Salesforceで信頼できるIPアドレス範囲とログイン時間を設定する

miniOrangeでは、アクセスを制御および管理できます。
Salesforce のログイン IP 範囲の制限
ポリシーを使用してアクセスを提供したり、2FA/MFA を使用してユーザーにチャレンジしたり、信頼できるログイン IP アドレスまたは信頼できるログイン IP 範囲に基づいてユーザーへのアクセスを拒否したりします。

　 Salesforce 信頼されたログイン IP アクセス制限 これを機能させるには、管理者は、アプリケーションへのアクセスを許可する、許可されたログイン IP アドレス範囲を指定するポリシーを作成する必要があります。
miniOrange は、IPv4、IPv4 CIDR、IPv6 CIDR の XNUMX つの形式の IP アドレス範囲をサポートします。
アクセスをブロックするには、管理者は、ユーザーが信頼されていない IP アドレスからログインしようとしたときに実行する必要があるアクション (2FA を使用してユーザーを拒否またはチャレンジするなど) を指定する必要があります。
制限ポリシーが設定されると、任意のアプリケーションのログインポリシーに適用して、そのアプリケーションのログイン IP 制限を有効にすることができます (Salesforce)

外部ユーザーソースとの接続

miniOrangeは、ディレクトリ（ADFS、Microsoft Active Directory、OpenLDAP、AWSなど）、IDプロバイダー（Microsoft Entra ID、Okta、AWSなど）をはじめとする様々な外部ソースからのユーザー認証を提供します。既存のディレクトリ/ユーザーストアを設定したり、 miniOrangeにユーザーを追加したりできます。

前提条件：

あなたへのログイン Salesforce アカウント。
以下を行うには、ページの右上のセクションにあるアイコン。

Salesforce ログイン IP 範囲の制限: Salesforce 管理ダッシュボード - セットアップ

検索フィールドで、 マイドメイン設定.
ドメイン名を選択し、使用可能かどうかを確認し、使用可能な場合は設定を保存して続行します。

検索する 企業情報 検索バーで
コピー 組織ID。 （これは後で必要になります）

Salesforce メタデータ: Salesforce管理ダッシュボードでSSO設定をセットアップすると、Salesforceメタデータファイルが取得されます。 メタデータをダウンロード SAML 構成設定の XML ファイルをダウンロードして、ID プロバイダーに送信します。ID プロバイダーは、これらの構成設定をアップロードして Experience Cloud サイトに接続できます。

Salesforce ログイン IP 範囲の制限: Salesforce メタデータのダウンロード

Salesforce IP制限については、以下のステップバイステップガイドに従ってください。

1. miniOrangeでSalesforceを設定する

miniOrangeにログイン管理コンソール.
に行く アプリ をクリックします。入力したコードが正しければ、MFAの設定は正常に完了します アプリケーションを追加

In アプリケーションの種類を選択してください をクリックしてください アプリを作成する SAML/WS-FED アプリケーションタイプのボタン。

検索する Salesforce リスト内の

SalesforceからXMLメタデータファイルをminiOrangeダッシュボードにアップロードするには、 SP メタデータのインポート 特徴..

Salesforce IP 制限の設定: miniOrange ダッシュボードに SP メタデータファイルをアップロードする

詳しくはこちら次へ、現在 Attributes タブで、お好みに合わせて属性を設定してください。

ソフトウェアの制限をクリック Save.
に行く アプリ >> アプリケーションアプリを検索して、三点アイコンの下にコラム。

今、選択ここでは 2 つのセクションが表示されます。設定する場合は IdP としての miniOrange最初のセクションからメタデータをコピーします。 外部IdP （Okta、Azure AD、ADFS、OneLogin、Google Workspace）からメタデータを取得します。 IdP としての外部ソース セクションを以下のように変更します。

キープ SAML ログイン URL , SAML ログアウト URL とをクリックしてください 証明書をダウンロードする 必要な証明書をダウンロードするためのボタン ステップ 2.

