API によるアクセスポリシーの管理

{
    "name": "policy_name",
    "description": "Description of the policy",
    "schemaVersion": "urn:access:policy:4.0:schema",
    "rules": [
        {
            "name": "allow_with_conditions",
            "id": "1",
            "conditions": {
                "contextAttributes": {
                    "attributes": [
                        {
                            "name": "attrName",
                            "values": [
                                "value1",
                                "value2"
                            ],
                            "opCode": "EQ"
                        }
                    ]
                },
                "subjectAttributes": {
                    "attributes": [
                        {
                            "name": "realmName",
                            "values": [
                                "cloudIdentityRealm",
                                "www.ibm.com"
                            ],
                            "opCode": "IN"
                        },
                        {
                            "name": "customAttr1",
                            "values": [
                                "val1"
                            ],
                            "opCode": "NEQ"
                        }
                    ]
                },
                "timeAttributes": {
                    "attributes": [
                        {
                            "name": "timezone",
                            "opCode": "EQ",
                            "values": [
                                "UTC Offset or GMT Offset"
                            ]
                        },
                        {
                            "name": "startDate",
                            "opCode": "EQ",
                            "values": [
                                "YYYY-MM-DD HH:mm:ss"
                            ]
                        },
                        {
                            "name": "endDate",
                            "opCode": "EQ",
                            "values": [
                                "YYYY-MM-DD HH:mm:ss"
                            ]
                        },
                        {
                            "name": "Monday",
                            "opCode": "EQ",
                            "values": [
                                "hh:mm-hh:mm"
                            ]
                        },
                        {
                            "name": "Tuesday",
                            "opCode": "EQ",
                            "values": [
                                "hh:mm-hh:mm"
                            ]
                        }
                    ]
                },
                "ipAddress": {
                    "opCode": "MATCH",
                    "values": [
                        "<ip_address>",
                        "<ip_address_range_start> - <ip_address_range_end>",
                        "<ip_address/subnet>"
                    ]
                },   
                "location": {
                    "attributes": [
                        {
                            "values": [
                                "3-Letter-ISO"
                            ],
                            "name": "country",
                            "opCode": "IN"
                        }
                    ]
                }
                  "location": {
                      "attributes": [
                          {
                              "values": [
                                  "<city>"
                              ],
                              "name": "city",
                              "opCode": "IN"
                        }
                    ]
                }
                "geoLocation": {
                    "enabled": "true"
                },
                "trusteer": {
                    "enabled": "true"
                }
            },
            "result": {
                "extendedAction": {
                    "action": "ACTION_ALLOW"
                },
                "authnMethods": []
            }
        },
        {
            "name": "Authentication factor validity",
            "id": "2",
            “alwaysRun”: true,
            "conditions": {
            "factorLifetimeAttributes": {
                "attributes": [
                {
                    "name": "anyFactor",
                    "opCode": "EQ",
                    "values": [
                       "120"
                     ]
                }, 
                {
                      "name": "reauthPerDevice",
                      "opCode": "EQ",
                      "values": [
                         "enabled"
                       ]
                  }

               ]
            }
       },
       "result": {
        "extendedAction": {
          "action": "ACTION_MFA_OVERRIDE"
        }
       }
        },
        {
            "name": "mfa_once_per_session_device_conditions",
            "id": "3",
            "contextAttributes": {
                "attributes": [
                    {
                        "name": "devicePlatform",
                        "values": [
                            "IOS",
                            "ANDROID",
                            "OTHER_MOBILE",
                            "MACOS",
                            "WINDOWS",
                            "OTHER_DESKTOP"
                        ],
                        "opCode": "IN"
                    },
                    {
                        "name": "deviceCompliance",
                        "values": [
                            "COMPLIANT",
                            "NONCOMPLIANT",
                            "UNKNOWN"
                        ],
                        "opCode": "IN"
                    }
                ]
            },
            "result": {
                "extendedAction": {
                    "action": "ACTION_MFA_PER_SESSION"
                },
                "authnMethods": [
                    "urn:ibm:security:authentication:asf:macotp"
                ]
            }
        },
        {
            "name": "deny_otherwise",
            "id": "100",
            "conditions": {},
            "result": {
                "extendedAction": {
                    "action": "ACTION_DENY"
                },
                "authnMethods": []
            }
        }
    ]
}

