跳至主內容
English (US) 日本語 简体中文

HENNGE Access Control 存取原則條件式的記述方法 (新式介面)

對象

將進行 HENNGE Access Control 初期設定，以及使用管理的 IT 管理者。

目的

說明 HENNGE Access Control 存取原則條件式的撰寫方法。

注意事項

1. 本篇文章的內容是根據 2024 年 9 月的產品資訊所寫成，今後可能不經預告進行變更。

2. 確認實際的畫面，以及變更設定等需要 HENNGE Access Control 的管理者權限。

3. HENNGE Access Control 管理員介面的 URL 會根據客戶的網域而有所不同。

URL 示範 : https://ap.ssso.hdems.com/admin/[客戶主網域]

4. 存取原則條件式需要使用小寫撰寫。

詳細説明 / 步驟

設定以下兩項功能時，請使用本文中描述的存取原則條件式。

1. 創建新的存取原則群組
2. 通行證發行條件 （入場証発行条件）

1. 存取原則群組條件式的基本寫法 (true / false)

存取原則條件式的基本寫法為以下兩種。

true : 許可

false : 拒絕

2. 可撰寫的存取原則群組條件式

除了存取原則群組條件式基本的“true”和“false”外，還可透過以下其他條件式來設定使用者的存取原則條件。

 

使用 IPv4 範圍+

ip4:{{CIDR 表示法}} : 若從指定的 IP 位置進行登入時，判斷為"true"

@{{IP 位址群組}}@ : 如果從指定的 IP 位址群組內的 IP 位址進行訪問，則判斷為「允許」。

※ CIDR 參考資料 : Classless Inter-Domain Routing

※ 目前無法對應 IPv6 。

IP 位址群組的建立方法，請參考以下的說明網站。

建立 IP 位址群組

 

【使用例 1】

ip4:1.1.1.1　

若使用者從 IP 位置 : 1.1.1.1 嘗試進行登入的話會判斷為 "true" 。

【使用例 2】

ip4:1.1.1.1/25　

若使用者從 IP 位置 : 1.1.1.1/25 的範圍內嘗試進行登入的話會判斷為 "true" 。

※ "/32" 的情況可省略。

【使用例 3】

@office_tokyo@

嘗試登入的使用者，其來源的全球 IP 位址若在 office_tokyo 註冊的 IP 位址範圍內，則判斷為「允許」。

使用 HENNGE Device Certificate 裝置憑證登入+

※ 無法使用存取原則群組設定中的[ 允許桌面/行動應用程式存取的條件 ]。

 

device_cert:none : 不需使用 HENNGE Device Certificate 裝置憑證即可登入的場合會判斷為"true"。
device_cert:any : 使用 HENNGE Device Certificate 裝置憑證 (個人、共有、無密碼 任何一種) 登入的場合判斷為 "true" 
device_cert:personal : 使用個人的 HENNGE Device Certificate 裝置憑證登入的場合對判斷為 "true" 。
device_cert:shared : 使用共用的 HENNGE Device Certificate 裝置憑證登入的場合會判斷為 "true" 。
device_cert:passwordless : 使用無密碼型的 HENNGE Device Certificate 裝置憑證登入的場合會判斷為 "true" 。

使用 HENNGE Secure Browser 登入+

※無法使用存取原則群組設定中的[ 允許桌面/行動應用程式存取的條件 ]。

 

 

hsb:{{true / false}}

 

【使用例】

hsb:true

使用 HENNGE Secure Browser 的場合會判斷為 "true" 。

通行證的有無+

※無法使用存取原則群組設定中的[ 允許桌面/行動應用程式存取的條件 ]。

 

has_pass:{{true / false}}

 

【使用例】

has_pass:true

使用者嘗試從有派發通行證的瀏覽器登入時會判斷為 "true" 。

派發通行證天數內的登入+

※無法使用存取原則群組設定中的[ 允許桌面/行動應用程式存取的條件 ]。

 

 

has_pass_within:{{天數}}

 

【使用例】

has_pass_within:30

使用者嘗試在 30 天內從有派發通行證的瀏覽器登入時會判斷為 "true" 。

 

