> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# 資格情報とセッション

> Iru Identity がユーザーのサインインに使用する資格情報と保持するセッションを保護する方法、および必要なときにアクセスを即座に終了する方法。

Iru を通じてアプリにアクセスするすべてのユーザーの背後には、2 つのものがあります。本人であることを証明するために使用した**資格情報**と、その後サインインした状態を維持する**セッション**です。ここでは、Iru が両方をどのように保護するか、および必要なときにユーザーを遮断する方法について説明します。

## 資格情報の保護方法

ユーザーは**認証器**で本人であることを証明し、**パスキー**が主要な認証器です。パスキーは、資格情報が盗まれる最も一般的な方法であるフィッシングに耐えるよう設計されています。

<CardGroup cols={2}>
  <Card title="秘密情報はユーザーから出ない" icon="fingerprint">
    パスキーは、ID を証明する秘密情報をユーザーのデバイスにバインドしたまま保持します。サインインでは秘密情報自体を送信することなくそれを保持していることを証明するため、攻撃者がキャプチャできる再利用可能なものはありません。
  </Card>

  <Card title="Iru にバインド" icon="link">
    パスキーは、ユーザーが本当に Iru にサインインしている場合にのみ機能します。パスキーは実際の Iru サインインに紐付けられており、なりすましには応答しないため、類似したフィッシングページではパスキーを起動できません。
  </Card>

  <Card title="保存時に保護" icon="lock">
    Iru が認証器を検証するために保持するものは保存中に保護され、それだけではユーザーになりすますには不十分です。
  </Card>

  <Card title="ユーザーと管理者が管理" icon="user-gear">
    ユーザーはセルフサービスで自分の認証器を管理します。誰かが自分の認証器へのアクセスを失った場合、管理者はリセットして、ユーザーが新しい認証器を登録できるようにします。[ユーザー](/ja/identity/directory/users)を参照してください。
  </Card>
</CardGroup>

<Info>
  ユーザーが登録できる認証器と、特定のアプリに対してポリシーが受け入れる認証器は、あなたが決定します。[認証器](/ja/identity/authentication/authenticators)および[認証ポリシー](/ja/identity/authentication/authentication-policies)を参照してください。
</Info>

## アプリケーションが受け取るもの (および決して見ないもの)

ユーザーが Iru を通じてアプリにアクセスすると、アプリはユーザーが誰であるかを知りますが、どのように証明したかを知ることはありません。この分離により、1 つの盗まれた資格情報がアプリ全体に広がるのを防ぎます。

<CardGroup cols={2}>
  <Card title="アプリが受け取るもの" icon="circle-check">
    ユーザーが誰であるかを確認する署名付きステートメントと、そのアプリのサインオンにマッピングすることを選択したプロファイルの詳細。ステートメントは署名されているため、アプリはそれが本当に Iru から送信され、改ざんされていないことを検証できます。
  </Card>

  <Card title="アプリが決して受け取らないもの" icon="circle-xmark">
    ユーザーのパスキーやその他の認証器の秘密情報。アプリはユーザーの ID を証明する手段を保持しないため、1 つのアプリが侵害されても、Iru や他のアプリに対してリプレイすることはできません。
  </Card>
</CardGroup>

<Note>
  各アプリケーションと共有するプロファイル属性はあなたが決定するため、アプリにはユーザーを識別するために必要な詳細のみが表示されます。[アクセスの割り当て](/ja/identity/applications/assigning-access)を参照してください。
</Note>

## セッションの保護方法

サインインに成功すると、Iru はセッションを確立するため、ユーザーはクリックのたびに本人確認を求められることはありません。セッションは、借用されたり無期限に延長されたりしないよう保護されています。

<AccordionGroup>
  <Accordion title="セッションには有効期限がある" icon="clock">
    セッションは永続的ではありません。一定期間操作がないと終了し、最大有効期間に達した場合にも終了します。その後、ユーザーはサインインし、適用されるポリシーが改めて評価されます。接続されたアプリに提示されるセッションの長さは、[SAML アプリ](/ja/identity/applications/saml-applications)ごとおよび[アプリケーションロール](/ja/identity/applications/roles-and-bundles)ごとに構成できます。
  </Accordion>

  <Accordion title="各アプリのサインインはポリシーに照らしてチェックされる" icon="shield-halved">
    接続されたアプリへのサインインはそのアプリの認証ポリシーを経由するため、ユーザーがすでに Iru にサインインしている場合でも、機密性の高いアプリでは信頼されたデバイスを要求できます。(いずれの場合も、すべてのサインインにパスキーまたは Iru Access が必要です。) [認証ポリシー](/ja/identity/authentication/authentication-policies)および [Device trust](/ja/identity/authentication/device-trust) を参照してください。
  </Accordion>