• 各ルールは、以下のプロパティーで構成されます。

  name

  ルールの名前。

  id

  イベント・データおよびレポートで使用されるルールの固有 ID。

  conditions

  1 つのルールに複数の条件を指定できます。 ルールに一致して結果が適用されるためには、ルール内のすべての条件が true に評価されなければなりません。 デフォルトのルールには空の条件が 1 つ含まれています。

• 条件には、以下のプロパティーが含まれます。

  contextAttributes

  アクセス・ポリシーが実行されたフローのコンテキスト属性。 これには、デバイス管理、OpenID Connect、HTTP 要求の属性などがあります。

  subjectAttributes

  認証済みユーザー・サブジェクトに関連付けられているログイン・セッション属性。

  factorLifetimeAttributes

  特定の認証要素または認証方式に有効期間を関連付けます。

  timeAttributes

  時刻ベースのアクセス制御を可能にする時刻属性。

  ipAddress

  個人、範囲、またはサブネットを基準とした許可リストとブロック・リストを有効にする IP アドレス条件。

  location

  ユーザーの IP アドレスから解決される国または市区町村。 国には、国名または以下の ISO 規格に基づく 3 文字の国別コードのコンマ区切りリストが含まれている必要があります。 1 つの国または 3 文字の国別コードが許容されます。

  市区町村には、市区町村名のコンマ区切りリストが含まれている必要があります。 1 つの市区町村が許容されます。

  geoLocation

  アクセスの決定が検証されたロケーション。 デフォルトの設定は、最近検証された 5 つのロケーションが対象です。 この条件プロパティーは、enabled (true) または disabled (false) のいずれかです。

  trusteer

  IBM Security Trusteer で、ユーザーの新しいデバイスの初回アクセスが検出されます。

• 属性には、以下のプロパティーが含まれます。

  name

  属性の名前。

  values

  属性の値。

  opCode

  演算子。

• 属性値を評価するための演算子。

  EQ

  すべての値が存在している。

  NEQ

  値がいずれも存在していない。

  IN

  1 つ以上の値が存在している。

  MATCH

  一致する IP アドレス、範囲、またはサブネットを対象とする ipAddress 条件 opCode。

  NOMATCH

  一致しない IP アドレス、範囲、またはサブネットを対象とする ipAddress 条件 opCode。

• 結果には、以下のプロパティーが含まれます。

  Action

  条件が満たされている場合にトリガーするアクションを指定します。 有効値は次のとおりです。

  • ACTION_ALLOW
  • ACTION_MFA_ALWAYS - アクセス・ポリシーの評価中に、ルールが一致するたびに MFA を実行します。
  • ACTION_MFA_PER_SESSION - 認証されたセッションごとに MFA が 1 回実行され、既に完了していれば許可されます。
  • ACTION_DENY

  authnMethods

  アクションが多要素認証 (MFA) である場合に指定できる認証メカニズムを指定します。urn:ibm:security:authentication:asf:macotp - ユーザーは、完了できるすべてのメカニズム、または以下の 1 つ以上の要素を選択できます。

  • emailotp - メール・ワンタイム・パスワード
  • smsotp - SMS ワンタイム・パスワード
  • totp - 時刻ベースのワンタイム・パスワード (オーセンティケーター・アプリ)
  • signatures - IBM® Verify アプリのプッシュ通知
  • passkey - パスキー 認証アプリ
  • voiceotp - ユーザーの登録済み電話番号に送信される、音声によるワンタイム・パスワード。
  • anyFactor – urn:ibm:security:authentication:asf:macotp の別名。 このメカニズムは、特に factorLifetime 条件で使用され、ユーザーが完了した有効な認証メカニズムを表します。