条件付きアクセスポリシーには、許可する、拒否する、多要素認証を使用して許可するの3種類の処理を設定できます。

ユーザーがサインインしようとすると、まず許可するポリシーの対象であるかどうかが確認されます。対象であり、現在のサインイン試行がそのポリシーの条件を満たしている場合、サインインが許可されます。

許可するポリシーの対象でない場合、または対象となる許可するポリシーの条件を満たしていない場合は、多要素認証を使用して許可するポリシーに照らして確認されます。該当するポリシーがない場合は、拒否するポリシーに照らして確認されます。いずれのポリシーにも該当しない場合は、標準ポリシーが適用されます。

このうち、許可するポリシーと拒否するポリシーの処理は単純です。ユーザーが対象となるポリシーのいずれか1つの条件を満たすと、対応する処理が適用されます。たとえば、ユーザーが3つの許可するポリシーの対象であり、1つのポリシーの条件を満たし、残りの2つの条件を満たしていない場合でも、サインインは許可されます。それ以降の確認は行われません。

多要素認証ポリシーの場合は異なり、ユーザーがどのポリシーの条件を満たしたかも確認されます。多要素認証ポリシーには追加の設定があり、ユーザーに使用を許可する多要素認証の要素、ブラウザーのセッションを信頼できる期間、バックアップコードを使用して多要素認証を省略できるかどうかを指定できます。

例として、ユーザーが2つの多要素認証ポリシーの対象で、両方の条件を満たしているとします。多要素認証ポリシー1ではOneAuthのみ、多要素認証ポリシー2ではハードウェアセキュリティキーのみの使用が許可されているとします。この場合、サインイン時に、ユーザーに許可する多要素認証の要素をOneAuthとハードウェアセキュリティキーのどちらにするかを決める必要があります。

このような場合に対応するため、ポリシーの追加時に多要素認証ポリシーの優先度を設定できます。ポリシーは順番に確認され、ユーザーが最初に条件を満たしたポリシーの多要素認証の設定が適用されます。上記の例で多要素認証ポリシー1の優先度が高い場合、ユーザーはサインインにOneAuthのみを使用できます。

多要素認証ポリシーを並べ替える手順は、Zoho Oneでサポートされている3つの操作画面のバージョンによって異なります。下のタブから使用している操作画面のバージョンを選択し、表示される手順に従います。