概要
Access Control の導入作業を行うお客様が、アクセスを許可する条件やアクセス可能なサービスを設定する手順を紹介します。
注意事項
- 本記事の内容は 2026年10月時点での製品仕様に基づき作成しており、以後予告なく変更される場合があります。
- 本作業を行うためには Access Control のグローバル管理者権限が必要です。
- 管理画面へのアクセス方法は以下の記事をご参照ください。
Access Control 管理画面へのアクセス方法 - 変更内容は即時反映されますが、ユーザーのアクセス制御に使用されるのは次回ログイン以降です。
参考情報
下記のリンクから、デモ画面を使って実際の画面の動きを体験することができます。
Access Control｜アクセス制御設定 デモツアー（外部リンク）
手順
アクセスポリシーテンプレートの作成
アクセスポリシーテンプレートとは、アクセス制御の条件をまとめた再利用可能なテンプレートです。アクセス制御を設定するために使用します。
-
Access Control 管理画面の左メニュー [アクセス設定] - [アクセスポリシーテンプレート] にアクセスします。
-
デフォルトで構築されている以下のポリシーを確認します。
詳細は次の「アクセスポリシーテンプレートの要件別設定方法」を確認します。
アクセスポリシーテンプレートの要件別設定方法
OTP（ワンタイムパスワード）は「アクセスポリシーグループ」で設定を行うため、当手順では設定はありません。
A. 場所で制限：【グローバル IP アドレス and OTP 制御】
デフォルトで構築されています。
「IPアドレスグループ」に制御条件に指定するIPアドレスの追記をすることで作成が完了します。
| 項目 | 内容 | 備考 |
| ID | 「アクセスポリシーグループ」で使用するアクセスポリシーテンプレートの設定値 | 「apt_0」で構築されています。 ID を後から変更することはできません。 |
| 表示名 | アクセスポリシーテンプレートの名称 |
「Global IP」で作成されています。 表示名は 256 文字以下で入力ください。 |
| アクセスを許可する条件 | アクセスを許可する条件式 |
デフォルトで以下のIPアドレスグループを許可条件に指定しています。 許可するIPアドレスを本IPアドレスグループに追記することで設定が完了します。 |
B. 端末で制限：【証明書制御】
デフォルトで構築されています。
内容は以下をご確認ください。
| 項目 | 内容 | 備考 |
| ID | 「アクセスポリシーグループ」で使用するアクセスポリシーテンプレートの設定値 | 「apt_1」で構築されています。 後から変更することはできません。 |
| 表示名 | アクセスポリシーテンプレートの名称 |
「Certificate」で作成されています。 表示名は 256 文字以下で入力ください。 |
| アクセスを許可する条件 | アクセスを許可する条件式 | 証明書であれば全て許可する「cert:any」が記載されています。 |
C. 場所 or 端末：【グローバル IP アドレス制御 and OTP 制御】or 【証明書制御】
デフォルトで構築されています。
「IPアドレスグループ」に制御条件に指定するIPアドレスの追記をすることで作成が完了します。
| 項目 | 内容 | 備考 |
| ID | 「アクセスポリシーグループ」で使用するアクセスポリシーテンプレートの設定値 | 「apt_2」で構築されています。 後から変更することはできません。 |
| 表示名 | アクセスポリシーテンプレートの名称 |
「Global IP or Certificate」で作成されています。 表示名は 256 文字以下で入力ください。 |
| アクセスを許可する条件 | アクセスを許可する条件式 |
証明書に加え、デフォルトで以下のIPアドレスグループを許可条件に指定しています。 許可するIPアドレスを本IPアドレスグループに追記することで設定が完了します。 |
※Secure Browser を上記のポリシーに加えて制御条件とする場合
| 表示名 |
アクセスポリシーテンプレートの名称
|
必要に応じて「Secure Browserも制御要件になっていること」がわかる名称を追加します。 |
| アクセスを許可する条件 | アクセスを許可する条件式 |
A、B、Cで作成した内容に以下の条件を追記してください。 or hsb:true (例) @iplist@ or cert:any or hsb:true |
アクセスポリシーグループの作成
アクセスポリシーグループとは、アクセス制御に関する設定をまとめたグループです。このグループを、同じアクセス制御内容を適用するユーザー単位で割り当てます。
-
作成したアクセスポリシーテンプレートと紐づけるアクセスポリシーグループを作成、または既存のアクセスポリシーグループを編集します。
Access Control 管理画面の左メニュー [アクセス設定] - [アクセスポリシーグループ] へアクセスします。 -
アクセスポリシーグループの ID として 0 が採番されている「DEFAULT」を選択します。
部署やグループごとに異なるアクセス許可条件が必要な場合は、必要な数だけアクセスポリシーグループを作成します。
初回のアクセスポリシーグループの作成が完了したら、画面右上の [追加] をクリックし、作業を繰り返してください。 - [基本設定] から [HENNGE Secure Browserの設定] までの各項目を設定します。
設定内容は「HENNGE One 導入要件ヒアリングページ」で記入した内容によって異なります。要件に沿った内容を「アクセスポリシーグループの詳細設定」を参照の上設定ください。
