［本書について］
本書は、PassLogic クラウド版の運用管理ガイドです。

［表示画面］
表示画面などは、操作の一例として掲載しているため、実際に表示される画面とは異なる場合もあります。

［商標および免責事項］
PassLogicおよびパスロジは、パスロジ株式会社の登録商標です。
Bio-IDiomは、日本電気株式会社の登録商標です。 その他、本書に記載されている会社名、製品名は、それぞれ各社の商標または登録商標です。

本製品は医療機器、原子力施設、航空関連機器、軍備機器、輸送設備やその他人命に直接関わる施設や設備など、高い安全性が要求される用途での使用は意図されていません。該当する施設や設備には使用しないでください。

［版権／注意］
本書の内容の一部または全部を無断で複写転載することを禁じます。
本書に掲載の内容及び製品の仕様などは、予告なく変更されることがあります。

本書の内容は万全を期して作成しておりますが、万一ご不明な点や誤り、記載漏れなどお気づきの点がございましたら、弊社までご連絡ください。

1. はじめに

1.1. 運用管理ガイド（admin権限）について

運用管理ガイドは、PassLogic管理ツールを操作する管理者（admin権限）を対象として書かれています。
本ガイドは以下の6章から構成されています。

章	項目名	主な内容
１	はじめに	本製品とガイドに関する基本的な情報
２	システム管理ガイド	管理ツールの基本的な使い方（管理者管理、ドメイン管理、基本設定、ポリシーの設定、アクセス制御、トークン、PKI設定）
３	連携設定ガイド	RADIUS、SAML2.0の連携設定など
４	ユーザー管理ガイド	ユーザーの追加/編集/削除など
５	ログ閲覧ガイド	ログの検索、ダウンロードなど
６	注意事項	製品を使用するにあたっての注意事項

ソフトウェアトークンである「PassLogic Authenticator」は、2024年9月24日以降App Store若しくはGoogle Playからダウンロード及びアップデートした場合、名称が「PassLogic Authenticator」に変更されました。

1.2. PassLogic（パスロジック）とは？

PassLogicは、独自技術であるPassLogic認証方式（以下、マトリックス方式）を中心に、ハードウェアトークン、ソフトウェアトークン、クライアント証明書などの多様な認証方式に対応した認証プラットフォームです。
標準的な連携プロトコル（RADIUS及びSAML）もサポートしておりますので、他システム（サービス）との認証連携も可能です。

1.3. マトリックス方式とは？

マトリックス方式は、ログイン時に表示される乱数表の“マス目の位置”と“パターン（選択する順番）”をパスワード生成のルールとし、ログイン毎に正解パスワードを生成するセキュアな認証方式です。
本方式に関するご説明は、PassLogic製品サイト上で公開しています。
本URLはユーザーへの初期案内メール等でもご活用いただけます。

URL：https://passlogic.jp/pattern_staticpass

2. システム管理ガイド

2.1. 管理ツールへのアクセス

管理者用のアカウント情報の案内に従い、以下のPassLogicの管理ツールにブラウザでアクセスします。
管理ツールのユーザーID入力欄に管理者権限のユーザーIDを入力し次ページに進み、パスワードを入力しログインします。

https://［テナント名］.passlogiccloud.com:8443/［テナント名］/passlogic-admin/

※ユーザーID：adminによる初期ログイン方法は、アカウント開通に送付される通知メールをご参照ください。

管理ツールトップ画面

2.2. 管理者用パスワードの変更

管理ツール左側メニューの［パスワード変更］にて、管理ツールにログイン中の自身の管理者アカウントのパスワード（パターンと追加フレーズ）の変更ができます。

※「管理者ポリシー」に設定したパスワードポリシーに則ったパスワードに変更することができます。

【例】オレンジ色のマスで示す「L字」のパターンを設定したい場合

※計3回の入力でパスワードが変更されます。

2.3. 管理者管理

PassLogic管理者アカウントには下記のいずれかの権限を付与できます。

権限の種類	admin	useradmin	operator
全ての機能	○	×	×
ユーザー作成・管理機能、及びクライアント証明書発行・管理機能	○	○	×
アンロック、パスワード再発行	○	○	○

【登録手順】
（ⅰ）管理ツール左側メニューの［管理者管理］→［管理者作成］をクリック
（ⅱ）登録内容を入力・変更［次へ］をクリック
（ⅲ）入力内容を確認［登録］をクリック

【項目解説】

2.3.1. 管理者ポリシー

全管理者アカウントに一律適用される管理者専用のポリシーを設定します。

【項目解説】

認証全般
認証方式	管理者ユーザーはPassLogic認証固定です。
ロックアウトまでの連続失敗回数	連続で認証失敗した回数が設定値に達したユーザーはロックされます。 ※設定値”0”はロックアウトされません。 ※失敗回数は、認証方式の認証の正否によって増加・リセットされます。
ロックアウト解除までの秒数	指定した秒数でロックアウト状態が自動的に解除されます。 ※［自動ロック解除しない］をチェック状態にすると設定した秒数経過後も自動ロック解除を行いません。 ※指定時間経過によりロック解除されても、ユーザー認証が行われるまでは、管理ツール上のロックユーザー一覧には該当ユーザーが表示されます。
認証可能な時間帯	指定時間帯のみ認証することができます。時間外の時間帯では正しいパスワードを入力しても認証結果はNGとなります。 ※開始時刻よりも終了時刻の方が早い場合は、0時をまたぐ設定になります。（例：開始時刻18:00、終了時刻06:00の場合、18:00～翌06:00まで認証可能）
アカウントロック通知メール	パスワード連続失敗回数に到達し、アカウントがロックされた際にメールを送る機能です。（管理者による手動のロックは含めません）「送信先に送信しない」、「ロックされたユーザーに登録されたメールアドレス」、「入力した特定のメールアドレス」の3種類が選べます。
PassLogic認証
乱数表の有効時間	PassLogic乱数表の有効時間を設定します。設定した時間を過ぎると乱数表は無効化され正しいパスワードを入力しても認証されません。有効時間を過ぎた場合は新たに乱数表を取得する必要があります。
パターンの有効期限 ※1	パターンを定期的に変更させる場合に日数を設定します。［無制限］をチェックすると定期的な変更は必要ありません。
パターンの有効期限 ※1	パターンの有効期限が設定されている場合に、特定期間の間に期限切れとなるユーザーに対してメールを送信します。毎日決まった時間に送信する方法と、手動で送信する方法があり、日数の指定は有効期限以下の数値を指定する必要があります
乱数表の縦横サイズ	管理者アカウントは”4×12”固定です。
ランダム発行時の長さ（ワンタイムパスワード）	管理者アカウントは”6”文字固定です。
ランダム発行時の長さ（追加フレーズ）	管理者アカウントは”6”文字固定です。

※1：管理者アカウントはパターンの有効期限が切れた後も管理ツールにログインすることはできますが、ログイン後の画面上部に赤字で「［!］パターンの有効期限が切れています。」と表示され続けます。

管理者アカウントはこの項目一覧に記載されていないユーザーポリシーの機能や設定については、利用できない、または適用されません。

2.3.2. ユーザー通知設定

「2.7. ポリシー設定」の「2.7.1. ユーザー通知設定」の同名の項目をご参照ください。

2.4. ユーザー管理

ユーザーの管理方法は、「4. ユーザー管理ガイド」をご参照ください。

2.5 ドメイン管理

PassLogic上のユーザーは全てドメインを適用して管理します。ドメイン管理を設定しない場合は、デフォルト値の”local”ドメインのユーザーが作成されます。

2.5.1. ドメイン追加

【ドメイン名追加手順】
（ⅰ）管理ツール左メニューの［ドメイン管理］→［追加］をクリック
（ⅱ）任意のドメイン名を入力し［次へ］をクリック
（ⅲ）入力内容を確認し［登録］をクリック

※ドメイン名は半角英数字、ピリオド、ハイフンのみ使用でき、最大64文字までです。
※既に登録されているドメイン名と重複することはできません。
※デフォルトで”local”ドメインが用意されています。

2.6. 基本設定

システム全体で共通に適用される基本の設定です。
全般設定、メールサーバー設定の2種類があります。

【基本設定変更手順】
（ⅰ）管理ツール左側メニューの［設定］→［基本設定］をクリック
（ⅱ）基本設定を編集し［次へ］をクリック
（ⅲ）入力内容を確認し［決定］をクリック

2.6.1. 全般設定

【項目解説】

設定項目	設定内容	設定値
ドメイン選択表示	ユーザー名入力時に、ドメインを選択するプルダウンの表示有無を設定します。表示しない場合は「ユーザー名@ドメイン名」の形式でユーザー名を入力します。「@ドメイン名」を入力せずユーザー名だけを入力した場合は”local”ドメインのユーザーとして扱われます。	デフォルト『ON』
ADパスワード欄表示	ADパスワードが保存されている場合に、パスワード入力欄をグレーアウトします。 ※PassLogic クラウド版では使用しない設定値です。	デフォルト『OFF』
パスワードリマインダーURL有効期限	パスワードリマインダーのワンタイムURLの有効期限を秒数で指定してください。設定値を変更した場合は「パスワードリマインダー送信メール」のメール本文に記載のURLの有効期限に関する記述を変更してください。	デフォルト『86400』未指定の場合はデフォルト値（24時間）が適用されます。
パスワードリマインダーのメールアドレスを大文字/小文字を区別しないで入力する	パスワードリマインダー利用時に入力するメールアドレスに、大文字が含まれていても強制的に小文字に変換して扱います。	デフォルト『OFF』
LDAP認証連携ユーザー強制小文字	LDAP認証連携でログインをする際に、大文字のユーザーIDを禁止する場合設定してください。 ※PassLogic クラウド版では使用しない設定値です。	デフォルト『OFF』
証明書管理者パスワード	管理画面からクライアント証明書をダウンロードする際に、パスワードを設定することができます。	デフォルト『OFF』
ログインプロテクト無効化	ログインプロテクトの無効化を実施している間は、PassLogicサーバーはログインプロテクト解除の確認を実施しません。（既に解除されているものとして動作します。）	デフォルト『OFF』
顔認証無効化	顔認証無効化を実施している間は、PassLogicサーバーは顔認証の確認を実施しません。	デフォルト『OFF』
SSO時の新規タブ無効化	各種SSO時での遷移において、新しいタブを開きたくない場合に設定してください。	デフォルト『OFF』
シームレスサインオンの有効化	PassLogic for Windows DesktopでWindows端末にログインしたユーザーについて、ブラウザの認証をスキップしたい場合にONにしてください。【Windowsサービスのポートの最小値】 Windows上で動作するサービスに対して、使用を許可する最小のポートを指定します。 PassLogic for Windows Desktopの設定値「MinPort」と同じ値を設定してください。【Windowsサービスのポートの最大値】 Windows上で動作するサービスに対して、使用を許可する最大のポートを指定します。 PassLogic for Windows Desktopの設定値「MaxPort」と同じ値を設定してください。【ブラウザがWindowsサービスを検索する際のタイムアウト値 (秒) 】ブラウザがWindowsサービスを検索する際のタイムアウト値を指定します。デフォルト値では短い場合に変更してください。	デフォルト『OFF』ポートの最小値のデフォルト『10800』ポートの最大値のデフォルト『10810』タイムアウト値（秒）のデフォルト『3』
メニューリンク	ユーザーログイン後のアプリケーションリスト画面（メニュー画面）に表示するリンクを設定します。はじめに「グループ追加」ボタンからグループを追加し、グループ名を設定します。次に「リンク追加」ボタンからグループにリンクを追加し、リンク先とそのアイコンを設定します。設定可能なリンク先の種類は以下のとおりです。 Web Token のリンク［RADIUS］→［SSO設定］の各設定のSSOリンク（RADIUS）［SAML→［SP登録］の各設定のSSOリンク（SAML）グループとリンクの表示順は、設定した順番で表示されます。順序を変更する場合は、設定画面の矢印ボタンをクリックしてください。［注意］この設定に追加されていないリンクは、アプリケーションリスト画面に表示されません。ただし、その場合でも、アプリケーションリストのスキップは利用可能です。 SSOリンクについては、連携設定を新規に追加した際に、デフォルトグループにリンクが自動で追加されます。デフォルトグループが存在しない場合は、グループが自動で作成され、その中にリンクが追加されます。デフォルトグループ名は、連携設定の種類ごとに以下のとおりです。・［RADIUS］→［SSO設定］の「SSL-VPN」・［SAML］→［SP登録］の「Cloud」 Web Tokenのリンクは、ログインユーザーに紐づくポリシー設定の「Web Tokenの使用」が有効、かつ［設定］→［基本設定］→［サーバー設定］→［Web Token非表示」がOFFの場合のみ表示されます。 SSOリンクについては、ログインユーザーと連携設定に紐づくグループ設定に応じて、リンクの「表示／非表示」が切り替わります。 SSOリンクについては、アクセス元のIPアドレスと連携設定に紐づくIPグループ設定に応じて、リンクの「表示／非表示」が切り替わります。［RADIUS］→［SSO設定］のリンクについては、連携設定の［認証の送信先URL］がhttp(s) スキームでない場合、端末でアクセスした際にリンクが表示されません。	デフォルトではグループ「Web Token」配下に、リンク「Web Token」が設定されています。

2.6.2. メールサーバー設定

【項目解説】

設定項目	設定内容	設定値
エンコーディング	ISO-2022-JP / UTF-8の選択	デフォルト『ISO-2022-JP』
SMTPサーバー ※1	SMTPサーバーのIPアドレスまたはホスト名	デフォルト『localhost』
SMTPサーバーのポート	SMTPサーバーのポート	デフォルト『ブランク』
認証ユーザーID（SMTP-AUTH）	SMTP-AUTHを利用する際のユーザーID	デフォルト『ブランク』
認証パスワード（SMTP-AUTH）	SMTP-AUTHを利用する際のパスワード	デフォルト『ブランク』
TLS/SSL	TLSまたはSSLで接続する場合に選択	デフォルト『None』

