条件付きアクセスの概要

お知らせ：当社は、お客様により充実したサポート情報を迅速に提供するため、本ページのコンテンツは機械翻訳を用いて日本語に翻訳しています。正確かつ最新のサポート情報をご覧いただくには、本内容の英語版を参照してください。

条件付きアクセスを使用すると、ユーザーが自分のアカウントにどのような状況でアクセスできるかを制御するポリシーを設定できます。たとえば、ユーザーが Zoho アカウントにサインインできる曜日、場所、デバイスを条件として指定できます。

条件

ポリシーがユーザーに適用されると、そのユーザーの現在のサインイン試行に対して条件がチェックされます。条件に一致した場合は、対応する処理が実行されます。現在、次の条件を利用できます。

曜日
時間帯
プラットフォーム: この条件では、ユーザーがサインインしているデバイスの OS をチェックします。設定できる OS は、Windows、Mac、Linux、Android、iPhone、iPad です。
適用済みルーティングポリシー: この条件では、ユーザーに指定したルーティングポリシーが適用されているかどうかをチェックします。ルーティングポリシーの詳細
デバイス管理ステータス: デバイス管理機能に基づく条件です。デバイスが MDM で管理されているかどうか、およびそのデバイスのセキュリティスコアがどの程度であるべきかをチェックします。デバイス管理の詳細
IP アドレス: この条件では、ユーザーが許可された IP からサインインしようとしているかどうかをチェックします。IP は次の 3 通りの方法で追加できます。

処理は、ユーザーに適用されたポリシーの条件にサインイン試行が一致した場合、そのサインイン試行をどのように扱うかを決定します。利用できる処理は次の 3 種類です。

Allow: ユーザーのサインイン試行が、Allow 処理が設定されたいずれかのポリシーに一致した場合、サインインが許可されます。
Allow with MFA: ユーザーのサインイン試行が、Allow with MFA 処理が設定されたいずれかのポリシーに一致した場合、サインインが許可される前に MFA による認証が求められます。
Deny: ユーザーのサインイン試行が、Deny 処理が設定されたいずれかのポリシーに一致した場合、サインインは許可されません。

まず Allow 処理のポリシーがチェックされ、次に Allow with MFA、最後に Deny がチェックされます。いずれのポリシーにも一致しない場合は、初期設定の処理が適用されます。

Allow with MFA 処理を選択した場合、そのポリシーに一致したユーザーに対して、どの MFA 要素を使用させるかを設定する必要があります。利用できる要素は次のとおりです。

これらの要素はポリシーごとに個別に設定するため、MFA ポリシーでは優先度の順番が重要になります。ポリシーの優先度の詳細

条件付きアクセスが設定されていて、ユーザーのサインイン試行がいずれのポリシーにも一致しない、または一致したすべてのポリシーで失敗した場合、初期設定の処理が実行されます。設定できる内容は、他のポリシーと同様に Allow、Allow with MFA、Deny のいずれかです。

条件付きアクセスを設計する際は、次のいずれか 2 つのアプローチのどちらかに統一することを推奨します。

初期設定で許可する: このアプローチでは、初期設定の処理を Allow または Allow with MFA に設定します。そのうえで、その他すべてのポリシーには Deny 処理を設定します。つまり、各サインイン試行時に、Zoho Directory はアクセスを拒否すべき理由があるかどうかを確認するために Deny 条件をチェックします。拒否する理由がなければ、ユーザーはサインインを許可されます。
たとえば、次のような条件を持つポリシーが考えられます。

初期設定で拒否する: このアプローチでは、初期設定の処理を Deny に設定します。そのうえで、その他すべてのポリシーには Allow または Allow with MFA 処理を設定します。各サインイン試行時に、Zoho Directory はその試行が許可条件のいずれかに一致するかどうかを確認します。一致しない場合、ユーザーはサインインを許可されません。たとえば、次のような条件を持つポリシーが考えられます。