Salesforce IP制限: メタデータ詳細の外部IDPまたはminiOrangeをIDPとして選択

2. SalesforceでSAMLシングルサインオンを設定する

自分に戻って Salesforce アカウント。
左ペインで、 アイデンティティ >> シングルサインオン設定 または、 シングルサインオン設定 検索ボックスに入力します。
詳しくはこちら編集.
SAML SSO設定を表示するには、 SAML の有効化.
変更を保存します。

In SAML シングルサインオン設定適切なボタンのいずれかをクリックして構成を作成します。

New: すべての設定を手動で指定します。

発行者	miniOrange メタデータの IDP エンティティ ID/発行者
エンティティID	https://[yourdomain].my.salesforce.com
ID プロバイダー証明書	miniOrangeメタデータから証明書をアップロードする
署名要求方法	RSA-SHA256
アサーション復号証明書	暗号化されていません
*SAML IDタイプ	アサーションにはユーザーのSalesforceユーザー名が含まれています
*SAML IDの場所	アイデンティティはSubjectステートメントのNameIdentifier要素にあります
*サービスプロバイダー開始リクエストバインディング	HTTPリダイレクト
ID プロバイダーのログイン URL	miniOrange メタデータの SAML ログイン URL
カスタムログアウトURL	https://[yourdomain].my.salesforce.com

メタデータファイルから新規作成: miniOrange が提供する XML ファイルから SAML 2.0 設定をインポートします。このオプションでは、XML ファイルを使用して、できるだけ多くの設定を入力します。

メタデータ URL からの新規: miniOrange メタデータ URL から SAML 2.0 設定をインポートします。このオプションは、パブリック URL の XML ファイルを読み取り、それを使用して可能な限り多くの設定を入力します。URL にアクセスするには、URL をリモートサイト設定に追加します。

必要に応じてセットアップします JITプロビジョニング。詳細については、を参照してください。ジャストインタイムのユーザープロビジョニングを有効にする (NAIST) と SAML のジャストインタイムプロビジョニングについて.
詳しくはこちら Save.

3. IP制限ポリシーの設定

【注：アダプティブ認証セクションは左側のナビゲーションメニューから移動されました。IPベースのアクセス制限設定は、ポリシー >> アダプティブアクセスポリシーからご利用いただけます。】

IPアドレスに基づくアクセス制限機能を使用すると、管理者はログイン要求の送信元IPアドレスに基づいてユーザーアクセスを制御できます。管理者は、信頼できるIPアドレスまたは制限付きIPアドレス、およびIPアドレス範囲を設定し、ユーザーのIPアドレスが設定された条件に一致した場合に実行されるアクションを定義できます。認証時には、ユーザーのIPアドレスが設定されたポリシーと照合され、選択された設定に基づいてアクセスが許可、拒否、またはチャレンジされます。

にログインします セルフサービスコンソール >> ポリシー >> 適応型アクセスポリシー 左側のメニューから該当セクションを選択してください。

以下を行うには、 ポリシーの作成 右上のボタン。適切なポリシー名を追加してクリックします。 ポリシーの作成.

3.1 ポリシーの概要

拡大する IPアドレスに基づくアクセス制限 ドロップダウンアイコンをクリックして、IPベースのアクセスルールを設定します。

詳しくはこちら IPアドレス範囲を追加 ポリシーのIPアドレスまたはIP範囲を設定する。

ホワイトリストに登録するIPアドレスを指定します。ホワイトリストに登録されていないIP範囲についても、上記の設定を反映させることができます。
いずれかを選択する 許可する or 否定する ドロップダウンメニューから該当するオプションを選択してください。ユーザーがホワイトリストに登録されたIPアドレスでログインしようとすると、常にアクセスが許可されます。
IPアドレス範囲は3つの形式でサポートされています。 IPv4、IPv4 CIDR、IPv6 CIDRドロップダウンメニューから適切なものを選択できます。
複数のIPまたはIP範囲を追加するには、 + IPアドレス範囲を追加

変更が完了したら、をクリックします次へ.