【重要】
SMTPサーバーに「localhost」を指定すると、Amazon SES（※1）を使用してメール送信できます。
ただしこの場合は、PassLogicから送信されるユーザー通知の送信元メールアドレスは、デフォルトの設定値”noreply@passlogiccloud.com”のように、ドメイン部分は”passlogiccloud.com”である必要があります。
お客様がご利用されているSMTPサーバーをご指定（設定）し、メールの送信をされる場合には、この制約はありません。

2.7. ポリシー設定

認証方式やパスワードの下限桁数などのセキュリティポリシーのことをPassLogicでは「ポリシー」と呼びます。
ユーザーに対して1つのポリシーを割り当てることができます。
（ポリシーは認証サーバー内で複数作成・管理でき、ユーザーごとに異なるポリシーを割り当てることができます。）
アカウント開通直後は”Default Policy”のみ登録されています。
なお、”Default Policy”は追加するポリシーのテンプレート情報となります。

管理者が設定したポリシーについて、新規登録ユーザーの初回ログイン（パスワード変更操作）時、もしくは、パスワード変更時にメッセージで通知することが可能です。
設定したポリシーにしたがって、メッセージの内容を変更してください。
詳細は、「2.11.4. ユーザーのパスワード変更画面に表示されるメッセージの変更方法」をご参照ください。

【ポリシー追加手順】
（ⅰ）管理ツール左側メニューの［設定］→［ポリシー設定］→［追加］をクリック
（ⅱ）ポリシー名（半角英数字、ハイフン、アンダースコア／先頭文字はアルファベットまたはアンダースコアのみ／30文字以内）を入力して［次へ］をクリック
（ⅲ）内容を確認し［登録］をクリック
（ⅳ）［戻る］リンクをクリックし、追加したポリシー名の右側［編集］リンクをクリック
（ⅴ）ポリシー設定を編集し［次へ］をクリック（”Default Policy”の内容が初期表示されます）
（ⅵ）入力内容を確認し［決定］をクリック

【項目解説】

※1：隣接した位置とは、特定の位置を中心とした8方向（縦・横・斜め）です。本ガイド冒頭に紹介されているようなV字のパターンの使用を制限することができます。
※2：パターンと追加フレーズに対して同時に0を指定することはできません。また、管理者によるパスワード発行などの操作はポリシーで設定されている許容桁数などの制約を受けません。
※3：ログインプロテクトを有効にした際のPassLogic Authenticatorのスロット名は「LoginProtect」固定です。

TOTP認証（ハードウェアトークン）
時間ズレ補正ステップ1	ハードウェアトークン内部の時計がPassLogic認証サーバーの時刻とずれた場合、このステップ数の範囲内であれば自動的に時刻ズレを補正します。（30秒トークンの場合は30秒を1ステップ、60秒トークンの場合は60秒を1ステップとカウントします。）ステップ数を1と設定した場合は、正しい時刻で生成される正解に加えて、前後1ステップ分の正解（計3つの正解）で認証を待ち受けます。
時間ズレ補正ステップ2	補正ステップ1の範囲外、かつ補正ステップ2の範囲内の場合は、ハードウェアトークンが生成するパスワードを2回入力することで時刻ズレを補正します。
TOTPトークンPINの長さ	TOTPトークンの後ろに付加するPINの最小桁数を設定します。デフォルト値は”0”です。
PINコード変更時に現在のPINコードを確認する	ユーザーログイン後のアプリケーションリスト画面からPINコード変更する際に、現在のPINコード確認を要求するか否かを設定します。

2.7.1. ユーザー通知設定

利用者に送信するメールテンプレートの文面はポリシーごとに設定します。

【設定手順】
（ⅰ）管理ツール左側メニューの［設定］→［ポリシー設定］をクリック
（ⅱ）設定するポリシー名の右側［編集］リンクをクリック
（ⅲ）［ポリシー設定項目］下部の［ユーザー通知設定］欄を編集し［次へ］をクリック
（ⅳ）入力内容を確認し［決定］をクリック

PassLogicから送信されるユーザー通知の送信元、Cc、Bccのメールアドレスを指定できます。

送信元メールアドレス

送信元メールアドレスを１つのみ指定できます。

利用者以外の宛先を指定します。受信者全員に、宛先に含まれていることを明示できます。

※カンマ区切りで複数指定できます。

Bcc

利用者以外の宛先を指定します。受信者全員に、宛先に含まれていることを明示しません。

※カンマ区切りで複数指定できます。

【重要】
［ユーザー通知設定］で”送信元メールアドレス”を変更してご使用する場合は、必ず［基本設定］の［メールサーバー設定］で、実際にお客様がご使用されている”SMTPサーバー”へ設定を変更する必要があります。
［メールサーバー設定］を変更せずに［ユーザー通知設定］でメールアドレスのみ変更されますと、通知メールが配信されませんのでご注意ください。

認証方式ごとに以下の通知テンプレートが用意されています。

①	PassLogic認証用新規ユーザー送信メール	PassLogic認証ユーザー登録後に送信するメールのテンプレートです。ログインURL、ユーザーID、初期パスワードなどを含めたログイン手順の案内文を登録してください。 ※アプリケーションリスト画面を省略するためのログインURLを案内したい場合は、「3.3.1. アプリケーションリストをスキップする方法」をご参照ください。 ※パスワードリマインダー用のURLを通知する場合は、「2.11.2. パスワードリマインダー」をご参照ください。
②	PassLogic Authenticator認証用新規ユーザー送信メール	PassLogic Authenticator認証ユーザー登録後に送信するメールのテンプレートです。 PassLogic Authenticatorアプリの利用手順、PassLogic AuthenticatorアクティベートURL、PassLogicログインURL、ユーザーIDなどを含めたログイン手順の案内文を登録してください。
③	TOTP認証用新規ユーザー送信メール	TOTP認証ユーザー登録後に送信するメールのテンプレートです。ログインURL、ユーザーID、ハードウェアトークンとPINコードなどを含めたログイン手順の案内文を登録してください。
④	PassLogic認証用パスワード再発行送信メール	PassLogic認証ユーザーのパスワード再発行時に送信するメールのテンプレートです。ユーザーID、再発行パスワードなどを含めた案内文を登録してください。
⑤	PassLogic認証用パスワードリマインダー送信メール	パスワードリマインダー機能から利用者に送信されるメールのテンプレートです。パスワードリセットURLを含めた案内文を登録してください。
⑥	PassLogic Authenticator認証用および PassLogic Authenticator再セットアップ送信メール	PassLogic Authenticator端末を再アクティベートする利用者に管理者から送信するメールのテンプレートです。 PassLogic AuthenticatorアクティベートURLなどを含めた案内文を登録してください。
⑦	TOTP認証用 TOTP交換トークン設定送信メール	交換用のハードウェアトークンとPINコードを利用者に送信するメールのテンプレートです。
⑧	PassLogic／PassLogic Authenticator／TOTP共通端末登録時送信メール	端末固定機能を利用する際、2台目以降の端末をアクティベートするときに管理者から送信するメールのテンプレートです。 ※1台目の端末は初回認証成功時に自動登録されるため、2台目以降の端末固定に必要です。
⑨	PassLogic／PassLogic Authenticator／TOTP共通 PKI認証用クライアント証明書の発行メール	クライアント証明書をダウンロードする際のダウンロードキーを案内するためのメールのテンプレートです。
⑩	PassLogic認証用有効期限送信メール	PassLogic認証ユーザーのパスワード有効期限切れを事前案内する際に送信するメールのテンプレートです。パスワード有効期限を含めた案内文を登録してください。
⑪	PassLogic／PassLogic Authenticator／TOTP共通アカウントロック通知メール	ユーザーアカウントがロックされた際に自動で送信されるメールのテンプレートです。ポリシーのアカウントロック通知メール機能を利用する場合、送信先に合わせて案内文を登録してください。

※”①②③”は1つのメールテンプレートにまとめてあります。認証方式に合ったテンプレートをご利用ください。
※”④⑤⑩”はポリシー設定にて認証方式「PassLogic」を選択した場合に編集できます。
※”⑥”はポリシー設定にて認証方式「PassLogic Authenticator」を選択した場合に編集できます。
※”⑦”はポリシー設定にて認証方式「TOTP」を選択した場合に編集できます。

PassLogic認証でログインプロテクトを使用する場合は、ログインプロテクトの解除にPassLogic Authenticatorを使用しますので、②と⑥の設定をお願いします。

【置換タグ定義】
通知テンプレートに下記の置換タグを埋め込み、ユーザーごとの情報をメール本文に含めることができます。

<%UNAME%>	氏名
<%TENANT%>	テナント名
<%UID%>	PassLogicユーザーID
<%DOMAIN%>	ドメイン名
<%PASSLOGICPATTERN%>	PassLogic認証パターン
<%SPASSWORD%>	PassLogic認証ワンタイムパスワードの後ろに付加する追加フレーズ（固定パスワード）
<%ENTRYKEY%>	端末固定アクティベーション用キー
<%DOWNLOADKEY%>	クライアント証明書のダウンロードキー
<%CERT_PASSWORD%>	クライアント証明書のインポート用パスワード
<%REMINDER_URLKEY>	パスワードリマインダー利用時のパスワードリセットURLキー
<%PASSCLIP_URL%>	PassLogic Authenticator認証のPassLogic Authenticatorアプリアクティベート用URLキー
<%PASSCLIP_PIN%>	PassLogic Authenticator認証のPINコード
<%EXPIRE_DATE%>	パスワード有効期限
<%TOKEN_SERIAL%>	ハードウェアトークンのシリアル番号
<%TOKEN_PIN%>	TOTP認証のPINコード
<%NEXT_TOKEN_SERIAL%>	交換用ハードウェアトークンのシリアル番号

※置換用のタグはBody（本文）でのみ置換されます。Subject（件名）には使用できません。

2.8. アクセス制御

PassLogicと連携するサービスに対するアクセス制御方法に、「グループ」あるいは「IPグループ」を使用することができます。

グループ	管理者が設定したグループ設定をもとに、ユーザーがアクセス可能な連携先アプリケーションを指定する方法
IPグループ	クライアントのIPアドレスをもとに、ユーザーがアクセス可能な連携先アプリケーションを指定する方法

2.8.1. グループ設定

PassLogicと連携するサービス（ユーザーが認証後に利用できるサービス）のアクセス可否をユーザーグループごとに制御することができます。
ユーザーグループは複数作成することができ、連携するサービス毎にアクセス許可するグループを複数指定できます。
各ユーザーは、所属グループ情報登録用に5つの枠、グループ1～5を持ちます。グループ1～5に、グループ設定で登録したユーザーグループを割り当てることで、1ユーザーに複数のユーザーグループを適用することができます。

1ユーザーに6つ以上のユーザーグループを割り当てる際は、1つの枠に複数のユーザーグループを指定することで行います。
例えば、グループ設定に「group1,group2,group3」の登録がある場合、ユーザーのグループ1に「'group1','group2','group3'」の3つの文字列を区切り文字で連結して登録することで、このユーザーを「group1,group2,group3」に所属させることができます。
（グループ1にgroup1を、グループ2にgroup2、グループ3にgroup3を登録した場合と同じアクセス制御を行うことができます。）
このようにして、1つの枠に複数グループを登録することで、1ユーザーに6つ以上のグループを割り当てることが可能です。

【グループの追加手順】
（ⅰ）管理ツール左側メニューの［設定］→［グループ設定］→［追加］をクリック
（ⅱ）グループ名（半角英数字、ハイフン、アンダースコア／20文字以内）を入力して［次へ］をクリック
（ⅲ）内容を確認し［登録］をクリック

※登録したグループをユーザーに設定する方法は「4.1. ユーザー新規作成」を参照してください。
※登録したグループを連携サービスに設定する方法は「3.1. RADIUS SSO設定」もしくは「3.2. SAML設定」を参照し、各連携サービスの「アクセスグループ」に登録したグループを設定してください。

【グループの削除手順】
（ⅰ）グループ一覧画面で、削除したいグループ名と同じ行の「削除」をクリック
（ⅱ）確認ダイアログで［OK］をクリック

※所属しているユーザーがいる、または連携サービスで利用しているグループは削除することができません。

【所属ユーザーでユーザー検索】
「グループ名」リンクをクリックすると、そのグループに属するユーザー一覧が表示されます。

2.8.2. IPグループ設定

PassLogicはSAML連携において、ユーザーのアクセス元IPアドレスでアクセス制限をかけることができます。
IPアドレスのグループを作成し、SAML連携設定時にIPアクセスグループを選択することで、IPグループ内からアクセスしてきたユーザーのみをアクセス許可することができます。
IPグループはCIDR形式で表記され、単体IPから範囲指定まで設定することができます。またIPグループは複数管理することができ、各サービスには最大10グループ適応することができます。

【IPグループの追加手順】
（ⅰ）管理ツール左側メニューの［設定］→［IPグループ設定］→［追加］をクリック
（ⅱ）IPグループ名（半角英数字、ハイフン、アンダースコア／20文字以内）とCIDR形式のIPアドレス範囲を入力して［次へ］をクリック
（ⅲ）内容を確認し［登録］をクリック

※登録したIPグループを連携サービスに設定する方法は、「3.2. SAML設定」のページを参照し、各連携サービス「IPアクセスグループ」に登録したIPグループを設定してください。

