資格情報の保護方法
ユーザーは認証器で本人であることを証明し、パスキーが主要な認証器です。パスキーは、資格情報が盗まれる最も一般的な方法であるフィッシングに耐えるよう設計されています。秘密情報はユーザーから出ない
パスキーは、ID を証明する秘密情報をユーザーのデバイスにバインドしたまま保持します。サインインでは秘密情報自体を送信することなくそれを保持していることを証明するため、攻撃者がキャプチャできる再利用可能なものはありません。
Iru にバインド
パスキーは、ユーザーが本当に Iru にサインインしている場合にのみ機能します。パスキーは実際の Iru サインインに紐付けられており、なりすましには応答しないため、類似したフィッシングページではパスキーを起動できません。
保存時に保護
Iru が認証器を検証するために保持するものは保存中に保護され、それだけではユーザーになりすますには不十分です。
ユーザーと管理者が管理
ユーザーはセルフサービスで自分の認証器を管理します。誰かが自分の認証器へのアクセスを失った場合、管理者はリセットして、ユーザーが新しい認証器を登録できるようにします。ユーザーを参照してください。
アプリケーションが受け取るもの (および決して見ないもの)
ユーザーが Iru を通じてアプリにアクセスすると、アプリはユーザーが誰であるかを知りますが、どのように証明したかを知ることはありません。この分離により、1 つの盗まれた資格情報がアプリ全体に広がるのを防ぎます。アプリが受け取るもの
ユーザーが誰であるかを確認する署名付きステートメントと、そのアプリのサインオンにマッピングすることを選択したプロファイルの詳細。ステートメントは署名されているため、アプリはそれが本当に Iru から送信され、改ざんされていないことを検証できます。
アプリが決して受け取らないもの
ユーザーのパスキーやその他の認証器の秘密情報。アプリはユーザーの ID を証明する手段を保持しないため、1 つのアプリが侵害されても、Iru や他のアプリに対してリプレイすることはできません。
各アプリケーションと共有するプロファイル属性はあなたが決定するため、アプリにはユーザーを識別するために必要な詳細のみが表示されます。アクセスの割り当てを参照してください。
セッションの保護方法
サインインに成功すると、Iru はセッションを確立するため、ユーザーはクリックのたびに本人確認を求められることはありません。セッションは、借用されたり無期限に延長されたりしないよう保護されています。セッションには有効期限がある
セッションには有効期限がある
セッションは永続的ではありません。一定期間操作がないと終了し、最大有効期間に達した場合にも終了します。その後、ユーザーはサインインし、適用されるポリシーが改めて評価されます。接続されたアプリに提示されるセッションの長さは、SAML アプリごとおよびアプリケーションロールごとに構成できます。
各アプリのサインインはポリシーに照らしてチェックされる
各アプリのサインインはポリシーに照らしてチェックされる
接続されたアプリへのサインインはそのアプリの認証ポリシーを経由するため、ユーザーがすでに Iru にサインインしている場合でも、機密性の高いアプリでは信頼されたデバイスを要求できます。(いずれの場合も、すべてのサインインにパスキーまたは Iru Access が必要です。) 認証ポリシーおよび Device trust を参照してください。
セッションはオンデマンドで終了できる
セッションはオンデマンドで終了できる
ユーザーのアクティブなセッションを終了すると、続行する前に再度サインインすることが強制されます。これにより、ユーザーがすでにサインインしている場合でもアクセスを遮断できます。
アクセスを即座に終了する
アクセスを停止する必要がある場合、セッションの有効期限が切れるのを待つ必要はありません。状況に合ったアクションを選択してください。各アクションはアクティビティログに記録されます。接続されたアプリ内のセッションの終了はアプリによって異なります。 セッションの終了とユーザーの一時停止により、Iru を通じた以降のサインインはすぐに停止されます。接続されたアプリ内のユーザーの既存のセッションも終了するかどうかは、そのアプリとそのプロトコルによって決まります。
- アクセスのたびに Iru に確認するアプリは、次のチェックでユーザーのアクセスを停止します。
- SCIM でプロビジョニングされたアプリの場合、ユーザーを一時停止または割り当て解除すると、アプリに非アクティブ化 (アカウントの
activeフラグをfalseに設定) または削除が送信されます。それによってアプリのアクティブなセッションがすぐに終了するかどうかは、アプリがそのシグナルをどのように処理するかによって決まります。 - 一部のアプリは、セッションの取り消しまたはシングルログアウトをサポートしていない限り、有効期限が切れるまで既存のセッションを保持します。
侵害された資格情報の封じ込め方法
上記の要素が連携して、1 つの盗まれた資格情報が連鎖的に広がらないようにします。- パスキーにより、そもそも攻撃者がフィッシングできる再利用可能なものがありません。
- アプリは ID を証明する手段を受け取らないため、侵害されたアプリを Iru に対してリプレイすることはできません。
- 万一問題が発生した場合は、ユーザーを一時停止してセッションを終了するとアクセスが即座に遮断され、すべてのステップが確認用に記録されます。
次のステップ
セキュリティとプライバシー
わかりやすい保証として表現された、セキュリティとプライバシーの全体的な態勢。
認証器
ユーザーが登録して使用する認証器を選択します。
サインインエクスペリエンス
Iru を通じてサインインする際にユーザーに表示される内容。
ユーザー
ディレクトリでユーザーの一時停止、復元、認証器のリセット、管理を行います。