Atlassian Confluence Cloud の IP、デバイス、場所、時間の制限

1. miniOrangeでAtlassian Confluence Cloudを構成する

• miniOrangeにログイン 管理コンソール.
• に行く アプリ をクリックします。入力したコードが正しければ、MFAの設定は正常に完了します アプリケーションの追加



• In アプリケーションの種類を選択してください をクリックしてください アプリを作成する SAML/WS-FED アプリケーション タイプのボタン。



• 検索する 合流 リスト内の



• 入力する SPエンティティID or 発行者.
• 入力する ACSのURL.
• 入力する シングル ログアウト URL.



• 詳しくはこちら 次へ、現在 属性マッピング 選択に応じて属性を構成します。



• ソフトウェアの制限をクリック Save.

Atlassian Confluence Cloud にアップロードするための IdP メタデータの詳細を取得します。

• に行く アプリ >> アプリの管理.
• アプリを検索して、 select アプリのアクション メニューに表示されます。
• ソフトウェアの制限をクリック 後で必要になるメタデータの詳細を取得します。 リンク Atlassian Confluence Cloud の IDP 開始 SSO リンクを表示します。



• ここで2つのオプションが表示されます。 IDP としての miniOrange miniOrangeに関連するメタ詳細をコピーします。 外部 IDP (OKTA、AZURE AD、ADFS、ONELOGIN、GOOGLE APPS) 以下に示すように、第 2 セクションからメタデータを取得できます。



• キープ SAML ログイン URL , SAML ログアウト URL とをクリックしてください 証明書をダウンロードする 必要な証明書をダウンロードするためのボタン ステップ 2.

2. Atlassian Confluence Cloud でシングル サインオン/SSO を構成する

• 今すぐログインしてください アトラシアン クラウド 管理コンソール.
• 組織を選択し、 セキュリティ.



• 選択 SAMLシングルサインオン [OK]をクリックします SAML設定を追加する.



• Enter アイデンティティ プロバイダー エンティティ ID、アイデンティティ プロバイダー SSO URL (NAIST) と 公開 x509 証明書 ステップ 1 から構成を保存ボタンをクリックします。

• 次に、認証ポリシーを設定します。 認証ポリシーの表示.



• ソフトウェアの制限をクリック ポリシーを追加.



• ポリシー名を入力してポリシーを追加します。
• シングルサインオンの下にある シングルサインオンを有効にする.



• 次に、 設定タブ をクリックします。入力したコードが正しければ、MFAの設定は正常に完了します メンバーを追加.



• 詳細を入力してクリック メンバーを追加ユーザーは両方に存在する必要があります アトラシアン アクセス (NAIST) と ミニオレンジシングルサインオン(SSO)は、 追加されたメンバー.

3. 適応型認証ポリシーの設定

• にログインします セルフサービスコンソール >> ポリシー >> 適応型アクセス ポリシー 左側のメニューから該当セクションを選択してください。



• 以下を行うには、 ポリシーの作成 右上のボタン。適切なポリシー名を追加してクリックします。 ポリシーの作成.

3.1 ポリシーの概要

a. IP制限を設定する

IPアドレスに基づくアクセス制限機能を使用すると、管理者はログイン要求の送信元IPアドレスに基づいてユーザーアクセスを制御できます。管理者は、信頼できるIPアドレスまたは制限付きIPアドレス、およびIPアドレス範囲を設定し、ユーザーのIPアドレスが設定された条件に一致した場合に実行されるアクションを定義できます。認証時には、ユーザーのIPアドレスが設定されたポリシーと照合され、選択された設定に基づいてアクセスが許可、拒否、またはチャレンジされます。

