Omnissa Connect の [ガバナンス] 領域を使用して、多くの基本的な ID ガバナンスと管理 (IGA) 機能を操作します。これには、IGA が有効になっている組織でのロール要求とデフォルト ロールの制御、 OAuth アプリケーションおよび管理者アクセス違反の管理、API トークンの管理などが含まれます。高度な IGA 機能を使用する場合に向けて、フェデレーション ドメインに対してこれらの機能を有効にし、リンクする方法について説明します。
IGA 機能を使用するための要件
IGA 機能を使用するには、組織にフェデレーション ドメインが必要です。
IGA 機能を使用するメリット
| 役割 | 基本的な IGA を使用 | 高度な IGA を使用 |
|---|---|---|
| 所有者 | - Omnissa Connect の IGA ダッシュボード の**[ガバナンス]** ページにアクセスできます。 - メンバーが追加ロールのセルフサービス リクエストを送信できる機能を有効または無効にします。 - 受信した組織ロールおよびサービス ロールのリクエストを管理して、組織内のサービスへのアクセスを制御します。 - 違反を監視し、脅威に即時対応します。 | 企業 ID プロバイダにリンクされ、ガバナンスが有効になっている組織で、サービスをオンボーディングします。 |
| メンバー | 組織で有効になっている場合は、追加の組織ロールとサービス ロールに対するセルフサービス アクセス リクエストを送信します。 | 企業 ID プロバイダにリンクされ、ガバナンスが有効になっている組織で、自身をオンボーディングします。 |
高度な IGA
フェデレーション ドメインのエンタープライズ管理者は、管理組織の [エンタープライズ フェデレーション] ダッシュボードから、エンタープライズ内の組織の高度な IGA 機能を有効または無効にできます。
[エンタープライズ フェデレーション] ダッシュボードの 関連組織 セクションでは、フェデレーション ドメイン内の組織のリストが、高度な IGA 機能の有効/無効の別とともに表示されます。エンタープライズ管理者は、エンタープライズ内のすべての組織に対して高度な IGA 機能へのアクセスを管理できます。
高度な IGA 機能を有効にする
エンタープライズ管理者は、企業 ID プロバイダにリンクされた、一部またはすべての Omnissa Connect 組織に対して、高度な IGA 機能を有効にする必要があります。
- 管理組織にログインします。
- 左側のナビゲーションで、[ID 管理] > [エンタープライズ フェデレーション] の順に移動します。[エンタープライズ フェデレーション] ダッシュボードを表示します。
- [企業 IdP にリンクされている組織] タイルを選択します。
- 表示された組織のリストで、高度な IGA 機能を有効にする組織を 1 つ以上選択します。
- [高度な機能の有効化] を選択します。
選択した組織の所有者が高度な IGA 機能を使用できるようになります。
ID プロバイダをリンクさせる
ドメインがフェデレーションされている場合は、高度な ID ガバナンスと管理 (IGA) 機能を使用して、組織以外の管理者を Omnissa Connect に簡単にオンボーディングできます。
組織を ID プロバイダ (IdP) にリンクさせます。組織を IdP にリンクできるのは、フェデレーション ドメインの所有者のみです。
- Omnissa Connect にログインし、[組織設定] を選択します。
- [ID プロバイダにリンクされたドメイン] セクションまで下にスクロールして、[ID プロバイダをリンク] を選択します。
IdP と、組織に関連付けられているドメインがポップアップ ウィンドウに表示されます。 - [リンク] を選択し、[続行] を選択します。
エンタープライズ管理者が [エンタープライズ フェデレーション] ダッシュボードで高度な IGA 機能を有効にしている場合、組織で高度な IGA 機能を利用できるようになりました。
要求
ID ガバナンスと管理 (IGA) が有効になっている組織の所有者は、[管理者アクセス] > [ガバナンス] > [リクエスト] 領域を使用して、組織ロールとサービス ロールのリクエストを管理します。
セルフサービス リクエストを有効または無効にする
- [管理者アクセス] > [ガバナンス] > [リクエスト] > [設定] の順に移動します。
- [追加ロールのリクエスト] 領域で、[ステータス] スライド ボタンを有効または無効にします。
- [保存] を選択します。
追加ロールの保留中のリクエストを処理する
組織ロールとサービス ロールへのアクセスに対するすべての受信リクエストは、[管理者アクセス] > [ガバナンス] > [リクエスト] ページの [保留中のリクエスト] セクションに表示されます。[過去のリクエスト] 領域では、組織内で作成されたすべてのリクエストの履歴データを確認できます。
リクエストを承認または拒否するには、[保留中のリクエスト] リストで 1 つまたは複数のエントリを選択し、対応するボタンを選択します。リクエストが承認または拒否されると、ロールへのアクセスを要求した管理者に E メール通知が送信されます。
アクセス リクエストを承認前に変更することはできますか。
所有者は、メンバーが要求したサービス ロールへのアクセスの期間を変更できます。元のリクエストの期間を表示するには、[リクエスト ID] リンクをクリックします。要求された期間を変更するには、[承認] を選択し、[変更を伴う承認] を選択します。設定を変更し、加えた変更を送信します。
