アクセス ポリシー ルールを作成して、ユーザーが Workspace ONE ワークスペースおよび資格付与されたアプリケーションにアクセスするために満たす必要のある基準を指定します。また、特定の Web およびデスクトップ アプリケーションへのユーザーのアクセスを制御するルールを使用してアプリケーション固有のアクセス ポリシーを作成することもできます。

ネットワーク範囲

ネットワーク アドレスは、アプリケーションへのログインとアクセスに使用される IP アドレスに基づいてユーザー アクセスを管理するアクセス ポリシー ルールに割り当てられます。Workspace ONE Access サービスがオンプレミスで構成されている場合、内部ネットワーク アクセスと外部ネットワーク アクセスのネットワーク IP アドレス範囲を構成できます。次に、ルール内で構成されたネットワーク範囲に基づいて、別のルールを作成できます。

注: Workspace ONE Access クラウド サービスのネットワーク アドレスを構成する場合は、内部ネットワークへのアクセスに使用される Workspace ONE Access テナントのパブリック アドレスを指定します。

ネットワーク範囲は、アクセス ポリシー ルールを構成する前に、[ID とアクセス管理] タブの [管理] > [ポリシー] > [ネットワーク範囲] ページで構成します。

環境内の各 ID プロバイダ インスタンスは、ネットワーク範囲と認証方法を関連付けるように構成されます。ポリシー ルールを構成するときには、選択するネットワーク範囲が既存の ID プロバイダ インスタンスによって関連付けられていることを確認します。

デバイス タイプ

アクセス ポリシー ルールは、ポータルおよびリソースにアクセスするために使用されるデバイス タイプを管理するように構成されます。

  • [すべてのデバイス タイプ] は、アクセスのすべてのケースで使用されるポリシー ルール内で構成されています。
  • [Web ブラウザ] デバイス タイプは、デバイスのハードウェア タイプまたはオペレーティング システムに関係なく、任意の Web ブラウザからコンテンツにアクセスするようにポリシー ルール内で構成されています。
  • [Workspace ONE アプリケーションまたは Hub アプリケーション] デバイス タイプは、デバイスからログインした後に Workspace ONE アプリケーションまたは Workspace ONE Intelligent Hub アプリケーションからコンテンツにアクセスするようにポリシー ルール内で構成されています。
  • [iOS] デバイス タイプは、iPhone デバイスと iPad デバイスの両方からコンテンツにアクセスするようにポリシー ルール内で構成されています。

    Workspace ONE Access クラウド テナント環境では、Safari 設定の デスクトップ サイトを要求 が有効かどうかに関係なく、iOS デバイス タイプは iPhone デバイスと iPad デバイスの両方に一致します。

  • [macOS] デバイス タイプは、macOS で構成されたデバイスからコンテンツにアクセスするように構成されています。

    オンプレミス環境の場合は、Safari 設定の デスクトップ サイトを要求 が有効になっている iPad デバイスと一致するように macOS デバイス タイプも構成します。

  • (クラウドのみ)[iPad] デバイス タイプは、iPadOS で構成された iPad デバイスからコンテンツにアクセスするようにポリシー ルール内で構成されています。このルールを使用すると、Safari 設定で デスクトップ サイトを要求 が有効になっているかどうかに関係なく iPad を識別できます。
    注: iPad デバイス タイプを使用するためのアクセス ポリシー ルールを作成する場合、iOS デバイス タイプを使用するルールの前に iPad デバイスのルールをリストする必要があります。そうでないと、iOS デバイス タイプのルールはアクセスを要求する iPad デバイスに適用されます。これは、iPadOS またはそれ以前の iOS を搭載した iPad に適用されます。
  • [Android] デバイス タイプは、Android デバイスからコンテンツにアクセスするように構成されています。
  • [Windows 10] デバイス タイプは、Windows 10 デバイスからコンテンツにアクセスするように構成されています。
  • [Windows 10 の登録] デバイス タイプは、Workspace ONE UEM サービスによって管理される Windows 10 デバイスからコンテンツにアクセスし、アクセスが制限されている Web アプリケーションにアクセスするように構成されています。
  • [デバイス登録] デバイス タイプは、デバイス登録を要求するように構成されています。このルールでは、ユーザーは iOS または Android デバイス上の Workspace ONE Intelligent Hub アプリケーションによって促進される Workspace ONE UEM 登録プロセスに対して認証される必要があります。

ルールがリストされる順序([ID とアクセス管理] > [ポリシー] ページ)は、ルールが適用される順序を示します。デバイス タイプが認証方法と一致すると、それ以降のルールは無視されます。デバイス タイプ [Workspace ONE アプリ] ルールがポリシー リストの最初のルールでない場合、ユーザーは延長時間の間 Workspace ONE アプリケーションにログインしません。

グループを追加

ユーザーのグループ メンバーシップに基づいて異なる認証ルールを適用することができます。エンタープライズ ディレクトリから同期されるグループと Workspace ONE Access コンソールで作成したローカル グループを使用できます。

グループがアクセス ポリシー ルールに割り当てられると、ユーザーは一意の識別子を入力するよう求められ、続いてアクセス ポリシー ルールに基づいて認証を入力するよう求められます。『Workspace ONE Access 管理ガイド』の「一意の識別子を使用したログイン エクスペリエンス」を参照してください。デフォルトでは、一意の識別子は [userName] です。[ID とアクセス管理] > [セットアップ] > [基本設定] ページに移動して、構成された一意の識別子の値を確認するか、識別子を変更します。

注: ルール内でグループが識別されていない場合、ルールはすべてのユーザーに適用されます。構成するアクセス ポリシーにグループを含むルールとグループを含まないルールがある場合、グループとともに構成されたルールを、グループなしで構成されたルールの前にリストする必要があります。