• 拡大する IPアドレスに基づくアクセス制限 ドロップダウンアイコンをクリックして、IPベースのアクセスルールを設定します。



• 詳しくはこちら IPアドレス範囲を追加 ポリシーのIPアドレスまたはIP範囲を設定する。



• ホワイトリストに登録するIPアドレスを指定します。ホワイトリストに登録されていないIP範囲についても、上記の設定を反映させることができます。
• いずれかを選択する 許可する or 否定する ドロップダウンメニューから該当するオプションを選択してください。ユーザーがホワイトリストに登録されたIPアドレスでログインしようとすると、常にアクセスが許可されます。
• IPアドレス範囲は3つの形式でサポートされています。 IPv4、IPv4 CIDR、IPv6 CIDRドロップダウンメニューから適切なものを選択できます。
• 複数のIPまたはIP範囲を追加するには、 + IPアドレス範囲を追加



• 変更が完了したら、 をクリックします 次へ.

b. デバイス制限の設定

デバイス制限を使用すると、管理者はデバイスの信頼性に基づいてアプリケーションへのアクセスを制御できます。セキュリティ要件に応じて、エージェントレスデバイス制限（ブラウザベースのフィンガープリンティング）またはエージェントベースデバイス制限（リスクスコアリング機能を備えたインストール型エージェント）を選択できます。

• 有効にします デバイス構成 トグル。



• デバイスの制限は、次のいずれかを使用して設定できます。 エージェントレスまたはエージェントベース メソッド：

エージェントレスデバイス制限

• 許可されるデバイス登録数: ユーザーが登録できるデバイスの最大数を指定します。
• モバイルデバイスの制限を有効にする: モバイル デバイスからのログイン試行をブロックします。
• デバイスの自動登録を有効にする: デバイスの自動登録を可能にします。




エージェントベースのデバイス制限

• エージェントベースのデバイス制限を有効にするための前提条件：
• すべてのエンドユーザーは、 デバイスエージェント アプリケーションにアクセスする前に、デバイス上で確認してください。
• エージェントがインストールされていないユーザーはブロックされ、以下の画面が表示されます。 お使いのデバイスにminiOrangeデバイスエージェントをインストールしてから、もう一度お試しください。
• デバイスエージェントは現在、以下のプラットフォームでサポートされています。 Windowsデバイスのみ.
• 詳しくはこちら エージェントをダウンロード エンドユーザー向けのインストールファイルを入手するため。
• デバイス登録方法次のいずれかを選択してください。
• ユーザーによる自己登録: ユーザーは、規定の上限まで自身のデバイスを登録できます。適度なセキュリティを確保しつつ、柔軟性を提供します。



• 許可されるデバイス登録数: ユーザーが登録できるデバイスの最大数を指定します。
• モバイルデバイスの制限を有効にする: モバイル デバイスからのログイン試行をブロックします。
• デバイスの自動登録を有効にする: デバイスの自動登録を可能にします。
• 事前に承認された信頼できるデバイスのみ: セキュリティが強化されます。管理者が信頼できるデバイス情報を手動で管理します。このオプションを選択してクリックします。 事前承認済みの信頼できるデバイスをアップロードする（CSVファイル） デバイスをインポートします（デバイスが既にアップロードされている場合は、この手順をスキップできます）。



• をアップロード CSVファイル 事前に承認されたユーザーとデバイスが含まれます (ユーザーは miniOrange にすでに存在している必要があります)。 サンプルCSVをダウンロード 参考のため。
• 次のオプションを設定します。
• モバイルデバイスの制限を有効にする: モバイル デバイスからのログイン試行をブロックします。
• デバイスの自動登録を有効にする: デバイスの自動登録を可能にします。
• デバイス信頼評価のためのリスクエンジンを構成する

  リスクエンジンは、複数のデバイス属性を分析し、リスクスコアを算出することで、デバイスの信頼性を評価します。このスコアに基づいて、ログイン時およびデバイス登録時に、ユーザーアクセスが許可、制限、または拒否されます。

• に移動します リスクエンジン セクションをクリックして 構成.