【IPグループの削除手順】
（ⅰ）IPグループ一覧画面で、削除したいIPグループ名と同じ行の［削除］をクリック
（ⅱ）確認ダイアログで［OK］をクリック

※連携サービスで利用しているIPグループは削除することができません。

【IPアドレス範囲の確認・編集】
IPグループ名リンクをクリックすると、そのIPグループの内容が表示されます。
IPアドレス範囲を変更して［次へ］をクリックし、変更内容を確認後［登録］をクリックすることで、IPグループを編集することができます。

2.9. トークン設定

ハードウェアトークンを使用する場合は、ハードウェアトークン情報（シリアル番号やシードなど）をPassLogic認証サーバーに登録した後、ユーザーIDに紐づけたうえでハードウェアトークンを配布します。
本項ではハードウェアトークンをユーザーへ配布できる状態にするための説明をします。

【1.ハードウェアトークンをPassLogicへ追加】
（ⅰ）管理ツール左側メニューの［設定］→［トークン設定］→［追加］をクリック

【項目解説】

個別登録

シリアル番号：半角英数字、以下記号、半角スペースで1-32文字（入力必須）
, + - . / _ ( ) |

シード：1-255文字（入力必須）
※Base16形式に対応

タイムステップ：1-300の数字（入力必須）

桁数：1-16の数字（入力必須）

交換目安：日付フォーマット（2026/12/31など）

CSV一括登録

CSVフォーマット：シリアル番号,シード,タイムステップ,桁数,交換目安

※CSVフォーマット複数行からなるテキストデータです。
※各パラメータは上記個別設定の時の入力規則に準じます。
※交換目安は省略可能です。
※フォーマットエラーは登録をスキップします。

【2.ハードウェアトークンの一覧・検索】
（ⅰ）管理ツール左側メニューの［設定］→［トークン設定］をクリック

上記へアクセスすると、デフォルトで50件の登録済みトークンが一覧で表示されます。
検索することでトークンを絞り込むことができます。検索時のオプションは以下の3通りです。

シリアル番号検索	シリアル番号を入力すると、全文一致で検索。
ユーザー検索	ユーザーIDとドメインを入力して、全文一致検索。ドメイン未入力の場合は”local”ドメインで検索。
未使用検索	ユーザーに紐付けてないトークンを検索。

【3.認証ポリシーの設定】
（ⅰ）管理ツール左側メニューの［設定］→［ポリシー設定］から任意のポリシー（Default Policy以外）をクリック
ハードウェアトークンを使用する場合は、認証方式の項目でTOTPを選択してください。
該当ポリシーが設定されたユーザーの認証をハードウェアトークン（TOTP）認証にすることができます。
（ⅱ）ユーザー通知設定＞新規ユーザー送信メール
ハードウェアトークンの利用に沿った通知メッセージに変更します。

【4.ユーザーの設定】
（ⅰ）管理ツール左側メニューの［ユーザー管理］→［新規作成］
（または一覧から該当ユーザーの［編集］をクリック）
（ⅱ）TOTP認証方式が設定されたポリシーを選択

※TOTPの際のユーザー設定項目は「4.1. ユーザー新規作成」をご参照ください。

2.10. PKI設定

PassLogic認証サーバー単体でプライベート認証局を提供します。
PKI認証機能が有効となっているポリシーに属するユーザーに適用されます。

2.10.1. PKI設定状況

ルート証明書関係の設定（ルート証明書発行、更新、リセット、ダウンロード）とクライアント証明書の1ユーザーあたりの発行件数と、ダウンロード回数制限を設定します。

【ルート証明書関係の設定】
（ⅰ）ルート証明書が未設定の場合、ルート証明書設定ページでインポート、もしくはパラメータ（ ※1 ）を入力の上発行することができます。
（ⅱ）設定済の場合は、ルート証明書設定ページで発行した証明書・秘密鍵のダウンロード、有効期限の更新、ルート証明書・発行済みクライアント証明書の設定のリセットができます。

※1パラメータのフォーマット

識別名	64文字以内の半角英数字、半角スペース、以下記号。 , + - . / _ ( ) \|
国/地域コード	2文字英字の国コード（例：JP）
都道府県	128文字以内の半角英数字と半角スペース、以下記号。 , + - . / _ ( ) \|
市区町村	128文字以内の半角英数字と半角スペース、以下記号。 , + - . / _ ( ) \|
組織名	64文字以内の半角英数字と半角スペース、以下記号。 , + - . / _ ( ) \|
所属名	64文字以内の半角英数字と半角スペース、以下記号。 , + - . / _ ( ) \|
メールアドレス	メールアドレス形式
有効期限	YYYY/MM/DDフォーマット（上限は”2049/12/31”まで）

※クライアント証明書のパラメータも同様フォーマット。

【1ユーザーあたりの発行件数制限】
1ユーザーに対して、クライアント証明書を発行する件数の上限を設定します。
（0以上99以下の範囲）
”0”で上限なしとなります。

【ダウンロード回数制限】
ユーザーがクライアント証明書をダウンロードする回数の上限を設定します。
（0以上99以下の範囲）
”0”で上限なしとなります。

※管理メニューからのダウンロード回数は含めません。

【クライアント証明書の暗号化方式】
クライアント証明書をPKCS#12形式のファイルにする際、暗号化に用いるOpenSSLのバージョンを指定します。
「OpenSSL v1 / OpenSSL v3」を選択できますが、macOS、iOSなど一部のデバイスでは、OpenSSL v3で暗号化したPKCS#12形式のクライアント証明書をインストールできません。
OpenSSL v3を選択する場合、ご利用されるすべてのデバイスでクライアント証明書をインストールできるか事前にご確認ください。
この暗号化方式の設定は、PKCS#12形式で暗号化したクライアント証明書をデバイスにインストールする際の復号動作のみに影響します。デバイスにインストール後に本設定を変更しても、クライアント証明書の認証動作には影響がありません。

2.10.2. クライアント証明書発行

ユーザーに対してクライアント証明書を発行します。
ユーザーに紐付かず共有可能なクライアント証明書と、ユーザーに紐付くクライアント証明書の2種類を発行できます。

※ルート証明書が未設定の場合は、先にルート証明書の設定を実施してください。

【共有証明書発行】
共有証明書発行ボタンを押すと、ユーザーに紐付かず共有可能なクライアント証明書を発行できます。
共有利用のクライアント証明書は、ユーザーIDとの紐付きをチェックせずにPKI認証できるため、複数名が共有する貸出端末などの利用に適しています。
デフォルト設定ではクライアント証明書インポート用のパスワードは設定されません。
クライアント証明書のインポート用パスワードにつきましては、後述の「2.10.4. 管理画面からダウンロードしたクライアント証明書のインポートパスワード」をご参照ください。

※”uid/domain”は”common/common”という疑似名に設定されます。

【一括発行】
ユーザー一覧のチェックボックスにチェックを入れて一括発行ボタンを押すと、チェックされたユーザーに一括でクライアント証明書が発行されます。

識別名フォーマット：
・uid_domain：uidとdomainの間に_（アンダースコア）を挟んだ表記。
・uid_domain_random：上記表記の末尾に_（アンダースコア）とランダム8文字（a-z、A-Z、1-9）を付加表記。

メール通知：
チェックを入れた場合、ユーザーにメールアドレスが登録されていれば、クライアント証明書発行後に自動的にクライアント証明書の発行メールを送信します。
発行完了後、『通知書をメール』『通知書をプリントアウト』をクリックすることで、クライアント証明書の発行メールの送信や印刷画面の表示がされます。

【発行リンク】
ユーザー一覧の右端にある発行リンクをクリックすることで、ユーザーに対してクライアント証明書を発行することができます。
発行完了後、『通知書をメール』『通知書をプリントアウト』をクリックすることで、クライアント証明書の発行メールの送信や印刷画面の表示がされます。
また、『証明書のダウンロード』をクリックすることで、発行したクライアント証明書を「PKCS#12」フォーマットでダウンロードします。

※管理者がダウンロードした証明書には、インポート用のパスワードは設定されておりません。
※パスワードを設定する場合は［設定］→［基本設定］→［全般設定］の「証明書管理者パスワード」を設定してください。

2.10.3. クライアント証明書管理

発行したクライアント証明書の管理を行います。
『検索』、『失効』、『削除』、『通知書をメール』、『通知書をプリントアウト』、『証明書のダウンロード』と、証明書の詳細の確認を行います。
また、証明書のチェックボックスにチェックを入れて『一括失効』、『一括削除』、『一括ダウンロード』をすることも可能です。

【検索】
「識別名」または「ユーザーID」を条件にクライアント証明書を検索します。

【失効／一括失効】
クライアント証明書を失効すると、失効フラグが証明書DBに付与され、クライアントが証明書を提出してもPKI認証が通らなくなります。

※一度失効した証明書は使用可能に戻せません。

【削除／一括削除】
クライアント証明書を削除すると、証明書DBからクライアント証明書を削除します。
クライアントが証明書を提出してもPKI認証が通らなくなります。

【証明書のダウンロード／一括ダウンロード】
クライアント証明書をダウンロードします。
一括ダウンロードの場合は、証明書ファイルをまとめたzipファイルをダウンロードできます。
管理者がダウンロードした証明書には、インポート用のパスワードは設定されておりません。

※パスワードを設定する場合は［設定］→［基本設定］→［全般設定］の「証明書管理者パスワード」を設定してください。

【有効期限】
クライアント証明書一覧の有効期限は、期限切れ1ヵ月前になると黄色、期限切れになると赤色に表示されます。

2.10.4. 管理画面からダウンロードしたクライアント証明書のインポートパスワード

【共有証明書発行】および【証明書のダウンロード／一括ダウンロード】
管理画面からクライアント証明書をダウンロードした場合、デフォルト設定ではクライアント証明書インポート用のパスワードは設定されません。
この場合、クライアント証明書を端末に登録する際は、インポート用のパスワードは未入力で登録します。
ただし、インポート用のパスワードが未設定の場合、iOS等の一部端末で、クライアント証明書の登録が出来ない場合があります。
ご利用の端末をご確認の上、必要に応じてインポート用のパスワードを設定してください。
インポート用パスワードの設定方法は「2.6. 基本設定」の「2.6.1. 全般設定」をご参照ください。

2.10.5. ユーザーによるクライアント証明書の取得

発行したクライアント証明書は、管理画面にてダウンロードする以外にユーザー側でダウンロードすることができます。
ユーザー側でダウンロードする方法として『ユーザー用のダウンロード画面』にアクセスしてダウンロードする方法と、クライアント証明書の自動発行機能でユーザー初回ログイン時に発行する『自動発行画面』からダウンロードする方法があります。

【ユーザー用ダウンロード画面】
クライアント証明書の発行メールや、プリントアウト用紙にダウンロード画面にアクセスするためのURLが表示されます。そのURLにアクセスし、ユーザーログイン画面と同様にログインをすると、ダウンロード画面に遷移します。
ユーザーはダウンロード画面でインポート用のパスワードを入力することで、証明書をダウンロードできます。

【自動発行画面】
ポリシー設定でクライアント証明書の自動発行機能ONかつ、発行タイミングがユーザー初回ログイン時の場合、ユーザーが初回ログイン（もしくはクライアント証明書のダウンロードが完了していない場合）後に自動発行画面に遷移します。
ユーザーは自動発行画面でクライアント証明書を発行／ダウンロードすることができます。

ユーザーが証明書をダウンロードした場合、その証明書にはインポート用のパスワードが設定されています。
インポート用パスワードは、クライアント証明書の発行メールやプリントアウト用紙に記載されています。

クライアント証明書の登録方法

ダウンロードしたクライアント証明書を端末に登録する方法は、下記のWebページに掲載しています。
ユーザーにお知らせください。
https://passlogic.jp/register_cert/

クライアント証明書の削除方法

クライアント証明書を端末から削除する方法は、下記のWebページに掲載しています。
ユーザーにお知らせください。
https://passlogic.jp/delete_cert/

2.11. その他

2.11.1 管理者用（admin）パスワードを忘れた場合

ログイン可能なadmin権限の管理者に、パスワード再発行を依頼してください。
全てのadmin権限管理者がパスワードを忘れた場合は、パスロジにてテナント管理者として登録されたアカウントに対して再発行を行いますので、その旨申請をお願いします。

2.11.2. パスワードリマインダー

ユーザーがPassLogic認証のパスワード（パターン／追加フレーズ）を忘れてしまった場合にユーザー自身でパスワードの再発行ができる機能です。
ポリシー設定でパスワードリマインダーの利用を許可されたポリシーに属するユーザーだけが利用できます。

【ユーザー利用手順】
（ⅰ）” https://［テナント名］.passlogiccloud.com/［テナント名］/ui/reminder.php ”にアクセス
（ⅱ）ユーザー名（必要な場合はドメイン名をプルダウンから指定、プルダウン非表示の場合は”ユーザー名@ドメイン名”の形式で入力）と『ユーザー情報に登録されているメールアドレス』を入力し［次へ］をクリック
（ⅲ）ユーザー名とメールアドレスの組み合わせが正しい場合、対象メールアドレス宛にパスワード再発行のURLが記載されたメールが送信
（ⅳ）メールに記載されたURLにアクセスすると、新しいパスワードが再発行され、対象メールアドレス宛に新しいパスワードが記載された通知メールが送信

※パスワード再発行のURLは1回限り有効です。また、有効期間はURLが発行されてから24時間（設定変更は「2.6. 基本設定」を参照してください）です。
※有効期間を過ぎた場合は新しいパスワードは再発行されません。
※パスワード再発行のURLは最新のものをご利用ください（同一ユーザーで「ⅱ」の操作だけを複数回実行した場合は、最後に送信されたパスワード再発行のURLだけが有効です）。
※再発行されるパスワードは［設定］→［ポリシー設定］にて、ランダム発行時の長さ（ワンタイムパスワード）と、ランダム発行時の長さ（追加フレーズ）に設定されている長さのランダムなパスワードです。
※パスワードリマインダー利用後、対象ユーザーのロック状態は強制解除されます。