3.2 行動変容のための行動

アダプティブアクセスポリシーには、以下の説明にある3つのアクションのいずれかを設定できます。

属性	詳細説明
許可する	アダプティブアクセスポリシーの条件が真の場合、ユーザーが認証を行い、サービスを利用できるようにします。
否定する	アダプティブアクセスポリシーの条件が真の場合、ユーザー認証およびサービスへのアクセスを拒否します。
課題	ユーザーの信頼性を確認するには、以下の 3 つの方法のいずれかを使用してユーザーにチャレンジします。

チャレンジタイプのオプション:

要因	詳細説明
ユーザーによる第二認証	ユーザーは、選択した、または割り当てられた第2要素を使用して認証する必要があります。 SMS 経由の OTP プッシュ通知メール経由のOTPとさらに多くの.
KBA	システムは、ユーザーがセルフサービスコンソールで設定した3つの質問のうち2つについて、ユーザーに回答を求めます。両方の質問に正しく回答した場合のみ、ユーザーは先に進むことができます。
代替メール経由の OTP	ユーザーは、セルフサービスコンソールで設定した代替メールアドレスにOTPを受け取ります。正しいOTPを入力すると、次のステップに進むことができます。

3.3 メールアラートとカスタムエラーメッセージ

このセクションでは、アダプティブ認証に関連する通知とアラートを処理します。以下のオプションが提供されます。

メールアラートを送信する： 適応型認証イベントが発生した際にメール通知を受け取る受信者を設定します。監視およびセキュリティ要件に応じて、管理者、エンドユーザー、またはその両方にアラートを送信できます。

管理者にメールアラートを送信する： このオプションを有効にすると、設定済みの適応型認証イベントがトリガーされたときに管理者に通知されます。必要に応じて、以下の欄にメールアドレスを指定できます。 管理者のアラート受信用メールアドレス アラートを受信するには、この設定が必要です。設定しない場合、アラートはデフォルトの管理者アカウントに送信されます。

エンドユーザーにメールアラートを送信する： このオプションを有効にすると、適応型認証イベントがエンドユーザーのログイン試行やデバイス登録に影響を与える場合に、エンドユーザーに通知されます。

デバイス登録数が許容数を超えました。 有効にすると、エンドユーザーは、設定されたデバイス制限ポリシーで許可されている最大数を超えるデバイスを登録しようとした場合に、電子メール通知を受け取ります。エンドユーザーへの通知のみに利用可能です。)

ユーザーが不明なデバイスまたは場所からログインした場合に、メールアラートを受け取る。 管理者は、さまざまなアラートオプションのアラートを受信できるようにするために、このオプションを有効にする必要があります。

オプション	詳細説明
ユーザーは不明なIPアドレス、デバイス、または場所からログインします	このオプションを有効にすると、不明な IP アドレスやデバイス、さらには場所からでもログインできるようになります。
チャレンジが完了し、デバイスが登録されました	このオプションを有効にすると、エンドユーザーがチャレンジを完了してデバイスを登録したときに電子メールアラートを送信できるようになります。
チャレンジは完了しましたが、デバイスが登録されていません	このオプションを有効にすると、エンドユーザーがチャレンジを完了したがデバイスを登録しなかった場合に電子メールアラートを送信できます。
チャレンジ失敗	このオプションを有効にすると、エンドユーザーがチャレンジを完了できなかった場合に電子メールアラートを送信できます。

複数の管理者アカウントにアラートを受信させたい場合は、管理者のオプションを有効にしてから、管理者のメールアドレスをカンマで区切って入力フィールドに入力してください。 管理者のメールアドレス（アラートを受信する場合） ラベル。エンドユーザーへのアラートを有効にするには、 エンドユーザー チェックボックスをオンにします。
適応型ポリシーによって認証が拒否された場合にエンドユーザーが受け取る拒否メッセージをカスタマイズしたい場合は、以下のメッセージを入力します。 拒否メッセージ テキストボックス。

3.4レビュー

適応型認証ポリシーを作成する前に、設定済みのポリシー条件、動作変更アクション、メールアラート設定、およびカスタムエラーメッセージを確認してください。この手順では、設定済みのすべての項目を一覧表示できるため、ポリシー構成を確認し、保存する前に必要な変更を行うことができます。

すべての設定を確認したら、クリックしてください。 ポリシーの作成 ポリシーを保存して有効化する。
ポリシーが正常に追加されると、リストに表示されます。

4. Salesforceの制限を有効にする

にログインします セルフサービスコンソール >> ポリシー >> アプリログインポリシー.
以下を行うには、編集事前定義されたアプリポリシーのアイコン。

IP制限を有効にする：Salesforceの2FAポリシーを編集する：2FAポリシーを編集する

作成セッションプロセスで グループ名 (NAIST) と ポリシー名 必要に応じて選択してください。 パスワード as 最初の要素.