• リスクパラメータを設定します。
• リスクパラメータ タブで、カテゴリ別にグループ化されたデバイス属性のリストを確認します。
• その デバイス識別子 カテゴリには必須属性（インストールID、BIOS UUID、マシンSIDなど）が含まれます。これらの属性はデバイスフィンガープリンティングに不可欠であるため、常に有効になっており、無効化したり優先順位を変更したりすることはできません。
• その他のカテゴリ (ハードウェア、ネットワーク、ソフトウェア、場所) については、デバイスの信頼性の評価に使用する属性を有効にします。
• 有効な属性ごとに優先度を設定します。
• 高： リスクスコアに大きな影響
• 媒体： 中程度の影響
• 低： 最小限の影響



• ソフトウェアの制限をクリック 変更を保存.
• リスクスコアの設定
• リスクスコアユーザーログイン時の認証結果を決定するスコア範囲（0～100）を定義します。
• リスク スコアが低いほど、デバイスは信頼できます。
• リスク スコアが高いほど、潜在的なセキュリティ リスクまたは異常を示します。
• しきい値を次のように設定します。
• 許可： チャレンジや登録なしでユーザーが認証できるようにします。
• 課題： デバイスの制限を超えた場合など、チャレンジによるユーザー認証を許可します。
• 拒否： デバイス制限を超えた場合やデバイス属性が一致しない場合など、ユーザー認証を拒否します。

c. 位置情報制限の設定

位置情報制限では、管理者は、管理者が設定した条件に基づいてエンドユーザーのアクセスを許可または拒否する場所のリストを設定します。アダプティブアクセスポリシーが有効になっている状態でユーザーがログインしようとすると、緯度、経度、国コードなどの位置情報属性が、管理者が設定した位置情報リストと照合されます。この照合結果に基づいて、ユーザーは許可されるか、認証を求められるか、または拒否されます。

• 拡大する 位置情報に基づくアクセス制限 ドロップダウンアイコンをクリックして、位置情報に基づくアクセス制限ルールを設定します。
• ソフトウェアの制限をクリック 場所を追加.



• 「場所を入力」入力フィールドに場所の名前を入力し、上下のナビゲーション キーを使用して検索結果から正しい場所を選択します。
• 次の入力フィールドに、現在地の周辺距離を追加します。これは、緯度と経度のポイントを使用して設定した場所の周辺の合計エリアになります。
• 次の選択リストで、距離の単位としてKMS（キロメートル）またはマイルを選択してください。追加する各場所について、横にあるスイッチボタンを有効または無効にすることで、許可または拒否を選択できます。
• あなたはをクリックすることができます 場所を追加 複数の場所を追加するには。



• ページの下部までスクロールして、変更を保存します。

d. 時間制限を設定する

時間制限では、管理者が開始時刻と終了時刻を指定してタイムゾーンを設定し、ポリシーの条件に基づいてユーザーのアクセスが許可されるか、拒否されるか、または認証が行われます。アダプティブアクセスポリシーが有効になっている状態でエンドユーザーがログインしようとすると、タイムゾーンや現在のシステム時刻などのタイムゾーン関連属性が、管理者が設定したリストと照合されます。設定に基づいて、ユーザーのアクセスが許可されるか、拒否されるか、認証が行われます。

• 拡大する 時間ベースのアクセス制限 ドロップダウンアイコンをクリックして、時間ベースのアクセス制限ルールを設定します。



• ソフトウェアの制限をクリック 時間の追加.



• 「タイムゾーンの選択」リストからタイムゾーンを選択します。「開始時刻」と「終了時刻」リストから適切な値を選択します。追加する各時間設定について、ドロップダウンメニューを使用して、 許可する or 否定する ボーマンは



• 入力フィールドに分単位で値を入力してください。 ログインウィンドウのバッファ時間（分）この値を使用すると、開始時刻の前後に一定の猶予時間を指定できます（たとえば、開始時刻が午前6時、終了時刻が午後6時で、時間差の値が30分に設定されている場合、ポリシーでは午前5時30分から午後6時30分までの時間が考慮されます）。このフィールドに値が入力されない場合は、デフォルト値である0分が設定されます。
• あなたはをクリックすることができます 時間を追加ボタン 複数の時間構成を含めて、上記の手順に従います。
• ソフトウェアの制限をクリック 次へ.

