セキュリティ設定

セキュリティ設定で、管理者のアクセスIP、ログイン保護、新しい端末の承認、管理者の2段階認証を必須にするかどうか、一般APIのリクエスト制限を設定します。関連する項目を8つのカードにまとめてあり、1つの画面で変更して保存します。

始める前に

• 必要な権限：セキュリティ設定の権限を持つ管理者

セキュリティ設定画面を開く

1. 管理者ページにアクセスします。
2. 左側のセキュリティ管理を選択します。
3. セキュリティ設定を選択します。

上部のメニュー・設定を検索で、カード名や項目名を検索して移動することもできます。検索結果から移動すると、該当するカードが開き、項目の位置がしばらく強調表示されます。

カードの右側の矢印を選択すると、詳細項目が開きます。閉じているカードには、現在の設定が要約されます。

IPアクセス制限

管理者ページにアクセスできるIPを制限します。IPアクセス制限を有効にするをオンにし、現在の接続IPを含む許可リストを確認します。入力・保存の手順と、アクセスがブロックされた場合の注意事項は、IPアクセス制限を参照してください。

ログイン例外のリストとは別のものです。ホワイトリストIPに登録しても、管理者ページへのアクセスが許可されるわけではありません。

セキュリティ動作・通知

全体セキュリティフィルタ機能の使用は、ログインのセキュリティ検査と自動ブロックをオンまたはオフにします。既定値は有効です。オフにすると、ログイン失敗・ログインリクエスト制限・パターン検出によるブロックが停止します。失敗の記録は引き続き残ります。

管理者IPアクセス制限、新しい端末からのログインのポリシー、一般APIのIP別リクエスト制限は、このトグルとは別です。カード内でセキュリティ通知を設定します。

自動ブロックの通知は、しきい値に関係なく送信します。新しい端末からのログインの通知は、この通知設定とは別です。

ログイン保護

失敗回数と集計期間、ブロック期間を同じカードで設定します。最近ログインした場所をアカウントロックの対象から除外するかどうかも、あわせて決めます。

失敗の集計期間とブロック期間

段階的ブロック・高度な検知

段階的ブロック・高度な検知を開くと、段階的ブロック、パターン検出、複数のIPからのログイン失敗の検知が表示されます。段階的ブロックとパターン検出は、既定値が有効です。各トグルをオフにすると、対応する数値項目は無効になります。

段階的ブロックはブロック期間 × 倍数^(以前の自動ブロック回数)で計算され、最大ブロック期間を超えません。User-Agentはブラウザーやアプリの識別情報であり、一般的なブラウザーと信頼された公式アプリは、User-Agentの失敗集計から除外されます。

新しい端末からのログイン

初めての端末からログインするときの処理方法を選択します。既定値は制御しないです。

管理者の承認が必要を選択し、右上の保存で適用します。この方式は、Team以上で選択できます。申請は、管理者ホームの今すぐ対応する項目と、セキュリティ管理 > 承認待ちの端末で承認または拒否します。詳しい手順は、承認待ちの端末を処理するを参照してください。

• 一般アカウントは、最初の端末でも、ホワイトリストIPからでも、管理者の承認が必要です。
• 制御しない・許可して通知などで自動登録された端末も、承認ポリシーをオンにした後は、あらためて管理者の承認を受ける必要があります。
• 最高管理者と全体管理者は、ポリシーを復旧できるように、端末承認の対象から除外されます。
• リバースプロキシ環境では、実際の接続IPが渡されていることを確認します。IPホワイトリストと接続IPの確認の有無は、一般アカウントの端末承認を省略する条件ではありません。

管理者の2段階認証

管理者の2段階認証を必須にするをオンにすると、すべての管理者アカウントが認証アプリによる2段階認証を登録する必要があります。既定値はオフです。登録していない管理者はログイン後に登録画面へ移動し、登録を終えるまで管理者ページ、ファイル、リアルタイム接続を使えません。

同じカードの自分の2段階認証に、現在のアカウントの状態が表示されます。ポリシーをオンにする管理者がまだ登録していない場合は、先に設定画面を開くで自分のアカウントに登録します。登録の手順と復旧方法は、管理者の2段階認証を設定するを参照してください。

ログイン要求の速度制限

短時間に集中するログインリクエストを制限します。既定値は有効で、オフにすると、このカードの数値入力が無効になります。

一般APIのIP別リクエスト制限

ファイルのWebSocket接続リクエストを含む、一般API全体のIP別の処理量を設定します。ログイン保護およびWebspaceの同時接続上限とは独立しています。

社内NATでは、複数のユーザーやタブの初期読み込みが1つのIPに重なることがあります。瞬間バーストを含めて設定し、実際のピークトラフィックとHTTP 429の指標を確認しながら調整します。

ログイン保護の例外・共有ネットワーク

リストごとの追加ボタンで項目を登録し、ごみ箱アイコンで削除します。IPアドレスは203.0.113.10、範囲は203.0.113.0/24のようにCIDRで入力します。空の入力行は、保存時に削除されます。下の既定値はデフォルトにリセットを基準としたもので、すでに保存されている空のリストが自動的に埋められることはありません。

社内の共有IPは、必要な範囲だけを社内共有ネットワークとして登録します。管理者ページの許可IPリストは、このリストとは別に管理します。

保存と既定値へのリセット

1. 右上の保存を選択します。
2. 確認ウィンドウで確認を選択します。
3. 保存完了の案内が表示され、変更ありの表示が消えたことを確認します。

カードごとの保存ボタンはなく、1つの画面の変更内容をまとめて保存します。許容範囲を外れた数値には、入力欄の下に案内が表示されます。保存時の検証でエラーが見つかると、該当するカードと詳細項目が開き、修正する入力欄に移動します。

IPアクセス制限の保存に失敗した場合は、失敗の案内を確認し、残っている変更内容をもう一度保存します。ほかのセキュリティ設定が先に保存された場合は、一部保存の案内が表示されます。

デフォルトにリセットを選択して確認すると、画面の値を既定値に変更します。IPアクセス制限も無効になり、許可リストが空になります。適用するには、もう一度保存を選択する必要があります。

保存していない変更内容があると、その表示が現れます。ほかのページに移動するときは、変更内容を破棄するかどうかを確認され、キャンセルすると現在の画面の値を維持します。

注意事項

• 失敗回数の制限が低いと、パスワードを忘れたユーザーも簡単にブロックされます。最近ログインした場所はアカウントロックの対象外にする（推奨）の適用範囲を確認します。
• ログイン例外には、必要なIP・ユーザーだけを登録します。新しい端末の管理者承認と管理者IPアクセス制限は、ログインのホワイトリストでは省略されません。
• 設定を保存した後、一般のテストアカウントで、ログイン失敗・新しい端末の承認・ブロック解除が意図したとおりに動作することを確認します。
• セキュリティの概要のセキュリティ診断実行は、現在の接続セッションを基準とした点検です。一般アカウントや外部からの接続の動作は、別途確認します。
• すでにブロックされている対象は、ブロック管理で確認して解除します。

関連ドキュメント

• 管理者メニューを確認する
• IPアクセス制限
• 承認待ちの端末を処理する
• 管理者の2段階認証を設定する