3. 連携設定ガイド

PassLogic クラウド版には大きく分けて2つの連携方式が用意されています。

対応プロトコル	管理機能名称	概要
RADIUS	RADIUS	PassLogicがRADIUSサーバー機能を提供します。 RADIUSに対応するネットワーク機器と連携可能です。
		SSO方式	フォーム認証代行
SAML2.0	SAML	SAML2.0のIdP機能を提供します。 SAML SPに対応するシステムとの連携が可能です。
		SSO方式	SP-initiated、IdP-initiated

3.1. RADIUS

PassLogic認証サーバーがRADIUSサーバー機能を提供します。
SSL-VPN装置などRADIUSプロトコルに対応した機器との認証連携が可能です。

RADIUSクライアントの開通設定はパスロジが承ります。
「PassLogic クラウド版利用申込書」または「PassLogic クラウド版変更申込書」より申請をお願いします。
ご申告いただいたRADIUSクライアントのIPアドレスからのみRADIUS連携認証がご利用いただけます。

RADIUS認証サーバーの接続先情報は、管理ツールのトップページに記載しております。

RADIUS認証サーバー#1	管理ツールトップページの「RADIUS SERVER#1：*...*」
RADIUS認証サーバー#2	管理ツールトップページの「RADIUS SERVER#2：*...*」

あらかじめ、RADIUSクライアント側では ”1812/udp” で疎通できるよう設定ください。
認証方式は、PAP、CHAP、MSCHAPv1、MSCHAPv2に対応しています。

3.1.1. 連携製品のログイン画面で認証

RADIUSを用いた連携では、VPN装置など連携製品が持つ標準のログイン画面（VPNクライアントソフトやWebのログイン画面）に直接ワンタイムパスワードを入力することでログインすることができます。

認証方式	利用方法
Web Token （PassLogic）	VPNやVDIクライアントアプリなど、アプリ内に乱数表を表示できない場合に、ブラウザで乱数表を取得してログインする方法です。乱数表から生成した正解をVPNやVDIのログイン画面に入力します。 ※ポリシーの設定で、Web Tokenの利用を有効にしてください。 ※ポリシーの設定でPKI認証機能が有効な場合、Web Tokenの画面アクセスをクライアント証明書で制限可能です。
Web Token （PassLogic）	乱数表の取得方法は以下の2つの方法があります。方法1：以下のURLにアクセスし、ユーザーIDを入力して次をクリックする https://［テナント名］.passlogiccloud.com/［テナント名］/ui/token.php 方法2：以下のURLに直接アクセスする（パラメータ送信方式：POST/GET） https://［テナント名］.passlogiccloud.com/［テナント名］/ui/token.php?uid=［PassLogicに登録したuid］&domain=［PassLogicに登録したドメイン名］ ※Web Tokenが有効である場合、PassLogicのアプリケーションリスト画面にWeb Tokenへのリンクが表示されます。 ※パターンを設定せずに追加フレーズだけでログインさせることができますが、その場合であってもログイン前には必ず乱数表の取得が必要です。
ソフトウェアトークン（PassLogic Authenticator）	PassLogic Authenticatorの認証方式が選択されたポリシーのユーザーは、ソフトウェアトークンで生成した正解をVPNのログイン画面に入力しログインできます。 ※PassLogic Authenticatorの利用に関する注意点は「6.1 PassClip利用時の注意点」をご参照ください。
ハードウェアトークン（TOTP）	TOTPの認証方式が選択されたポリシーのユーザーは、ハードウェアトークンで生成した正解をVPNのログイン画面に入力しログインできます。

※VPNクライアントなどのログイン画面に入力するユーザー名は「uid@tenant」のように”@tenant”を付加してください（必須）。
（”local”以外のドメインを使用する場合は「uid@tenant:domain」形式で入力してください。）
※SSL-VPN機器等、RADIUSクライアントがPassLogicにRADIUS認証リクエストをする際のユーザーIDは「uid@tenant」または「tenant\uid」の形式で問い合わせるようにしてください。
（”local”以外のドメインを使用する場合は「uid@tenant:domain」形式で問い合わせるよう機器側に設定してください。）

3.1.2. SSO設定

RADIUSで連携する機器（SSL-VPN機器など）がWebのフォーム認証に対応している場合、PassLogicのUIから連携機器に対して自動フォーム認証によるSSO（シングルサインオン）ができます。
以下、RADIUSで連携している場合のSSO設定の説明です。

※RADIUS連携とログインプロテクト利用時の注意点
・ログインプロテクトの解除操作について
RADIUS連携でログインプロテクトを使用している場合、PassLogicへの認証時だけでなく、SSOを利用する際にも、再度ログインプロテクトの解除操作が必要となります。

・アプリケーションリストスキップ機能の制限についてて
RADIUS連携でログインプロテクトを使用している場合、「3.3.1. アプリケーションリストをスキップする方法」は利用できませんのでご注意ください。

【設定手順】
（ⅰ）管理ツール左側メニューの［RADIUS SSO設定］→［追加］をクリック
（ⅱ）各項目を入力し［次へ］をクリック
（ⅲ）入力内容を確認し［決定］をクリック

【項目解説】

アプリケーション名称	ユーザーログイン後のアプリケーションリスト画面に表示されます。任意の文字列を入力してください。
認証の送信先URL（ ※1 ）	ログイン情報を送信するURLを指定してください。
スマートフォン用認証の送信先URL（ ※1 ）	端末とスマートフォンで認証の送信先URLが異なる場合に、スマートフォン（iOS／Android）でアクセスする際の、ログイン情報送信先URLを指定してください。 ※設定しない場合は、スマートフォンでアクセスしても『認証の送信先URL』に送信します。 ※『認証の送信先URL』を設定せず、本項目のみ設定した場合、端末でアクセスする際に、メニュー画面に表示されません。
ログインIDのname属性	RADIUS連携機器へのログインに使用するログインID（ユーザーID）のname属性の名称を入力してください。（例：userid） ※属性名に対応する属性値は、PassLogicのユーザーIDを下記「ログインIDのvalue属性」に指定するフォーマットに変換した値です。
ログインIDのvalue属性	RADIUS連携機器へのログインに使用するログインID（ユーザー）の形式を「Uid Only」「PassLogic Domain（uid@PassLogic Domain）」「ActiveDirectory Domain（uid@AD Domain）」「NT Domain（NT Domain\uid）」から選択してください。 ※「PassLogic Domain」とはドメイン管理画面の「ドメイン名」を示します。 ※「ActiveDirectory Domain」および「NT Domain」は今後の機能拡張用の予約選択肢です。 ※localユーザーでシングルサインオンする場合は、設定値に関わらず「Uid Only」として扱われます。
テナント追加	ログインIDにテナント名を追加します。 RADIUS認証機器が認証をする際にログインIDを利用している場合は、テナントを追加しないとログインID の所属するテナントがPassLogicサーバー側では判断できません。 ※ログインIDのvalue属性を『PassLogic Domain』形式にしていた場合、SSO先に送られるログインIDは「user@domain」となりますが、テナント追加した場合は「user@tenant:domain」となり、PassLogic側でテナント名を判断できるようになります。
パスワードのname属性	RADIUS連携機器へのログインに使用するパスワードのname属性の名称を入力してください。（例：Password） ※属性名に対応する属性値は、PassLogic RADIUSサーバーが認証する際のワンタイムパスワードです。このときのワンタイムパスワードはPassLogic認証サーバーが自動生成します。
ADパスワードの送信	今後の機能拡張用予約項目です。通常は使用しません。
アクセスグループ	アクセスを許可するグループを選択します。グループ名検索ボタンを押下することで、登録済のグループを検索・追加することが可能です。 ※未指定の場合は全ユーザーが利用できます。 ※手動入力の場合、カンマ区切りで複数指定できます。
Webアプリケーションとの通信方式	GETまたはPOSTを選択します。
ログインページのURL	RADIUS連携機器へログイン情報を送信する前に、ログインページに含まれる特定の情報（エンティティ）を取得する必要がある場合のみログインページのURLを設定します。 ※ログインページのURLはIPアドレスではなくFQDNで設定し、FQDNがPassLogicサーバーから名前解決できるようにしてください。なお、FQDNのエンドポイントに信頼できないサーバー証明書が適用されている場合、SafariなどのブラウザによってはSSOが正常動作しない可能性があります。ログインページから取得する値の名前（ ※2 ）ログインページから取得したいエンティティがある場合、エンティティの名前を入力します。（例：SESSION_TOKEN）
その他の追加パラメータ	RADIUS連携機器へログイン情報を送信する際に、全ユーザーで同一の固定パラメータを送信する場合は、属性名を「付加するパラメータ」欄、対応する値を「パラメータの値」に設定してください。
ユーザーごとのパラメータ	RADIUS連携機器へログイン情報を送信する際に、ユーザーごとに送信したいパラメータのname属性を指定します。 ※ユーザー情報の”sslvpn param1-10”が対応する値となります。 ※”password1-5”は、ポリシー設定で「パラメータ設定機能の利用」が許可されている場合に利用可能です。その場合は、ユーザーがPassLogicログイン後にユーザー自身で”password1-5”を設定でき、その値をログイン情報として送信できます。SSO用のパスワードをユーザーしか知らない場合などに利用可能です。

あらかじめ、RADIUSクライアント側では ”443/tcp” と ”1812/udp” で疎通できるよう設定ください。

※1：http、https以外のhandler（カスタムURLスキーム）も登録できます（例：anyconnect://）。
その際には以下の文字列が置換文字列として使用できます。

<%AUTHID%>	ログインID（ログインIDのvalue属性に指定した形式）
<%PASSWORD%>	認証パスワード
<%PARAM1%>	ユーザーごとのパラメータ sslvpn param1
<%PARAM2%>	ユーザーごとのパラメータ sslvpn param2
<%PARAM3%>	ユーザーごとのパラメータ sslvpn param3
<%PARAM4%>	ユーザーごとのパラメータ sslvpn param4
<%PARAM5%>	ユーザーごとのパラメータ sslvpn param5
<%PARAM6%>	ユーザーごとのパラメータ sslvpn param6
<%PARAM7%>	ユーザーごとのパラメータ sslvpn param7
<%PARAM8%>	ユーザーごとのパラメータ sslvpn param8
<%PARAM9%>	ユーザーごとのパラメータ sslvpn param9
<%PARAM10%>	ユーザーごとのパラメータ sslvpn param10
<%USERPASS1%>	ユーザーごとのパラメータ password1
<%USERPASS2%>	ユーザーごとのパラメータ password2
<%USERPASS3%>	ユーザーごとのパラメータ password3
<%USERPASS4%>	ユーザーごとのパラメータ password4
<%USERPASS5%>	ユーザーごとのパラメータ password5

※2：シングルサインオンのために送信すべき値の中には、毎回変わる値も存在します。

【RADIUS連携機器ログイン画面 HTMLソース例】

ログイン名: <input type="text" name="user_id"><br />

パスワード: <input type="password" name="password"><br />

<br />

</form>

※上記ログインページの仕様の場合「ログインページから取得する値の名前」に「SESSION_TOKEN」を指定することで、PassLogic認証サーバーが動的に変わる値をHTMLソースから取得し”名前=値”のペアをRADIUS連携機器へログイン情報とともに送信します。ただし、ログインページから取得する変動値が、セッションクッキーと紐づいている場合、正しい値を送信できない場合があります。

RADIUS認証動作（参考）

radclientによる認証動作の例です。
実際の動作はご利用のアプリケーションまたは機器により異なります。

（注意1） ***.***.***.***　の部分は、RADIUS認証サーバー#1 または RADIUS認証サーバー#2をご指定ください。
（注意2） RADIUS認証サーバー#1および RADIUS認証サーバー#2のIPアドレスは、管理ツールのトップページに記載しております。
（注意3） RADIUS認証サーバーへのアクセスには、事前にRADIUSクライアントのIPアドレスのご申告が必要です。

■PAP

# echo "User-Name=test@tenant, User-Password=8283" | radclient -x ***.***.***.*** auth secret

Sending Access-Request of id 44 to ***.***.***.*** port 1812

User-Name = "test@tenant"

User-Password = "8283"

rad_recv: Access-Accept packet from host ***.***.***.***:1812, id=44,

length=20

■CHAP

# echo "User-Name=test@tenant, CHAP-Password=0772" | radclient -x ***.***.***.*** auth secret

Sending Access-Request of id 42 to ***.***.***.*** port 1812

User-Name = "test@tenant"

CHAP-Password = 0x2a49ec0d72c3bbc6dbe850ef2edda47f32

rad_recv: Access-Accept packet from host ***.***.***.***:1812, id=42,

length=20

3.2. SAML

PassLogicがSAML（Security Assertion Markup Language）のIdPとなり、SAML SPとして認証連携に対応しているサービスと連携することができます。

3.2.1. SP登録

PassLogic管理ツールにSP（Service Provider）定義を登録します。

※SP（Service Provider）側の設定方法は各サービスプロバイダのマニュアルを参照してください。

【設定手順】
（ⅰ）管理ツール左側メニューの［SAML］→［SP登録］→［追加］をクリック
（ⅱ）各項目を入力し［次へ］をクリック
（ⅲ）入力内容を確認し［決定］をクリック

