Administrator 練習問題 Q159

解説

前提知識

• Salesforceの［ログインIP範囲］は、許可されたIPアドレス以外からのログインを拒否する設定です。
• 設定場所はエディションによって異なります。多くのエディションではプロファイルごとに設定しますが、一部のエディションでは［セッションの設定］で組織全体のログインIP範囲を設定します。
• ［ネットワークアクセス］の［信頼済みIP範囲］は別機能です。範囲内からのログイン時に本人確認コードを省略するための設定であり、範囲外からのログインを禁止する設定ではありません。
• プロファイルのログインIP範囲は、既定ではログイン時に評価されます。ログイン後にネットワークが変わった場合も継続して制限するには、［すべての要求にログインIP範囲を適用する］を有効にします。

設問の状況を分解する

• 要件は、社内ネットワーク外からSalesforceへアクセスさせないことです。
• 初回ログインを拒否するには、許可するネットワークを［ログインIP範囲］として設定します。
• ログイン後のセッションについても外部ネットワークからの要求を許可しない要件と読む場合、各ページ要求でIP範囲を再評価する設定も必要です。

選択肢の検討

• A. IPアドレスの制限は、プロファイルまたは組織に対してグローバルに設定されます。 → 正解。ログインIP範囲の設定場所はエディションによって、プロファイル単位または［セッションの設定］の組織全体になります。ただし、組織全体の［信頼済みIP範囲］をログイン拒否の設定と混同してはいけません。
• B. ユーザーがネットワークの外部にいるときにログインできるように、権限セットにシングルサインオンを割り当てます。 → 不正解。要件は外部ネットワークからのアクセスを禁止することです。また、シングルサインオン権限は許可ネットワークの代替にはなりません。
• C. IP制限を適用するには、［すべての要求にログインIP範囲を適用する］を選択する必要があります。 → 正解。ログイン後も各要求でIP範囲を強制することで、利用中に許可ネットワーク外へ移動したセッションも継続利用できないようにします。初回ログインの拒否だけであればログインIP範囲自体で機能しますが、設問の「アクセスできない」を継続的な制限として満たすための考慮事項です。
• D. ユーザーのプロファイルのU2Fセキュリティキーを制限して、ログイン時間を強制します。 → 不正解。セキュリティキーは多要素認証の検証方法です。ログイン時間や接続元IPアドレスを制御する設定ではありません。

管理者としての対処手順

1. 対象エディションでログインIP範囲を設定する場所を確認します。
2. プロファイル単位で設定する場合は、対象プロファイルの［ログインIP範囲］へ社内ネットワークの開始IPと終了IPを登録します。
3. 組織全体で設定するエディションでは、［セッションの設定］に許可IP範囲を登録します。
4. ログイン後の各要求でも範囲を強制する場合は、［セッションの設定］で［すべての要求にログインIP範囲を適用する］を有効にします。
5. 社内ネットワークと社外ネットワークの両方からテストし、管理者自身を含めて意図せずロックアウトしないことを確認します。

あわせて覚えておきたいポイント

• ログインIP範囲：範囲外からのログインを拒否します。
• 信頼済みIP範囲：範囲内からのログイン時に本人確認を省略します。範囲外でも、本人確認に成功すればログインできるため、アクセス禁止にはなりません。
• ログイン時間：プロファイルの［ログイン時間帯］で曜日・時間を制御します。IP制限とは別の設定です。

出典（Salesforce公式）

• Restrict Login IP Addresses in Profiles — 許可範囲外からのログインを拒否するログインIP範囲、およびエディションによる設定場所の違いを裏付けます。
• Set Trusted IP Ranges for Your Organization — 組織の信頼済みIP範囲は本人確認を省略するための設定であり、範囲外ユーザーのログインを禁止しないことを裏付けます。
• Modify Session Security Settings — ［すべての要求にログインIP範囲を適用する］が、ログイン後の各ページ要求でもプロファイルのIP制限を評価することを裏付けます。

Salesforce公式ドキュメント↗