ID管理システムで起こり得るエラーの種類
エラーの内容によって、確認する箇所や相談先が変わります。まずは大きく2つに分けて、どのような事象がどちらに当てはまるのかを整理しておきましょう。
認証に関わるエラー
ログイン画面から先に進めない、認証コードを入力しても受け付けられないといった事象がこれにあたります。利用者が業務を進められなくなるため、影響が出るまでの時間が短いという特徴があります。特定の1人だけで起きているのか、全社で起きているのかによって、想定される原因が変わります。
受け付ける際は、いつから起きているか、どのサービスへのログインか、エラー画面に表示された文言は何かを記録してもらうと、切り分けが早くなります。問い合わせ窓口で聞き取る項目をあらかじめ決めておくと、担当者が交代しても同じ情報を集められます。
アカウント情報の反映に関わるエラー
アカウントを作成したのに連携先のサービスで使えない、権限を変更したのに以前のままといった事象がこれにあたります。すぐには気づかれず、しばらく経ってから発覚することがあります。監査の際に不整合として見つかる場合もあります。
このタイプの事象では、ID管理システム側の登録内容と連携先の状態を突きあわせる作業が必要です。両者に差がある場合、同期が実行されていないのか、実行されたが失敗しているのかで対応が変わります。連携の実行履歴やエラーログを確認できる設定になっているかを、あらかじめ確かめておきましょう。
SSOでログインできない場合の確認箇所
SSOとは、一度のログインで複数のサービスを利用できるようにする仕組みです。ログインが通らない場合、ID管理システムと連携先サービスの両方に要因があり得るため、順を追って確認します。
証明書の有効期限が切れている
SSOの連携では、ID管理システムと連携先サービスの間で電子証明書を使って情報の正当性を確かめます。この証明書には有効期限があり、期限を過ぎると連携が成立しなくなる場合があります。ある日を境に、特定のサービスだけログインできなくなったという状況では、この可能性を確認します。
証明書の期限は管理画面から確認できることが多く、更新の手順もベンダーの資料に記載されています。更新には連携先サービス側での設定変更も必要になるため、作業時間を確保して進めてください。期限が近づいた際に通知が届く設定があるかどうかも、運用面での確認項目です。
利用者情報が正しく紐づいていない
SSOでは、ID管理システム側の利用者と連携先サービス側の利用者を、メールアドレスなどの値で紐づけます。この値が両者で一致していないと、認証は通っても該当する利用者が見つからず、ログインが完了しない場合があります。
姓名の変更にともなうメールアドレスの変更や、連携先サービス側で個別に登録されたアカウントが残っている場合に、ずれが生じることがあります。紐づけに使っている項目が何かを確認し、両者の値を突きあわせてみてください。社員番号のような変わりにくい値を使う設定に変更できるかも、ベンダーへ相談できる内容です。
連携先の設定変更が影響する
連携先のクラウドサービス側で仕様の更新が行われ、これまでの設定では接続できなくなる場合があります。サービス提供元からの告知を見落としていると、原因の特定に時間がかかることがあります。
特定のサービスだけで事象が起きている場合は、そのサービスの障害情報や更新履歴を確認してみてください。連携に関わる問題は、ID管理システム側と連携先側のどちらか一方に原因を限定できないこともあります。両方の窓口へ状況を伝え、確認した内容を共有しながら進めると、対応が滞りにくくなります。
多要素認証で発生する事象と対応
多要素認証（MFA）とは、パスワードに加えて別の要素で本人確認を行う仕組みです。利用者の端末が関わるため、システム側の設定だけでは解決しない事象もあります。
端末の時刻ずれによる認証コードの不一致
アプリで生成する認証コードは、時刻をもとに計算される方式が広く使われています。端末の時刻が実際の時刻とずれていると、生成されたコードが受け付けられない場合があります。手動で時刻を設定している端末や、長期間ネットワークに接続していなかった端末で起こり得ます。
