現在提供されているSAMLアプリケーションのIPアドレス制限機能について、アプリケーションごと、ユーザーごとに柔軟な制限設定が可能となるよう、機能改善をお願いいたします。
現状では、特定のSAMLアプリケーションに割り当てられたすべてのユーザーがIPアドレス制限の対象となっております。
実現したいこととしては、サービスの種類や個々のユーザーの業務形態に応じて、よりきめ細やかなアクセス制御を実現したいと考えております。具体的には、「TOKIUMのようなサービスは社内ネットワークからのみアクセス可能」としつつ、「Aさんのように在宅勤務をしているユーザーは場所を問わずアクセスを許可する」といった、サービス単位やユーザー単位での柔軟なIPアドレス制限設定を可能にしていただきたいです。
この機能により、セキュリティを確保しつつ、多様な働き方に対応した利便性の高いアクセス管理が可能となります。ご検討いただけますよう、よろしくお願いいたします。
10件のコメント
ご提案いただきありがとうございます。トラスト・ログインのプロダクトオーナーをしております森と申します。
設定方法のイメージについてお尋ねできますでしょうか。
ウィザードで、以下の設定を行うことで想定されている制御は実現できそうでしょうか。
①対象アプリを選択
②許可するIPアドレスを選択（または入力）
③割当メンバー・グループを選択
また、設定数はどれくらいの個数を見込まれていますでしょうか。数十の規模になりますと、UIからの操作では手間がかかるため、CSVによる一括登録を希望されるケースもあると考えての確認になります。
どうぞよろしくお願いいたします。
森様
お世話になっております。
本件、返信が遅れて申し訳ありません。
ウィザードで、以下の設定を行うことで想定されている制御は実現できそうでしょうか。
①対象アプリを選択
②許可するIPアドレスを選択（または入力）
③割当メンバー・グループを選択
→3. 割り当てメンバー・グループの選択について こちらは「IP制限を適用しないメンバーを選択する」という認識でよろしいでしょうか。その意味であれば問題ございません。
また、設定数はどれくらいの個数を見込まれていますでしょうか。数十の規模になりますと、UIからの操作では手間がかかるため、CSVによる一括登録を希望されるケースもあると考えての確認になります。
→30〜40程度を見込んでおります。 希望としては、初回の登録時のみCSVで一括設定を行い、その後の細かいメンバー調整などはUIで対応できるのが理想的です。つきましては、もし可能であれば両方の対応があると大変助かります。
お忙しいところ恐縮ですが、ご確認いただけますようお願い申し上げます。 引き続き、何卒よろしくお願いいたします。
コメントいただきありがとうございます。
3. 割り当てメンバー・グループの選択について こちらは「IP制限を適用しないメンバーを選択する」という認識でよろしいでしょうか。その意味であれば問題ございません。
こちらは、割り当てたメンバーのみ許可されたIPアドレスからアクセス可能。割り当てが無ければ許可されたIPアドレスでもアクセス不可という想定でしたが、イメージ異なっておりますでしょうか。
「Aさんのように在宅勤務をしているユーザーは場所を問わずアクセスを許可する」については、IPアドレス制限オプションを適用しない想定でございました。
アプリごとのIPアドレス制限の設定方法につきましては、UIとCSVの両方で対応希望とのこと承知いたしました。
どうぞよろしくお願いいたします。
こちらは、割り当てたメンバーのみ許可されたIPアドレスからアクセス可能。割り当てが無ければ許可されたIPアドレスでもアクセス不可という想定でしたが、イメージ異なっておりますでしょうか。
お世話になります。
いただきました内容につきまして、認識の相違があるかと存じますので、改めて弊社の希望するアクセス制御の仕様についてご説明させていただきます。
弊社が希望するアクセス制御の仕様は、以下の通りです。
●通常アクセス（割り当てがないユーザー）
割り当てのないユーザーは、許可されたIPアドレス（例：社内ネットワーク）からのみアクセスが可能であること。
●例外アクセス（割り当てられたユーザー）
特定のメンバー（ユーザー）に割り当てを行った場合、そのメンバーは許可されたIPアドレス（社内ネットワーク）以外からも（場所を問わず）アクセスが可能であること。
いただいたご質問の「割り当てたメンバーのみ許可されたIPアドレスからアクセス可能。割り当てが無ければ許可されたIPアドレスでもアクセス不可」というご想定について、「許可されたIPアドレスでもアクセス不可」となる点に相違がございます。
項目 ｜貴社の当初のご想定 ｜弊社の希望
割り当てのないユーザー｜許可されたIPアドレスでもアクセス不可｜許可されたIPアドレスからのみアクセス可能
割り当てられたユーザー｜許可されたIPアドレスからのみアクセス可能｜許可されたIPアドレス以外からも（場所を問わず）アクセス可能