3.2 行動変容のための行動

• アダプティブアクセスポリシーには、以下の説明にある3つのアクションのいずれかを設定できます。




属性	詳細説明
許可する	アダプティブアクセスポリシーの条件が真の場合、ユーザーが認証を行い、サービスを利用できるようにします。
否定する	アダプティブアクセスポリシーの条件が真の場合、ユーザー認証およびサービスへのアクセスを拒否します。
課題	ユーザーの信頼性を確認するには、以下の 3 つの方法のいずれかを使用してユーザーにチャレンジします。




チャレンジタイプのオプション:




要因	詳細説明
ユーザーによる第二認証	ユーザーは、選択した、または割り当てられた第2要素を使用して認証する必要があります。 SMS 経由の OTP プッシュ通知 メール経由のOTPと さらに多くの.
KBA	システムは、ユーザーがセルフサービスコンソールで設定した3つの質問のうち2つについて、ユーザーに回答を求めます。両方の質問に正しく回答した場合のみ、ユーザーは先に進むことができます。
代替メール経由の OTP	ユーザーは、セルフサービスコンソールで設定した代替メールアドレスにOTPを受け取ります。正しいOTPを入力すると、次のステップに進むことができます。

3.3 メールアラートとカスタムエラーメッセージ

このセクションでは、アダプティブ認証に関連する通知とアラートを処理します。以下のオプションが提供されます。

• メールアラートを送信する： 適応型認証イベントが発生した際にメール通知を受け取る受信者を設定します。監視およびセキュリティ要件に応じて、管理者、エンドユーザー、またはその両方にアラートを送信できます。
• 管理者にメールアラートを送信する： このオプションを有効にすると、設定済みの適応型認証イベントがトリガーされたときに管理者に通知されます。必要に応じて、以下の欄にメールアドレスを指定できます。 管理者のアラート受信用メールアドレス アラートを受信するには、この設定が必要です。設定しない場合、アラートはデフォルトの管理者アカウントに送信されます。



• エンドユーザーにメールアラートを送信する： このオプションを有効にすると、適応型認証イベントがエンドユーザーのログイン試行やデバイス登録に影響を与える場合に、エンドユーザーに通知されます。
• デバイス登録数が許容数を超えました。 有効にすると、エンドユーザーは、設定されたデバイス制限ポリシーで許可されている最大数を超えるデバイスを登録しようとした場合に、電子メール通知を受け取ります。エンドユーザーへの通知のみに利用可能です。)



• ユーザーが不明なデバイスまたは場所からログインした場合に、メールアラートを受け取る。 管理者は、さまざまなアラートオプションのアラートを受信できるようにするために、このオプションを有効にする必要があります。



オプション	詳細説明
ユーザーは不明なIPアドレス、デバイス、または場所からログインします	このオプションを有効にすると、不明な IP アドレスやデバイス、さらには場所からでもログインできるようになります。
チャレンジが完了し、デバイスが登録されました	このオプションを有効にすると、エンドユーザーがチャレンジを完了してデバイスを登録したときに電子メールアラートを送信できるようになります。
チャレンジは完了しましたが、デバイスが登録されていません	このオプションを有効にすると、エンドユーザーがチャレンジを完了したがデバイスを登録しなかった場合に電子メールアラートを送信できます。
チャレンジ失敗	このオプションを有効にすると、エンドユーザーがチャレンジを完了できなかった場合に電子メールアラートを送信できます。





• 複数の管理者アカウントにアラートを受信させたい場合は、管理者のオプションを有効にしてから、管理者のメールアドレスをカンマで区切って入力フィールドに入力してください。 管理者のメールアドレス（アラートを受信する場合） ラベル。エンドユーザーへのアラートを有効にするには、 エンドユーザー チェックボックスをオンにします。
• 適応型ポリシーによって認証が拒否された場合にエンドユーザーが受け取る拒否メッセージをカスタマイズしたい場合は、以下のメッセージを入力します。 拒否メッセージ テキストボックス。

3.4レビュー

適応型認証ポリシーを作成する前に、設定済みのポリシー条件、動作変更アクション、メールアラート設定、およびカスタムエラーメッセージを確認してください。この手順では、設定済みのすべての項目を一覧表示できるため、ポリシー構成を確認し、保存する前に必要な変更を行うことができます。

• すべての設定を確認したら、クリックしてください。 ポリシーの作成 ポリシーを保存して有効化する。
• ポリシーが正常に追加されると、リストに表示されます。

4. Atlassian Confluence Cloud の制限を有効にする

• にログインします セルフサービスコンソール >> ポリシー >> アプリログインポリシー.
• 以下を行うには、 編集 事前定義されたアプリポリシーのアイコン。



• 作成セッションプロセスで グループ名 (NAIST) と ポリシー名 必要に応じて選択してください。 パスワード as 最初の要素.



