紛失・盗難にあったデバイスをログアウトさせる

1. 特定の人のデバイスをログアウトさせる

ディレクトリ › ユーザー から本人を開き、編集 を選び、レコード横の ログインデバイス へ進みます。項目には件数が付いているので、開く前にサインイン数が 分かります。

デバイスは最後に使われた時期でグループ分けされるので、進行中のセッションは先頭の 使用中 にあります。デバイスを選び、目的のものか確かめてから、パネル下部の 強制ログアウト を使います。

一覧下部の すべて強制ログアウト は、その人のデバイスをすべて終了させます。 退職者や乗っ取られたアカウントにはこちらが適切で、紛失した1台を特定する必要も ありません。

2. またはテナント全体の一覧から

ユーザーデバイス は全員分のサインイン中デバイスを一覧にします。ディレクトリ の下にありますが、既定でピン留めされている ページではありません。ディレクトリメニューの すべて表示 から開いてください。

検索はデバイス・人・IPアドレス・場所に一致し、種類フィルターで1種類に絞れます。 行を選ぶと表の横に詳細が開き、そこに 強制ログアウト があります。

複数の場合は左端でチェックを入れます。表の上にツールバーが現れ、強制ログアウト が選択したすべてに対して働きます。

Offision が「このデバイスを強制ログアウトしてもよろしいですか？」と確認し、完了すると その行は消えます。

3. 誰がサインインしていたかを調べる

デバイス一覧に出るのは いま サインインしているものだけです。失敗した試行を含む 履歴は システム設定 › 監査証跡 にあります。監査証跡機能の一部で、設定を管理 できるアカウントが必要です。

Offision 上で誰かが行ったことはすべてここに集まるので、作業は絞り込みです。どちらの フィルターも表のヘッダーにあります。列見出しの ユーザー、そして詳細列の上にある アクション のチップです。アクションは項目が多いので、ピッカー内の検索を使って ください。

チェックする価値があるのは ログイン、ログイン失敗、ログアウト、 全てログアウト、セッションを強制ログアウト、二要素認証成功 と 二要素認証失敗、パスワード変更、ユーザーパスワードのリセット、 管理コンソールを開く です。各行には接続元の IP アドレスと、そのアドレスが指す 場所が付きます。

アドレスは事実ではなく傾向として読んでください。場所がなぜ概略でしかないのかは ログインデバイスの仕組み を参照。知っておく価値のある 形は次のとおりです。

• 「ログイン失敗」が続いたあとの「ログイン」 — 誰かが推測を重ね、ついに通って しまった状態です。アカウントは侵害されたものとして扱ってください。
• 「ログイン失敗」が繰り返され、一度も成功していない — たいていはパスワード忘れか、 古いパスワードを送り続けているスマートフォンです。
• パスワード成功のあとの「二要素認証失敗」 — パスワードは持っているが端末は 持っていない誰かです。それでもパスワードは変更が必要です。

4. その人が退職もしている場合

デバイスをログアウトさせると、そのサインインは終わります。ただし、本人が サインインし直すことは止まりません。 アカウントはまだ生きているからです。

ですから退職者には、次の順で両方を行ってください。

1. アカウントを無効化する — 退職者を削除する を参照。
2. その人のデバイスを すべて強制ログアウト する。

この順番が重要です。先に無効化して扉を閉じ、そのあとで中にいる人を追い出します。 逆にすると、その隙間にサインインし直されます。

5. それでもアクセスできる場合

原因は4つ、実際に多い順に並べると次のとおりです。

1. サインインし直している。 対応後に新しいデバイス行が現れています。強制ログアウトは セッションを終わらせますが、アカウントは無効にしません。先に無効化してください。
2. 無効化では何もログアウトしていない。 無効化・削除・パスワードのリセットは、 動いているセッションを最大30日間そのまま残します。終わらせるのは すべて強制ログアウト だけです。
3. 対応前から開いていた画面。 読み込み済みの内容は残りますが、新しいものは取得 できません。調べる前に再読み込みしてもらってください。多くはここで終わります。
4. 大規模な環境がまだ追いついていない。 すべてのサーバーに伝わるまで最大5分ほど。 待ってからもう一度試してください。