このガイドは Mac コンピュータに適用されます
Passport によるパスワード管理について
Passport のパスワード管理とは、Passport が ID プロバイダとローカルの Mac ユーザーアカウントの間でパスワードの同期をどのように処理するかを指します。これには、パスワードの自動更新、安全な保存、パスワードのリセット機能が含まれます。設定と Library Item の構成については、Passport Library Item の設定を参照してください。仕組み
Passport は、ユーザーの資格情報を安全に保存し、ID プロバイダ（IdP）とローカル Mac アカウントの間でパスワードの変更を自動的に同期できます。ユーザーが IdP のパスワードを変更すると、Passport はこの変更を検出し、両者が同期された状態を保つようローカル Mac のパスワードを更新できます。ログイン、診断、ネットワーク
完全なメールアドレスでサインインする
Passport のログインウインドウでは、セッションがローカル認証ではなく IdP を使用するよう、ユーザー名フィールドに必ずユーザーの完全なメールアドレスを入力してください。ログインウインドウと表示設定が Passport とどのように相互作用するかについては、Passport の互換性を参照してください。
Passport Diagnostics を使用する
ユーザーがサインインできない場合やパスワードの同期がおかしい場合は、Mac で Command-Shift-K-L を押して Iru Endpoint Passport Diagnostics を開きます。このパネルには、IdP から返されたエラーメッセージなど、有用な詳細情報が表示されます。
ネットワーク接続を確認する
Passport は、資格情報を検証してパスワードを同期するために IdP に接続できる必要があります。Passport のログインウインドウをカスタマイズする際は、必要に応じてユーザーが Wi-Fi に接続できるよう、ネットワークマネージャーを有効にしてください。このコントロールは macOS の AirPort セキュリティ設定に従います。
Wi-Fi の制限と切り分けテスト
Passport はログインウインドウの右上に Wi-Fi アイコンを表示し、ユーザーはこれを選択してパスワードで保護されたネットワークに接続できます。Passport は、キャプティブポータル、クリックスルー方式の同意ページ、またはこのフローで別途ユーザー名とパスワードを必要とするエンタープライズ 802.1X ネットワークをサポートしていません。ネットワークの問題を切り分けるには、Passport のログインウインドウでテストする際にモバイルホットスポットまたは有線イーサネットを試してください。ログインウインドウでの Wi-Fi について詳しくは、Passport の互換性を参照してください。
IdP で姓（familyName）が設定されていることを確認する
Passport では、IdP のユーザー属性に familyName の値が必要です。テストに使用するサービスアカウントを含め、Passport でサインインするすべてのアカウントで Last name または同等の姓フィールドを設定してください。パスワードの設定
推奨されるパスワード同期の設定
ユーザーが最も自立して操作でき、パスワード関連のサポート依頼を減らせるよう、Passport Library Item で以下を設定します。- パスワードの同期を有効にします。Passport Library Item の Access セクションで Store user password を Securely store password に設定し、Passport が IdP とローカルのパスワードを自動的に同期できるようにします。同期の仕組みについて詳しくは、ID プロバイダとのパスワードの同期を参照してください。
- ログインウインドウでパスワードリセット URL を設定します。ログインウインドウのカスタマイズで Include password reset URL を設定し、ユーザーがサポートに連絡せずにログインウインドウまたは Iru Endpoint メニューアプリから IdP のパスワードをリセットできるようにします。
Passport とパスコードの競合
パスコードプロファイルが IdP より厳しいパスワード要件を適用している場合、Passport のログインウインドウに次のメッセージが表示されます。ユーザーに表示されるメッセージThe password you entered doesn’t yet meet the passcode policy requirements for this Mac; please contact your IT administrator for help.この Mac には、ポリシーの導入以降に変更または作成されたパスワードに適用されるローカルのパスコードポリシーがあります。これは、Mac のパスコードポリシーが ID プロバイダのパスコードポリシーと競合する場合によく発生します。この問題を解決するには、Passport も含まれるすべての Blueprint から Passcode Library Item を削除してください。
パスワードのユーザーエクスペリエンス
パスワード変更の推奨手順
最良の結果を得るために、ユーザーは次の順序でパスワードを変更またはリセットする必要があります。- 組織の IdP でパスワードを変更します。
- Passport リセット URL が設定されている場合、ユーザーは Iru Endpoint メニューアプリまたは Passport のログインウインドウから IdP のパスワードをリセットできます。
- Passport にローカル Mac のパスワードを同期させます（Passport がユーザーにプロンプトを表示するか、自動的に更新します）。
Iru Endpoint メニューアプリでのパスワードのリセット
ユーザーは、Iru Endpoint メニューで歯車アイコンを選択し、パスワードをリセット… オプションを選択することで、IdP のパスワードをリセットできます。ユーザーは Passport Library Item で設定された Passport リセット URL に移動します。- 要件: パスワードをリセット… オプションは、ユーザーが完全なメールアドレスでログインしている場合にのみ表示されます。
Passport のログインウインドウでのパスワードのリセット