  <Accordion title="セッションはオンデマンドで終了できる" icon="right-from-bracket">
    ユーザーのアクティブなセッションを終了すると、続行する前に再度サインインすることが強制されます。これにより、ユーザーがすでにサインインしている場合でもアクセスを遮断できます。
  </Accordion>
</AccordionGroup>

## アクセスを即座に終了する

アクセスを停止する必要がある場合、セッションの有効期限が切れるのを待つ必要はありません。状況に合ったアクションを選択してください。各アクションは[アクティビティログ](/ja/identity/administration/activity-log)に記録されます。

| アクション | 機能 | 元に戻せるか |
| - | - | - |
| **セッションを終了する** | ユーザーのアクティブなセッションを終了し、再度サインインする必要があるようにします。 | はい。まだアクティブであれば再度サインインできます。 |
| **ユーザーを一時停止する** | 記録と履歴を保持しながら、すべてのサインインをブロックします。既存のアクセスは遮断され、新しいサインインは拒否されます。 | はい。復元すると以前のステータスに戻ります。 |
| **アプリへのアクセスを削除する** | 割り当てを取り消します。プロビジョニングをサポートするアプリの場合、そこでのアカウントも削除できます。 | はい。再割り当てで復元できます。 |
| **ユーザーを削除する** | ディレクトリの記録を完全に削除します。 | いいえ。元に戻すことはできません。 |

<Note>
  **接続されたアプリ内のセッションの終了はアプリによって異なります。** セッションの終了とユーザーの一時停止により、**Iru を通じた**以降のサインインはすぐに停止されます。接続されたアプリ内のユーザーの*既存の*セッションも終了するかどうかは、そのアプリとそのプロトコルによって決まります。

  * アクセスのたびに Iru に確認するアプリは、次のチェックでユーザーのアクセスを停止します。
  * [SCIM](/ja/identity/applications/provisioning) でプロビジョニングされたアプリの場合、ユーザーを一時停止または割り当て解除すると、アプリに**非アクティブ化** (アカウントの `active` フラグを `false` に設定) または**削除**が送信されます。それによってアプリのアクティブなセッションがすぐに終了するかどうかは、アプリがそのシグナルをどのように処理するかによって決まります。
  * 一部のアプリは、セッションの取り消しまたはシングルログアウトをサポートしていない限り、有効期限が切れるまで既存のセッションを保持します。

  できる限り完全にユーザーを遮断するには、**ユーザーを一時停止**して**セッションを終了**し、各アプリのプロビジョニング解除によってダウンストリームのアクセスを削除してください。
</Note>

<Warning>
  ユーザーの一時停止は、あらゆる場所で一度にユーザーを遮断するための最も確実な単一のアクションです。新しいサインインを停止し、復元するまで既存のアクセスはブロックされたままになります。ユーザーの削除は永続的です。ユーザーが戻ってくる可能性がある場合や履歴が必要な場合は、代わりに一時停止してください。[ユーザー](/ja/identity/directory/users)を参照してください。
</Warning>

<Tip>
  ユーザーではなく資格情報が侵害されたと疑われる場合は、ユーザーの認証器をリセットしてセッションを終了してください。ユーザーはアカウントを保持しますが、再度サインインする前に新しい認証器を登録する必要があります。
</Tip>

## 侵害された資格情報の封じ込め方法

上記の要素が連携して、1 つの盗まれた資格情報が連鎖的に広がらないようにします。

1. パスキーにより、そもそも攻撃者がフィッシングできる再利用可能なものがありません。
2. アプリは ID を証明する手段を受け取らないため、侵害されたアプリを Iru に対してリプレイすることはできません。
3. 万一問題が発生した場合は、ユーザーを一時停止してセッションを終了するとアクセスが即座に遮断され、すべてのステップが確認用に記録されます。

## 次のステップ

<CardGroup cols={2}>
  <Card title="セキュリティとプライバシー" icon="shield-halved" href="/ja/identity/security/security-and-privacy">
    わかりやすい保証として表現された、セキュリティとプライバシーの全体的な態勢。
  </Card>

  <Card title="認証器" icon="fingerprint" href="/ja/identity/authentication/authenticators">
    ユーザーが登録して使用する認証器を選択します。
  </Card>

  <Card title="サインインエクスペリエンス" icon="arrow-right-to-bracket" href="/ja/identity/authentication/sign-in-experience">
    Iru を通じてサインインする際にユーザーに表示される内容。
  </Card>

  <Card title="ユーザー" icon="user" href="/ja/identity/directory/users">
    ディレクトリでユーザーの一時停止、復元、認証器のリセット、管理を行います。
  </Card>
</CardGroup>