> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Passport によるパスワードの管理

> Iru Endpoint の Passport で macOS ローカルアカウントのパスワードを管理します。IdP とのパスワード同期の動作、変更のワークフロー、有効期限の処理について説明します。

<Callout icon="apple" color="#B84A7A" iconType="regular">このガイドは Mac コンピュータに適用されます</Callout>

### Passport によるパスワード管理について

Passport のパスワード管理とは、Passport が ID プロバイダとローカルの Mac ユーザーアカウントの間でパスワードの同期をどのように処理するかを指します。これには、パスワードの自動更新、安全な保存、パスワードのリセット機能が含まれます。設定と Library Item の構成については、[Passport Library Item の設定](/ja/endpoint/library/passport/configure-the-passport-library-item)を参照してください。

### 仕組み

Passport は、ユーザーの資格情報を安全に保存し、ID プロバイダ（IdP）とローカル Mac アカウントの間でパスワードの変更を自動的に同期できます。ユーザーが IdP のパスワードを変更すると、Passport はこの変更を検出し、両者が同期された状態を保つようローカル Mac のパスワードを更新できます。

### ログイン、診断、ネットワーク

<CardGroup cols={2}>
  <Card title="完全なメールアドレスでサインインする" icon="user">
    Passport のログインウインドウでは、セッションがローカル認証ではなく IdP を使用するよう、ユーザー名フィールドに必ずユーザーの完全なメールアドレスを入力してください。ログインウインドウと表示設定が Passport とどのように相互作用するかについては、[Passport の互換性](/ja/endpoint/library/passport/passport-compatibility-with-macos-and-iru-endpoint-features#login-window)を参照してください。
  </Card>

  <Card title="Passport Diagnostics を使用する" icon="display">
    ユーザーがサインインできない場合やパスワードの同期がおかしい場合は、Mac で **Command-Shift-K-L** を押して Iru Endpoint Passport Diagnostics を開きます。このパネルには、IdP から返されたエラーメッセージなど、有用な詳細情報が表示されます。
  </Card>

  <Card title="ネットワーク接続を確認する" icon="wifi">
    Passport は、資格情報を検証してパスワードを同期するために IdP に接続できる必要があります。Passport のログインウインドウをカスタマイズする際は、必要に応じてユーザーが Wi-Fi に接続できるよう、ネットワークマネージャーを有効にしてください。このコントロールは macOS の AirPort セキュリティ設定に従います。
  </Card>

  <Card title="Wi-Fi の制限と切り分けテスト" icon="triangle-exclamation">
    Passport はログインウインドウの右上に Wi-Fi アイコンを表示し、ユーザーはこれを選択してパスワードで保護されたネットワークに接続できます。Passport は、キャプティブポータル、クリックスルー方式の同意ページ、またはこのフローで別途ユーザー名とパスワードを必要とするエンタープライズ 802.1X ネットワークをサポートしていません。ネットワークの問題を切り分けるには、Passport のログインウインドウでテストする際にモバイルホットスポットまたは有線イーサネットを試してください。ログインウインドウでの Wi-Fi について詳しくは、[Passport の互換性](/ja/endpoint/library/passport/passport-compatibility-with-macos-and-iru-endpoint-features#network-wi-fi)を参照してください。
  </Card>
</CardGroup>

### IdP で姓（familyName）が設定されていることを確認する

Passport では、IdP のユーザー属性に **familyName** の値が必要です。テストに使用するサービスアカウントを含め、Passport でサインインするすべてのアカウントで **Last name** または同等の姓フィールドを設定してください。

### パスワードの設定

#### 推奨されるパスワード同期の設定

ユーザーが最も自立して操作でき、パスワード関連のサポート依頼を減らせるよう、Passport Library Item で以下を設定します。

1. パスワードの同期を有効にします。Passport Library Item の Access セクションで **Store user password** を **Securely store password** に設定し、Passport が IdP とローカルのパスワードを自動的に同期できるようにします。同期の仕組みについて詳しくは、[ID プロバイダとのパスワードの同期](#password-syncing-with-the-identity-provider)を参照してください。
2. ログインウインドウでパスワードリセット URL を設定します。[ログインウインドウのカスタマイズ](/ja/endpoint/library/passport/configure-the-passport-library-item#customize-login-window)で **Include password reset URL** を設定し、ユーザーがサポートに連絡せずにログインウインドウまたは Iru Endpoint メニューアプリから IdP のパスワードをリセットできるようにします。

どちらか一方の設定のみを有効にすることもできますが、その場合は両方の動作を得られません。パスワードの同期のみの場合、変更は自動的に同期されますが、ユーザーは IdP の URL を使用してパスワードをリセットできません。パスワードリセット URL のみの場合、ユーザーは IdP のパスワードをリセットできますが、ローカル Mac のパスワードは同期されません。

