目次

1. はじめに

1.1. 運用管理ガイド(useradmin権限) について

1.2. PassLogic（パスロジック）とは？

1.3. マトリックス方式とは？

2. システム管理ガイド

2.1. 管理ツールへのアクセス

2.2. 管理者用パスワードの変更

3. ユーザー管理ガイド

3.1. ユーザー新規作成

3.2. Cookie認証（端末固定）

3.3. ユーザー一括登録、CSVダウンロード

3.4. ユーザーによるパラメータ設定

3.5. ロックの解除方法

3.6. ユーザーの無効化

3.7. パスワード再発行

3.8. PassLogic Authenticatorリセット

3.9. ユーザーデータ同期

3.9.1. Microsoft Entra ID同期

4. PKI設定

4.1. クライアント証明書発行

4.2. クライアント証明書管理

4.3. ユーザーによるクライアント証明書の取得

4.4. クライアント証明書の登録/削除

5. 注意事項

5.1. PassLogic Authenticator利用時の注意点

1. はじめに

1.1. 運用管理ガイド(useradmin権限)について

運用管理ガイドは、useradmin権限でPassLogic管理ツールを操作する管理者を対象として書かれています。
本ガイドは以下の4章から構成されています。

ソフトウェアトークンである「PassLogic Authenticator L」は、2024年9月24日以降App Store若しくはGoogle Playからダウンロード及びアップデートした場合、名称が「PassLogic Authenticator」に変更されました。
本マニュアル内では「PassLogic Authenticator」及び「PassLogic Authenticator L」と表記されている部分がございますが、適宜読み替えていただけますようお願いいたします。
※認証サーバ側の名称変更は、今後進めていく予定です。

1.2. PassLogic（パスロジック）とは？

PassLogicは、独自技術であるPassLogic認証（マトリックス方式）を中心に、ハードウェアトークン、ソフトウェアトークン、クライアント証明書などの多様な認証方式に対応した認証プラットフォームです。
RADIUSやSAMLといった標準的な連携プロトコルをサポートし、容易に認証連携ができるほか、Windows端末に対するログインのセキュリティを強化することもできます。

1.3. マトリックス方式とは？

マトリックス方式は、ログイン時に表示される乱数表の“マス目の位置”と”パターン（選択する順番）”をパスワード生成のルールとし、ログインの毎に正解パスワードを生成するセキュアな認証方式です。
本方式のご説明はパスロジ社サイト上で公開しています。本URLはユーザーへの初期案内メール等でもご活用いただけます。

URL：https://passlogic.jp/pattern_staticpass

2. システム管理ガイド

2.1. 管理ツールへのアクセス

useradmin管理者用のアカウント情報の案内に従い、以下の管理ツールにウェブブラウザでアクセスします。
管理ツールのユーザーID入力欄に管理者権限のユーザーIDを入力し［次ページ］に進み、パスワードを入力しログインします。

2.2 管理者用パスワードの変更

管理ツール左側メニューの［パスワード変更］にて、管理ツールにログイン中の自身の管理者アカウントのパスワード（パターンと追加フレーズ）を変更できます。
※管理者ポリシー に設定したパスワードポリシーに則ったパスワードに変更することができます。

下図のオレンジ色のマスで示す「L字」のパターンを設定したい場合。

STEP1： 設定したい”位置”と”順番”に表示されている数字を入力	STEP2： 乱数表が変わります。再度、設定したい”位置”と”順番”に表示されている数字を入力	STEP3： 乱数表が変わります。最後にもう一度、設定したい”位置”と”順番”に表示されている数字を入力

※計3回の入力でパスワードが変更されます。

3. ユーザー管理ガイド

3.1. ユーザー新規作成

管理ツールからユーザーアカウントを手動登録する手順です。

【設定手順】
（ⅰ）管理ツール左側メニューの［ユーザー管理］→［新規作成］をクリック。
（ⅱ）各項目を入力し［次へ］をクリック。
（ⅲ）入力内容を確認し［登録］をクリック。