• 有効にする 適応認証 ログインポリシーの編集ページで必要な項目を選択します 制限方法 オプションとして。
• ログインポリシーを選択 ドロップダウンメニューから、前の手順で作成したポリシーを選択してください。
• 制限を適用するには、以下を使用してください。 複数の適応型認証制限が設定されている場合、IP制限をどのように評価するかを選択してください。
  • AND： アクセスが許可される前に、設定されたIP制限およびその他の有効な制限事項すべてが満たされている必要があります。
  • OR： アクセスが許可される前に、設定されたIP制限、または少なくとも1つ以上の有効な制限を満たしている必要があります。



• 適応型認証制限: 既存の設定に加えて、追加のログイン制限と検証条件を設定します。 制限 アカウントのセキュリティを強化し、状況に応じたリスク要因に基づいてユーザーアクセスを制御する。

ステップ1: miniOrangeでSAMLアプリを構成する

• ログインする miniOrange 管理コンソール.
• に行く アプリ をクリックします。入力したコードが正しければ、MFAの設定は正常に完了します アプリケーションを追加



• アプリケーションの選択で、 SAML/WS-FED 全てのアプリ ドロップダウン。



• 次のステップでは、 カスタムSAMLアプリ それをクリックします。



• 基本設定 タブで希望する アプリ名 をクリックしてSPメタデータを追加します SP メタデータのインポート ボタンをクリックすると、メタデータが 認証ソース CASB のタブ。



• 完了したら、をクリックします 次へ



• 属性マッピング 選択に応じて属性を設定します。クリックします Save

ステップ2: CASBでAtlassianの認証ソースを設定する

• 詳しくはこちら こちら miniOrange CASB ダッシュボードにログインします。



• ログインすると、miniOrangeダッシュボードにリダイレクトされます。 「アトラシアン」 タブをクリックして アプリを追加



• まず 認証ソースの追加 ドロップダウンメニューからオプションを選択します。



• 言及する 認証名 認証元を選択し、 メタデータを生成します。



• をクリックした後 メタデータの生成すると、下の画像に示すようにメタデータの詳細が表示されます。このデータを使用して、 SAML あなたのアプリケーション アイデンティティプロバイダー (IDP).



• メタデータの詳細を再度表示したい場合は、 メタデータの表示
• 次に、残りの詳細を入力します。 IDP エンティティ ID, SAML ログイン URL, SAML ログアウト URL, X509 証明書 あなたの ID プロバイダー メタデータ。完了したら、必要に応じてSSOリクエストのバインディングタイプを選択します。この情報はIDPメタデータにあります。ただし、よくわからない場合は、 HTTP リダイレクト バインディング デフォルト設定として。



• クリック 保存して次へ すべての詳細を入力したら、ボタンをクリックしてください。
• これで正常に設定が完了しました miniOrange CASB による SAML 認証.

ステップ 3: 基本設定を構成する

• 現在、次のページにリダイレクトされています 基本設定 のセクションから無料でダウンロードできます。
• 以下の詳細を入力して設定してください アトラシアン 応用：

アプリケーション名：	アプリケーションの名前を入力してください
組織ドメイン:	Shopify の組織のドメインを入力します。(例: example.com)
属性キー:	SAML 属性セクションの IDP で構成した SSO アプリのグループ属性キーを入力します。
名前属性キー:	fname、Lname などの属性名を入力します。
ACS URLを入力してください:	ACS URLは以下から取得できます。 Atlassian 管理者ダッシュボード.
エンティティ URL を入力してください:	エンティティURLは以下から取得できます。 Atlassian 管理者ダッシュボード.
CASBタイプ	CASBタイプをインラインまたはオフラインとして選択します
MDMを有効にする	デバイスでMDMを設定する場合は、有効にしてください




• ソフトウェアの制限をクリック 保存して次へ 変更を保存します。

ステップ4: AtlassianでSAML SSOを構成する

• に行く 管理者 管理者アカウントでログインします。



• MFAデバイスに移動する セキュリティ > ユーザー セキュリティ > ID プロバイダー。 を探します その他のプロバイダーオプション をクリックし 選択する.



