# ダッシュボードアクセスのセキュリティ ダッシュボードは、お使いの環境のすべてのエンドユーザーにアクセスできるため、すべてのプランで固定のセキュリティ基準に従ってアクセスが管理されます。これらの保護は、どのアカウント設定でも無効にできません。 ## 多要素サインイン - ダッシュボードへのサインインはすべて多要素認証を使用する必要があります。多要素でないサインインだった場合、ダッシュボードは環境内の情報を表示または変更する前に、第二要素を使って再度サインインするよう求めます。 - `owner` または `admin` のロールを持つメンバーは、環境で作業するためにパスキーまたはセキュリティキーを使用する必要があります。これらのロールでは、認証アプリのコードだけでは不十分です。 ## セッション | ルール | 値 | |---|---| | アイドルタイムアウト | 操作がない状態が30分続くと終了 | | セッションの最大長 | 操作の有無にかかわらず12時間 | | 1人あたりのセッション数 | 5件。6回目のサインインで最も古いセッションが終了 | | サインアウト | セッションを直ちに終了 | セッションは、それを開始したブラウザに紐付けられます。ブラウザが作成し、エクスポートできない鍵と、デバイス Cookie に紐付けられます。別の鍵または別のデバイス Cookie を提示したリクエストはセッションを終了させ、KeenAuth はセッションの所有者にセキュリティ通知メールを送信します（1時間に最大1通）。 セッションは、使用しているネットワークも監視します。 - IPv4 の /24 または IPv6 の /56 ネットワークが変わると、ダッシュボードは続行する前に再度サインインするよう求めます。 - ネットワークプロバイダ（自律システム）が変わると、セッションは終了します。アドレスのプロバイダが不明な場合、このルールは適用されず、上記のネットワークルールは引き続き適用されます。 ## 重要な操作 チーム管理、カスタムロール、オーナーシップの移転、アカウントの解約、`production` 環境の作成、環境の削除、発行者モードの変更、プランと請求の変更、プラットフォームサポートへのアクセス権の付与、ダッシュボードのセキュリティ設定は、直近5分以内にサインインしている場合にのみ受け付けられます。それ以外の場合、ダッシュボードは再度サインインするよう求め、その後処理を続行します。同じ一覧は [ダッシュボードチームの管理](/docs/guides/dashboard-team) にも記載されています。 ## 環境へのアクセスの確認方法 ダッシュボードは、お使いの環境すべてに対する汎用の鍵を保持していません。開いた環境ごとに、短期間有効なアクセストークンを受け取ります。 - 有効期間は5分で、対象は1つの環境のみです。 - ブラウザの鍵に紐付けられるため、別のブラウザからは使用できません。 - その環境でロールによって与えられる権限の一覧が含まれます。 環境を保持するリージョンは、リクエストごとに署名、環境、アカウント、およびすべての権限を再確認します。ダッシュボードでの非表示や表示は利便性のためのものにすぎず、判断はデータが存在する場所で行われます。 ## ロールが削除された場合 お使いのロールが取り消された場合、またはアカウントから削除された場合、そのアカウントに対するダッシュボードのセッションとアクセストークンは取り消されます。メンバーシップの終了は、5分間のトークン有効期間を待ちません。 ## ダッシュボードのシングルサインオン Business プランと Enterprise プランでは、アカウントは、メンバーに会社の ID プロバイダを通じてダッシュボードへサインインすることを要求できます。オーナーと管理者は、**ダッシュボードのセキュリティ** 画面（`/account/security`）でこれを管理します。この画面での変更はすべて重要な操作であり、直近5分以内にサインインしている必要があります。 ### 接続とディレクトリの設定 ダッシュボードのサインインに使用する SAML または OpenID Connect の接続、SCIM ディレクトリ、確認済みドメインは、Admin Portal で設定します。ダッシュボードのセキュリティ画面で **Admin Portal を開く** を選択してください。このリンクは1回だけ開くことができ、5分後に期限切れになります。 ### シングルサインオンの必須化 - シングルサインオンが必須の場合、アカウントのメンバーは、アカウントの ID プロバイダ接続を通じてサインインする必要があります。別の方法でサインインしたメンバーには、ダッシュボードを続行する前に、シングルサインオンで再度サインインするよう求められます。同じルールは、そのアカウントのコマンドライン（CLI）サインインにも適用されます。 - 必須設定をオンにできるのは、ご自身がシングルサインオンでサインインしている場合、またはアカウントに少なくとも1人の緊急時用オーナーがいる場合のみです。これにより、機能していない接続によってアカウントがロックアウトされることを防ぎます。 - 必須設定をオフにすることは、プランをダウングレードした後でも常に可能です。 ### 緊急時用オーナー - オーナーは、最大2人のオーナーを緊急時用オーナーとして指定できます。指定と解除ができるのはオーナーのみです。 - ID プロバイダが利用できない場合、緊急時用オーナーは、シングルサインオンを使わずに、パスキーまたはセキュリティキーのみでサインインできます。 - 緊急時用オーナーによるサインインはすべて、アカウントの監査ログに記録され、アカウントのオーナーにメールで通知されます。 ### ディレクトリグループのロール ディレクトリ内の SCIM グループのメンバーに、ダッシュボードのロールを付与できます。ダッシュボードのセキュリティ画面の **ディレクトリグループのロール** で **グループをマップ** を選択し、グループの ID（Admin Portal に表示されます）、ロール、スコープを入力してください。 - アカウントには最大20件のグループマッピングを設定できます。`owner` ロールがグループによって付与されることはありません。オーナーシップは常に個人に属します。 - 自分自身に付与することが許可されているロールのみをマップできます。マッピングの作成と削除には、チーム管理の権限が必要です。 - マップされたグループのメンバーには、約5分以内にロールが付与されます。グループから抜けたメンバーは、次回の同期でロールを失います。グループ内の人物がまだアカウントのメンバーでない場合は、メンバーとして追加されます。 - グループから付与されたロールは、チーム画面で「(ディレクトリグループから)」と表示されます。ここからは取り消せません。ディレクトリでグループを変更するか、マッピングを削除してください。 - マッピングを削除すると、そのマッピングによって付与されたロールは直ちに削除されます。手動で付与されたロールはグループの同期によって変更されることはなく、アカウントから削除された、または停止されたメンバーが再び追加されることもありません。 - ディレクトリに接続できない場合、グループからのロールは最後に成功した同期から最大1時間保持され、その後はディレクトリが応答するまで削除されます。同期エラーによってロールが追加されることはありません。 - Business を下回るプランにダウングレードすると、グループからのロールは削除されます。 ## 未提供の機能 - セッションの有効期間を短くする、すべてのメンバーにフィッシング耐性のあるサインインを要求する、または `owner` と `admin` に認証アプリのコードを許可する、といったアカウント設定。 - 新しい国またはデバイスからのサインインに関するメール通知。 ## 関連ページ - [ダッシュボードチームの管理](/docs/guides/dashboard-team) - [環境間のデータ分離](/docs/security/tenant-isolation)