【項目解説】

プロバイダ	ユーザーログイン後のアプリケーションリスト画面に表示されます。任意の半角文字列を入力してください。 ※記号やスペースを含めないでください。
SAMLタイプ	”SP initiated SSO”または”IdP initiated SSO”のいずれかを選択してください。サービスプロバイダの仕様に依存します。
NameIDフォーマット	サービスプロバイダに送信するSAML Responseのユーザー名に使われるNameIDのフォーマットを選択します。（選択肢にない場合は、その他を選択し、テキストフィールドに入力してください）
UIDタイプ	SPに送信するSAML Responseのユーザー名に使用されるPassLogicのユーザー属性を選択します。（「uid@ドメイン」を指定した場合は、下記のドメイン名の設定が必須となります。ユーザー登録時に紐づけるドメインは参照されませんのでご注意ください）
ドメイン	SPに送信するSAML Responseのユーザー名に含まれるドメイン名を入力してください。（UIDタイプやAttribute mapping1-5において「uid＠ドメイン」を選択した場合、この値が参照されます）
RelayState（SSO URL）	SAML認証後の遷移先URLを指定してください。ユーザーログイン後のアプリケーションリスト画面に表示されるプロバイダのリンク先URLとして設定されます（SP initiated SSOの場合のみ）。また、RelayState（Value）が設定されていない場合は、この値がSAML ResponseとともにSPへ送信するRelayStateパラメータの値として設定されます。 SP（Service Provider）の仕様にしたがって入力してください。
RelayState（Value）	SAML認証後の遷移先を指定するための値。 SAML ResponseとともにSPへ送信するRelayStateパラメータの値として設定されます。 SPがディープリンク（SAML Deep Links）に対応している場合は、SPの仕様にしたがってこちらに入力してください。 ※SP initiated SSOの場合、SAML RequestでSPから受け取ったRelayStateの値が優先されます。
Recipient	SPのACS URL・SAML responseの送信先。 SPの仕様にしたがって入力してください。
Destination	SPのACS URL・SAML response内Destination属性の値。 SPの仕様にしたがって入力してください。
Issuer	IdP entityid・SAML response内Issuer属性の値。 SPの仕様にしたがって入力してください。
Audience	SAML response内Audience属性の値。 SPの仕様にしたがって入力してください。
PassLogic FQDN	ユーザーがPassLogicにアクセスするときのURLの一部（ https://［テナント名］.passlogiccloud.com ）を入力してください。 ※IdP metadataダウンロード機能を利用する場合は必須です。 ※PassLogic FQDNの設定後、管理ツール左側メニューの［SAML］→［SP登録］よりIdP metadataがダウンロードできます。
ベンダー固有設定（通常は変更不要）	Salesforce向け設定です。Salesforce以外のSPでは有効にしないでください。 ※PKI認証利用時に、Salesforceのフィッシング耐性MFA判定を有効にします。
Attribute mapping1-5 ※1	SAML ResponseとしてSPに受け渡す情報をキーと値のセットで登録してください。
アクセスグループ	アクセスを許可するグループを選択します。グループ名検索ボタンを押下することで、登録済のグループを検索・追加することが可能です。 ※未指定の場合は全ユーザーが利用できます。 ※手動入力の場合、カンマ区切りで複数指定できます。
IPアクセスグループ	アクセスを許可するIPグループを選択します。 ※未指定の場合は全ユーザーが利用できます。

※「SP initiated SSO」の場合、”SAML Request”は下記のURLに到達するようにSPを設定してください。
https://［テナント名］.passlogiccloud.com/［テナント名］/ui/idp.php?target=［プロバイダ］
※多重エスケープを防ぐために、PassLogic側でXMLマークアップ違反の文字を変換することはありません。
必要に応じて適宜変換したものをご入力ください。（例：& → &）
※”SAML Response”の署名に使用する署名アルゴリズムは「SHA-256」となります。

※1：Attribute mapping 1-5の項目解説

Attribute mapping1-5
（左テキストボックス）

SAML Response内Attribute要素Name属性の値。

Attribute mapping1-5
（右プルダウン）

SAML Response内AttributeValueの要素内容。

選択項目の説明
uid	ユーザー情報に登録されているuidが設定されます。
メールアドレス	ユーザー情報に登録されているメールアドレスが設定されます。
氏名	ユーザー情報に登録されている氏名が設定されます。
社員番号	ユーザー情報に登録されている社員番号が設定されます。
部署	ユーザー情報に登録されている部署が設定されます。
電話	ユーザー情報に登録されている電話が設定されます。
備考	ユーザー情報に登録されている備考が設定されます。
uid@ドメイン	｛ユーザー情報に登録されているuidの値｝@｛ドメイン｝が設定されます。（上記のドメインの設定が必須となります。ユーザー登録時に紐づけるドメインは参照されませんのでご注意ください。）
Microsoft Entra IDソースアンカー	Microsoft Entra IDから同期されたユーザーのSource Anchor（ImmutableID）が設定されます。 Entra ID連携時に使用します。
Microsoft Entra ID UserPrincipalName	Microsoft Entra IDから同期されたユーザーのUser Principal Nameが設定されます。 Entra ID連携時に使用します。
Microsoft Entra ID MailNickname	Microsoft Entra IDから同期されたユーザーのMail Nicknameが設定されます。 Entra ID連携時に使用します。
ユーザーごとのアトリビュート	ユーザー情報の『attributeタブ（attribute1-10）』の値が設定されます。選択時に下部に表示されるプルダウンからattribute1-10のいずれかを指定してください。
固定値	固定値が設定できます。選択時に下部に表示されるテキストフィールドに任意の文字列を入力してください。

複数値
（チェックボックス）

SAML Response内Attribute要素に複数のAttributeValue要素を設定したい場合にチェックボックスをONにします。
上記のAttribute Mapping1-5（右プルダウン）で選択した値が、指定した区切り文字で分割され、個別のAttributeValue要素として設定されます。

【指定可能な区切り文字】
カンマ区切り、スペース区切り、コロン区切り、セミコロン区切り、改行区切り

3.2.2. SPメタデータアップロード

SP登録の設定画面下部にある「SPメタデータアップロード」を使用することで、プロバイダのSPメタデータの一部を設定値に反映することができます。
保存前の設定内容は破棄されるためご注意ください。
（新規作成の場合、未設定状態。編集の場合、変更前の状態に戻ります）

【設定手順】
（ⅰ）管理ツール左側メニューの［SAML］→［SP登録］→［追加をクリック
（ⅱ）画面下部［SPメタデータアップロード］の入力欄をクリック
（ⅲ）SPメタデータファイルを選択し、［次へ］をクリック

NameIDフォーマット	SPメタデータ：md:NameIDFormat
ドメイン	SPメタデータ：entityID
RelayState（SSO URL）	SPメタデータ：entityID
Recipient	SPメタデータ：Location
Destination	SPメタデータ：Location
Audience	SPメタデータ：entityID

3.2.3. 証明書

PassLogic管理ツールにSAML連携で利用する証明書を登録します。

※登録する公開鍵と秘密鍵の証明書セットはご用意ください。

【公開鍵証明書の登録手順】
（ⅰ）管理ツール左側メニューの［SAML］→［証明書管理］をクリック
（ⅱ）「証明書」の「アップロード」右側の［ファイルを選択］をクリックして公開鍵証明書ファイルを選択
（ⅲ）ファイル名を確認し、右の［登録］をクリック

※公開鍵証明書はSP側にも同じものを登録してください。
※正しいフォーマットの公開鍵証明書が登録されると、発行者情報と有効期限が表示されます。
※「証明書ダウンロード」をクリックすると、登録した公開鍵証明書ファイルがダウンロードできます。

【秘密鍵の登録手順】
（ⅰ）管理ツール左側メニューの［SAML］→［証明書管理］をクリック
（ⅱ）「秘密鍵」の「アップロード」右側の［ファイルを選択］をクリックして秘密鍵ファイルを選択
（ⅲ）ファイル名を確認し、右の［登録］をクリック

3.3. 連携設定に付随する設定

3.3.1 アプリケーションリストをスキップする方法

PasslogicのログインURLに以下のクエリストリングを指定することで、認証完了後にアプリケーションリスト画面をスキップして自動的にSSL-VPN、クラウドサービスへ連携することができます。
パスワード有効期限切れなどの理由でパスワード変更が必要なユーザーは、認証完了後にパスワード変更画面に遷移し、パスワード変更完了後はアプリケーションリスト画面をスキップして自動的に対象のアプリケーションへ連携します。

※任意のタイミングでパスワード変更が必要な場合は”https://［テナント名］.passlocicloud.com/［テナント名］/ui/”からログインの上でパスワード変更操作が必要です。
※ログイン後、セッションタイムアウトすると”https://［テナント名］.passclogiccloud.com/［テナント名］/ui/?mode=logout”に遷移します。
タイムアウト画面からログイン再開する場合は、アプリケーションメニューをスキップしないURL（https://［テナント名］.passlogiccloud.com/［テナント名］/ui/）からの操作となります。

RADIUS連携

https://［テナント名］.passlogiccloud.com/［テナント名］/ui/?sso-vpn=［アプリケーションの名称］

SAML連携（IdP initiatedの場合）

https://［テナント名］.passlogiccloud.com/［テナント名］/ui/?sso-saml=［サービスプロバイダの名称］

※SP initiatedで連携する場合は、直接サービス側のSAMLログインURLにアクセスしてください。
※IEをご利用される場合、［アプリケーションの名称／サービスプロバイダの名称］部分をURLエンコードしたパラメータとして入力する必要があります。

4. ユーザー管理ガイド

4.1. ユーザー新規作成

管理ツールからユーザーアカウントを手動登録する手順です。

【設定手順】
（ⅰ）管理ツール左側メニューの［ユーザー管理］→［新規作成］をクリック
（ⅱ）各項目を入力し［次へ］をクリック
（ⅲ）入力内容を確認し［登録］をクリック

【項目解説】

uid（必須）	ユーザーIDを入力します。使用できる文字は半角英数字（大文字小文字を区別）と以下3つの記号です（1-30文字）。 .（ピリオド） -（ハイフン） _（アンダースコア） ※例外として、0しか含まない文字列は利用できません。（例）”0”や”000”など。
ドメイン名	PassLogic内で扱うドメイン名を選択します。
メールアドレス	最大255文字 ※新規ユーザー通知やアカウントロックアウトのアラートなどをメールで送信する場合は必須。
氏名	最大255文字
社員番号	最大255文字
部署	最大255文字
電話	最大255文字
ポリシー	ポリシーを選択します。
グループ	グループ名を入力（最大4096文字）します。グループ名検索ボタンを押下することで、登録済みのグループを検索・追加することが可能です。 ※指定したグループに許可されている連携機能を利用できます。ユーザーグループとアクセス制御の詳細は「2.8. アクセス制御」のグループ設定をご参照ください。 ※手動入力の場合、カンマ区切りで複数指定できます。
パターン	パターンの初期値を指定します。 ※10桁以上はアルファベット［A-Z］で、36桁以上は［a-z］で表現します。 ※「パターンをランダムに設定する」のチェックボックスをONにすることでランダム生成します。生成時のルールはポリシーの設定に従います。
追加フレーズ	ワンタイムパスワードの後に付加する追加フレーズの初期値を指定します。 ※使用できる文字は、半角英数字（大文字小文字を区別）と以下記号です。 _ . ( ) { } [ ] ~ - / ' ! # $ ^ ? @ % + \ ` ? * = \| ; " <> 記号の , ; （カンマとコロン）は利用できません。 ※★未指定の場合は、パターンのみのパスワードになります。 ※”random”と入力した場合は、パスワードをランダム生成します。生成時のルールはポリシーの設定に従います。
有効（必須）	ユーザーアカウントの有効／無効を選択します。 ※ロックアウトでは、時間経過による自動解除設定をしている場合には指定時間経過後に自動解除されるため、管理者任意にアカウントの利用停止をさせたい場合にご利用ください。
アカウント有効期限	アカウントの有効期限日を設定します。
備考	最大255文字
attribute	RADIUS連携の際にPassLogicからRADIUSクライアントに対して、ユーザー毎に異なるアトリビュートを送信する必要がある場合、入力した値を利用することができます。 ※attribute1 ～ attribute10の計10個のパラメータを指定可能です。 ※ユーザー自身でパラメータを編集させることが可能です。詳細は「4.4. ユーザーによるパラメータ設定」をご参照ください。
sslvpn param	RADIUS連携の際にPassLogicから対象機器にSSOする際に、ユーザー毎に異なるパラメータを送信する必要がある場合、入力した値を利用することができます。 ※sslvpn param1 ～ sslvpn param 10の計10個のパラメータを指定可能です。 ※ユーザー自身でパラメータを編集させることが可能です。詳細は「4.4. ユーザーによるパラメータ設定」をご参照ください。

TOTP認証方式のポリシー固有の設定項目

トークンのシリアル番号

認証する際に利用するハードウェアトークンのシリアル番号を入力します。
［シリアル番号検索］ボタンから、PassLogic認証サーバーに登録済みのシリアル番号の一覧表示が可能です。
シリアル番号検索や未使用トークンを検索して割り当てることができます。

交換用トークンのシリアル番号

交換用ハードウェアトークンのシリアル番号が表示されます。
ハードウェアトークンの保証期限に合わせて、交換作業を事前準備できるためタイムラグのないスムーズな交換が実現可能です。

※交換用トークンは、ユーザー一覧画面「交換用トークン設定」リンクから登録できます。
※ユーザーが交換用ハードウェアトークンを使用したタイミングで、元のハードウェアトークンはユーザーとの紐づけが解除されます。