注：[変更を伴う承認] オプションは、サービス ロール アクセスのリクエストでのみ使用できます。組織ロールには適用できません。
所有者は、メンバーが最初に申請したサービス ロールのアクセス権を変更できません。自分が承認する適切なアクセス レベルについて申請者にガイダンスを提供する場合は、要求を拒否するときにメッセージを含めることができます。申請者には E メール通知が送信され、適切な組織ロールとサービス ロールを含む新しいアクセス リクエストを送信できます。
リクエストとデフォルト ロールの付与（高度な IGA 機能）
ID ガバナンスと管理 (IGA) が有効になっている組織の所有者は、ポリシーを設定することによって、組織内の管理者にデフォルトの組織ロールとサービス ロールを割り当てることができます。
このポリシーによって付与されるデフォルトのロールは、指定されたフェデレーション ドメインから組織にログインするすべての管理者に適用され、管理者レベルでは編集できません。デフォルトのロール資格を変更するには、ポリシーを変更する必要があります。
既知の制限事項
所有者は、ポリシーに基づいてデフォルトのロールが付与され、組織内の他のロールを持たない組織内の管理者を表示できないという既知の問題があります。これらの管理者は、追加のロールを要求して、そのリクエストが承認されない限り、Omnissa Connect の [管理者] リストに表示されません。デフォルトのロールを持つ管理者が組織内の追加のロールを取得すると、[管理者] リストに表示されます。所有者は、追加のロールを付与できます。
前提条件
- 企業 ID プロバイダは、Omnissa Connect にリンクされています。
- 組織内で高度な IGA 機能が有効になります。
- 組織内での所有者ロールが必要です。
手順
- Omnissa Connect にログインします。
- [管理者アクセス] > [ガバナンス] の順に移動し、[リクエスト] タブを選択します。
- [設定] を選択します。
- [デフォルト ロールの付与] セクションで、[ドメイン ポリシーの追加] リンクを選択します。
- [ドメイン ポリシーの追加] ウィジェットを完成させます。
- 新しいポリシーの名前と説明を入力します。
- ポリシーを適用するドメインを選択します。
- 指定したドメインから組織にログインする、すべての管理者に自動的に割り当てる組織ロールを選択します。
- [追加のロール] リストから追加のロールを選択します。
- メンバーには、OAuth アプリケーションを作成および管理するための [開発者] ロールが必要です。
- 管理者またはメンバーは、請求を表示するには、[請求読み取り専用] ロールが必要です。
- [保存] を選択します。
結果
指定したドメインのすべての管理者は、Omnissa Connect にログインすると指定されたロールを使用できるようになります。
違反
ID ガバナンスと管理 (IGA) が有効になっている組織の所有者は、組織内の管理者ログイン、および OAuth アプリケーションと API トークンを使用したログインのアクセス違反を監視します。また、違反をトリガするポリシーを定義および変更します。
OAuth アプリケーションと API トークンのさまざまなトリガ（非アクティブな API トークン、非アクティブな OAuth 所有者、幅広いサービス範囲、OAuth アプリケーションのセキュリティ保護されていない URI/未承認の URI など）を有効にすることで、IGA が有効になっている組織のログインに対する違反ポリシーを設定します。
注：[送信元ドメイン] 認証ポリシーが有効になっている場合、ポリシー設定で許可されていないドメインからのすべてのログイン試行に対して、ユーザー アクセス違反がキャプチャされます。
OAuth アプリケーションの違反ポリシーの構成
- [管理者アクセス] > [ガバナンス] > [違反] の順に移動し、[設定] メニュー オプションを使用します。
- 表示される [OAuth アプリケーション設定] ページを構成して、OAuth アプリケーションの設定を必要に応じて変更します。
- [保存] を選択します。
違反の管理
ID ガバナンスと管理 (IGA) が有効になっている組織で違反を監視する所有者は、組織内で検出された違反に対してアクションを実行できます。違反の一覧にアクセスするには、[管理者アクセス] > [ガバナンス] > [違反] の順に移動します。
組織でキャプチャされた違反は、違反をトリガした Omnissa Connect へのログインに使用された、認証方法のタイプ別にグループ化されます。それぞれのタブを選択すると、違反の一覧、および違反に対応するために実行できるアクションが表示されます。
- [管理者アクセス] > [ガバナンス] > [違反] > [OAuth アプリケーション] タブには、違反をトリガしたアプリケーションの名前、重要度、説明、OAuth アプリケーションを作成した組織ユーザーの E メールが表示されます。
- [管理者アクセス] > [ガバナンス] > [違反] > [ユーザー アクセス] タブには、違反をトリガしたログインを試行した組織管理者の E メール、重要度、違反が発生した日付、発生元のドメインが表示されます。送信元ドメイン認証ポリシーで許可されていないドメインからのログイン試行について、管理者アクセス違反がキャプチャされます。
- **[管理者アクセス] > [ガバナンス] > [APIトークン]**タブには、違反をトリガした API トークンの名前、重要度、説明、API トークンを作成した組織管理者の E メールが表示されます。
