第3部 - セキュリティ、管理、および詳細設定

第3部 - セキュリティ、管理、および詳細設定

お知らせ：当社は、お客様により充実したサポート情報を迅速に提供するため、本ページのコンテンツは機械翻訳を用いて日本語に翻訳しています。正確かつ最新のサポート情報をご覧いただくには、本内容の英語版を参照してください。

中核となるディレクトリ環境が稼働したら、セキュリティポリシー、管理権限の委任、SSO、自動化、連携、監視によって環境を強化できます。
高度な機能をすべてすぐに設定する必要はありません。
組織のセキュリティ、コンプライアンス、運用上の要件に合った機能を選択してください。

認証とセキュリティポリシーの設定

ユーザーの認証方法と、組織のリソースへのアクセスを許可する条件を定義します。
設定できる項目  
  1. パスワード要件
  2. 多要素認証
  3. セッション制御
  4. サインイン制限
  5. 認証要件
  6. 現在の構成で利用できるその他のセキュリティポリシー
検討事項
セキュリティ要件は、次の要素によって異なる場合があります。
  1. ユーザーの役割
  2. アプリケーションの機密性
  3. 勤務場所
  4. デバイス
  5. ネットワーク
  6. ビジネス要件
たとえば、財務アプリケーションへのアクセスには、一般的な社内アプリケーションへのアクセスよりも強力な認証が必要になる場合があります。
重要である理由
多くの場合、ユーザー認証情報は組織のアプリケーションやデータにアクセスするための最初の防御線です。
認証とセキュリティポリシーは、不正アクセスのリスクを軽減し、すべてのユーザーに一貫したセキュリティ要件を適用するのに役立ちます。
ベストプラクティス
制限の厳しいポリシーを、事前にテストせずに組織全体へ適用することは避けてください。
まず少数のユーザーまたは管理者に適用して動作を確認し、その後、段階的に対象を拡大してください。
詳細：セキュリティポリシー

シングルサインオンの設定

ユーザーとアプリケーションを設定したら、対応しているアプリケーションでシングルサインオンを有効にすることで、サインインを簡素化できます。
SSOを使用すると、従業員は組織のIDを使用して、連携された複数のアプリケーションにアクセスできます。
実施事項
SSOに対応しているアプリケーションでは、次の操作を行います。
  1. アプリケーションを追加または設定する
  2. 必要なSSOプロトコルを設定する
  3. 必要なIDプロバイダーとサービスプロバイダーの情報を交換する
  4. サインインをテストする
  5. 必要なユーザーにアクセス権を付与する
重要である理由
SSOには次の利点があります。
  1. ユーザーが管理する認証情報の数を削減できる
  2. 一貫したサインイン操作を提供できる
  3. 管理者がアプリケーション認証をより詳細に制御できる
  4. アクセスを一元的に取り消しやすくなる
段階的な展開
アプリケーション環境全体でSSOを有効にする前に、1つまたは少数のアプリケーションで設定とテストを行ってください。
これにより、すべての従業員に影響を与えることなく、設定上の問題を特定できます。

管理権限の委任

ディレクトリ環境の拡大に伴い、すべての管理を1人の管理者に依存しないようにしてください。
信頼できるユーザーに、その責任範囲に応じた管理業務を割り当てます。
実施事項
次の各項目を管理する担当者を決定します。
  1. ユーザー
  2. アプリケーション
  3. セキュリティ
  4. ディレクトリ連携
  5. ドメイン
  6. 組織設定
その後、適切な管理者の役割を割り当てます。
重要である理由
管理権限を委任すると、Zoho Directoryのすべての管理権限を不必要に付与することなく、各チームが担当範囲を管理できるようになります。
詳細：管理者の割り当てと管理

ユーザーのプロビジョニングとプロビジョニング解除の自動化

対応しているアプリケーションでは、Zoho Directoryでのユーザーアクセスに基づいて、アカウントの作成と削除を自動化します。
プロビジョニングで自動化できる処理
アプリケーションと連携方法によっては、次のような活動を自動化できます。
  1. ユーザーアカウントの作成
  2. ユーザー情報の更新
  3. アプリケーションへのアクセス権の割り当て
  4. アクセス権の削除または無効化
  5. ユーザー情報の同期
重要である理由
プロビジョニングを使用しない場合、管理者は従業員のアカウントをアプリケーションごとに作成および削除する必要があります。
自動化により手作業が減り、入社時と退職時の対応をより一貫して行えるようになります。

高度なアクセスポリシーの設定

基本的なセキュリティ設定が完了したら、組織の要件に基づいて高度なアクセスポリシーを設定できます。
Zoho Directoryには、次の2つの高度なポリシー機能があります。