IP制限を有効にする：Salesforceのログインポリシーを編集する：ログインポリシーを編集する

有効にする 適応認証 ログインポリシーの編集ページで必要な項目を選択します 制限方法 オプションとして。
ログインポリシーを選択 ドロップダウンメニューから、前の手順で作成したポリシーを選択してください。
制限を適用するには、以下を使用してください。 複数の適応型認証制限が設定されている場合、IP制限をどのように評価するかを選択してください。
- AND： アクセスが許可される前に、設定されたIP制限およびその他の有効な制限事項すべてが満たされている必要があります。
- OR： アクセスが許可される前に、設定されたIP制限、または少なくとも1つ以上の有効な制限を満たしている必要があります。

IP制限を有効にする: Salesforceの適応型認証を有効にする: 適応型認証を有効にする

適応型認証制限: 既存の設定に加えて、追加のログイン制限と検証条件を設定します。制限アカウントのセキュリティを強化し、状況に応じたリスク要因に基づいてユーザーアクセスを制御する。

Salesforce の IP / デバイス / 場所 / 時間制限を構成する際にサポートが必要ですか?

お問い合わせいただくか、 idpsupport@xecurify.comまでメールをお送りください。すぐに設定のお手伝いをいたします。

5. ユーザーディレクトリを構成する（オプション）

miniOrangeは、ディレクトリ（ADFS、Microsoft Active Directory、Microsoft Entra ID、OpenLDAP、Google、AWS Cognitoなど）、IDプロバイダー（Okta、Shibboleth、Ping、OneLogin、KeyCloakなど）、データベース（MySQL、MariaDB、PostgreSQLなど）といった様々な外部ソースからのユーザー認証を提供します。既存のディレクトリ/ユーザーストアを設定したり、miniOrangeにユーザーを追加したりできます。

miniOrangeをIDPとして設定する
ADをユーザーディレクトリとして設定する
外部IDPの設定

miniOrange にユーザーを追加するには、次の 2 つの方法があります。

miniOrangeでユーザーを作成する
ユーザーの一括アップロード

1. miniOrangeでユーザーを作成する

ソフトウェアの制限をクリック ユーザー >> ユーザーリスト >> ユーザーの追加.

ここで、パスワードなしでユーザーの詳細を入力し、 ユーザーの作成

ユーザーの作成が成功すると通知メッセージが表示される 「エンドユーザーが正常に追加されました」 ダッシュボードの上部に表示されます。

ソフトウェアの制限をクリック オンボーディングステータスタブ登録したメールIDでメールを確認し、アクションを選択してください パスワードリセットリンクを記載したアクティベーションメールを送信する from アクションを選択 ドロップダウンリストをクリックし、 Apply

さて、あなたのメールIDを開いてください。miniOrangeから受信したメールを開いて、アカウントのパスワードを設定します。
次の画面でパスワードと確認パスワードを入力し、 シングルサインオン（SSO）パスワードのリセット

これで、資格情報を入力して miniOrange アカウントにログインできます。

2. CSV ファイルをアップロードして miniOrange にユーザーを一括アップロードします。

MFAデバイスに移動する ユーザー >> ユーザーリスト。をクリックしてください ユーザーを追加する

一括ユーザー登録 サンプルのcsv形式をダウンロード コンソールから、指示に従ってこの csv ファイルを編集します。

ユーザーを一括アップロードするには、ファイルを選択し、 カンマ区切りの .csv ファイル形式 次に「アップロード」をクリックします。

csv ファイルが正常にアップロードされると、リンクを含む成功メッセージが表示されます。
そのリンクをクリックすると、アクティベーションメールを送信するユーザーのリストが表示されます。アクティベーションメールを送信するユーザーを選択し、[アクティベーションメールの送信] をクリックします。選択したユーザーにアクティベーションメールが送信されます。

