紛失・盗難にあったデバイスをログアウトさせる

1. 特定の人のデバイスをログアウトさせる

ディレクトリ › ユーザー から本人を開き、編集 を選び、レコード横のログインデバイス へ進みます。項目には件数が付いているので、開く前にサインイン数が分かります。

デバイスは最後に使われた時期でグループ分けされるので、進行中のセッションは先頭の使用中 にあります。デバイスを選び、目的のものか確かめてから、パネル下部の強制ログアウト を使います。

一覧下部の すべて強制ログアウト は、その人のデバイスをすべて終了させます。退職者や乗っ取られたアカウントにはこちらが適切で、紛失した1台を特定する必要もありません。

2. またはテナント全体の一覧から

ユーザーデバイス は全員分のサインイン中デバイスを一覧にします。ディレクトリの下にありますが、既定でピン留めされているページではありません。ディレクトリメニューの すべて表示 から開いてください。

検索はデバイス・人・IPアドレス・場所に一致し、種類フィルターで1種類に絞れます。行を選ぶと表の横に詳細が開き、そこに 強制ログアウト があります。

複数の場合は左端でチェックを入れます。表の上にツールバーが現れ、強制ログアウトが選択したすべてに対して働きます。

Offision が「このデバイスを強制ログアウトしてもよろしいですか？」と確認し、完了するとその行は消えます。

3. 誰がサインインしていたかを調べる

デバイス一覧に出るのは いま サインインしているものだけです。失敗した試行を含む履歴は システム設定 › 監査証跡 にあります。監査証跡機能の一部で、設定を管理できるアカウントが必要です。

Offision 上で誰かが行ったことはすべてここに集まるので、作業は絞り込みです。どちらのフィルターも表のヘッダーにあります。列見出しの ユーザー、そして詳細列の上にあるアクション のチップです。アクションは項目が多いので、ピッカー内の検索を使ってください。

チェックする価値があるのは ログイン、ログイン失敗、ログアウト、全てログアウト、セッションを強制ログアウト、二要素認証成功 と二要素認証失敗、パスワード変更、ユーザーパスワードのリセット、管理コンソールを開く です。各行には接続元の IP アドレスと、そのアドレスが指す場所が付きます。

アドレスは事実ではなく傾向として読んでください。場所がなぜ概略でしかないのかはログインデバイスの仕組み を参照。知っておく価値のある形は次のとおりです。

• 「ログイン失敗」が続いたあとの「ログイン」 — 誰かが推測を重ね、ついに通ってしまった状態です。アカウントは侵害されたものとして扱ってください。
• 「ログイン失敗」が繰り返され、一度も成功していない — たいていはパスワード忘れか、古いパスワードを送り続けているスマートフォンです。
• パスワード成功のあとの「二要素認証失敗」 — パスワードは持っているが端末は持っていない誰かです。それでもパスワードは変更が必要です。

4. その人が退職もしている場合

デバイスをログアウトさせると、そのサインインは終わります。ただし、本人がサインインし直すことは止まりません。 アカウントはまだ生きているからです。

ですから退職者には、次の順で両方を行ってください。

1. アカウントを無効化する — 退職者を削除する を参照。
2. その人のデバイスを すべて強制ログアウト する。

この順番が重要です。先に無効化して扉を閉じ、そのあとで中にいる人を追い出します。逆にすると、その隙間にサインインし直されます。

5. それでもアクセスできる場合

原因は4つ、実際に多い順に並べると次のとおりです。

1. サインインし直している。 対応後に新しいデバイス行が現れています。強制ログアウトはセッションを終わらせますが、アカウントは無効にしません。先に無効化してください。
2. 無効化では何もログアウトしていない。 無効化・削除・パスワードのリセットは、動いているセッションを最大30日間そのまま残します。終わらせるのはすべて強制ログアウト だけです。
3. 対応前から開いていた画面。 読み込み済みの内容は残りますが、新しいものは取得できません。調べる前に再読み込みしてもらってください。多くはここで終わります。
4. 大規模な環境がまだ追いついていない。 すべてのサーバーに伝わるまで最大5分ほど。待ってからもう一度試してください。