使用者名稱+

login_name:{{HENNGE Access Control 使用者名稱}} : 指定的使用者登入的場合時會判斷為 "true" 。


【使用例】

login_name:hacadmin@example.com

使用者名稱為"hacadmin@example.com"時會判斷為 "true" 。

時間範圍+

time:HHmm-HHmm:TZ

※ 包含指定的時間範圍的兩端之內。

※ 省略":TZ" (時區) 的場合，預設時區為 UTC 。

 

【使用例】

time:0900-1800:Asia/Tokyo

使用者嘗試在日本時間 9 點至 18 點登入時會判斷為 "true" 。

 

日期範圍+

date:YYYYMMDD-YYYYMMDD:TZ
date:MMDD-MMDD:TZ

※ 包含指定的時間範圍的兩端之內。

※ 省略":TZ" (時區) 的場合，預設時區為 UTC 。

 

【使用例】

date:20200101-20200131:Asia/Tokyo

使用者嘗試在日本時間 2020 年1 月 1 日至 2020 年 1 月 31 日登入時會判斷為 "true" 。

 

星期範圍+

day:{{英文星期縮寫表示}}:TZ

※ 英文星期縮寫表示 : sun, mon, tue, wed, thu, fri, sat

※ 省略":TZ" (時區) 的場合，預設時區為 UTC 。

 

【使用例】

day:wed:Asia/Tokyo

使用者嘗試在日本時間 星期三登入時會判斷為 "true" 。

 

自定義的使用者屬性+

attribute:(ATTRIBUTE_IDENTIFIER):"(Value)"

可使用自定義的使用者屬性進行存取控制。

可增加以下形式的存取原則條件式。

 

(ATTRIBUTE_IDENTIFIER) 新增自定義的使用者屬性時可設定指定的 ID 。
如何新增自定義的使用者屬性請參考以下文章。

新增自定義的使用者屬性

編輯自定義的使用者屬性

(Value) 可作為存取原則條件設定指定的自定義使用者屬性。

 

【使用例】

自定義使用者屬性的 ID 設定為「custom_user_attribute」、欲許可有[ allowed_user ] 值的使用者登入的場合

attribute:custom_user_attribute:"allowed_user"

3. 可使用的運算式、其他

論理運算式 (二項)+

and : 存取原則條件式左右兩項皆符合時判斷為 "True" 。

 

【使用例】

ip4:1.1.1.1 and device_cert:any

「登入時所屬的 IP 位置 1.1.1.1」且使用「HENNGE Device Certificate」登入時判斷為 "True" 。

 

or : 左右兩邊的條件式中，符合其中一項即判斷為 "true" 。

 

【使用例】

ip4:1.1.1.1 or ip4:2.2.2.2

「登入時所屬的 IP 位置 1.1.1.1」或「登入時所屬的 IP 位置 2.2.2.2」符合任何一項即判斷為 "true" 。

 

【使用例】

ip4:1.1.1.1 or device_cert:any

「登入時所屬的 IP 位置 1.1.1.1」或「使用 HENNGE Device Certificate 裝置憑證」符合任何一項即判斷為 "true" 。

論理否定運算式 (單項)+

not : 拒絕右側的存取原則條件式。 (not true 為 false, not false 為 true 。)

 

【使用例】

not ip4:1.1.1.1

「登入時為 IP 位置 1.1.1.1 外」時判斷為 "true" 。

條件式群組化+

() : 括弧內的值形成群組，此條件式會優先處理。

 

【使用例】

(ip4:1.1.1.1 or ip4:2.2.2.2) and device_cert:any

在 HENNGE Access Control 先計算 (ip4:1.1.1.1 or ip4:2.2.2.2) ，再進行剩餘的條件式 and device_cert:any 進行最終的結果運算。如，使用者的 IP 位置為 1.1.1.1，且使用 HENNGE Device Certificate 進行登入時為 ("true" or "false") and "true" ，結果會判定為 "true" 。

相關文章 

・HENNGE Access Control 管理者文章一覽