MFA ルールの構成
多要素認証（MFA）は、すべてのユーザー接続に対して有効または無効にできますが、特定の接続に対してはより複雑なルールを構成できますこの機能を使用すると、同じユーザーやコンピューターに対して MFA を有効化/無効化し、ユーザーがどの場所のどのデバイスから接続しているかに応じてポリシーを適用することが可能になります。各 MFA プロバイダーには、ユーザー接続に対するマッチングに使用される 1 つまたは複数の条件で構成されるルールがあります。各条件は、マッチング可能な 1 つまたは複数の特定のオブジェクトで構成されています。
次のオブジェクトのマッチングを実行できます。
- ユーザー、ユーザーが所属するグループ、またはユーザーが接続するコンピューター
- ユーザーが接続する Secure Gateway
- クライアントデバイス名
- クライアントデバイスのオペレーティングシステム
- IP アドレス
- MAC アドレス
ルールについて、次のことに注意してください。
- 条件は AND 演算子で連結されます。たとえばあるルールに、特定の IP アドレスに一致という条件とクライアントデバイスのオペレーティングシステムに一致という条件が含まれる場合、ユーザーの接続が IP アドレスの条件とクライアントオペレーティングシステムの条件の両方に一致する場合に、ルールが適用されます。
- オブジェクトは OR 演算子で接続されます。たとえば、クライアントデバイスのオペレーティングシステムに一致するという条件のみを作成した場合、いずれかのオペレーティングシステムがクライアント接続に一致すれば、ルールが適用されます。
ルールを構成するには、次の操作を実行します。
- [サイト設定] > [接続] > [多要素認証] に移動します。
- 構成する Google Authenticator プロバイダーの名前をダブルクリックします。
- 制限 リンクをクリックします。
- [編集] ボタンをクリックします。
- [デフォルトを継承] オプションをオフにします。
-
ルールの条件を指定します。以下のコントロールを利用できます。
- Allow : 指定すると、ユーザー接続が条件に一致した場合に、MFA プロバイダーを有効化しなければならなくなります。 Allow をクリックして、 Deny に変更できます。
- Disable : ユーザー接続が条件に一致した場合に、MFA プロバイダーを有効にしないというポリシーを指定します。 Deny をクリックして、 Allow に変更できます。
- （+）: 新しい条件を追加します。一致条件として、Secure Gateway、クライアントデバイス名、クライアントデバイスのオペレーティングシステム、IP アドレス、MAC アドレスのいずれかを使用したい場合は、 （+） をクリックします。
- is: ユーザー接続が条件に一致した場合に、MFA プロバイダーを有効化すること（または有効化しないこと。 Allow と Deny による）を指定します。is をクリックして、 is not に変更できます。このコントロールは、少なくとも 1 件のオブジェクトが追加されたときに表示されます。
- is not: ユーザー接続が条件に一致しなかった場合に、MFA プロバイダーを有効化すること（または有効化しないこと。 Allow と Deny による）を指定します。is not をクリックして、 is に変更できます。このコントロールは、少なくとも 1 件のオブジェクトが追加されたときに表示されます。
また、条件の左側のスイッチをクリックすることで、条件を無効化および有効化できます。
- 完了したら、 [保存] をクリックします。