#### Passport とパスコードの競合

<Warning>
  Passport を含むすべての Blueprint から Passcode Library Item を削除することを強く推奨します。パスワードの要件は IdP で処理する必要があります。そうしないと、ユーザーに以下のエラーが表示される場合があります。詳しくは Passport の互換性の[こちら](/ja/endpoint/library/passport/passport-compatibility-with-macos-and-iru-endpoint-features#passcode)を参照してください。
</Warning>

パスコードプロファイルが IdP より厳しいパスワード要件を適用している場合、Passport のログインウインドウに次のメッセージが表示されます。

<Callout icon="triangle-exclamation" color="#D97706" iconType="regular">
  **ユーザーに表示されるメッセージ**

  The password you entered doesn't yet meet the passcode policy requirements for this Mac; please contact your IT administrator for help.

  この Mac には、ポリシーの導入以降に変更または作成されたパスワードに適用されるローカルのパスコードポリシーがあります。これは、Mac のパスコードポリシーが ID プロバイダのパスコードポリシーと競合する場合によく発生します。この問題を解決するには、Passport も含まれるすべての Blueprint から Passcode Library Item を削除してください。
</Callout>

### パスワードのユーザーエクスペリエンス

#### パスワード変更の推奨手順

最良の結果を得るために、ユーザーは次の順序でパスワードを変更またはリセットする必要があります。

1. 組織の IdP でパスワードを変更します。
2. [Passport リセット URL](/ja/endpoint/library/passport/configure-the-passport-library-item#customize-login-window) が設定されている場合、ユーザーは Iru Endpoint メニューアプリまたは Passport のログインウインドウから IdP のパスワードをリセットできます。
3. Passport にローカル Mac のパスワードを同期させます（Passport がユーザーにプロンプトを表示するか、自動的に更新します）。

#### Iru Endpoint メニューアプリでのパスワードのリセット

ユーザーは、Iru Endpoint メニューで歯車アイコンを選択し、**パスワードをリセット**... オプションを選択することで、IdP のパスワードをリセットできます。ユーザーは Passport Library Item で設定された Passport リセット URL に移動します。

* **要件:** **パスワードをリセット**... オプションは、ユーザーが完全なメールアドレスでログインしている場合にのみ表示されます。

ユーザーに手順を案内するには、Passport のユーザーエクスペリエンスの記事の[メニューバーからパスワードをリセットする（ログイン中）](/ja/endpoint/library/passport/user-experience-with-passport#reset-password-from-the-menu-bar-while-logged-in)のセクションを共有してください。

#### Passport のログインウインドウでのパスワードのリセット

Passport Library Item でパスワードリセット URL が設定されている場合、ユーザーが Passport（ローカル）のログインウインドウで誤った IdP パスワードを 3 回入力すると、Passport にリセットリンクが表示されます。

* **要件:** [ログインウインドウのカスタマイズ](/ja/endpoint/library/passport/configure-the-passport-library-item#customize-login-window)で **Include password reset URL** が有効になっている必要があります。

ユーザーに手順を案内するには、Passport のユーザーエクスペリエンスの記事の[ログイン画面でパスワードをリセットする](/ja/endpoint/library/passport/user-experience-with-passport#reset-password-at-the-login-screen)のセクションを共有してください。

### ID プロバイダとのパスワードの同期

Passport Library Item の [Access](/ja/endpoint/library/passport/configure-the-passport-library-item#access) セクションにある **Store user password** 設定は、Passport が IdP とローカル Mac のパスワードを同期する方法を制御します。2 つのオプションの動作は次のとおりです。

#### Securely Store Password

Passport は資格情報を保存し、ローカルパスワードを IdP のパスワードと自動的に同期できます。

* **ログアウト中:** ユーザーが IdP のパスワードを変更してから Passport のログインウインドウでサインインすると、Passport はローカルパスワードを自動的に一致するよう更新します。
* **ログイン中:** ユーザーがログイン中に IdP のパスワードを変更すると、Passport は 5 分以内にプロンプトを表示します。ユーザーは IdP のパスワードのみを入力し、Passport がローカルパスワードを更新します。