【項目解説】

【TOTP認証方式のポリシー固有の設定項目】

※ハードウェアトークンのユーザーへの利用案内は、PassLogicの案内通知機能ではなく、トークンの配布とともにトークンPINなどのログイン情報を記載した用紙の配布を想定しています。

【PassLogic Authenticator認証方式のポリシー固有の設定項目】

3.2. Cookie認証（端末固定）

ポリシー設定にて端末固定を有効にした場合、対象ポリシーのユーザーは1ユーザーにつき最大5台の端末（ブラウザ）を固定することができます。
1台目は初回ログイン認証が成功したときに自動的に端末固定が完了します。2台目以降の端末登録は下記の手順で追加してください。

※端末固定の有効期限は最後の認証成功から360日間です。有効期限は認証成功の都度、更新されます。
 

【端末登録手順】 （ⅰ）管理ツール左側メニューの［ユーザー管理］→［ユーザー一覧］から該当するuidリンクをクリック
（ⅱ）No.1～5いずれかの「発行」リンクをクリック
（ⅲ）メールアドレスと備考（任意の文字列・未入力可）を入力し［次へ］をクリック
※初期表示されるメールアドレスはユーザー情報に登録されているメールアドレスです。
（ⅳ）［発行］をクリック
（ⅴ）［通知書をメール］をクリックすると新規端末登録用メールが「ⅲ」で入力したメールアドレスに送信されます。
［通知書をプリントアウト］をクリックするとメール送信する内容を画面表示します。
※メールアドレスを登録しない場合は［通知書をメール］ボタンが表示されません。
（ⅵ）ユーザーが端末登録用URLをクリックして認証成功後に端末登録が完了します。

3.3. ユーザー一括登録、CSVダウンロード

ユーザー情報をCSV形式で一括入出力することができます。

【一括登録手順】 （ⅰ）管理ツール左側メニューの［ユーザー管理］→［ユーザー一括登録］をクリック
（ⅱ）［ファイルを選択］をクリックして取込みファイルを選択し［次へ］をクリック

（ⅲ）下記の設定および取込み内容を確認して［登録］をクリック

※一括登録処理を実行途中の場合、別の一括登録処理は実行できません。
※ロックアウト状態（locked=1）で更新されたユーザーのロックアウト時刻はCSV取込時刻に更新され、自動ロック解除までの残り時間がリセットされます。 /p

【CSVテンプレートファイルダウンロード手順】
（ⅰ）管理ツール左側メニューの［ユーザー管理］→［ユーザー一括登録］をクリック
（ⅱ）［テンプレートファイルをダウンロード］をクリック

【CSVダウンロード手順】
（ⅰ）管理ツール左側メニューの［ユーザー管理］→［ユーザー一括登録］をクリック
（ⅱ）［CSVファイルをダウンロード］をクリック

【CSVファイルフォーマット】

ダウンロードしたCSVファイルをMicrosoft Office Excelを使用して編集すると、データが破損してしまう場合があります。
編集する際は、テキストエディタやCSVファイル用エディタの使用を推奨します。

※1：ダブルクォートを入力するときは、ダブルクォート2つを入力することで1つのダブルクォートになります。
（例）テスト”01”ユーザー→”テスト””01””ユーザー”
※2：”random”の場合は、ポリシー設定の「ランダム発行時の長さ（ワンタイムパスワード）」の長さでランダム生成します。
※3：”random”の場合は、ポリシー設定の「ランダム発行時の長さ（追加フレーズ）」の長さでランダム生成します。
※4：パターンと追加フレーズのいずれも指定がない場合、新規登録ユーザーのパスワードは、ポリシー設定の「ランダム発行時の長さ（ワンタイムパスワード）」の長さで指定したパターンをランダム生成します。但し、「ランダム発行時の長さ（ワンタイムパスワード）」が0のポリシーでは新規登録ユーザーを作成できません。
※5：複数のユーザーグループ名を区切り文字コロン”:”を用いて連結した文字列をカラムに登録することで、1つのカラムでユーザーに複数のユーザーグループを設定することも可能です。

