概要
認証ポリシーは、組織のユーザーが CRISIS にログインする際に許可する認証方式と、要求する認証強度を組織全体に対して定める設定です。CRISIS 管理画面の IAM > 認証 から設定します。
認証方式の設定
| 設定項目 | 既定値 | 説明 |
|---|---|---|
| パスワードログインを有効にする | はい | メールアドレスとパスワードによるログインを許可します |
| パスワードレス認証（パスキー）を有効にする | はい | パスキーによるパスワードレス認証を許可します |
| 時間ベースワンタイムパスワード（TOTP）を有効にする | はい | 認証アプリによるワンタイムパスワードを追加認証要素として許可します |
| シングルサインオン（SSO）による認証を有効にする | はい | SAML ID プロバイダー経由のシングルサインオンを許可します |
現在その方式でログインしているユーザーがいる状態で認証方式を無効化すると、該当ユーザーはログインできなくなります。SSO への一本化などで方式を切り替える場合は、全ユーザーが新しい方式でログインできることを確認してから旧方式を無効化してください。
セルフサービスのパスワードリセットを許可する
「ユーザーが自分でパスワードをリセットすることを許可する」 を有効にすると、ユーザーはログイン画面の「パスワードを忘れた場合」から自分でパスワードを再設定できます（既定: 無効）。
無効の場合、パスワードを忘れたユーザーは管理者に連絡し、管理者によるリセット操作を依頼する必要があります。
セルフサービスリセットは利便性が高い一方、メールボックスが侵害された場合にアカウント乗っ取りの経路になり得ます。SSO を利用している組織や、厳格な統制が必要な組織では無効のまま運用し、管理者経由のリセットに限定する選択肢もあります。
多要素認証を強制する
「多要素認証（MFA）を強制する」 を有効にすると、すべてのユーザーはパスワードに加えて TOTP またはパスキーによる追加認証が必須になります。
パスワード要件を設定する
パスワードログインを許可する場合、パスワードの強度要件を設定できます。
- 最小文字数（既定: 8文字）
- 大文字を必須にする などの文字種要件
SSO 要件を設定する
SSO を有効にしている場合、ユーザーに SSO によるログインを強制する条件を設定できます。
| 設定項目 | 既定値 | 説明 |
|---|---|---|
| 組織の全ユーザーに SSO を強制する | いいえ | 組織内のすべてのユーザーに SSO によるログインを必須にします |
| SSO が有効なユーザーには SSO を強制する | いいえ | SSO が設定済みのユーザーに対して、パスワードではなく SSO によるログインを必須にします |
SSO 要件を有効にすると、管理者を含むすべての対象ユーザーが SSO でログインする必要があります。管理者の SSO 設定や ID プロバイダー側の割り当てが完了していない場合、管理画面にアクセスできなくなる可能性があります。また、これまで SSO を利用していなかったユーザーは、SSO の利用準備が完了するまで CRISIS にログインできなくなるため、対象ユーザーの設定状況を確認してから有効化してください。