ルールによって管理されるアクション

アクセス ポリシー ルールは、ワークスペースおよびリソースへのアクセスを許可または拒否するように構成できます。ポリシーが特定のアプリケーションへのアクセスを提供するように構成されている場合、追加の認証なしでアプリケーションへのアクセスを許可するアクションを指定することもできます。このアクションを適用するため、ユーザーはデフォルトのアクセス ポリシーによってすでに認証されています。

ルールには、たとえばどのネットワーク、デバイス タイプ、およびグループを含めるか、およびデバイスの登録とコンプライアンスの状態など、アクションに適用する条件を選択的に適用できます。アクションがアクセスを拒否する場合、ユーザーはログインしたり、ルール内で構成されているデバイス タイプとネットワーク範囲からアプリケーションを起動したりすることはできません。

認証方法

Workspace ONE Access サービス内で構成される認証方法は、アクセス ポリシー ルールに適用されます。各ルールについて、Workspace ONE にログインまたはアプリケーションにアクセスするユーザーの ID を検証するために使用する認証方法のタイプを選択します。ルールでは、複数の認証方法を選択できます。

認証方法は、ルールに表示されている順序で適用されます。ルール内の認証方法とネットワーク範囲構成に一致する最上位の ID プロバイダ インスタンスが選択されます。ユーザー認証要求がその ID プロバイダ インスタンスに転送され、認証が行われます。認証に失敗すると、リストの上位から二番目の認証方法が選択されます。

アクセス ポリシー ルールで認証チェーンを構成し、認証情報を複数の認証方法に使用してログインするようにユーザーに要求することができます。1 つのルール内に 2 つの認証条件が構成され、ユーザーは両方の認証要求に正しく応答する必要があります。たとえば、パスワードと VMware Verify の設定を使用して認証を設定する場合、ユーザーは認証のためにパスワードと VMware Verify パスコードの両方を入力する必要があります。

前の認証要求に失敗したユーザーにもう一度ログインの機会を与えるために、フォールバック認証を設定することができます。認証方法がユーザーの認証に失敗し、フォールバック方法も構成されている場合、ユーザーは構成されている追加の認証方法の認証情報を入力するように求められます。次の 2 つのシナリオは、このフォールバックがどのように機能するかを説明しています。

  • 最初のシナリオでは、パスワードと VMware Verify パスコードを使用してユーザーを認証することを求めるアクセス ポリシー ルールが構成されています。認証にパスワードと RADIUS の認証情報を求めるフォールバック認証がセットアップされています。ユーザーはパスワードを正しく入力しましたが、正しい VMware Verify パスコードを入力していません。ユーザーは正しいパスワードを入力したため、フォールバック認証で、RADIUS の認証情報だけが要求されます。ユーザーはパスワードを再入力する必要はありません。
  • 2 番目のシナリオでは、パスワードと VMware Verify パスコードを使用してユーザーを認証することを求めるアクセス ポリシー ルールが構成されています。認証に RSA SecurID と RADIUS を求めるフォールバック認証がセットアップされています。ユーザーはパスワードを正しく入力しましたが、正しい VMware Verify パスコードを入力していません。フォールバック認証では、認証に RSA SecurID の認証情報と RADIUS の認証情報の両方が要求されます。

アクセス ポリシー ルールで Workspace ONE UEM により管理されたデバイスの認証とデバイス コンプライアンスの検証を求めるように構成するには、組み込み ID プロバイダのページで、[AirWatch とのデバイス コンプライアンス] を有効にする必要があります。Workspace ONE Access での Workspace ONE UEM で管理されているデバイスのコンプライアンス チェックの有効化を参照してください。AirWatch でデバイス コンプライアンスとチェーンを構成できる組み込み ID プロバイダの認証方法は、モバイル SSO(iOS 版)、モバイル SSO(Android 版)、または証明書(クラウド デプロイ)です。

VMware Verify が 2 要素認証に使用される場合、VMware Verify は認証チェーン内の 2 番目の認証方法になります。組み込み ID プロバイダのページで VMware Verify を有効にする必要があります。Workspace ONE Access での 2 要素認証のための VMware Verify の構成を参照してください。

認証セッションの有効期間

各ルールで、認証の有効期間を設定します。[再認証までの待機時間] 値は、ユーザーがポータルにアクセスするか、または特定のアプリケーションを開いた前回の認証イベント以来の最長時間を決定します。たとえば、Web アプリケーション ルールの値が 8 の場合、一度認証されると、ユーザーは 8 時間の間再認証する必要がありません。

[再認証までの待機時間] のポリシー ルール設定はアプリケーション セッションを制御しません。この設定は、ユーザーの再認証が必要になるまでの時間を制御します。

カスタムのアクセス拒否エラー メッセージ

無効な認証情報、不適切な構成、またはシステム エラーによってユーザーのログイン試行が失敗すると、アクセス拒否のメッセージが表示されます。デフォルトのメッセージは、次のとおりです。有効な認証方法が見つからなかったため、アクセスは拒否されました。

アクセス ポリシー ルールごとに、デフォルトのメッセージをオーバーライドするカスタム エラー メッセージを作成できます。このカスタム メッセージには、アクション メッセージを呼び出すテキストおよびリンクを含めることができます。たとえば、登録されたデバイスへのアクセスを制限するポリシー ルールで、ユーザーが未登録のデバイスからログインしようとした場合のために、次のようなカスタム エラー メッセージを作成できます。社内リソースにアクセスするには、このメッセージの最後にあるリンクをクリックしてデバイスを登録してください。デバイスが既に登録されている場合は、サポートにお問い合わせください。