ソフトウェアの制限をクリック ID プロバイダー >> ID プロバイダーの追加 ダッシュボードの左側のメニュー

IDプロバイダーの選択で、 AD/LDAP ディレクトリ をドロップダウンから選択します。

次に検索 AD/LDAP それをクリックします。

MINIORANGE に LDAP 設定を保存する: miniOrange の設定を維持する場合は、このオプションを選択してください。Active Directory がファイアウォールの背後にある場合は、AD への受信リクエストを許可するためにファイアウォールを開く必要があります。
LDAP 構成をオンプレミスに保存: 設定を社内に保持し、社内のADへのアクセスのみを許可する場合は、このオプションを選択します。ダウンロードしてインストールする必要があります。 miniOrange ゲートウェイあなたの前提に基づいて。

AD/LDAPを入力する 表示名 (NAIST) と 識別する 名前。
選択 ディレクトリの種類 as Active Directory.
LDAPサーバーのURLまたはIPアドレスをLDAPに対して入力します サーバー URL フィールド。
以下を行うには、 試験用接続 ボタンを押して接続が成功したかどうかを確認します LDAPサーバー.

Active Directoryで、ユーザーコンテナ/OUのプロパティに移動し、 識別名属性バインドアカウントには、Active Directory のディレクトリ参照に必要な最低限の読み取り権限が必要です。また、プロビジョニング（ユーザーまたはグループの作成、更新、削除など）を伴うユースケースの場合は、アカウントに適切な書き込み権限も付与する必要があります。

有効なバインドアカウントパスワードを入力します。
以下を行うには、 バインドアカウント資格情報のテスト LDAP 接続の LDAP バインド資格情報を確認するボタン。

検索ベース ディレクトリ内でユーザーの検索が開始される場所です。識別名を取得したのと同じ場所から取得します。

ドロップダウンメニューから適切な検索フィルターを選択します。 単一グループフィルターのユーザー or 複数グループフィルターのユーザーを置き換えますグループDN> 検索フィルターに、ユーザーが所属するグループの識別名を入力します。カスタム検索フィルターを使用するには、 「カスタムフィルターを作成する」 オプションを選択し、それに応じてカスタマイズします。

以下を行うには、次へボタン、またはに移動します ログインオプション タブには何も表示されないことに注意してください。
ADの設定時に以下のオプションを設定することもできます。有効化 LDAPをアクティブ化する AD/LDAPからユーザーを認証するには、次へユーザーストアを追加するためのボタン。

以下に属性のリストと、有効にした場合の動作を示します。これに応じて有効/無効にすることができます。

属性	詳細説明
LDAPをアクティブ化する	有効にすると、すべてのユーザー認証はLDAP認証情報を使用して行われます。
フォールバック認証	LDAP認証に失敗した場合、ユーザーはminiOrangeを通じて認証されます。
管理者ログインを有効にする	これを有効にすると、miniOrange管理者ログインはLDAPサーバーを使用して認証されます。
ユーザーにIdPを表示する	このオプションを有効にすると、このIdPはユーザーに表示されます
miniOrangeでユーザーを同期する	LDAP認証後、miniOrangeにユーザーが作成されます。

以下を行うには、次へボタン、またはに移動します Attributes タブには何も表示されないことに注意してください。

ADからの属性マッピング

デフォルトではuserName、firstName、lastName、emailが設定されています。下にスクロールしてクリックしてください。 Save ボタンをクリックします。Active Directoryから追加の属性を取得するには、 構成された属性を送信する左側に、アプリケーションに公開する名前を入力します。右側に、Active Directoryの属性名を入力します。例えば、Active Directoryから会社属性を取得し、それを組織名として設定済みアプリケーションに送信する場合は、次のように入力します。
SP に送信される属性名 = 組織
IDPからの属性名 = 会社