• 名前を入力してください アイデンティティプロバイダディレクトリを選択し、 追加.



• 下 ユーザーを認証する セクションをクリックします。 SAMLシングルサインオンを設定する.



• 詳しくはこちら 次へ.



• 必要なSAMLの詳細を入力します。 ID プロバイダーのエンティティ ID, アイデンティティプロバイダ SSO URL, 公開 x509 証明書から入手できます ステップ 2、[OK]をクリックします 次へ.



• これで、SP エンティティ ID と ACS URL が取得されます。 URLをコピーする それを貼り付けて miniOrange CASB 基本設定、次に以下をクリックします 次へ.



• ドメインを選択してください ドロップダウンメニューからクリックします 次へ.



• プロビジョニングが必要な場合は、 プロビジョニングを設定する。 それ以外の場合はクリックします SAMLを停止して保存する.



• MFAデバイスに移動する セキュリティ > ユーザー セキュリティ > 認証ポリシー をクリックし 編集 あなたのポリシーに基づいて。



• のチェックボックスを有効にします シングルサインオンを強制する.



• に行きます 加盟国 タブをクリックして メンバーを追加します。 ローカル ディレクトリからディレクトリにメンバーを追加します。



• 検索バーでユーザーを検索してユーザーを追加するか、または 一括入力 タブには何も表示されないことに注意してください。



• に戻る 設定 タブをクリックして 更新 ページの下部にあります。
• クリックして確認する 更新 再びポップアップで。

ステップ5: ポリシーを構成する

Atlassian CASB のポリシーを構成する方法を見てみましょう。

• あなたは ポリシーの管理 画面で、ポリシーの詳細を入力します。 ポリシー名 (NAIST) と ポリシーの説明 要件に応じてポリシーを選択します。



• 必要に応じて制限を設定するには、以下の手順に従ってください。

• すべての設定が完了したら、 保存して次へ

ステップ6: グループを構成する

AtlassianPlus CASB のグループを構成する方法を見てみましょう。

• 現在、次のページにリダイレクトされています グループを管理 画面に グループ名 (NAIST) と グループの説明。 選択する アトラシアンのポリシー プルダウンメニューから
• 次に、グループにアプリケーションの権限を割り当てます。

a)アプリの制限:この場合、グループ用に設定したポリシーに基づいて、アプリケーションに制限が適用されます。

b)アプリ制限なし:この場合、グループのアプリケーションに制限はありません。

c)アプリを無効にする:このオプションを選択すると、グループ全体がどこからでもアプリケーションにアクセスできなくなります。

d)カスタムアプリ制限:これを使用すると、グループの制限ポリシーよりも優先される、アプリケーション固有のカスタムアプリケーション制限ポリシーをアプリケーションに適用できます。




• 今、をクリックします 保存して次へ 一度終わった。
• すべての画面を正常に構成すると、編集画面にリダイレクトされます。

ステップ7: 編集画面

• 基本設定 認証セクションでは、必要に応じて設定を変更できます。
• 異なる認証ソースを設定したいとします。その場合は、 認証元 ナビゲーション バーで、認証ソースを追加、表示、編集できるようになります。



• In グループ設定 セクション この画面でグループを追加および構成し、構成されたすべてのグループを表示できます。
• 今、をクリックします 新しいグループを追加 追加するためのポップアップが表示されます 新しい集団 上記の手順に従って設定できます。



• 「セッション管理」 セクションでは、ログインしたユーザーのセッションの詳細を確認できます。