3.4. ユーザーによるパラメータ設定

ポリシー設定でパラメータ設定機能の利用を許可されている場合、ユーザーログイン後のメニュー画面にて、「設定（デフォルトの場合）」押下後の画面上で、許可したパラメータの値を変更できます。
本設定により、ユーザー自身でSSO用のユーザーIDやパスワードを登録する運用が可能になります。

【項目解説】

表示されている項目名のnameはポリシー設定にて、設定した名称になります。

3.5. ロックの解除方法

パスワード連続失敗回数に到達、または管理者によって強制的にロックアウトされたユーザーは、ユーザー一覧画面ロック項目の背景が赤くなり「ロック解除」と表示されます。
「ロック解除」の文字をクリックすることでロックアウト状態を解除できます。
また、管理ツールからパスワード再発行することでもロックアウト状態を解除できます。

3.6. ユーザーの無効化

ユーザーの無効化は、管理ツール左側メニューの［ユーザー管理］→［ユーザー一覧］から任意に行えます。

3.7. パスワード再発行

PassLogic認証ポリシーに属するユーザーがパスワードを忘れた場合、管理者がパスワードを再発行することができます。

【パスワード再発行手順】
（ⅰ）管理ツール左側メニューの［ユーザー管理］→［ユーザー一覧］をクリック
（ⅱ）対象ユーザーの「パスワード再発行」リンクをクリック
（ⅲ）各項目を入力し［次へ］をクリック
（ⅳ）入力内容を確認し［登録］をクリック
（ⅴ）［通知書をメール］をクリックするとパスワード再発行メールが「ⅲ」で入力したメールアドレスに送信されます。
［通知書をプリントアウト］をクリックするとメール送信する内容を画面表示します。
※メールアドレスを登録しない場合は［通知書をメール］ボタンが表示されません。
（ⅵ）ユーザーは再発行パスワードでログインすることができます。
※対象ユーザーの属するポリシー「初回パスワード変更を強制」が「Yes」に設定されている場合、再発行パスワードでログインしたときに、強制的にパスワード変更を要求されます。

【項目解説】

3.8. PassLogic Authenticatorリセット

PassLogic Authenticator認証ポリシーのユーザーがPassLogic Authenticatorアプリをリセット（再アクティベート）する場合は、管理者がPassLogic AuthenticatorアクティベートURLを発行します。

【PassLogic Authenticatorリセット手順】 （ⅰ）管理ツール左側メニューの［ユーザー管理］→［ユーザー一覧］をクリック
（ⅱ）対象ユーザーの「PassLogic Authenticatorリセット」リンクをクリック
（ⅲ）メールアドレスを入力し［次へ］をクリック
※ユーザー情報に登録されているメールアドレスが初期表示されます。
※ここで登録したメールアドレスがユーザー情報のメールアドレスとして上書き更新されます。
（ⅳ）入力内容を確認し［登録］をクリック
（ⅴ）［通知書をメール］をクリックするとPassLogic Authenticator再セットアップメールが「ⅲ」で入力したメールアドレスに送信されます。
［通知書をプリントアウ］をクリックするとメール送信する内容を画面表示します。
※メールアドレスを登録しない場合は［通知書をメール］ボタンが表示されません。
（ⅵ）ユーザーがPassLogic Authenticatorアプリをインストールした端末でアクティベートURLにアクセスすると、PassLogic AuthenticatorにPassLogicログイン用スロットが追加されます。

3.9. ユーザーデータ同期

3.9.1. Microsoft Entra ID同期

PassLogicとMicrosoft Entra ID（旧称 Azure Active Directory）のユーザーデータの同期を行います。
利用環境に応じて、いずれの方向からでも同期が可能です。