確認としては、端末の日時設定を自動取得に切り替えてもらう方法があります。それでも解消しない場合は、認証アプリ側に時刻の補正機能が用意されていることもあります。利用者向けの手順を社内のFAQとして整理しておくと、問い合わせのたびに説明する手間を減らせます。
端末の機種変更にともなう再登録
認証アプリを使う方式では、スマートフォンを機種変更した際に、認証情報の引き継ぎが必要になります。引き継ぎを行わずに旧端末を初期化すると、認証コードを生成できなくなり、ログインできない状態が生じます。
この事象に備えて、管理者が該当利用者の多要素認証設定を解除し、再登録できる手順を用意しておきましょう。解除の際は、本人確認をどう行うかもルールとして決めておく必要があります。バックアップ用の認証手段を複数登録できる製品もあるため、選定時に確認しておくとよいでしょう。
通信環境や配信経路の影響
認証コードをショートメッセージやメールで受け取る方式では、配信の遅延によって有効期限内に入力できない場合があります。配信の経路には通信事業者やメールサービスが関わるため、ID管理システム側だけでは制御しきれない要素があります。
特定の利用者や特定の時間帯に偏って起きている場合は、その傾向を記録してベンダーへ相談してください。認証方式を複数から選べる製品であれば、アプリ方式への切り替えも選択肢です。海外拠点や出張先での利用を想定する場合は、対応している方式をあらかじめ確認しておきましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でID管理の一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
アカウントの反映が遅れる場合の要因
アカウントの作成や停止が連携先へ届くまでには、いくつかの処理が挟まります。遅れが生じる場面と、確認できる箇所を押さえておきましょう。
同期の間隔によって反映が遅れる
ID管理システムから連携先へ情報を送る処理は、一定の間隔でまとめて実行される方式と、変更のたびに即時で実行される方式があります。前者の場合、次の実行タイミングまで反映されないため、登録直後に使えないという状況が生じます。
入社当日にアカウントを作成する運用では、この間隔が影響します。同期の間隔を短くできるか、必要なときに手動で実行できるかを確認しておくと、急ぎの対応がしやすくなります。間隔を短くすると連携先への負荷が上がる場合もあるため、設定はベンダーと相談しながら決めるとよいでしょう。
連携処理の失敗が通知されずに残る
同期は実行されたものの、一部のデータで処理が失敗している場合があります。必須項目の値が入っていない、連携先で使えない文字が含まれている、リクエストの上限に達したといった要因が考えられます。通知の設定がないと、失敗に気づかないまま時間が経つことがあります。
確認したいのは、失敗した件数と対象を一覧で見られるか、管理者へ通知が届くか、失敗分だけを再実行できるかという点です。これらは製品を選ぶ段階でベンダーへ確認できる項目です。運用開始後は、同期の実行結果を定期的に見る担当を複数人で分担しておくと、見落としを減らせます。
アクセス権限が想定どおり働かない場合
権限を設定したのに参照できない、あるいは想定より広い範囲にアクセスできるという事象は、設定の重なりや反映のタイミングが関わることがあります。
権限の継承と個別設定の重なり
権限は、所属する組織やグループから引き継がれるものと、利用者ごとに個別で付与されたものが重なって決まる場合があります。個別に付与した権限が残っていると、組織の変更後も以前の範囲にアクセスできる状態が続くことがあります。
確認する際は、その利用者に適用されている権限の一覧を管理画面で表示し、どの設定に由来するかを見ていきます。製品によっては、適用結果を確認できる機能が用意されています。設定を変更する前に、影響範囲を検証環境で確かめられるかどうかも、選定時の確認項目です。
反映のタイミングと再ログインの要否
権限の変更が画面に反映されるまでに時間差が生じる場合があります。ログイン時に取得した情報が一定時間保持される仕組みでは、変更後も再度ログインするまで以前の状態が続くことがあります。