TOTP トークンPIN

ワンタイムパスワードの後ろに付加するPINを指定します。
空欄の場合は、トークンPINは使用せずワンタイムパスワードのみとなります。

※使用できる文字は、半角英数字（大文字小文字を区別）と以下記号です。
_ . ( ) { } [ ] ~ - / ' ! # $ ^ ? @ % + \ ` ? * = | ; " <>
記号の , ; （カンマとコロン）は利用できません。

PassLogic Authenticator認証方式のポリシー固有の設定項目

PassClip トークンPIN

PassLogic Authenticatorパスワードの後ろに付加するPINを指定します。
空欄の場合は、トークンPINは使用せずPassClipパスワードのみとなります。

4.2. ユーザーの端末固定

ポリシー設定にて端末固定を有効にした場合、対象ポリシーのユーザーは1ユーザーにつき最大5台の端末（ブラウザ）を固定することができます。
1台目は初回ログイン認証が成功したときに自動的に端末固定が完了します。2台目以降の端末登録は下記の手順で追加してください。
※端末固定の有効期限は最後の認証成功から360日間です。有効期限は認証成功の都度、更新されます。

【端末登録手順】
（ⅰ）管理ツール左側メニューの［ユーザー管理］［ユーザー一覧］から該当する「uid」リンクをクリック
（ⅱ）No.1 ～ 5いずれかの「発行」リンクをクリック
（ⅲ）メールアドレスと備考（任意の文字列・未入力可）を入力し［次へ］をクリック
※初期表示されるメールアドレスはユーザー情報に登録されているメールアドレスです。
（ⅳ）［発行］をクリック
（ⅴ）［通知書をメール］をクリックすると新規端末登録用メールが「ⅲ」で入力したメールアドレスに送信されます。
［通知書をプリントアウト］をクリックするとメール送信する内容を画面表示します。
※メールアドレスを登録しない場合［通知書をメール］ボタンが表示されません。
（ⅵ）ユーザーが端末登録用URLをクリックして認証成功後に端末登録が完了します。

4.3. ユーザー一括登録、CSVダウンロード

ユーザー情報をCSV形式で一括入出力することができます。

【一括登録手順】
（ⅰ）管理ツール左側メニューの［ユーザー管理］→［ユーザー一括登録］をクリック
（ⅱ）［ファイルを選択］をクリックして取込みファイルを選択し［次へ］をクリック

ファイル形式	CSV（カンマ区切りテキストファイル）
文字コード	Shift-JIS
フォーマット	［削除フラグ］,［ユーザーID］,［ドメイン］,［メールアドレス］,［氏名］,［社員番号］,［部署］,［電話］,［ポリシー］,［グループ1］,［グループ2］,［グループ3］,［グループ4］,［グループ5］,［有効］,［アカウント有効期限］,［備考］,［attribute1］,［attribute2］,［attribute3］,［attribute4］,［attribute5］,［attribute6］,［[attribute7］,［attribute8］,［attribute9］,［attribute10］,［sslvpn param1］,［sslvpn param2］,［sslvpn param3］,［sslvpn param4］,［sslvpn param5］,［sslvpn param6］,［sslvpn param7］,［sslvpn param8］,［sslvpn param9］,［sslvpn param10］,［ロック］,［トークンのシリアル番号］,［交換用トークンのシリアル番号］,［password1］,［password2］,［password3］,［password4］,［password5］,［adpassword］,［TOTPトークンPIN］,［PassLogic AuthenticatorトークンPIN］,［パターン］,［追加フレーズ］

（ⅲ）下記の設定および取込み内容を確認して［登録］をクリック

先頭行を項目名としてスキップ

先頭行を取込み対象外にする場合はチェックを入れてください。

通知書をメール

ユーザー新規作成と同時にメール通知をする際にはチェックを入れてください。メールアドレス情報の取込みが必須です。

※新規作成されるユーザーに対するメール送信のみで、更新および削除されるユーザーにはメール送信されません。

※一括登録処理を実行途中の場合、別の一括登録処理は実行できません。
※ロックアウト状態（locked=1）で更新されたユーザーのロックアウト時刻はCSV取込時刻に更新され、自動ロック解除までの残り時間がリセットされます。

【CSVテンプレートファイルダウンロード手順】
（ⅰ）管理ツール左側メニューの［ユーザー管理］→［ユーザー一括登録］をクリック
（ⅱ）［テンプレートファイルをダウンロード］をクリック

【CSVダウンロード手順】
（ⅰ）管理ツール左側メニューの［ユーザー管理］→［ユーザー一括登録］をクリック
（ⅱ）［CSVファイルをダウンロード］をクリック

【CSVファイルフォーマット】

パラメータ名	項目名	設定可能値	補足
delflag	削除フラグ	d	削除するユーザーに”d”を設定。
uid	ユーザーID（必須）	半角英数字、記号（- _ .）	半角英数字（大文字小文字を区別）、記号（- _ .）で1～30文字です。例外として、0しか含まない文字列は利用できません。（例）”0”や”000”など。
domain	ドメイン（必須）	半角英数字、記号（- .）	ドメイン管理で作成したドメイン名を指定。（デフォルト：local）
uemail	メールアドレス	メールアドレスフォーマット
uname	氏名	制限なし（ ※1 ）	最大255文字
employee_number	社員番号	制限なし（ ※1 ）	最大255文字
section	部署	制限なし（ ※1 ）	最大255文字
phone	電話番号	制限なし（ ※1 ）	最大255文字
policy	ポリシー	半角英数字、記号（- _）	管理ツールで登録したポリシー名を指定できます。
group1	グループ1	半角英数字、記号（- _）	最大4096文字。 PassLogic管理ツールで登録したグループ名を指定できます。（ ※5 ）
group2	グループ2
group3	グループ3
group4	グループ4
group5	グループ5
udisabled	有効	0／1	有効 0／無効 1
uexpiry	アカウント有効期限	yyyyMMdd yyyy/MM/dd yyyy-MM-dd	ユーザーの有効期限。空欄の場合は期限切れなし。
ucomment	備考	制限なし（ ※1 ）	ユーザーの備考。
attribute1 - 10	attribute1 - 10	制限なし（ ※1 ）	他のシステムと連係する際に利用する値です。（RADIUS認証連携）
sslvpn param1 - 10	sslvpn param1 - 10	制限なし（ ※1 ）	他のシステムと連係する際に利用する値です。（RADIUS SSO連携）
locked	ロック	0／1	0：ロック解除 1：ロック状態
token_serial	トークンのシリアル番号	半角英数字、記号	1～32文字 , + - . / _ ( ) \| 半角スペース
next_token_serial	交換用トークンのシリアル番号	半角英数字、記号	1～32文字 , + - . / _ ( ) \| 半角スペース
password1-5	password1-5	制限なし（ ※1 ）	新規ユーザー登録時のみ使用ダウンロード不可
adpassword	ADパスワー	制限なし	PassLogic クラウド版では未サポート
token_pin	TOTPトークンPIN	半角英数字、記号（カンマ、コロン）	新規ユーザー登録時のみ使用。ダウンロード不可。
passclip_pin	PassLogic AuthenticatorトークンPIN	半角英数字、記号（カンマ、コロン以外）	新規ユーザー登録時のみ使用。ダウンロード不可。
secret_pattern	パターン	カンマ区切りの数字（1～64）または”random”（ ※2、※4 ）	新規ユーザー登録時のみ使用。ダウンロード不可。
static_password	追加フレーズ	半角英数字、記号（カンマ、コロン以外）または”random”（ ※3、※4 ）	新規ユーザー登録時のみ使用。ダウンロード不可。
lastauthdate	最終認証日時	yyyy/mm/dd hh:mm:ss	ダウンロード時のみ。インポート不可。
passsetdate	パスワード変更日時	yyyy/mm/dd hh:mm:ss	ダウンロード時のみ。インポート不可。

※1：ダブルクォートを入力するときは、ダブルクォートを2つを入力することで1つのダブルクォートになります。
（例：「テスト”01”ユーザー」→”テスト””01””ユーザー”）
※2：”random”の場合は、ポリシー設定の「ランダム発行時の長さ（ワンタイムパスワード）」の長さでランダム生成します。
※3：”random”の場合は、ポリシー設定の「ランダム発行時の長さ（追加フレーズ）」の長さでランダム生成します。
※4：パターンと追加フレーズのいずれも指定がない場合、新規登録ユーザーのパスワードは、ポリシー設定の「ランダム発行時の長さ（ワンタイムパスワード）」の長さで指定したパターンをランダム生成します。但し、「ランダム発行時の長さ（ワンタイムパスワード）」が0のポリシーでは新規登録ユーザーを作成できません。
※5：複数のユーザーグループ名を区切り文字コロン”:”を用いて連結した文字列をカラムに登録することで、1つのカラムでユーザーに複数のユーザーグループを設定することも可能です。ユーザーグループとアクセス制御の詳細は「2.8. アクセス制御」のグループ設定をご参照ください。
（ユーザー作成後に区切り文字を変更することはできません。）

文字数の制限が記載されていない項目は最大255文字まで登録できます。
ダウンロードしたCSVファイルをMicrosoft Office Excelを使用して編集すると、データが破損してしまう場合があります。
編集する際は、テキストエディタやCSVファイル用エディタの使用を推奨します。

4.4. ユーザーによるパラメータ設定

ポリシー設定にて、パラメータ設定機能の利用を許可されている場合、ユーザーログイン後の”～/ui/menu.php”にて、「設定（デフォルトの場合）」押下後の画面上で、許可したパラメータの値を変更できます。
本設定により、ユーザー自身でSSO用のユーザーIDやパスワードを登録する運用が可能になります。

【項目解説】

項目名		入力制限	補足
［ユーザー編集画面］ attribute	attribute1 - 10	最大255文字	管理ツール左側メニューの［ユーザー管理］→［ユーザー一覧］対象ユーザーのデータと紐付いています。
［ユーザー編集画面］ sslvpn param	param1 - 10	最大255文字	管理ツール左側メニューの［ユーザー管理］→［ユーザー一覧］対象ユーザーのデータと紐付いています。
本人のみ編集可能な情報（管理者変更不可）	password1 - 5	最大159バイト（全角1文字／3バイト）	管理者でも閲覧・変更不可の値です。ユーザー本人のみ閲覧・変更可能値です。

※表示されている項目名の”name”はポリシー設定にて、設定した名称になります。

4.5. ロックの解除方法

パスワード連続失敗回数に到達、または管理者によって強制的にロックアウトされたユーザーは［ユーザー一覧］画面ロック項目の背景が赤くなり「ロック解除」と表示されます。ロック解除の文字をクリックすることでロックアウト状態を解除できます。
また、管理ツールから該当ユーザーのパスワードを再発行することでも、ロックアウト状態を解除することができます。

4.6. ユーザーの無効化

ユーザーの無効化は、管理ツール左側メニューの［ユーザー管理］→［ユーザー一覧］から任意に行えます。

4.7. パスワード再発行

PassLogic認証ポリシーに属するユーザーがパスワードを忘れた場合、管理者がパスワードを再発行することができます。
なお、管理者ツールからパスワード再発行後、ロックアウト状態が解除されます。

【パスワード再発行手順】
（ⅰ）管理ツール左側メニューの［ユーザー管理］→［ユーザー一覧］をクリック
（ⅱ）対象ユーザーのパスワード再発行リンクをクリック
（ⅲ）各項目を入力し［次へ］をクリック
（ⅳ）入力内容を確認し［登録］をクリック
（ⅴ）［通知書をメール］をクリックするとパスワード再発行メールが「ⅲ」で入力したメールアドレスに送信されます。
［通知書をプリントアウト］をクリックするとメール送信する内容を画面表示します。
※メールアドレスを登録しない場合は［通知書をメール］ボタンが表示されません。
（ⅵ）ユーザーは再発行パスワードでログインすることができます。
※対象ユーザーの属するポリシー「初回パスワード変更を強制」が「Yes」に設定されている場合、再発行パスワードでログインしたときに、強制的にパスワード変更を要求されます。

【項目解説】

メールアドレス

再発行したパスワードをここで入力したメールアドレス宛に送信します。

※入力したメールアドレスがユーザー情報のメールアドレスとして上書き更新されます。

パターン

パターンを指定します。

※「パターンをランダムに設定する」のチェックボックスをONにすることでランダム生成します。

追加フレーズ

ワンタイムパスワードの後に付加する追加フレーズを指定します。

※必須項目ではありません。未指定の場合パスワードはパターンだけになります。

4.8. PassLogic Authenticatorリセット

PassLogic Authenticator認証方式のポリシー変更またはユーザーの端末変更などによりPassLogic Authenticatorアプリをリセット（再アクティベート）したい場合に、この機能を使用します。
管理者が「PassLogic Authenticatorリセット」を実行すると、アクティベートURLが発行されますので、ユーザーに通知してください。

【PassLogic Authenticatorリセット手順】
（ⅰ）管理ツール左側メニューの［ユーザー管理］→［ユーザー一覧］をクリック
（ⅱ）対象ユーザーの「PassLogic Authenticatorリセット」リンクをクリック
（ⅲ）メールアドレスを入力し［次へ］をクリック
※ユーザー情報に登録されているメールアドレスが初期表示されます。
※ここで登録したメールアドレスがユーザー情報のメールアドレスとして上書き更新されます。
（ⅳ）入力内容を確認し［登録］をクリック
（ⅴ）［通知書をメール］をクリックするとPassLogic Authenticator再セットアップメールが（ⅲ）で入力したメールアドレスに送信されます。
［通知書をプリントアウト］をクリックするとメール送信する内容を画面表示します。
※メールアドレスを登録しない場合は［通知書をメール］ボタンが表示されません。
（ⅵ）ユーザーがPassLogic Authenticatorアプリをインストールした端末でアクティベートURLにアクセスすると、PassLogic AuthenticatorにPassLogicログイン用スロットが追加されます。

