ポリシータイプ

Access Gatewayは、次のポリシータイプをサポートします。

  • 保護対象ポリシー：このポリシーでは、関連するリソースにアクセスするために有効なセッション（認証済みユーザー）が必要です。
  • 保護対象外ポリシー：このポリシーでは、すべてのユーザーが関連するリソースにアクセスできます。
  • 保護対象ルールポリシー：このポリシーでは、有効なセッションと、誰がリソースにアクセスできるかを決定する式が必要です。
  • アダプティブポリシー：このポリシーでは、保護対象外ポリシーを拡張しますが、基盤となるアプリにヘッダー情報を渡します。
  • カスタムポリシー：このポリシーでは、保護対象ルールポリシーを拡張しますが、URIとしての正規表現の入力はサポートされます。

保護対象ポリシー

保護対象ポリシーは、ユーザーのアクセスを許可する前に、有効なAccess Gatewayアプリセッションが存在することを強制します。より排他的なポリシーによって特に指定されない限り、すべてのアプリリソースはこのポリシーの対象となります。

保護対象外ポリシー

保護対象外ポリシーは、有効なAccess Gatewayアプリセッションが存在することを強制しません。通常、このポリシータイプは、ユーザー識別を必要としない匿名ページや、一般消費者向けに信頼されているページのために予約されています。

保護対象ルールポリシー

保護対象ルールポリシーは、保護対象ポリシーの動作を拡張し、特定のリソースのアクセスルール（許可または拒否）を狭く定義することを可能にします。このポリシータイプは、アプリの属性（Attributes）メニューで定義した属性を評価します。通常、これらの属性はユーザーのOkta orgから取得されます。そのため、どのユーザープロファイルデータを使用すべきかを理解することが重要です。

ルールは、Perl互換の正規表現ガイド（PCRE）ベースの正規表現です。保護対象ルールのリソース一致ルール式を参照してください。定義が保護されている一致ルール式について説明しています。ルールの例と関連する式については、Access Gatewayポリシーの例をご覧ください。

アダプティブポリシー

アダプティブポリシーは保護対象外ポリシーの動作を拡張しますが、すべてのヘッダーを基盤となるアプリに提供します。

カスタムポリシー

カスタムポリシーを使用すると、リソースパス（Resource Path）のURIに正規表現を入力できます。

カスタムポリシーは、ポリシーラベルを除いて、テンプレートからのディレクティブを使用しません。失敗を回避するために、必要なディレクティブは必ず設定してください。

カスタムポリシーを使用する場合は、アプリヘッダーを詳細（Advanced） > カスタム構成（Custom configuration）メニューで見つけることができます。

リソースパスに正規表現を使用する

モジュールngx_http_core_moduleにリストされている修飾子を使用できます。

カスタムポリシーにアップストリームIDを使用する

  1. Access Gateway管理者UIコンソールにサインインします。
  2. ドロップダウンメニューのアプリケーション（Applications）からアプリケーション（Applications）を選択します。
  3. カスタムポリシーを追加するAccess Gatewayアプリを選択します。
  4. 一般（General）タブを選択します。
  5. SAMLの設定（SAML Settings）セクションまでスクロールします。
  6. SAML発行者ID（SAML Issuer ID）を見つけて、次の<upstream_id>プレースホルダーの位置にある文字列をコピーします：

    https://<IDP_domain>/<upstream_id>

  7. このコードの例では、<upstream>プレースホルダーをSAML発行者ID（SAML Issuer ID）フィールドの値に置き換えています。<protected resource>プレースホルダーを保護されたWebリソースのホスト名に置き換えます： 
    set $policy_type "<PROTECTED/ADAPTIVE/NO_AUTH>";
# process request policies
access_by_lua_file conf/authSession.lua;
# the app you're protecting
proxy_pass http(s)://<upstream>$request_uri;
# common managed directives
include /etc/nginx/conf/icsgw_location_common.conf;
# This sends the host header to the protected resource
proxy_set_header host <protected resource>;

関連項目

アクセスポリシー

アプリケーションポリシーの優先順位