Webセッション管理の設定

セッションとは、認証されたユーザーによるZoho Oneアカウントへのサインインからサインアウトまでの一連の操作を表します。つまり、ユーザーがブラウザーや端末からアプリにサインインするたびに、セッション情報が記録されます。また、セッション情報は、1台のPCからのアプリへのサインインに対して記録されます。同じPCの別のブラウザーからのサインインは、別のセッションとして記録されます。また、携帯電話やタブレット端末のブラウザーからのサインインも、別のセッションとして記録されます。ただし、携帯アプリからのサインインはセッション情報として記録されません。

未認証のネットワークや端末からのアカウントへのアクセスは、組織のセキュリティにとって脅威となる場合があります。そのため、組織の管理者はユーザーのセッション管理を必ず行う必要があります。

多くの場合、アカウントへの不正アクセスや迷惑行為は、エンドユーザーによる未認証のネットワークや端末からのアカウントへのアクセスが原因となって発生します。管理者にとって、エンドユーザーがどのブラウザーや端末からアカウントにアクセスしているかすべて把握することは簡単ではありません。例を見てみましょう。横浜さんは、Zylker社の営業担当者です。営業担当者のため出張が多く、外出先からアカウントに接続することもよくあります。通常、PCからアカウントに接続しますが、携帯電話からもアカウントにアクセスします。携帯電話は横浜さんの私物のため、基本的にサインアウトしません。また、外出先のカフェのWi-fiを通じてアカウントにアクセスすることもあります。いつもサインアウトしないため、この場合もサインアウトしません。この場合、横浜さんには3件のWebセッションがあります。カフェのWi-fiは公共ネットワークのため、誰でもアクセス可能です。これにより、アカウントが脅威にさらされる可能性があります。

Zoho Oneのセッション管理機能では、このような未認証のネットワークや端末からのアカウントへのアクセスによる脅威から組織のアカウントを保護することができます。セッション管理では、次の3つの設定を行うことが可能です：

セッションの有効期限：指定した日数が経過するとユーザーはセッションから自動でサインアウトされます。たとえば、Zylker社の管理者によって［セッションの有効期限］が［30日］に設定されると、横浜さんは30日間ごとに自身を認証する必要があります。また、横浜さんが新しい携帯電話を購入し、以前使用していた携帯電話を売却したとします。以前の携帯電話でアカウントからサインアウトし忘れた場合でも、セッションは30日間後に自動で無効になります。
非操作時のセッションのタイムアウト（時間制限）：指定した時間内にユーザーによってセッションが再開されなかった場合、ユーザーはセッションから自動でサインアウトされます。たとえば、Zylker社の管理者によって［非操作時のセッションのタイムアウト］が［2時間］に設定されると、横浜さんが操作を停止してから2時間後にセッションが自動で無効になります。これにより、外出先のWi-fiなどの公共ネットワークの利用によるアカウントへの脅威を軽減することが可能です。
同時セッション：一度にユーザーがサインイン可能なブラウザーや端末の件数を設定できます。たとえば、Zylker社の管理者によって［同時セッション］が［2］に設定されると、横浜さんは一度に2台の端末からのみアカウントにアクセスできます。そのため、外出先のWi-fiなどの公共ネットワークからアカウントにアクセスした後、普段使用する端末からアクセスし直した場合、以前の公共ネットワークからのセッションから自動でサインアウトされます。これにより、アカウントのセキュリティを強化することが可能です。