4.9. 顔認証サービス（Bio-IDiom 顔登録Webサービス Web顔認証機能）とのユーザー情報連携

顔認証を利用する場合、認証サーバーに登録しているユーザー情報をBio-IDiomサービスポータル側に連携する必要があります。
ここでは、ユーザー情報の連携手順を説明します。

【顔認証サービスの申し込み】
■顔認証をご利用いただくには、別途ご契約が必要です。
■申し込みは販売代理店等を通じ、申込書をお送りください。
■申込書の記入の際に、NEC顔認証サービスに登録するためのテナント名をご記入ください
※PassLogic クラウド版に登録するテナント名とは異なりますのでご注意ください。

【ユーザー情報連携手順】
顔認証サービスの設定、およびユーザー登録方法は「1-4. 顔認証機能設定ガイド」をご参照ください。

【ユーザー情報一括登録手順】
顔認証利用対象ユーザーをBio-IDiomサービスポータルに一括登録する場合は「顔認証対象者一括登録用CSVファイル変換ツール」を使用します。
※ツールは別途ご提供いたします。

ツールを使用したユーザー登録方法は「1-5. 顔認証対象者一括登録用 CSV ファイル変換ツールユーザーガイド」をご参照ください。

4.10. ユーザーデータ同期

4.10.1. Microsoft Entra ID同期の概要

PassLogic クラウド版とMicrosoft Entra ID（旧称 Azure Active Directory）のユーザーデータの同期を行います。
利用環境に応じて、いずれの方向からでも同期が可能です。
同期の実行は手動となります。

なお、本項におけるPassLogic クラウド版側の設定と併せて、Microsoft Entra管理センターでの設定が必要です。
「1-2. Microsoft Entra ID 連携マニュアル」をご参照のうえ、各種設定を実施してください。

また、PassLogic クラウド版のSAML連携機能を併用することで、同期したユーザーのMicrosoftアカウントのログインをPassLogicの認証で行うことが可能です。

4.10.2. Microsoft Entra ID同期設定

【Microsoft Entra ID同期設定登録手順】

（ⅰ）管理ツール左側メニューの［ユーザー管理］→［ユーザーデータ同期］→［Microsoft Entra ID同期設定］をクリック
（ⅱ）［追加］ボタンをクリック
（ⅲ）各種必要項目を入力し［次へ］をクリック
（Ⅳ）入力内容を確認して［登録］をクリック

【項目解説】

Microsoft Entra ID情報設定

Microsoft Entra IDと接続するための情報を設定します。
Microsoft Entra管理センターにて必要な情報をご確認のうえ、入力してください。

カスタムドメイン名（必須）	Microsoft Entra IDのカスタムドメイン名を入力します。ここで指定したカスタムドメインに属するMicrosoft Entra IDのユーザーが同期対象となります。 PassLogicのユーザーとMicrosoft Entra IDのユーザーは、以下の対応関係で紐付けられます。【PassLogic と Microsoft Entra ID のユーザーの対応関係】 {PassLogicのuid}@{Microsoft Entra IDのカスタムドメイン名} = Microsoft Entra IDのuserPrincipalName属性の値
Application ID （必須）	Microsoft Entra IDに登録したアプリケーションのApplication ID（クライアントID）を入力します。値はMicrosoft Entra管理センターの［Entra ID］→［アプリの登録］→［すべてのアプリケーション］にて確認してください。
Client Secret （必須）	Microsoft Entra IDアプリケーションで生成したクライアントシークレットを入力します。 PassLogicには暗号化して保存されます。 ※クライアントシークレットの有効期限が切れた場合は同期処理を実行できなくなります。 ※有効期限が切れる前に新しいクライアントシークレットを作成し、本項目に設定してください。
テナントID （必須）	Microsoft Entra IDのテナントIDを入力します。値はMicrosoft Entra管理センターの［Entra ID］→［概要］にて確認してください。
接続テスト実行	［接続テスト実行］ボタンをクリックすると、入力した接続情報に基づき、Microsoft Entra IDへの接続テストが実行されます。接続成功時：「接続成功」が表示されます。接続失敗時：エラーメッセージが表示されます。エラーの内容を参考に設定内容を修正し、再度接続テストを実施してください。 ※接続テスト実行時は、ユーザーデータの同期処理は実行されません。 ※認証サーバーで”graph.microsoft.com”および”login.microsoftonline.com”ドメインの名前解決が可能になっている必要があります。 ※”graph.microsoft.com”および”login.microsoftonline.com”ドメインに対して、認証サーバーからアウトバウンド方向で「443/tcp」ポート（https）による通信が可能になっている必要があります。

PassLogic情報設定

Microsoft Entra ID同期に必要なPassLogic側の情報を設定します。

識別名
（必須）

管理ツール上の識別名称を31文字以下の英数字と記号（ - _ （ハイフン、アンダーバー））で入力してください。

PassLogic上で本設定を識別するための名称です。
識別名は一意である必要があります。

【PassLogic と Microsoft Entra ID のユーザーの対応関係】
{PassLogicのuid}@{Microsoft Entra IDのカスタムドメイン名} = Microsoft Entra IDのuserPrincipalName属性の値

ドメイン名
（必須）

PassLogic側のドメイン名を選択します。

「Microsoft Entra IDから取り込み」実行時に新規登録されたユーザーに適用されます。

ポリシー
（必須）

「Microsoft Entra IDから取り込み」実行時に新規登録されたユーザーに適用するポリシーを選択します。
デフォルト値「--」を設定した場合、ポリシー定義「Default Policy」が適用されます。

※認証方式がTOTPのポリシー定義を設定した場合、新規作成されたユーザーごとにトークン設定が必要です。
「2.9. トークン設定」をご参照のうえ、管理ツールにて設定してください。
また、CSVファイルにより一括登録することも可能です。「4.3. ユーザー一括登録、CSVダウンロード」をご参照ください。
クライアントシークレットの有効期限が切れた場合は同期処理を実行できなくなります。

同期設定

ユーザー同期に関する設定を行います。
同期方法や抽出条件、ユーザーデータのマッピング定義を設定してください。

PassLogic-Microsoft Entra ID同期モード	PassLogicのユーザー情報をMicrosoft Entra IDへ反映する際の同期方法を指定します。追加：PassLogicに登録済みで、Microsoft Entra IDに存在しないユーザーがある場合に、Microsoft Entra IDに新規登録します。更新：PassLogicおよびMicrosoft Entra IDの両方に登録済みで、ユーザー情報に差分がある場合、Microsoft Entra IDのユーザー情報をPassLogicのユーザー情報を更新します。後述の「Microsoft Entra ID属性値マッピング定義」に従って各項目を更新します。削除：PassLogicとMicrosoft Entra ID で既に同期済みのユーザーがPassLogic側で削除された場合、「Microsoft Entra IDへ反映」実行時に該当ユーザーがMicrosoft Entra ID側でも削除されます。運用に合わせて、下記のいずれかを選択してください。［追加・更新］ PassLogicからMicrosoft Entra IDへユーザーを反映する際に、「追加」および「更新」を実行します。［追加・更新・削除］ PassLogicからMicrosoft Entra IDへユーザーを反映する際に、「追加」、「更新」および「削除」を実行します。本項目は、「Microsoft Entra IDへ反映」実行時の同期方法の指定です。「Microsoft Entra IDから取り込み」実行時は常に「追加」および「更新」のみとなり、「削除」は実行されません。そのため、Microsoft Entra ID同期処理により、PassLogic側のユーザーが削除されることはありません。
検索フィルタ	同期対象ユーザーを絞り込むためのフィルタ条件を入力します。 ODataクエリ形式で入力してください。詳細は「1-2. Microsoft Entra ID 連携マニュアル」をご参照ください。「Microsoft Entra IDから取り込み」実行時に新規登録されたユーザーに適用されます。［参考］Microsoft Graph”$filter”クエリパラメーターを使用する。（例）accountEnabled eq true and userType eq 'Member' 未入力の場合は、「カスタムドメイン名」で指定したカスタムドメインに属する全ユーザーが同期対象となります。
メール送信（PassLogicに新規追加されたユーザーへメール自動送信）	有効にした場合、「Microsoft Entra IDから取り込み」実行時に、PassLogicに新規登録されたユーザーへ「新規ユーザー送信メール」が送信されます。送信メールの内容は、ポリシー設定の「新規ユーザー送信メール」のテンプレートに従います。送信先のメールアドレスは、PassLogicのユーザー情報に設定されているメールアドレスが使用されます。メールアドレスが未登録の場合は送信されません。 ※更新対象のユーザーにはメール送信されません。
メール送信（MicrosoftEntra IDに新規追加されたユーザーへメール自動送信）	有効にした場合、「Microsoft Entra IDへ反映」実行時に、Microsoft EntraIDに新規追加されたユーザーへ「Microsoft Entra ID新規ユーザー送信メール」が送信されます。送信メールの内容は、ポリシー設定の「MicrosoftEntra ID 新規ユーザー送信メール」のテンプレートに従います。送信先のメールアドレスは、PassLogicのユーザー情報に設定されているメールアドレスが使用されます。メールには、以下の情報が記載されます。各情報は、それぞれメールテンプレートの置換タグ <%microsoft_entra_id_upn%>および <%microsoft_entra_id_password%>に設定されます。 Microsoft Entra IDアカウント Microsoft Entra IDで発行された初期パスワード初期パスワードは、Microsoft Entra IDの初回ログイン時のみ利用できます。 Microsoft Entra IDで変更したパスワードは、PassLogicには反映されません。ご注意ください。

Microsoft Entra ID属性値マッピング定義

PassLogicのユーザー情報のパラメータとMicrosoft Entra IDの属性値をマッピングするための設定を行います。

PassLogicユーザー情報パラメータ名	設定が推奨されるMicrosoft Entra ID属性名	補足
メールアドレス	mail（メールアドレス）	PassLogicでは異なるユーザー間でメールアドレスの重複が許容されますが、 Microsoft Entra IDではユーザーごとにメールアドレスが一意である必要があります。そのため、PassLogicからMicrosoft Entra IDへ反映する際に、異なるユーザーに同一のメールアドレスが設定されている場合は同期エラーとなります。
氏名	displayName（表示名）
社員番号	employeeId（社員番号）
部署	department（部署）
電話	mobilePhone（携帯電話番号）、 businessPhones（会社電話番号（配列））
グループ1-5
アカウント有効期限	employeeLeaveDateTime（退職日時）
備考
attribute1-10		PassLogicのユーザー情報の『attribute』タブにあるattribute1～10に対応します。
sslvpn param1-10		ユーザー情報の『sslvpn param』タブにあるparam1～10に対応します。

マッピングが可能なMicrosoft Entra IDの属性

「Microsoft Entra ID属性値マッピング定義」において、PassLogicのユーザー情報のパラメータとマッピングが可能なMicrosoft Entra IDの属性は以下の通りです。

mail（メールアドレス）
displayName（表示名）
givenName（名）
surname（姓）
employeeId（社員番号）
department（部署）
jobTitle（役職）
companyName（会社名）
officeLocation（オフィス所在地）
mobilePhone（携帯電話番号）
businessPhones（会社電話番号（配列））
faxNumber（FAX番号）
otherMails（その他のメールアドレス（配列））
streetAddress（住所）
city（市区町村）
state（都道府県）
postalCode（郵便番号）
country（国）
employeeHireDate（入社日）
employeeLeaveDateTime（退職日時）
userType（ユーザータイプ（Member/Guest））
extensionAttribute1～15（拡張属性1～15）

Microsoft Entra ID属性のdisplayNameは、必ずいずれかのPassLogicユーザー情報パラメータに割り当ててください。

未指定の項目は、同期対象外となり同期実行時に上書き更新しません。

指定された項目の値が空の場合は、空の情報が上書きされます。

同じMicrosoft Entra ID属性を複数の PassLogicフィールドにマッピングすることはできません。設定画面でエラーとなります。

配列型の属性（businessPhones、otherMails）は、最初の要素のみが取得されます。

拡張属性（onPremisesExtensionAttributes.extensionAttribute1～15）は、オンプレミスのActive Directoryと同期している環境で利用できます。

4.10.3. Microsoft Entra IDから取り込み

Microsoft Entra ID同期設定に登録された内容に従い、Microsoft Entra IDからPassLogicへユーザーデータの取り込みを実行します。

【Microsoft Entra IDから取り込み実行手順】

（ⅰ）管理ツール左側メニューの［ユーザー管理］→［ユーザーデータ同期］→［Microsoft Entra IDから取り込み］リンクをクリック

Microsoft Entra IDから取り込みの実行結果は、管理ツールのログ閲覧画面で確認ください。

【Microsoft Entra IDからPassLogicへのデータ変換についての特記事項】

1. businessPhones（会社電話番号）、otherMails（その他のメールアドレス）属性値の取り込みについて
Microsoft Entra IDのbusinessPhonesおよびotherMails属性は配列型の属性のため、複数の値を保持している可能性があります。 PassLogicでは配列の最初の要素のみを文字列として取得します。
2番目以降の要素は採用されません。

（例）Microsoft Entra IDのbusinessPhonesが ["03-1234-5678", "03-9876-5432", "090-1234-5678"]の場合、PassLogicには "03-1234-5678" が設定されます。

2. 日付型の属性値の処理について（employeeHireDate（入社日）およびemployeeLeaveDateTime（退職日時））
Microsoft Entra IDの日付型の属性値は、PassLogicへの取り込み時に以下の変換処理が行われます。