- アクセスポリシーテンプレートで指定した条件に加えて、詳細な設定を追加することが可能です。
表内での「パターン」表記は、以下のとおり対応しています。
お客様の環境に応じたパターンの設定を実施してください。
- パターンA：【グローバル IP アドレス and OTP 制御】利用時の設定
- パターンB：【証明書制御】利用時の設定
- パターンC：【グローバル IP アドレス制御 and OTP 制御】or 【証明書制御】利用時の設定
基本設定
| 名称 | 説明と設定値 | 備考 |
| 表示名 |
アクセスポリシーグループの名称です。 (例) 一般ユーザアクセス用 (グローバル IP アドレス and OTP 制御) |
任意の名称で256 文字まで設定できます。 |
| 認証クッキーの有効期限 |
設定例：24→1日／168→1週間 ログイン画面で [ログイン状態を保持する] をチェックした場合 : ブラウザにてクッキーによるログイン状態を保持する時間 |
自身でログアウトした場合を除き、ブラウザの再起動などを行っても、設定した時間内はログイン状態が保持されます。 ※ 最大 9600 時間 |
| ログイン画面で [ログイン状態を保持する] をチェックしなかった場合 / 表示していない場合：ユーザーのログイン セッションにおける最大の保持時間 | 1つのページを開いた状態で設定した時間を超過した場合、ページの遷移時に再度ログインが求められます。 ※ [ログイン状態を保持する] をチェック / 表示していない場合、ブラウザを閉じるとログアウトします。 |
|
| セルフパスワードリセットを許可する | 許可しない：セルフパスワードリセットを不許可 |
Active Directory からパスワードを同期している場合は利用できません。 登録するメールアドレスは、閲覧時に Access Control の認証を必要としないメールアドレスである必要があります。パスワードリセット時は Micrsoft 365 や Google Workspace にログインできないことが想定されるからです。 |
サービスへのアクセス設定・ワンタイムパスワードの設定
| 名称 | 説明と設定値 | 備考 |
| アクセスを許可する条件 |
［下記の条件で許可する］で、パターンごとに対応するアクセスポリシーテンプレートを選択
|
条件式に合致する環境からのアクセスのみ許可します。 |
| レガシー認証を許可する条件 | 常に許可しない：全てのアクセスを不許可 | Microsoft 365 との連携時のみ表示されます。 |
| OTPを要求しない条件 |
パターンごとに対応する設定をします。
|
|
| OTPアプリのセットアップを許可する条件 |
|
OTP を利用する場合は「常に許可する」を選択してください。ユーザーが OTP をアプリで受け取る設定が可能になります。 |
| OTP通知先メールのセットアップを許可する条件 |
|
OTP を利用する場合は「常に許可する」を選択してください。ユーザーが OTP をアプリで受け取る設定が可能になります。 |
証明書の設定
| 名称 | 説明と設定値 | 備考 |
| 所有するデバイス証明書を表示する条件 | 常に許可する：ユーザーが自身のクライアント証明書画面一覧を確認可能 | 自身に発行されているデバイス証明書をHENNGE Oneポータル画面でユーザー自身が確認できる機能です。 |
| デバイス証明書の失効を許可する条件 | 常に許可しない：ユーザー自身でデバイス証明書の失効は不可 | エンドユーザーが自身でデバイス証明書を失効できる機能です。当機能の使用には、「所有するデバイス証明書を表示する条件」が許可されている必要があります。 |
HENNGE Secure Browserの設定
| 名称 | 説明と設定値 | 備考 |
| セキュアブラウザ設定画面へのアクセスを許可する条件 | 常に許可する： 常に Secure Browser 設定画面へのアクセスが許可 | 「この設定を変更するにはドメイン設定で、セキュアブラウザ設定画面へのアクセス設定を「アクセスポリシーグループの設定に従う」に変更してください。」と表示された場合は、[ドメイン設定]のリンクから移動し、セキュアブラウザ設定画面へのアクセス設定を「アクセスポリシーグループの設定に従う」に変更してから、本項目の再設定を実施してください。 |
| 未読メールチェック設定画面の表示を許可する条件 | 常に許可する : 常に未読チェック設定画面へのアクセスを不許可 | － |
| 自動端末認証の設定 | 無効 : 管理者が手動で端末認証 | － |
許可するサービスプロバイダーの設定
-
[許可するサービスプロバイダー] を設定します。
Access Control 管理画面 [システム] - [サービスプロバイダー設定] で連携済みの各サービスに対し、アクセスを許可するかどうかを指定できます。アクセス許可を行う場合は、[許可] のスイッチを有効化し、サービスごとに [アクセスを許可する条件] や [OTPを要求しない条件] を指定します。
| 名称 | 説明と設定値 | 備考 |
| アクセスを許可する条件 |
【すべてのサービスプロバイダーに対して共通のアクセス制御を用いる場合】 【一部のサービスプロバイダーに対しては他と異なるアクセス制御を用いる場合】 |
連携したクラウドサービスごとにアクセスを許可する条件を設定します。 【一部のサービスプロバイダーに対しては他と異なるアクセス制御を用いる場合】は例えば、以下のようなケースを指します。
|
| OTPを要求しない条件 | アクセスポリシーグループの設定に従う | Access Controlへのログイン時と同じ条件でOTPを要求します。 |
アクセスポリシーグループの作成は以上です。