Omnissa Access での IP アドレスベースのセッション トークン バインドの構成

Omnissa Access で IP アドレスベースのセッション トークン バインドを構成し、セッション ハイジャックによる不正アクセスを防止できます。

この機能を有効にすると、Omnissa Access は、ユーザーがユーザーのデバイス IP アドレスにログインしたときに生成されるセッションまたはアクセス トークンをバインドします。セッション中の後続のすべての要求は、トークンに関連付けられている IP アドレスと要求を行うデバイスの IP アドレスを比較することによって検証されます。セッションがハイジャックされ、攻撃者がトークンを使用して別の IP アドレスから要求を行った場合、Omnissa Access はその要求を拒否し、攻撃者をログイン ページにリダイレクトします。元のユーザーはセッションを引き続き使用できます。

Omnissa Access は、IP アドレスの不一致が原因で要求が失敗するたびに監査イベントを生成します。

この機能は次の方法で構成できます。

• IP アドレスベースのセッション トークン バインドの有効化
  Omnissa Access は、セッション中に別の IP アドレスからの要求を検出すると、要求を拒否し、要求者をログイン ページにリダイレクトします。また、監査イベントもログに記録されます。

• 監視専用モードでの IP アドレスベースのセッション トークン バインドの有効化
  Omnissa Access は、セッション中に別の IP アドレスからの要求を検出すると、監査イベントをログに記録しますが、要求を拒否しません。監査イベントを監視して、実行するアクションを決定できます。

IP アドレスベースのセッション トークン バインドの有効化

1. Omnissa Access コンソールで、[設定] > [ログイン設定] の順に選択します。

2. [IP アドレスベースのセッション トークン バインド] セクションまでスクロールします。

3. [IP アドレスベースのセッション トークン バインドの有効化] チェック ボックスをオンにします。

   

4. （オプション）潜在的なセッション ハイジャックの試行をログに記録するだけで、要求を拒否しない場合は、[監視専用モードの有効化] をオンにします。

   注意：このオプションをオンにすると、Omnissa Access は不正アクセスを防止しません。イベントの記録のみを行います。

   注：監視専用モードを有効または無効にすると、すべてのアクティブ ユーザーに対して変更がすぐに有効になりません。この変更は、ユーザーの現在のリフレッシュ トークンの有効期限が切れ、新しいリフレッシュ トークンが発行された後にのみ適用されます。

   リフレッシュ トークンの生存期間 (TTL) は、テナントの OAuth 2.0 クライアント構成によって決まります。リフレッシュ トークンはユーザーごとに異なる時間に発行されるため、この変更が有効になる時期はユーザーごとに異なります。

IP アドレスベースのセッション トークン バインドに関連する監査イベントの監視

デバイスの IP アドレスがトークンにバインドされた元の IP アドレスと一致しなかったためにセッションまたはアクセス トークンが拒否されると生成される監査イベントを表示できます。これらのイベントのタイプは FINGERPRINT_VALIDATION です。

1. Omnissa Access コンソールで、[監視] > [レポート] の順に選択します。

2. [監査イベント] レポートを選択します。

3. [ユーザー] では、セッションが終了したユーザーを選択するか、フィールドを空白のままにしてすべてのユーザーのイベントを表示します。

4. [タイプ] では、[FINGERPRINT_VALIDATION] を選択します。

5. [結果の表示] をクリックして、イベントを表示します。

   例：

6. [詳細の表示] をクリックします。

   メッセージ "Failed during validation of token fingerprint." は、障害の原因を示します。また、要求の実行元の IP アドレス (ACTUAL_REQUEST_IP) と、セッションまたはアクセス トークンにバインドされた元の IP アドレス (ORIGINAL_REQUEST_IP) も表示できます。

   例：