変更を急ぐ場合は、対象の利用者に再ログインを依頼する、あるいは管理者側でセッションを終了させる操作が必要かを確認してください。権限を縮小する変更では、反映までの時間が管理上の課題になることもあります。反映にかかる目安の時間をベンダーへ確認し、社内の手順に記載しておくとよいでしょう。
認証の状況を確認しやすいID管理システム
ログインできないという相談を受けた際に、状況をすぐ確認できるかは対応の速さに関わります。記録と管理画面を確かめたい製品を紹介します。
Gluegent Gate（グルージェント ゲート）
- 連携サービスとのシングルサインオン設定で利便性を向上
- 連携サービスのIDを一元管理することで管理者の負荷を軽減
- 多要素認証、アクセス制限をサービスごとに自由に組み合わせ可能
サイオステクノロジー株式会社が提供する「Gluegent Gate（グルージェント ゲート）」は、シングルサインオンとID管理を行うクラウドサービスです。接続元や利用者の条件に応じたアクセスの制御に対応し、認証に関する設定を管理画面から確認できます。ログインに関する相談を受けた際に、対象者の状況を追える仕組みを重視する場合の材料になります。
Okta Workforce Identity
- フィッシングに強い認証フローでログインをより簡単・安全にする
- ADやLDAP等と統合。全てのIDを単一コントロールプレーンから管理
- ユーザーのアクセスを1か所で管理しアクティビティを適切に把握
Okta Japan株式会社が提供する「Okta Workforce Identity」は、従業員が業務で使うサービスへのアクセスを管理するID管理のサービスです。シングルサインオンや多要素認証に対応し、利用者ごとの設定を管理画面から扱えます。多要素認証の登録状況を確認できる仕組みは、利用者からの問い合わせに対応する際の材料になります。
AXIOLE
- ネットワーク認証に必要なスキーマ構築済みの認証アプライアンス
- LDAP/RADIUS認証に対応し様々なネットワーク機器から認証が可能
- 「時間」や「場所」を考慮した、より厳密な複合認証が可能
株式会社ネットスプリングが提供する「AXIOLE」は、社内の利用者情報と認証をまとめて扱うID管理の製品です。アカウントの管理と認証の仕組みを一つの基盤で運用でき、利用状況の確認を管理画面から進められます。社内システムを含めた認証の基盤を整えたい場合の選択肢になります。
Soliton ID Manager （株式会社ソリトンシステムズ）
- よりスムーズなログイン・管理が可能！
- 自社ルールに適合した柔軟な設定を実現！
- 申請ワークフローを活用し効率的なデジタル証明書の配布が可能！
ID管理システムのエラーに関するFAQ
ID管理システムで起こる事象についてよくある質問と回答をまとめました。
- Q1： ログインできない原因はどこから調べればよいですか？
- まず、1人だけで起きているのか複数人で起きているのか、特定のサービスだけかを確認します。範囲が分かると想定される原因を絞り込めます。エラー画面の文言も記録しておくと、ベンダーへの相談がスムーズです。
- Q2： 認証コードが受け付けられないときの対処法は？
- 端末の日時設定が自動取得になっているかを確認してください。機種変更後であれば、認証情報の再登録が必要な場合があります。管理者側で設定を解除できる手順を用意しておくと対応が早まります。
- Q3： 連携の失敗に気づく方法はありますか？
- 製品によって、管理者への通知やエラー一覧の表示に対応しています。対応状況は製品ごとに異なるため、通知の有無と再実行の可否を選定時に確認しておきましょう。
- Q4： 権限を変更したのに反映されないのはなぜですか？
- 個別に付与された権限が残っている場合や、ログイン時の情報が保持されている場合があります。適用中の権限一覧を確認し、必要に応じて再ログインを依頼してください。
まとめ
ID管理システムで起こる事象は、製品側の設定だけでなく、連携先サービスや利用者の端末、通信環境が関わることがあります。切り分けを進めるには、発生範囲や時間帯、エラーの文言を記録して整理する作業が出発点です。通知や再実行、履歴の確認といった機能は選定時に確かめられる項目のため、自社の運用にあう製品を比べたい方は資料請求を活用してください。
