セルフサービス登録（Self Service Registration）

セルフサービス登録ポリシーは、パブリックサインアップフローを保護するオプションのレイヤーです。新しいアカウントが作成される前に、危険なソースからの登録しようとする試みをブロックできます。

仕組み

セルフサービス登録ポリシーは、ユーザープロファイルポリシーと連携します。ユーザーがSign-In Widgetでサインアップ（Sign Up）をクリックすると、セルフサービス登録ポリシーが最初に実行され、IP、ASN、国、プロキシ、または使い捨てメールドメインに関するのルールに基づいて不審な試みを拒否できます。リクエストがブロックされない場合は、ユーザープロファイルポリシーが引き継ぎ、メール検証、プロファイル属性、登録インターフェイスなどを処理します。

orgの各ユーザープロファイルポリシーは、リンクされた独自のセルフサービス登録ポリシーとペアになっており、そのペアではすべてがデフォルトで許可されます。つまり、セルフサービス登録ポリシーに独自のルールを追加しない限り、既存の動作は変更されません。

評価できる内容

セルフサービス登録ポリシーごとに10個のルールを追加できます。各ルールは、次の2つの基準に基づいて登録を許可または拒否できます。

使い捨てのメールドメイン: これらのドメインは、いったん使用してから破棄でき、継続的なメールIDを実際に持っていないユーザーでも登録できるようにするものです。これらは即座に作成できる無料ドメインで、作成者の痕跡を残さないため、不正なセルフサービス登録を大規模に実行する攻撃者がよく使うツールです。使い捨てアドレスと自動化を組み合わせることで、本物の受信ボックスであれば課される摩擦や継続的な管理を回避して、1人の攻撃者が多くのアカウントをサインアップできます。これらのドメインへの登録を拒否すると、不正な登録の大部分が削除されます。
ユーザーのIPアドレス: リスクの高いIPアドレスは、不正利用と関連するネットワーク上の場所で、特定のIP、ASN、国、または匿名化プロキシーです。フラグが立てられたインフラストラクチャーまたはプロキシーネットワークを経由する攻撃者は、自分の発信元を隠して、同じ不審なソースから繰り返し大量登録することが可能です。セルフサービス登録ポリシーのネットワークゾーン条件は、グローバルセッションポリシーやアプリのサインインポリシーで認証を許可または拒否するのと同じロジックを使用します。

可用性

この機能は、Identity Threat Protection（ITP）を通じて提供されます。orgにITPライセンスがない場合、ユーザープロファイルポリシーを使用してサインアップ（Sign Up）リンクの表示/非表示を切り替えることはできますが、登録ルールを追加することはできません。

orgにITPライセンスがあり、この機能を無効にすると、セルフサービス登録ポリシーがユーザープロファイルポリシーから削除されます。元の構成が復元されます。