SSO・SCIM・MFAの設定

認証まわりの設定をまとめます。MFAは全テナントで必須、SSOとSCIMはIDプロバイダーを利用している組織向けの設定です。設定場所はいずれもAdministrationのAccounts配下にあります。

MFAを必須にする

NinjaOneは初回ログイン時にMFAの設定を求めます。管理者が有効化を忘れることはありません。

管理者が設計すべきなのは、方式の選択と復旧手段です。

方式	特徴
認証アプリ	導入が容易。端末の紛失と機種変更が弱点
SMS	端末を選ばない。電話番号の変更時に更新が必要
ハードウェアキー	最も堅牢。調達と配布の手間がある

【注意】 主要な方式に加えて予備の方式を必ず登録してください。認証アプリだけを設定した状態でスマートフォンを紛失すると、本人はログインできなくなります。管理者が複数いれば相互にリセットできますが、単独運用の場合は復旧に時間がかかります。

認証まわりの設定場所

Administration→Accountsに、認証に関する設定が集まっています。

項目	用途
Identity providers	SSOで連携するIDプロバイダーの登録
Security settings	セッションタイムアウト、アクセス元IPアドレスの制限
All users	ユーザーごとのMFA状態の確認とリセット

SSOの前提条件

SSOを導入する前に、次の3点を確認してください。

1. 利用しているIDプロバイダーがSAMLに対応しているか
2. IDプロバイダー側で設定を行える権限が自分にあるか
3. SSOが機能しなくなったときのために、SSOを経由しない管理者アカウントを残せるか

3番目は必ず確保してください。IDプロバイダー側の障害や証明書の期限切れで、テナント全体がログインできなくなる事故を防げます。

SAML連携の設定手順

設定はNinjaOneとIDプロバイダーの双方で行い、情報を交換する形になります。

1. Identity providersで新しいIDプロバイダーを登録する
2. NinjaOne側が発行する情報をIDプロバイダーに設定する
3. IDプロバイダー側が発行する情報をNinjaOneに設定する
4. 証明書を登録する
5. テスト用のアカウントでログインを確認する

具体的な設定項目名はIDプロバイダーの製品によって異なります。Microsoft Entra IDやOktaなど、主要な製品ごとの手順は公式ドキュメントに個別の記事が用意されています。

SCIMによるユーザーの自動連携

SCIMを設定すると、IDプロバイダー側でのユーザーの追加・変更・削除がNinjaOneに自動で反映されます。

導入の判断基準は次の通りです。

状況	判断
管理コンソールの利用者が10人未満で入れ替わりが少ない	手動運用で十分
人事異動が頻繁で、権限の反映漏れが起きている	SCIMの導入価値が高い
退職者のアカウント削除が遅れがち	SCIMの導入価値が高い

SCIMの利点は、退職処理と同時にNinjaOneのアクセスも止まることです。手動運用では、この反映漏れが監査で指摘されやすい箇所になります。

証明書の有効期限管理

SAML連携で使う証明書には有効期限があります。期限切れは、ある日突然全員がログインできなくなる形で表面化します。

【注意】 証明書の有効期限をカレンダーに登録し、期限の1カ月前に更新作業を予定してください。更新は事前に行えます。切れてから対応すると、その間テナントに誰もログインできません。SSOを経由しない管理者アカウントを残しておくべき理由もここにあります。

設定後の動作確認

設定を有効にしたら、次の順で確認してください。

1. テスト用アカウントでSSO経由のログインができるか
2. SSOを経由しない管理者アカウントでログインできるか
3. IDプロバイダー側でユーザーを無効化したとき、NinjaOneにログインできなくなるか
4. セッションタイムアウトが意図した時間で働くか

3番目まで確認して初めて、退職処理が機能することを保証できます。