Passport Library Item でパスワードリセット URL が設定されている場合、ユーザーが Passport（ローカル）のログインウインドウで誤った IdP パスワードを 3 回入力すると、Passport にリセットリンクが表示されます。- 要件: ログインウインドウのカスタマイズで Include password reset URL が有効になっている必要があります。
ID プロバイダとのパスワードの同期
Passport Library Item の Access セクションにある Store user password 設定は、Passport が IdP とローカル Mac のパスワードを同期する方法を制御します。2 つのオプションの動作は次のとおりです。Securely Store Password
Passport は資格情報を保存し、ローカルパスワードを IdP のパスワードと自動的に同期できます。- ログアウト中: ユーザーが IdP のパスワードを変更してから Passport のログインウインドウでサインインすると、Passport はローカルパスワードを自動的に一致するよう更新します。
- ログイン中: ユーザーがログイン中に IdP のパスワードを変更すると、Passport は 5 分以内にプロンプトを表示します。ユーザーは IdP のパスワードのみを入力し、Passport がローカルパスワードを更新します。
Do Not Store Password
Passport はローカルパスワードを保存しません。Passport が同期するたびに、ユーザーはローカルパスワードを入力する必要があります。- ログアウト中: ユーザーが IdP のパスワードを変更してから Passport のログインウインドウでサインインすると、Passport はローカルパスワードを一致するよう更新する前に、ローカルパスワードの入力を求めます。
- ログイン中: ユーザーがログイン中に IdP のパスワードを変更すると、Passport は 5 分以内にプロンプトを表示します。更新するには、ユーザーはローカルパスワードと IdP のパスワードの両方を入力する必要があります。
- 新しい IdP パスワードと古いローカルパスワードでのログイン: ユーザーが新しい IdP パスワードでサインインし、ローカルパスワードが一致しない場合、Passport は古いローカルパスワードの入力を求めます。Do not store password の場合、ユーザーは両方のパスワードを入力する必要があります。
Okta とのパスワードの同期
Passport で Okta を使用する場合は、Passport の OIDC アプリケーションで Refresh Token を次のように設定します。- Refresh Token を無効にする（推奨）: Store user password が Securely store password に設定されている場合に使用します。Refresh Token が有効なままになっていると、ユーザーが Mac にログインしている間、Passport はパスワードの更新を求めるプロンプトを表示しません。
- Refresh Token を有効にする: ログイン中にユーザーが資格情報の入力を繰り返し求められないようにするため、Store user password が Do not store password に設定されている場合にのみ使用します。
システム設定でのパスワードの変更
ユーザーがシステム設定でローカルにパスワードを変更すると、Passport との同期が取れなくなります。その場合、Passport はローカルパスワードを再同期するために新しいローカルパスワードの入力をユーザーに求め、ローカルパスワードを IdP に一致するよう設定します。Passport が Mac と同期できるよう、ユーザーは IdP でパスワードを変更する必要があります。 ユーザーがシステム設定でパスワードを変更できないようにするには、Apple Restrictions Library Item を使用し、Passcode & authentication グループで Disallow passcode modification を有効にします。この制限を適用すると、システム設定でユーザーがパスワードを変更するオプションは無効になります。パスワードの確認頻度
Passport は、5 分ごと、およびログインウインドウからのオンラインログインのたびに、ユーザーのパスワードを確認します。これらの確認により、ローカルアカウントのパスワードとユーザーの IdP パスワードが同じであることが保証されます。同じでない場合、ユーザーは IdP のパスワードの入力を求められます。トラブルシューティング
ユーザーにパスワードのリセットが表示されない
ユーザーにパスワードのリセットが表示されない
表示される内容:ユーザーに、Passport のログインウインドウまたは Iru Endpoint メニューアプリから IdP のパスワードをリセットする方法が表示されません。対処方法:
- 推奨されるパスワード同期の設定に従います。必要に応じてパスワードの同期を有効にし、ログインウインドウのカスタマイズで Include password reset URL を設定します。
- FileVault のログインウインドウ（ディスクのロックが解除される前）では、メニューアプリと Passport のリセット URL は使用できないことに注意してください。ユーザーがその画面から進めない場合は、FileVault のログインウインドウでのパスワードのリセットを使用します。
FileVault のログインウインドウでのパスワードのリセット
FileVault のログインウインドウでのパスワードのリセット
表示される内容:FileVault の起動前画面のみが表示されている状態（電源投入または再起動後、通常のログイン画面の前）で、ユーザーがパスワードをリセットする必要があります。対処方法:
- 起動ディスクはまだ暗号化されており、Iru Endpoint と Passport は実行されていないため、パスワードリセット URL とメニューアプリは使用できません。FileVault 復旧キーでロックを解除し、macOS ユーザーパスワードのリセットの FileVault 2 が有効な場合の手順に従ってローカルパスワードをリセットします。
- ユーザーが Passport のログインウインドウに到達した後、リセット URL が設定されていれば、それを使用して IdP のパスワードを合わせることができます。Passport のログインウインドウでのパスワードのリセットを参照してください。