[Access Control] アクセス条件式の書き方

ip4:{{CIDR 表記指定}} : 指定したグローバル IP アドレスからアクセスしている場合は "許可" と判断します。
@{{IP アドレスグループ ID}}@ : 指定した IP アドレスグループ内の IP アドレスからアクセスしている場合は"許可" と判断します。

※ CIDR 参考情報 : Classless Inter-Domain Routing

※ IPv6 に現時点では対応してません。

IP アドレスグループの作成方法については、以下ヘルプサイトをご参考ください。

IP アドレスグループを作成する

【使用例 1】

ip4:1.1.1.1　

ログインを試みたユーザーのアクセス元グローバル IP アドレスが 1.1.1.1 であれば "許可" と判断します。

【使用例 2】

ip4:1.1.1.1/25　

ログインを試みたユーザーのアクセス元グローバル IP アドレスが 1.1.1.1/25 の範囲内であれば "許可" と判断します。

※ "/32" の場合は省略可能です。

【使用例 3】

@office_tokyo@

ログインを試みたユーザーのアクセス元グローバル IP アドレスが office_tokyo に登録された IP アドレスの範囲内であれば "許可" と判断します。

※ アクセス ポリシー グループ 設定項目 [ レガシー認証を許可する条件 ] では利用できません。

device_cert:none : HENNGE Device Certificate を使わずにアクセスした場合は "許可" と判断します。
device_cert:any : HENNGE Device Certificate (個人、共有、パスワードレスのいずれか) を使用してアクセスした場合は "許可" と判断します。
device_cert:personal : 個人タイプの HENNGE Device Certificate を使用してアクセスした場合は "許可" と判断します。
device_cert:shared : 共有タイプの HENNGE Device Certificate を使用してアクセスした場合は "許可" と判断します。
device_cert:passwordless : パスワードレスタイプの HENNGE Device Certificate を使用してアクセスした場合は "許可" と判断します。

※ アクセス ポリシー グループ 設定項目 [ レガシー認証を許可する条件 ] では利用できません。

hsb:{{true / false}}

【使用例】

hsb:true

HENNGE Secure Browser を使用したアクセスの場合 "許可" と判断します。

※ アクセス ポリシー グループ 設定項目 [ レガシー認証を許可する条件 ] では利用できません。

has_pass:{{true / false}}

【使用例】

has_pass:true

ログインを試みたユーザーのブラウザに入場証 が配布されていた場合 "許可" と判断します。

※ アクセス ポリシー グループ 設定項目 [ レガシー認証を許可する条件 ] では利用できません。

has_pass_within:{{日数}}

【使用例】

has_pass_within:30

ログインを試みたユーザーのブラウザに発行から 30 日以内の入場証 Cookie があった場合 "許可" と判断します。

login_name:{{Access Control ユーザー名}} : 特定のユーザー名がログインを行った場合に "許可" と判断します。

【使用例】

login_name:hacadmin@example.com

ログインを試みたユーザーのユーザー名が "hacadmin@example.com" の場合 "許可" と判断します。

time:HHmm-HHmm:TZ

※ 指定した時間範囲の両端を含めます。

※ ":TZ" (タイムゾーン) を省略した場合、タイムゾーンはデフォルトで UTC となります。

【使用例】

time:0900-1800:Asia/Tokyo

ログインを試みたユーザーのログイン時間が日本時間の 9 時から 18 時の場合 "許可" と判断します。

date:YYYYMMDD-YYYYMMDD:TZ
date:MMDD-MMDD:TZ

※ 指定した時間範囲の両端を含めます。

※ ":TZ" (タイムゾーン) を省略した場合、タイムゾーンはデフォルトで UTC となります。

【使用例】

date:20200101-20200131:Asia/Tokyo

ログインを試みたユーザーのログイン時間が、日本時間の 2020 年 1 月 1 日から 2020 年 1 月 31 日の場合 "許可" と判断します。

day:{{英語曜日省略表記}}:TZ

※ 英語曜日省略表記 : sun, mon, tue, wed, thu, fri, sat

※ ":TZ" (タイムゾーン) を省略した場合、タイムゾーンはデフォルトで UTC となります。

【使用例】

day:wed:Asia/Tokyo

ログインを試みたユーザーのログイン時間が、日本時間の水曜日の場合 "許可" と判断します。

attribute:(ATTRIBUTE_IDENTIFIER):"(Value)"

作成したカスタム属性を利用して、アクセス制御を行うことができます。

以下の形式でアクセス条件式への追加が可能です。

(ATTRIBUTE_IDENTIFIER) はカスタム属性の作成時に指定した ID を設定します。
カスタム属性の作成方法については、以下ヘルプサイトをご参考ください。

カスタム属性の作成 / 編集

(Value) には、アクセス条件として指定するカスタム属性の値を設定します。

【使用例】

カスタム属性の ID として「custom_user_attribute」を設定し、当該属性に [ allowed_user ] の値を持っているユーザーのアクセスを許可したい場合

attribute:custom_user_attribute:"allowed_user"

and : アクセス状況が左右の条件式記述に合致していれば "許可" と判断します。

【使用例】

ip4:1.1.1.1 and device_cert:any

「アクセス元グローバル IP アドレスが 1.1.1.1」、また同時に「HENNGE Device Certificate」を使用してアクセスしている場合は "許可" と判断します。

or : 左右の条件式記述のうち、 1 つでもアクセス状況に合っていれば "許可" と判断します。

【使用例】

ip4:1.1.1.1 or ip4:2.2.2.2

「アクセス元グローバル IP アドレスが 1.1.1.1」、または「アクセス元グローバル IP アドレスが 2.2.2.2」のどちらかの条件に合致してアクセスしている場合は "許可" と判断します。

【使用例】

ip4:1.1.1.1 or device_cert:any

「アクセス元グローバル IP アドレスが 1.1.1.1」、または「HENNGE Device Certificate を使用」のどちらかの条件に合致してアクセスしている場合は "許可" と判断します。

not : 右に続く条件式記述結果を否定します。 (not true は "拒否", not false は "許可" となります。)

【使用例】

not ip4:1.1.1.1

「アクセス元グローバル IP アドレスが 1.1.1.1 以外」の場合に "許可" と判断します。

() : 括弧で囲った部分をグループ化し、記載の条件式を優先的に処理が行われます。

【使用例】

(ip4:1.1.1.1 or ip4:2.2.2.2) and device_cert:any

Access Control ではまず (ip4:1.1.1.1 or ip4:2.2.2.2) の部分を計算し、その結果を残りの条件式 and device_cert:any を用いて最終的な結果の演算を行います。例えばユーザーがグローバル IP アドレスが 1.1.1.1、且つ HENNGE Device Certificate を使ったアクセスを行った場合は ("true" or "false") and "true" と、結果 "許可" となります。