ISO 8601形式（UTC）からYYYY-MM-DD形式に変換

PassLogicサーバーのタイムゾーン設定を考慮してローカル日付に変換

時刻情報（時:分:秒）は破棄され、日付のみが保持されます

（例）Microsoft Entra IDのemployeeLeaveDateTimeが"2024-12-31T15:30:00Z"の場合、PassLogicには"2024-12-31"（PassLogicサーバーのタイムゾーン設定を考慮したローカル日付）が設定されます。

3. userPrincipalName（ユーザーID）属性値とPassLogicのuidパラメータの対応について
Microsoft Entra IDのuserPrincipalName属性の値を「@」で分割し、左側の値をPassLogicのuidとして設定します。
「@」の右側の値はMicrosoft Entra ID同期設定で指定したカスタムドメイン名と一致します。また、PassLogicのドメイン名には、Microsoft Entra ID同期設定で指定したPassLogicのドメイン名が適用されます。

（例）下記のような設定の場合

Microsoft Entra IDのuserPrincipalNameが "tanaka@example.com"

Microsoft Entra ID同期設定にて指定されているカスタムドメイン名が "example.com"

Microsoft Entra ID同期設定にて指定されているPassLogicのドメイン名が "example.jp"

PassLogicのuidには "tanaka"、ドメイン名には "example.jp" が設定されます。

4.10.4. Microsoft Entra IDへ反映

Microsoft Entra ID同期設定で登録した内容に基づき、PassLogicからMicrosoft Entra IDへユーザーデータの反映を実行します。

【Microsoft Entra IDへ反映実行手順】

（ⅰ）管理ツール左側メニューの［ユーザー管理］→［ユーザーデータ同期］→［Microsoft Entra IDへ反映］リンクをクリック

Microsoft Entra IDへ反映の実行結果は、管理ツールのログ閲覧画面で確認してください。

【PassLogicからMicrosoft Entra IDへのデータ変換についての特記事項】

1. businessPhones（会社電話番号）、otherMails（その他のメールアドレス）属性への値の設定について
Microsoft Entra IDのbusinessPhonesおよびotherMails属性は配列型の属性のため、複数の値を保持している可能性があります。
PassLogicからを値する際には、最初の要素のみを更新します。2番目以降の要素は保持されます（上書きされません）。なお、空文字列の要素は自動的に削除されます。

（例）Microsoft Entra IDのbusinessPhones属性値が ["03-9999-9999", "03-9876-5432"]の場合、PassLogicのマッピング先の値が"03-1234-5678"であれば、「Microsoft Entra IDへ反映」実行時には ["03-1234-5678", "03-9876-5432"] に更新されます。

2. 日付型の属性値の処理について（employeeHireDate（入社日）およびemployeeLeaveDateTime（退職日時））
PassLogicの日付型の属性値は、Microsoft Entra IDへ値を設定する際に以下の変換処理が行われます。

YYYY-MM-DD形式の文字列をISO 8601形式（UTC）に変換

unixtimeが設定されている場合もDateTime型に変換

時刻は00:00:00に設定されます

（例）PassLogicに設定されている値が"2024-12-31"の場合、「Microsoft Entra IDへ反映」実行時には日付型の属性値"2024-12-31T00:00:00Z"が設定されます。

3. PassLogicのuidパラメータとuserPrincipalName（ユーザーID）属性値の対応について
PassLogicのuidの値と、Microsoft Entra ID同期設定で指定したカスタムドメイン名を「@」で連結し、Microsoft Entra IDのuserPrincipalName属性として設定します。

（例）下記のような設定の場合

PassLogicのuid："tanaka"

Microsoft Entra ID同期設定で指定したカスタムドメイン名："example.com"

Microsoft Entra IDのuserPrincipalNameには"tanaka@example.com"が設定されます。

5. ログ閲覧

PassLogicの管理画面上からPassLogicのログを検索し閲覧することができます。また、検索結果をダウンロードすることも可能です。

【ログ検索手順】
（ⅰ）管理ツール左側メニューの［ログ閲覧］をクリック
（ⅱ）検索項目を入力し［検索］ボタンをクリック
（ⅲ）ログ検索の結果を保存したい場合は［ダウンロード］ボタンをクリック

【検索項目】

From / To	From（いつから）To（いつまで）を設定し、検索対象期間を絞り込むことができます。
ユーザーID	ユーザーID（uid）を部分一致で検索できます。
ドメイン	ドメインを部分一致で検索できます。
Code	エラーコードを部分一致で検索できます。
ログローテート済みファイルも検索対象に含める	チェックボックスOFFで検索する場合、1日分のPassLogicログの検索結果を出力します。チェックボックスONで検索する場合、28日分のPassLogicログを検索対象に含めます。

※「再読み込み」ボタンをクリックすることで、検索項目をクリアした状態の検索結果を一覧表示します。
※ログは毎日0:00過ぎにローテートしております。

6. 注意事項

6.1. PassLogic Authenticator利用時の注意点

□PassLogic Authenticator認証方式ポリシーを使用するユーザーについては、ユーザー作成時にポリシーでPassLogic Authenticator認証方式をご選択し、PassLogic Authenticatorアプリをご使用ください。

□PassLogic Authenticatorアプリのダウンロード用URLは下記の通りです。
・iOS版 PassLogic Authenticator
https://itunes.apple.com/jp/app/id1167322433?mt=8

・Android版 PassLogic Authenticator
https://play.google.com/store/apps/details?id=com.passlogy.passclip.local

□PassLogic AuthenticatorアプリのヘルプページURLは下記の通りです。初回利用開始の案内メール等でご活用ください。なお、同一の内容がアプリ内から閲覧可能です。
https://www.passclip.com/ja/help_for_passclip_l

□PassLogic Authenticatorアプリがインストールされている端末と、PassLogicがインストールされているサーバーの時刻を合わせておく必要があります。時刻が違う場合、認証に失敗します。

6.2 その他、注意点

□ポリシー設定画面にて運用中のポリシーの認証方式を変更する場合、あるいはユーザー設定画面でポリシーを認証方式の異なるものに変更する場合は、パスワードやPassLogic Authenticatorの再設定をお願いします。

PassLogic-Microsoft Entra ID同期モード	PassLogicのユーザー情報をMicrosoft Entra IDへ反映する際の同期方法を指定します。追加：PassLogicに登録済みで、Microsoft Entra IDに存在しないユーザーがある場合に、Microsoft Entra IDに新規登録します。更新：PassLogicおよびMicrosoft Entra IDの両方に登録済みで、ユーザー情報に差分がある場合、Microsoft Entra IDのユーザー情報をPassLogicのユーザー情報を更新します。後述の「Microsoft Entra ID属性値マッピング定義」に従って各項目を更新します。削除：PassLogicとMicrosoft Entra ID で既に同期済みのユーザーがPassLogic側で削除された場合、「Microsoft Entra IDへ反映」実行時に該当ユーザーがMicrosoft Entra ID側でも削除されます。運用に合わせて、下記のいずれかを選択してください。［追加・更新］ PassLogicからMicrosoft Entra IDへユーザーを反映する際に、「追加」および「更新」を実行します。［追加・更新・削除］ PassLogicからMicrosoft Entra IDへユーザーを反映する際に、「追加」、「更新」および「削除」を実行します。本項目は、「Microsoft Entra IDへ反映」実行時の同期方法の指定です。「Microsoft Entra IDから取り込み」実行時は常に「追加」および「更新」のみとなり、「削除」は実行されません。そのため、Microsoft Entra ID同期処理により、PassLogic側のユーザーが削除されることはありません。
検索フィルタ	同期対象ユーザーを絞り込むためのフィルタ条件を入力します。 ODataクエリ形式で入力してください。詳細は「1-2. Microsoft Entra ID 連携マニュアル」をご参照ください。「Microsoft Entra IDから取り込み」実行時に新規登録されたユーザーに適用されます。［参考］Microsoft Graph”$filter”クエリパラメーターを使用する。（例）accountEnabled eq true and userType eq 'Member' 未入力の場合は、「カスタムドメイン名」で指定したカスタムドメインに属する全ユーザーが同期対象となります。
メール送信（PassLogicに新規追加されたユーザーへメール自動送信）	有効にした場合、「Microsoft Entra IDから取り込み」実行時に、PassLogicに新規登録されたユーザーへ「新規ユーザー送信メール」が送信されます。送信メールの内容は、ポリシー設定の「新規ユーザー送信メール」のテンプレートに従います。送信先のメールアドレスは、PassLogicのユーザー情報に設定されているメールアドレスが使用されます。メールアドレスが未登録の場合は送信されません。 ※更新対象のユーザーにはメール送信されません。
メール送信（MicrosoftEntra IDに新規追加されたユーザーへメール自動送信）	有効にした場合、「Microsoft Entra IDへ反映」実行時に、Microsoft EntraIDに新規追加されたユーザーへ「Microsoft Entra ID新規ユーザー送信メール」が送信されます。送信メールの内容は、ポリシー設定の「MicrosoftEntra ID 新規ユーザー送信メール」のテンプレートに従います。送信先のメールアドレスは、PassLogicのユーザー情報に設定されているメールアドレスが使用されます。メールには、以下の情報が記載されます。各情報は、それぞれメールテンプレートの置換タグ <%microsoft_entra_id_upn%>および <%microsoft_entra_id_password%>に設定されます。 Microsoft Entra IDアカウント Microsoft Entra IDで発行された初期パスワード初期パスワードは、Microsoft Entra IDの初回ログイン時のみ利用できます。 Microsoft Entra IDで変更したパスワードは、PassLogicには反映されません。ご注意ください。

STEP1：設定したい”位置”と”順番”に表示されている数字を入力	STEP2：乱数表が変わります。再度、設定したい”位置”と”順番”に表示されている数字を入力	STEP3：乱数表が変わります。最後にもう一度、設定したい”位置”と”順番”に表示されている数字を入力

uid（必須）	利用可能文字：半角英数字（大文字小文字を区別）、.（ピリオド）、-（ハイフン）、_（アンダースコア）文字数：1-30文字例外として、0しか含まない文字列は利用できません。
権限（必須）	権限の種類を選択
メールアドレス	アカウント作成結果をメール通知する場合は必須・最大255文字
氏名	最大255文字
社員番号	最大255文字
部署	最大255文字
電話	最大255文字
パターン	パターンの初期値を指定 ↓通知例 ※10桁以上はアルファベット［A-Z］で、36ケタ以上は［a-z］で表現します。 ※「パターンをランダムに設定する」のチェックボックスをONにするとパターンをランダム生成します。
追加フレーズ	ワンタイムパスワードの後に付加する追加フレーズの初期値を指定追加フレーズに使用できる文字種：半角英数字（大文字小文字を区別）と以下の記号です。 . ( ) { } [ ] ˜ − / ' ! # $ ^ ? @ % + ¥ ` & * = \| ; " < > ※カンマとコロンは利用できません。 ※必須項目ではありません。未指定の場合パスワードはパターンだけになります。 ※”random”と入力した場合は、パスワードをランダム生成します。生成時のルールはポリシーの設定に従います。
有効（必須）	アカウントの有効／無効を選択
有効期限	アカウントの有効期限日 ※設定した日までアカウントは有効です。 ※アカウントの有効期限が切れても管理ツール上にアカウントは残ります。 ※アカウントを削除したい場合は明示的に削除してください。 ※アカウントの有効期限日を延長設定することができます。
備考	最大255文字

目次

1. はじめに

1.1. 運用管理ガイド（admin権限）について

1.2. PassLogic（パスロジック）とは？

1.3. マトリックス方式とは？

2. システム管理ガイド

2.1. 管理ツールへのアクセス

2.2. 管理者用パスワードの変更

2.3. 管理者管理

2.3.1. 管理者ポリシー

2.3.2. ユーザー通知設定

2.4. ユーザー管理

2.5 ドメイン管理

2.5.1. ドメイン追加

2.6. 基本設定

2.6.1. 全般設定

2.6.2. メールサーバー設定

2.7. ポリシー設定

2.7.1. ユーザー通知設定

2.8. アクセス制御

2.8.1. グループ設定

2.8.2. IPグループ設定

2.9. トークン設定

2.10. PKI設定

2.10.1. PKI設定状況

2.10.2. クライアント証明書発行

2.10.3. クライアント証明書管理

2.10.4. 管理画面からダウンロードしたクライアント証明書のインポートパスワード

2.10.5. ユーザーによるクライアント証明書の取得

クライアント証明書の登録方法

クライアント証明書の削除方法

2.11. その他

2.11.1 管理者用（admin）パスワードを忘れた場合

2.11.2. パスワードリマインダー

3. 連携設定ガイド

3.1. RADIUS

3.1.1. 連携製品のログイン画面で認証

3.1.2. SSO設定

RADIUS認証動作（参考）

3.2. SAML

3.2.1. SP登録

3.2.2. SPメタデータアップロード

3.2.3. 証明書

3.3. 連携設定に付随する設定

3.3.1 アプリケーションリストをスキップする方法

4. ユーザー管理ガイド

4.1. ユーザー新規作成

4.2. ユーザーの端末固定

4.3. ユーザー一括登録、CSVダウンロード

4.4. ユーザーによるパラメータ設定

4.5. ロックの解除方法

4.6. ユーザーの無効化

4.7. パスワード再発行

4.8. PassLogic Authenticatorリセット

4.9. 顔認証サービス（Bio-IDiom 顔登録Webサービス Web顔認証機能）とのユーザー情報連携

4.10. ユーザーデータ同期

4.10.1. Microsoft Entra ID同期の概要

4.10.2. Microsoft Entra ID同期設定

4.10.3. Microsoft Entra IDから取り込み

4.10.4. Microsoft Entra IDへ反映

5. ログ閲覧

6. 注意事項

6.1. PassLogic Authenticator利用時の注意点

6.2 その他、注意点

関連記事