条件付きアクセスポリシー

条件付きアクセスポリシーを使用すると、アプリケーションがユーザーに割り当てられているかどうかだけでなく、特定の条件に基づいてアクセスを制御できます。
Zoho Directoryのプランに応じて、次のような利用可能な条件を設定できます。
  1. IPベースの制限 - ユーザーがサインインするネットワークまたはIPアドレスに基づいてアクセスを制御します。
  2. デバイス関連の条件 - デバイスに関する要件に基づいてアクセスを許可または制限します。
  3. コンテキストベースの条件 - サインイン試行時に取得できるコンテキスト情報に基づいてアクセスを判断します。
組織で利用できる条件付きアクセスのオプションは、契約中のZoho Directoryプランによって異なります。ポリシーを設計または適用する前に、プランに含まれる機能を確認してください。

ルーティングポリシー

ルーティングポリシーは、特定のユーザーや状況に応じて認証の経路を決定できる、もう1つの高度なアクセス機能です。
組織の設定要件に基づいて、認証を異なるIDシステムまたは認証システムに振り分ける必要がある場合は、ルーティングポリシーを使用します。
重要である理由
基本的なアプリケーションの割り当てでは、次の点を決定します。
「このアプリケーションへのアクセスを誰に許可するか」
条件付きアクセスでは、さらに次の点を決定できます。
「どのような条件でアクセスを許可するか」
一方、ルーティングポリシーでは、次の点を決定できます。
「このユーザーの認証をどの経路に振り分けるか」
これらを個別のポリシーとして扱うことで、要件ごとに適切な制御を選択しやすくなります。
例
アプリケーションをグループに割り当てたうえで、条件付きアクセスを使用し、次の要素に基づいてユーザーのアクセスをさらに制御できます。
  1. 接続元のネットワーク
  2. 使用中のデバイス
  3. その他の利用可能なコンテキスト条件
特定のユーザーや状況で認証を所定の経路に振り分ける必要がある場合は、ルーティングポリシーを個別に設定できます。
ベストプラクティス
高度なポリシーは慎重に計画し、組織全体に適用する前に、一部のユーザーでテストしてください。
条件付きアクセスでは、使用するポリシー条件が現在のZoho Directoryプランで利用できることも確認してください。
詳細：条件付きアクセス| ルーティングポリシー

既存のディレクトリ基盤との連携

組織ですでに別のディレクトリまたはID環境を使用している場合は、必要に応じてZoho Directoryと連携します。
環境によっては、次のシステムを連携できます。
  1. Active Directory
  2. LDAP
  3. ディレクトリストア
  4. クラウドディレクトリサービス
  5. その他の対応しているIDシステム
検討事項
連携する前に、次の点を決定します。
  1. ユーザー情報の正規データソースとするシステム
  2. 同期する属性
  3. 同期の頻度
  4. ユーザーが無効化または削除された場合の処理
  5. システム間の競合の処理方法
重要である理由 
ディレクトリ連携を使用すると、組織は既存のID基盤を一から再構築することなく、Zoho Directoryを導入できます。
また、ユーザー管理の重複も削減できます。

アクティビティの監視と環境の確認

Zoho Directoryの設定は、一度行えば終わりというものではありません。
従業員、アプリケーション、セキュリティ要件の変化に合わせて、ディレクトリ環境を定期的に確認してください。
確認項目
  1. 有効なユーザーと無効なユーザー
  2. 管理者アクセス
  3. グループメンバー
  4. アプリケーションの割り当て
  5. 認証アクティビティ
  6. セキュリティイベント
  7. レポート
  8. 監査ログ
  9. ディレクトリ同期
  10. アクセスポリシー
重要である理由
定期的な確認は、次の問題を特定するのに役立ちます。
  1. 古くなったアクセス権
  2. 使用されていないアカウント
  3. 不適切な管理者権限
  4. 予期しないサインインアクティビティ
  5. 設定の変更
  6. 不要になったアクセス権
推奨事項
組織のIDとアクセス設定を定期的に確認するサイクルを設定してください。
例：
  1. 管理者を四半期ごとに確認する
  2. 高リスクなアプリケーションへのアクセスを定期的に確認する
  3. 同期を定期的に確認する
  4. アクセス変更を調査する際に、監査情報とセキュリティ情報を確認する
詳細：レポートと監査ログ

Zoho Directoryのその他の機能

基本設定とセキュリティ設定が安定したら、組織のニーズに応じてその他の機能を検討してください。
次のような機能があります。
  1. カスタム認証
  2. デバイス管理
  3. デバイス認証
  4. クラウドLDAP
  5. RADIUS
  6. ディレクトリストア
  7. 異常検出
  8. 制御機能
  9. カスタム項目
  10. 高度なレポート
  11. BYOK
  12. その他の高度なセキュリティ機能とID管理機能
すべての機能を設定する必要はありません。
組織のIDアーキテクチャ、アプリケーション環境、セキュリティ要件、コンプライアンス要件に基づいて機能を選択してください。
詳細：Zoho Directory管理者ガイド