クライアント証明書認証（ユーザーごとに証明書を必須にする）

PigeonCloudでは、セキュリティを強化するためにクライアント証明書による認証をご利用いただけます。証明書をインストールした端末からのみアクセスできるようになります。

本機能をご利用いただくには、クライアント証明書ユーザー数のご契約が必要です。「お支払い」＞契約設定より「クライアント証明書ユーザー数」を追加してください。

2つのドメインについて

クライアント証明書認証では、アクセスするドメインが2種類に分かれます。

• 通常ドメイン（例：example.pigeon-cloud.com）……パスワードでログインするドメインです。IPアドレス制限を設定している場合は、許可されたIPからのみアクセスできます。
• セキュアドメイン（例：example.pigeon-cloud-sec.com）……ログインに加えて、端末にインストールしたクライアント証明書が必要なドメインです。証明書を持つ端末からのみアクセスできます。

証明書の発行と配布

証明書の発行はマスターユーザーが行います。

1. ユーザーの詳細画面を開く

マスターユーザーでログインし、対象ユーザーの詳細画面を開きます。「クライアント証明書管理」から「発行」をクリックします。

2. 証明書ファイルを配布する

ダウンロードされたZIPファイルには、次の2つが含まれます。

• client-cert.pfx：証明書ファイル
• password.txt：証明書のパスワード

対象のユーザーへ、証明書ファイルとパスワードを安全な方法でお渡しください。

※ 証明書は1ユーザーにつき最大3つまで発行できます。証明書とパスワードは厳重に管理し、共有しないでください。

全体設定（テナント全体の既定値）

マスターユーザーは、証明書認証を含む認証・アクセス制限に関するテナント全体の既定値を、管理者設定の「セキュリティ・全体設定」画面でまとめて設定できます。ここでの設定は全ユーザーに適用される既定値です。ユーザーごとの個別設定（後述の「証明書認証ポリシー」等）で「全体設定に従う」を選んでいるユーザーには、ここでの設定が適用されます。

設定できる項目は次のとおりです。

• 証明書認証の全体設定（認証方式）：テナント全体の既定として、証明書を必須にするかどうかを選びます。「証明書を必須にしない（パスワードのみ可）」または「証明書を必須にする（通常ドメイン禁止）」から選択します。
• 証明書によるIP制限免除の全体設定：セキュアドメインでの個別IP制限（ユーザーごとのアクセス許可IP）を、証明書があれば免除するかどうかの既定値です。詳細は後述の「証明書とIPアドレス制限の関係」をご覧ください。
• セキュアアクセスのみ許可：ONにすると、全ユーザーがセキュアドメインからのみアクセス可能になります。
• IPアドレス制限：全ユーザーに適用されるIPアドレス制限です。複数行可、1行につきIPアドレスまたはCIDR形式（例：192.168.1.0/24）で入力します。証明書でセキュアドメインにアクセスする場合も、この制限は引き続き適用されます。
• ログインIDとして、メールアドレス以外を使用可能に変更：ONにすると、メールアドレス以外の文字列をログインIDとして使用できるようになります。
• メニューフォルダ表示（多階層用。主にデヂエ）：ナビゲーションメニューを多階層のフォルダ形式で表示する設定です。

※ 「セキュアアクセスのみ許可」以下の4項目は証明書認証に限らず、テナント全体のログイン・アクセスに関する設定です。

ユーザーごとに証明書を必須にする（通常ドメインの利用を禁止する）

特定のユーザーについて、通常ドメイン（パスワードのみ）でのログインを禁止し、セキュアドメイン（クライアント証明書）からのみログインできるように設定できます。

設定手順

マスターユーザーで対象ユーザーの詳細画面を開き、「証明書認証ポリシー」で設定します。

認証方式で次のいずれかを選択し、「保存」をクリックします。

• 全体設定に従う：システム全体の既定の動作に従います（初期値）。
• パスワードのみ（通常ドメイン可）：従来どおり通常ドメインでログインできます。
• 証明書必須（通常ドメイン禁止・セキュアドメインのみ）：通常ドメインでのログインを禁止します。

「証明書必須」に設定されたユーザーが通常ドメインでログインしようとすると、次のように表示され、ログインできません。セキュアドメインで、インストール済みの証明書を用いてログインしてください。

ご注意

• 証明書を配布・インストールする前に「証明書必須」に設定すると、その方は一時的にログインできなくなります。先に証明書をお渡しいただくか、証明書の準備が整ってから設定することをおすすめします。
• 設定は他のマスターユーザーが行う必要があります。ご自身の証明書認証ポリシーはご自身では変更できません（誤ってご自身をロックアウトすることを防ぐためです）。
• 最上位のマスターユーザーには、この設定は行えません。

証明書とIPアドレス制限の関係

ユーザーごとに「アクセス許可IP」を設定している場合、セキュアドメインでの扱いを「証明書認証ポリシー」の証明書による個別IP制限の免除で選択できます。

• 証明書があれば個別IP制限を免除する（初期の挙動）：証明書を持っていれば、社外など許可IP以外の場所からでもセキュアドメインにアクセスできます。
• 証明書があっても個別IP制限を適用する：証明書に加えて、許可IPからのアクセスであることも必要になります（証明書とIP制限の両方を満たす場合のみアクセスできます）。

※ 全体に設定されている「IPアドレス制限」は、セキュアドメインでも引き続き適用されます。

証明書のインストール方法

証明書（client-cert.pfx）とパスワード（password.txt）を端末に取り込み、セキュアドメインへアクセスできるようにします。OS・ブラウザごとの詳しいインストール手順については、システム管理者またはサポート窓口にお問い合わせください。

うまくいかないとき

• 通常ドメインでログインできない：そのユーザーが「証明書必須」に設定されている可能性があります。セキュアドメインからアクセスしてください。
• セキュアドメインで証明書が求められない／アクセスできない：証明書が正しくインストールされているか、有効期限が切れていないか、失効していないかをご確認ください。ブラウザの再起動もお試しください。
• 証明書を紛失・漏洩した場合：管理画面から該当の証明書を失効し、新しい証明書を発行してください。失効した証明書は元に戻せません。