デバイストラスト

デバイストラストを使用すると、認証ポリシーはアクセスを付与する前にデバイスを考慮に入れることができます。誰がサインインしているかだけでなく、何からサインインしているかも確認し、デバイスが既知で正常かつ管理対象であることを要求できます。

デバイストラストは、認証ポリシーで適用できる条件の 1 つです。以下では、デバイス情報の取得元と、ポリシーで要求できるシグナルについて説明します。

デバイス情報の取得元

デバイスヘルスは、デバイス上で実行されている Iru Access アプリ（ユーザーがサインインに使用するのと同じアプリ）から取得されます。デバイスが最初にセットアップされると、Iru はそれが本物の登録済みデバイスであることを確認します。それ以降、Iru Access はデバイスのヘルスシグナルを Iru に報告し、認証ポリシーでそれらを使用できます。 Iru Access は、デバイスの登録時、ユーザーがサインインするたび、および（コンピュータでは）定期的なバックグラウンドチェックイン時にこれらのシグナルを報告します。デバイスヘルスを要求するポリシーは、これらのスナップショットを時間的制約のあるものとして扱います。デバイスのヘルスまたは Play Integrity のスナップショットが存在しない場合、または 24 時間より古い場合、ポリシーはサインインを拒否します。シグナルが適用に十分な鮮度を保てるよう、Iru Access をインストールしたままにし、チェックインできる状態にしてください。

デバイスシグナルは Iru Access が登録されているデバイスでのみ利用できるため、デバイストラストを要求する前に展開してください。ユーザーが Iru Access をセットアップする方法については認証システムを参照してください。

Iru は、macOS、Windows、iOS にわたるノートパソコン、デスクトップ、スマートフォン、タブレットを認識します。

「信頼できる」の意味

デバイストラストの要件は、選択したシグナルの組み合わせです。簡単に言えば、ポリシーではデバイスが次の状態であることを要求できます。

既知で検証済み

デバイスが不明なデバイスや偽装されたデバイスではなく、本物の認識されたデバイスであること。 Iru は、シグナルを信頼する前にデバイスがアテスト済みであることを確認できます。

管理対象

デバイスが組織のデバイス管理に登録されていること。Iru は、Mac の登録プロファイル、Windows コンピュータの MDM 登録、モバイルデバイスの管理対象アプリ構成など、Iru Access が報告する管理の証拠からこれを判断します。

暗号化済み

デバイスのディスク暗号化がオンになっており、デバイスを紛失したり盗まれたりした場合でも保存データが保護されること。

正常

デバイスが要求する状態を満たしていること。たとえば、保護機能がオンで、許容可能なオペレーティングシステムのバージョンを実行していることなどです。

デバイストラストのシグナルは、Iru Access エージェントが登録されているデバイスでのみ利用できます。正常なデバイスを要求するポリシーは、Iru が信頼できるシグナルを持たないデバイスからのサインインを拒否するため、そのようなポリシーを広範囲に適用する前に、フリート全体に Iru Access を展開してください。

ポリシーによるデバイストラストの使用方法

ポリシーはまずデバイスがどのプラットフォーム上にあるかを考慮し、そのプラットフォームに設定した要件を適用します。各オペレーティングシステムが公開する保護機能が異なるため、利用可能なシグナルはプラットフォームによって異なります。

macOS

Mac では、Iru Access は豊富なシグナルを報告します：ディスク暗号化（FileVault）がオン、ファイアウォールがオン、 System Integrity Protection がオン、封印された（検証済みの）システムボリューム、オペレーティングシステムのバージョン。ポリシーに必要な組み合わせを要求してください。

Windows

Windows でも、Iru Access は豊富なシグナルを報告します：ディスク暗号化（BitLocker）がオン、ファイアウォールがオン、 Microsoft Defender ウイルス対策の保護がオン、セキュアブートがオン、メモリ整合性がオン、ハードウェアセキュリティチップ（TPM）の存在、オペレーティングシステムのビルド。組織で Microsoft Defender の代わりにサードパーティのウイルス対策を使用している場合は、適用する前にそのシグナルをテストしてください。

iOS

モバイルデバイスでは、Iru Access はより少ないシグナルを報告します：パスコード（画面ロック）が設定されているかどうか、およびオペレーティングシステムのバージョン。

一部の macOS シグナルの意味： *System Integrity Protection（SIP）*は、管理者であっても保護されたシステムファイルを変更できないようにします。*Signed System Volume（SSV）*は、暗号的に封印された改ざん検知可能なシステムボリュームです。シングルサインオン（SSO）拡張機能は、Iru がデバイス上でアプリのサインインを仲介できるようにする macOS のコンポーネントです。これらを要求することで、デバイスの中核的な保護機能が損なわれていないことを確認できます。

各シグナルについて、オンである必要があるか、オフである必要があるか、無視するかを決定します。バージョンについては、比較方法と対象を選択します。デバイスが必須のシグナルを満たさない場合、サインインは失敗し、満たされなかった要件は違反として記録されます。判定と違反の仕組みについては認証ポリシーを参照してください。

ポリシーで有効にしたプラットフォームのみが、そのポリシーが制御するアプリケーションにサインインできます。プラットフォームが無効のままの場合、そのプラットフォームのデバイスはアクセスを拒否されます。