次の表で、組織内の違反に対応して実行できるアクションについて説明します。
| 目的 | 実行する手順 |
|---|---|
| 違反の可視性の変更 | このアクションでは、違反の可視性のステータスが Active から Hidden に変更されます。違反は削除されません。このアクションは元に戻すことができます。 1. 非表示にする違反を特定し、対応する二重矢印を選択して詳細を展開します。 2. 非表示にするアクティブな違反の横にあるチェック ボックスを選択します。 3.[非表示] を選択します。 違反は詳細セクションに表示されなくなります。 |
| 非表示にした違反の表示 | このアクションは、Hidden ステータスの違反を表示します。 違反の詳細セクションを展開し、[すべて表示] トグルをオンに切り替えます。非表示にしたすべての違反が表示されます。 |
| 組織からの OAuth アプリケーションの削除 | このアクションでは、OAuth アプリケーションが削除され、組織へのアクセスがブロックされます。OAuth アプリケーションが削除されておらず、このアプリケーションから追加の違反はまだ報告されていません。[違反] ページからの削除アクションを元に戻すことはできません。この OAuth アプリケーションからの違反を監視するには、アプリケーションを組織にもう一度追加する必要があります。 1.[違反] ページで、[OAuth アプリケーション] タブを開きます。 2. 削除するアプリケーションを特定します。 3. 名前の横にあるチェック ボックスを選択します。 4.[削除] を選択します。 |
| 違反の重大度の編集 | 組織のニーズに基づいて、違反の条件に重要度を定義できます。 1.[違反] ページで、[設定] をクリックします。 2.[重大度] ドロップダウン メニューを使用して、変更する違反条件ごとに設定を変更します。 3.[保存] を選択します。 |
API トークン
ID ガバナンスと管理 (IGA) が有効になっている組織の所有者は、組織で作成された API トークンを監視し、新しく作成されたすべてのトークンのアイドル時間と最大有効期間 (TTL) の制約を設定できます。
[API トークン] ダッシュボードにアクセスするには、Omnissa Connect を開き、[管理者アクセス] > [ガバナンス] > [API トークン] タブの順に移動します。ダッシュボードが開き、組織の管理者が作成したすべての API トークンのリストが表示されます。
各 API トークンについて、トークン名、API トークンを作成した組織の管理者の名前、作成日と有効期限、トークンが最後に使用された日付、トークンの範囲（トークンに割り当てられた組織ロール）などの詳細を表示できます。
組織の TTL ポリシーに違反している場合は、[API トークン] ダッシュボードのリストにアラート アイコンが表示されます。組織に設定された TTL ポリシーは、組織内の管理者が作成したすべての新しい API トークンに適用されます。TTL ポリシーを変更すると、新しい設定に違反している以前に作成されたすべての API トークンの横にアラート アイコンが表示されます。
有効化、無効化、または変更できる TTL ポリシー設定は 2 つあります。
- アイドル トークン TTL：この設定は、API トークンがポリシー違反になるまでのアイドル有効期間を定義します。
- 最大トークン TTL：この設定は、組織で作成された API トークンに許容される最大有効期間を定義します。組織の管理者は、この設定で定義された最大トークン TTL を超える API トークンを生成できません。
API トークンがポリシーまたはガイドラインに違反した場合に実行可能な操作
API トークンが組織内の TTL ポリシーに違反しているか、何らかの疑わしい点がある場合は、[API トークン] ダッシュボードからトークンを無効にすることができます。これにより、そのトークンを使用して組織内のリソースにアクセスすることができなくなります。
- [API トークン] ダッシュボードで、無効にする API トークンを選択します。
- [無効化] リンクを選択します。
- API トークンのステータスが [アクティベーション済み] から [非アクティブ] に変わります。
- API トークンの所有者は、組織へのアクセスに使用しているトークンを所有者が無効にしたことを示す、E メール通知を Omnissa Connect から受け取ります。
- 無効にされた API トークンを再度有効にするには、ダッシュボードで API トークンを選択し、[有効化] リンクを選択します。
- 再有効化を確認する E メール通知が API トークンの所有者に送信されます。
API トークンの TTL ポリシーを変更する方法
API トークンの TTL ポリシーを変更するには、次の手順を実行します。
- [管理者アクセス] > [ガバナンス] > [API トークン] タブで、 **[設定]**を選択します。
- ポリシーを有効または無効にするには、[ポリシー ステータス] スライダを使用します。
- TTL 設定を変更するには、それぞれの TTL 設定セクションに新しい値を入力し、ドロップダウン リストから時間単位を選択します。時間単位として、分、時間、または日を選択できます。
- [保存] を選択します。
API トークンの検証は 24 時間ごとに実行されます
ポリシーに対する既存のトークンの検証は、24 時間に 1 回実行されます。実行した変更の結果として、[API トークン] ダッシュボードの違反リストが更新されるまでに時間がかかることがあります。
このページは役に立ちましたか?