、単一セッションまたはより広い範囲の失効を選びます。
3. 鍵またはプロバイダーの変更後、状態を確認して管理されたサインインをテストします。

監査、エクスポート、トラブルシューティング

テナント監査、セキュリティ証跡、保持期間、法的保全、ログ送信先、一括エクスポートには、それぞれ権限範囲があります。エクスポートには機密記録が含まれる場合があるため、許可された最小限の範囲にしてください。データが見つからない、または変更に失敗した場合は、安全な範囲のエラー情報を保持し、再試行の前に現在の状態を確認します。設定を修正する場合も、追記専用の履歴を保持してください。

1. 利用可能な実行者、アプリケーション、期間の条件でテナント監査を絞り込みます。
2. 必要な記録だけをエクスポートし、承認済みの場所に保管します。
3. 送信を変更または再試行する前に、保持設定、法的保全、送信先の状態を確認します。

よくある質問

関連ページ

• シングルサインオンとID管理
• フェデレーションプロトコルとプロビジョニング
• IDガバナンスと特権アクセス
• プライベートアプリケーションアクセス