例えば、TOKIUMに社内IPアドレスを登録し、ユーザーAに例外的なアクセス権限を割り当てた場合の動作は、以下のようになることを希望いたします。
●全ユーザーのアクセス： 基本的に「社内ネットワーク（許可IP）からのみアクセス可能」とする。
●ユーザーAのアクセス： 「在宅勤務など、場所を問わず（許可IP外からも）アクセスを許可する」とする。
このように、サービス全体やユーザー単位で柔軟にIPアドレス制限の設定変更ができることを要望しております。
お手数をおかけいたしますが、上記内容にて実現可否および対応方針をご検討いただけますと幸いです。引き続きよろしくお願いいたします。
コメントいただきありがとうございます。ご要望につきまして承知いたしました。
伺う範囲では大掛かりな改修が必要な想定となりますため、同様のご要望が複数集まりましたら、
対応を検討したいと思います。詳細にご説明いただきましてありがとうございました。
今後ともよろしくお願いいたします。
大掛かりな改修が必要とのこと、承知いたしました。
貴重なお時間を割いて詳細にご検討いただき、ありがとうございます。
同様のご要望が増えることを期待しつつ、今後ともよろしくお願いいたします。
いつも大変お世話になっております。
以前にご相談させていただきましたIPアドレス制限に関する件で、代替案がございますので、ご連絡いたしました。
当初、ご提示させていただきました弊社の希望（希望１）は以下の内容でした。
項目 ｜弊社の希望１
割り当てのないユーザー｜許可されたIPアドレスからのみアクセス可能
割り当てられたユーザー｜許可されたIPアドレス以外からも（場所を問わず）アクセス可能
希望１について、貴社からは大幅なシステム修正が必要になるとのお話を伺いました。
そのため、もし実現が難しいようでしたら、以下の代替案（希望２）でも問題ございません。
項目 ｜弊社の希望２
割り当てのないユーザー｜許可されたIPアドレス以外からも（場所を問わず）アクセス可能
割り当てられたユーザー｜許可されたIPアドレスからのみアクセス可能
上記希望２の内容で対応が可能かどうか、ご確認いただけると幸いです。
お手数をおかけしますが、引き続きよろしくお願い申し上げます。
コメントいただきありがとうございます。また、代替案をご検討いただきありがとうございます。
こちらでいう「割り当て」は、アプリへのメンバー割り当てに加えて、アプリごとにIPアドレス制限の可否をメンバーに割り当てるイメージでしょうか。複数回の割り当て操作が発生するため、運用する管理者の負担が大きくならないか、設定が複雑になり難しくならないかを懸念しております。対象メンバーが区分できるようであれば、グループ割り当ても可能にすることで、管理者の作業量を減らせるかと考えてはおります。
実現性としては、こちらの代替案の方が開発にかかる工数は少なくなると想定しております。
どうぞよろしくお願いいたします。
お世話になっております。
代替案（希望２）について、早速のご検討とご回答をいただき、誠にありがとうございます。
こちらでいう「割り当て」は、アプリへのメンバー割り当てに加えて、アプリごとにIPアドレス制限の可否をメンバーに割り当てるイメージでしょうか。
→はい、その認識で間違いございません。
複数回の割り当て操作が発生するため、運用する管理者の負担が大きくならないか、設定が複雑になり難しくならないかを懸念しております。
→ご指摘の通り、運用管理者の負担は懸念事項であると認識しております。
つきましては、お手数をおかけいたしますが、「アプリごとにIPアドレス制限の可否をメンバーに割り当てる」段階におきまして、メンバーの候補を「アプリへのメンバー割り当てをしたメンバーのみ」に絞って表示されるよう設定調整いただけますと、管理上の混乱や操作ミスを防ぐことができると考えております。(こちらも必須ではございません)
対象メンバーが区分できるようであれば、グループ割り当ても可能にすることで、管理者の作業量を減らせるかと考えてはおります。
グループ割り当てについても、もちろん可能であれば大変ありがたく存じます。
【現状の優先順位について】
実現の難しさから代替案をご提示しましたが、やはり先に希望いたしました「希望１」が、弊社としては最も理想的であることは変わりません。
しかしながら、アプリごと・メンバーごとのIP制限は、弊社のセキュリティ強化において喫緊の課題となっております。そのため、まずは「希望２」の内容にて早期に実現できることを最優先としたく、ある程度の手間については致し方ないと判断いたします。
ご提案いただきました通り「希望２」の方が開発工数が少なく済むとのことですので、「希望２」での実装に向けたご調整を、引き続きお願いできますと幸いです。
お忙しいところ恐縮ですが、引き続きよろしくお願い申し上げます。
コメントいただきありがとうございます。ご要望の内容につきまして承知いたしました。
多くの方に価値あるものを提供したいと考えており、改善内容と優先度について検討いたします。
どうぞよろしくお願いいたします。
このページを表示するには、 ログインする必要があります。