【PassLogicとMicrosoft Entra ID のユーザーの対応関係】
Microsoft Entra IDの”userPrincipalName ＝ {PassLogicのuid} @ {Microsoft Entra IDのカスタムドメイン名}”

※PassLogicのドメイン名とMicrosoft Entra IDのカスタムドメイン名の対応はPassLogicのadmin権限管理者によって設定されています。

【Microsoft Entra IDから取り込み実行手順】
Microsoft Entra ID からPassLogicへユーザーデータの取り込みを実行します。

（ⅰ）管理ツール左側メニューの［ユーザー管理］→［ユーザーデータ同期］をクリック。
（ⅱ）「Microsoft Entra IDから取り込み」リンクをクリック。

【 Microsoft Entra IDへ反映 実行手順】
PassLogicからMicrosoft Entra IDへユーザーデータの反映を実行します。

（ⅰ）管理ツール左側メニューの［ユーザー管理］→［ユーザーデータ同期］をクリック。
（ⅱ）「Microsoft Entra IDへ反映」リンクをクリック。

4. PKI設定

認証サーバ単体でプライベート認証局を提供します。
PKI認証機能が有効なポリシーのユーザーに適用されます。

4.1. クライアント証明書発行

ユーザーに対してクライアント証明書を発行します。
ユーザーに紐付かず共有可能なクライアント証明書と、ユーザーに紐付くクライアント証明書の2種類を発行できます。

※ルート証明書が未設定の場合は、先にルート証明書の設定を実施してください。

【共有証明書発行】
［共有証明書発行］ボタンを押すと、ユーザーに紐付かず共有可能なクライアント証明書を発行できます。
共有利用のクライアント証明書は、ユーザーIDとの紐付きをチェックせずにPKI認証できるため、複数名が共有する貸出端末などの利用に適しています。

※”uid/domain”は”common/common”という疑似名に設定されます。

【一括発行】
ユーザー一覧のチェックボックスにチェックを入れて一括発行ボタンを押すと、チェックされたユーザーに一括でクライアント証明書が発行されます。
識別名フォーマット：
・uid_domain：uidとdomainの間に_（アンダースコア）を挟んだ表記
・uid_domain_random：上記表記の末尾に_（アンダースコア）とランダム8文字（a-z、A-Z、1-9）を付加表記
メール通知：チェックを入れた場合、ユーザーにメールアドレスが登録されていれば、クライアント証明書発行後に自動的にクライアント証明書の発行メールを送信します。
発行完了後、『通知書をメール』または『通知書をプリントアウト』をクリックすることで、クライアント証明書の発行メールの送信や印刷画面の表示がされます。

【発行リンク】
ユーザー一覧の右端にある発行リンクをクリックすることで、ユーザーに対してクライアント証明書を発行することができます。
発行完了後、『通知書をメール』または『通知書をプリントアウト』をクリックすることで、クライアント証明書の発行メールの送信や印刷画面の表示がされます。また、『証明書のダウンロード』をクリックすることで、発行したクライアント証明書を”PKCS#12”フォーマットでダウンロードします。
※管理者アカウントでダウンロードした証明書には、インポート用のパスワードは設定されておりません。
※パスワードを設定する場合は、admin権限の管理者にて［設定］→［基本設定］→［全般設定］の「証明書管理者パスワード」を設定してください。

4.2. クライアント証明書管理

発行したクライアント証明書の管理を行います。
『失効』、『削除』、『通知書をメール』、『通知書をプリントアウト』、『証明書のダウンロード』と、証明書の詳細の確認を行います。
また、［証明書］のチェックボックスにチェックを入れて『一括失効』、『一括削除』、『一括ダウンロード』をすることも可能です。

