サインインのセキュリティの仕組み

セキュリティ の下にある2つの画面が、Offision への入り方を決めます。グローバルパスワードポリシー は Offision のパスワードそのもののルールと、誰かが間違えたときに何が起きるかを決めます。ユーザーセキュリティプロファイルは、その人がどこからサインインできるか、第2の要素が必要かどうか、どの IP アドレスからかを決めます。

意外に思われるところ

Microsoft 365 や Google でのサインインは、パスワードポリシーをまるごと迂回します。失敗回数によるロックも、有効期限も、再利用のチェックも、2要素認証の要求もありません。 LDAP や Active Directory でのサインインも同じです。

これは見落としではありません。これらのサインインには、ルールを当てる対象となる Offision のパスワードが存在しないからです。Offision がその人を見るより前に ID プロバイダーが資格情報を確認しており、ロックや多要素認証を実施しているのもそちらです。全員が Microsoft 365 経由でサインインする会社では、ログイン失敗の最大回数 を3にしても何も起きません。そのルールを設定する場所は Microsoft のコンソールであって、この画面ではありません。

ですからパスワードポリシーは、一部または全員が Offision のパスワードでサインインする場合に設定する価値があります。全員がシングルサインオンを使う環境では、何も働きません。

全員に効くもの

どのようにサインインしたかにかかわらず、すべての人に適用されるものが3つあります。

セキュリティプロファイルの IP制限 は保存されますが、現時点では何にも適用されません。範囲外の人もそのままサインインできます。将来のリリースで有効になるまではメモとして扱ってください。外部から閉じるべきネットワークは、ここではなくファイアウォールや VPN で閉じます。

プラットフォームのスイッチ — デスクトップブラウザ、iOS / Android ブラウザ、 iOS / Android アプリ、Outlook / Teams アドイン — はサーバーではなく、アプリ自身が開いたときに確認します。禁止されたプラットフォームの人には理由が示され、サインアウトされます。

ユーザーの自動ログアウトを有効にする は、キーボードや画面に触れないまま指定の分数が過ぎた時点でセッションを終わらせます。アプリの中で動くため、どこから来た人にも適用されます。

セキュリティプロファイルは人ごとに割り当て、そのうち1つが新規ユーザーに自動で適用される既定のプロファイルです。

これでは決まらないこと

どれも、すでに動いているセッションを終わらせません。 パスワードポリシーの変更も、 IP制限の追加も、プラットフォームの停止も、制御するのは 次の サインインと次のリクエストです。すでにサインインしている人は、そのデバイスをログアウトさせるまでサインインしたままです。それが ログインデバイスであり、別の作業です。

誰が何を見られるか、何ができるか は権限の話であって、セキュリティの話ではありません。プロファイルが決めるのはどこからサインインするかだけで、入った後に何に手が届くかは決めません。

Windows アプリ は 4.5.9 から デスクトップブラウザ のスイッチに従います。それ以前はどのスイッチの対象でもなかったため、デスクトップブラウザを禁止したプロファイルでも Windows アプリは入れました。