#### Do Not Store Password

Passport はローカルパスワードを保存しません。Passport が同期するたびに、ユーザーはローカルパスワードを入力する必要があります。

* **ログアウト中:** ユーザーが IdP のパスワードを変更してから Passport のログインウインドウでサインインすると、Passport はローカルパスワードを一致するよう更新する前に、ローカルパスワードの入力を求めます。
* **ログイン中:** ユーザーがログイン中に IdP のパスワードを変更すると、Passport は 5 分以内にプロンプトを表示します。更新するには、ユーザーはローカルパスワードと IdP のパスワードの両方を入力する必要があります。
* **新しい IdP パスワードと古いローカルパスワードでのログイン:** ユーザーが新しい IdP パスワードでサインインし、ローカルパスワードが一致しない場合、Passport は古いローカルパスワードの入力を求めます。**Do not store password** の場合、ユーザーは両方のパスワードを入力する必要があります。

#### Okta とのパスワードの同期

Passport で Okta を使用する場合は、Passport の OIDC アプリケーションで **Refresh Token** を次のように設定します。

* **Refresh Token を無効にする（推奨）:** **Store user password** が **Securely store password** に設定されている場合に使用します。Refresh Token が有効なままになっていると、ユーザーが Mac にログインしている間、Passport はパスワードの更新を求めるプロンプトを表示しません。
* **Refresh Token を有効にする:** ログイン中にユーザーが資格情報の入力を繰り返し求められないようにするため、**Store user password** が **Do not store password** に設定されている場合にのみ使用します。

設定とオプションについては、[Okta での Passport の設定](/ja/endpoint/library/passport/okta/passport-configuration-with-okta)を参照してください。問題については、[Okta での Passport のトラブルシューティング](/ja/endpoint/library/passport/okta/passport-troubleshooting-with-okta)を参照してください。

### システム設定でのパスワードの変更

ユーザーがシステム設定でローカルにパスワードを変更すると、Passport との同期が取れなくなります。その場合、Passport はローカルパスワードを再同期するために新しいローカルパスワードの入力をユーザーに求め、ローカルパスワードを IdP に一致するよう設定します。Passport が Mac と同期できるよう、ユーザーは IdP でパスワードを変更する必要があります。

ユーザーがシステム設定でパスワードを変更できないようにするには、[Apple Restrictions Library Item](/ja/endpoint/library/library-items-profiles/configure-the-restrictions-library-item) を使用し、[**Passcode & authentication**](/ja/endpoint/library/library-items-profiles/configure-the-restrictions-library-item#passcode-and-biometric-settings) グループで **Disallow passcode modification** を有効にします。この制限を適用すると、システム設定でユーザーがパスワードを変更するオプションは無効になります。

### パスワードの確認頻度

Passport は、5 分ごと、およびログインウインドウからのオンラインログインのたびに、ユーザーのパスワードを確認します。これらの確認により、ローカルアカウントのパスワードとユーザーの IdP パスワードが同じであることが保証されます。同じでない場合、ユーザーは IdP のパスワードの入力を求められます。

### トラブルシューティング

<AccordionGroup>
  <Accordion title="ユーザーにパスワードのリセットが表示されない">
    **表示される内容:**

    ユーザーに、Passport のログインウインドウまたは Iru Endpoint メニューアプリから IdP のパスワードをリセットする方法が表示されません。

    **対処方法:**

    * [推奨されるパスワード同期の設定](#recommended-password-sync-configuration)に従います。必要に応じてパスワードの同期を有効にし、[ログインウインドウのカスタマイズ](/ja/endpoint/library/passport/configure-the-passport-library-item#customize-login-window)で **Include password reset URL** を設定します。
    * **FileVault のログインウインドウ**（ディスクのロックが解除される前）では、メニューアプリと Passport のリセット URL は使用できないことに注意してください。ユーザーがその画面から進めない場合は、[FileVault のログインウインドウでのパスワードのリセット](#password-reset-at-the-filevault-login-window)を使用します。
  </Accordion>

  <Accordion title="FileVault のログインウインドウでのパスワードのリセット">
    **表示される内容:**

    FileVault の起動前画面のみが表示されている状態（電源投入または再起動後、通常のログイン画面の前）で、ユーザーがパスワードをリセットする必要があります。

    **対処方法:**

    * 起動ディスクはまだ暗号化されており、Iru Endpoint と Passport は実行されていないため、パスワードリセット URL とメニューアプリは使用できません。**FileVault 復旧キー**でロックを解除し、[macOS ユーザーパスワードのリセット](/ja/endpoint/devices/device-actions/reset-a-macos-user-password)の [FileVault 2 が有効な場合](/ja/endpoint/devices/device-actions/reset-a-macos-user-password#if-filevault-2-is-enabled)の手順に従ってローカルパスワードをリセットします。
    * ユーザーが Passport のログインウインドウに到達した後、リセット URL が設定されていれば、それを使用して IdP のパスワードを合わせることができます。[Passport のログインウインドウでのパスワードのリセット](#password-reset-at-the-passport-login-window)を参照してください。
  </Accordion>
</AccordionGroup>