【失効／一括失効】
クライアント証明書を失効すると、失効フラグが証明書DBに付与され、クライアントが証明書を提出してもPKI認証が通らなくなります。

※一度失効した証明書は使用可能に戻せません。

【削除／一括削除】
クライアント証明書を削除すると、証明書DBからクライアント証明書を削除します。クライアントが証明書を提出してもPKI認証が通らなくなります。

【証明書のダウンロード／一括ダウンロード】
クライアント証明書をダウンロードします。一括ダウンロードの場合は、証明書ファイルをまとめたzipファイルをダウンロードできます。ダウンロードした証明書には、インポート用のパスワードは設定されておりません。

※パスワードを設定する場合は、admin権限の管理者にて［設定］→［基本設定］→［全般設定］の「証明書管理者パスワード」を設定してください。

【有効期限】
クライアント証明書一覧の有効期限は、期限切れ1ヵ月前になると黄色、期限切れになると赤色に表示されます。

4.3. ユーザーによるクライアント証明書の取得

発行したクライアント証明書は、管理ツールにてダウンロードする以外にユーザー側でダウンロードすることができます。
ユーザー側でダウンロードする方法として、『ユーザー用のダウンロード画面』にアクセスしてダウンロードする方法と、クライアント証明書の自動発行機能でユーザー初回ログイン時に発行する『自動発行画面』からダウンロードする方法があります。

【ユーザー用ダウンロード画面】
クライアント証明書の発行メールや、プリントアウト用紙にダウンロード画面にアクセスするためのURLが表示されます。そのURLにアクセスし、ユーザーログイン画面と同様にログインをすると、ダウンロード画面に遷移します。ユーザーはダウンロード画面でインポート用のパスワードを入力することで、証明書をダウンロードできます。

【自動発行画面】
ポリシー設定でクライアント証明書の自動発行機能ONかつ、発行タイミングがユーザー初回ログイン時の場合、ユーザーが初回ログイン（もしくはクライアント証明書のダウンロードが完了していない場合）後に自動発行画面に遷移します。ユーザーは自動発行画面でクライアント証明書を発行・ダウンロードすることができます。

ユーザーが証明書をダウンロードした場合、その証明書にはインポート用のパスワードが設定されています。インポート用パスワードは、クライアント証明書の発行メールやプリントアウト用紙に記載されています。

4.4. クライアント証明書の登録／削除

クライアント証明書の登録方法
ダウンロードしたクライアント証明書を端末に登録する方法は、下記のWebページに掲載しています。
ユーザーにお知らせください。
https://passlogic.jp/register_cert/

クライアント証明書の削除方法
クライアント証明書を端末から削除する方法は、下記のWebページに掲載しています。
ユーザーにお知らせください。
https://passlogic.jp/delete_cert/

5. 注意事項

5.1. PassLogic Authenticator利用時の注意点

＜注意＞

□PassLogic Authenticator認証方式ポリシーを使用するユーザーについては、ユーザー作成時にポリシーでPassLogic Authenticator認証方式をご選択し、PassLogic Authenticatorアプリをご使用ください。

□PassLogic Authenticator Lアプリのダウンロード用URLは下記の通りです。
・iOS版PassLogic Authenticator
https://itunes.apple.com/jp/app/id1167322433?mt=8

・Android版PassLogic Authenticator
https://play.google.com/store/apps/details?id=com.passlogy.PassLogic Authenticator.local

□PassLogic AuthenticatorアプリのヘルプページURLは下記の通りです。初回利用開始の案内メール等でご活用ください。なお、同一の内容がアプリ内から閲覧可能です。
https://www.PassLogic Authenticator.com/ja/help_for_PassLogic Authenticator_l

□PassLogic Authenticatorアプリがインストールされている端末と、PassLogicがインストールされているサーバの時刻を合わせておく必要があります。時刻が違う場合、認証に失敗します。

□ポリシー設定画面にて運用中のポリシーの認証方式を変更する場合、あるいはユーザー設定画面でポリシーを認証方式の異なるものに変更する場合は、パスワードやPassLogic Authenticatorの再設定をお願いします。