AD連携の認証とは

AD連携時のサインオンの仕組み

AD連携により、Windowsのログオンに使用している IDとパスワードで CloudGate UNO へのサインオンが可能になります。

CloudGate UNO は、サインオン時に AD側へユーザーオブジェクトの存在と有効性をリアルタイムで確認します。その後、 CloudGate UNO で設定している認証方法によって挙動がそれぞれ異なります。

パスワード認証の場合はパスワードの突合が ADサーバーで行われ、多要素認証やパスワードレス認証の場合は CloudGate UNO 側で処理されます。AD連携の認証は、ADの認証基盤を活かしながら、よりセキュアなサインオン環境を実現できます。

パスワード変更の仕様と運用設定

AD連携の利用中も、ユーザーは CloudGate UNO の画面から Windowsのパスワードを変更できます。 この機能を利用するには、AD側の接続用アカウントへ「パスワードリセット権限」の付与が必要です。 ただし権限がない場合、 CloudGate UNO からのパスワード変更でエラーが発生します。そのため、ログイン操作中に有効期限切れなどでパスワード変更を求められた場合、変更を完了できずログインも失敗しますのでご注意ください。

CloudGate UNO からパスワードを変更する際は、ADと CloudGate UNO 両方のパスワードポリシーを満たす必要があります。実運用では、ADのパスワードポリシーを優先し、 CloudGate UNO 側の制限をあえて緩和する構成が一般的です。これにより、AD側のパスワードポリシーを共通の基準として管理できます。 なお、AD側で直接パスワードを変更する際は、ADのパスワードポリシーにのみ準拠していれば変更可能です。

パスワード関連の推奨設定

ADのパスワードポリシーを優先させるため、 CloudGate UNO では各項目に下記の設定値を推奨しています。

パスキー・多要素認証などの併用時の動作

CloudGate UNO は、ユーザーのサインオン時に対象のユーザーIDが AD上に存在するか確認します。 AD側でユーザーオブジェクトが存在し有効性が確認された後に、以下の各認証処理が実行されます。

パスワードレス認証の場合

AD側にユーザーオブジェクトの存在が確認された後、 CloudGate UNO 側でパスキーや CloudGate Authenticator（CGA） による認証処理が行われます。 この際、AD側へのパスワード認証リクエストは行われません。

多要素認証（MFA）を利用する場合

AD側へのパスワード認証が成功した後に、 CloudGate UNO 側でパスキーやワンタイムパスワードなどの追加の認証要素による検証が行われます。

ADと接続停止時のサインオン（認証キャッシュ）

ADのメンテナンスやネットワーク障害などで、 CloudGate UNO が ADに接続できない場合の緊急対策として「認証キャッシュ」機能があります。 ADに接続できないと判断された場合、自動的に「認証キャッシュ」へ切り替わり、 CloudGate UNO に保持されている直近の認証情報を用いて認証を代替します。 パスワード認証、パスワードレス認証のいずれを利用していても、この機能によるサインオンが可能です。 ADへの接続が可能になると自動的に元の状態に戻るため、管理者による切り替え操作は不要です。

認証キャッシュはユーザーアカウントごとに保持され、最後にサインオンに成功してから最長で 48時間（2日間）有効です。保持期間の設定・変更方法は、 認証キャッシュの期間を変更する をご確認ください。

認証キャッシュと認証状態保持の併用に関する注意