> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.
# 認証ポリシー
> サインインのたびに評価される認証ポリシールールを使用して、Iru Identity で各アプリケーションにサインインできるユーザーと、証明する必要がある要素を決定します。
**認証ポリシー**は、誰かがアプリケーションにサインインするたびに Iru が適用するルールブックです。
サインインを確認し、定義した一連の条件を評価して、単一の**判定**（許可または拒否）を生成します。
ポリシーはダッシュボードの **Policies → Authentication policies** で管理します。
ポリシーを使用すると、\*「管理対象の暗号化されたデバイスからのサインインのみを許可する」\*や
\*「最新の macOS バージョンのみを許可する」\*といった要件を表現し、すべてのユーザーとすべての
サインインに一貫して適用できます。
ポリシーは **1 つ以上のアプリケーションに割り当てられた**場合にのみ有効になります。
アプリケーションのポリシーは、そのアプリケーションへのサインインを制御します。
[アプリケーションにポリシーを割り当てる](#assign-a-policy-to-applications)を参照してください。
## ポリシーの構造
ポリシーは、**条件**のツリーとして配置された一連の**ルール**です。Iru はポリシーを評価するたびに、
ツリーを上から順にたどります。
* **分岐条件**は、コンテキストに基づいてサインインを異なるパスに送ります。たとえば、ポリシーは
サインインするデバイスの種類で分岐するため、macOS デバイスは macOS の要件で、Windows コンピュータは
Windows の要件でチェックされます。
* **要件条件**は、何かが真であることをチェックします。たとえば、デバイスのディスクが暗号化されている
ことや、デバイスが管理されていることなどです。満たされていない各要件は**違反**として記録されます。
たどり終えると、ポリシーは合格（違反なし）か不合格（1 つ以上の違反）のいずれかになります。
```mermaid theme={null}
flowchart TD
start["割り当てられたアプリへのサインイン"] --> branch{"どの種類の
デバイスか？"}
branch -->|"macOS"| mac["macOS の
要件をチェック"]
branch -->|"Windows"| win["Windows の
要件をチェック"]
branch -->|"モバイル"| ios["モバイルの
要件をチェック"]
mac --> decision{"すべての要件を
満たしているか？"}
win --> decision
ios --> decision
decision -->|"はい"| allow["許可：サインオンを発行"]
decision -->|"いいえ"| deny["拒否：違反を記録"]
```
## サインイン時のポリシーの評価方法
```mermaid theme={null}
sequenceDiagram
participant U as ユーザー
participant A as アプリケーション
participant I as Iru Identity
U->>A: アプリを開く
A->>I: Iru に認証を依頼
I->>I: ユーザーが誰かを確認
I->>I: 割り当てられたポリシーを評価
alt ポリシーに合格
I-->>A: シングルサインオンを発行
A-->>U: アクセスを許可
else ポリシーに不合格
I-->>U: 拒否し、不足していた内容を説明
end
```
アプリケーションへのすべてのサインインで判定が生成され、Iru は違反を含むその判定を記録するため、
後で[アクティビティログ](/ja/identity/administration/activity-log)で何が起こったかを確認できます。
ポリシーは、サインインが許可される**かどうか**と、そのために**何が真である必要があるか**を決定します。
ユーザーにアプリケーションが*割り当てられている*かどうかは別のチェックです。アプリにアクセスするには、
両方が成功する必要があります。[アクセスの割り当て](/ja/identity/applications/assigning-access)を参照してください。
## ポリシーで要求できる内容
サインインには、パスキーまたは Iru Access 認証システムが**常に必要**です。これはすべてのユーザーに
組み込まれているものであり、ポリシーでオンにするものではありません。ポリシーがその上に追加するのは
**デバイストラスト**、つまりサインインできるデバイスとそのデバイスが満たすべき状態です。
既知の正常な管理対象デバイス（例：ディスク暗号化がオンのデバイス）からのサインインを要求します。
[デバイストラスト](/ja/identity/authentication/device-trust)を参照してください。
選択したデバイスプラットフォームからのサインインのみを許可し、それ以外を拒否します。
ディスク暗号化、ファイアウォール、最小 OS バージョンなどのプラットフォームごとのシグナルを要求します。
[デバイストラスト](/ja/identity/authentication/device-trust)を参照してください。
## ポリシーに不合格の場合の動作
サインインがポリシーの要件を満たさない場合、Iru はそれを**拒否**し、理由を 1 つ以上の**違反**として
記録します。各違反には、満たされなかった要件、ポリシーが想定していた内容、実際に確認された内容が
記録されます。たとえば、ディスク暗号化が*有効*であることを要求する要件に対して、*無効*であることが
検出された場合などです。
どのパスも成功しないようにポリシーが設定されている場合（例：どのデバイスプラットフォームも
許可されていない場合）、そのポリシーが制御するアプリケーションへのすべてのサインインが拒否されます。
広範囲に割り当てる前に、ポリシーで許可されているプラットフォームを確認してください。
## ポリシーを作成する
**Policies → Authentication policies** で **Add policy** を選択し、わかりやすい名前と説明を付けます。
名前は、アプリケーションに割り当てる際にポリシーを識別するためのものです。
サインインが満たす必要がある条件を追加します。特定のデバイスプラットフォームからのサインインのみを
許可し、それぞれについてディスク暗号化がオンであることやデバイスが管理されていることなどの
デバイスヘルスシグナルを要求できます。利用可能なシグナルの全一覧については
[デバイストラスト](/ja/identity/authentication/device-trust)を参照してください。
ポリシーを制御対象のアプリケーションに関連付けます。それ以降、それらのアプリへのすべての
サインインがこのポリシーに照らして評価されます。
テストユーザーとして割り当てられたアプリにサインインし、結果を確認します。予期せずアクセスが
拒否された場合は、[アクティビティログ](/ja/identity/administration/activity-log)で記録された違反を
確認してください。
## アプリケーションにポリシーを割り当てる
ポリシーはアプリケーションに関連付けられるまで何もしません。各ポリシーは**スコープ対象**の
アプリケーションのリストを保持しており、ダッシュボードのポリシーのページからアプリケーションを
関連付けたり、関連付けを解除したりします。アプリケーションに割り当てられたポリシーは、誰かがその
アプリケーションにサインインするたびに Iru が評価するものです。
同じセキュリティ要件を持つアプリケーションを共有ポリシーの下にまとめてください。要件が変わったときに、
すべてのアプリを編集する代わりに 1 つのポリシーを更新するだけで済みます。
## 次のステップ
ユーザーがサインインのたびに本人であることを証明するために使用する資格情報。
アクセスの条件として、既知の正常な管理対象デバイスを要求します。
サインインの信頼性に応じてアクセスを適応させます。
ユーザー側から見た評価の様子を確認します。