許可 IP アドレス範囲を使用して Acrobat Sign へのユーザーアクセスを制限

信頼できる IP アドレス範囲のアカウントユーザーと統合のみを許可することで、Acrobat Sign にアクセスできるユーザーを制御します。

許可する IP 範囲により、管理者は Adobe Acrobat Sign へのアクセスを、信頼できるネットワークのみに制限できます。 既知の IP アドレスからのリクエストを許可し、その他すべてを拒否することで、不正アクセスを減らし、組織全体で一貫したセキュリティポリシーを適用できます。 この制御はユーザー認証の前に適用され、規制環境や重要な役割を保護するのに役立ちます。 この設定は、契約書の受信者に影響しません。

IP 許可リストを使用する理由

許可される IP 範囲は、Acrobat Sign の前でデフォルトで拒否するゲートとして動作します。 ユーザーまたは統合が web アプリケーションにログインしたり、API を呼び出したりできるのは、リクエストが許可リスト内の IP アドレスを出所とする場合のみです。

• ログインを既知の企業ネットワークに制限することで、不正アクセスを減らします。
• アカウント内のすべてのユーザーに対して一貫したアクセスポリシーを適用します。
• 階層型セキュリティを得るために、SSO および MFA と組み合わせます。 

作業を開始する前に

• ネットワークチームと協力して、必要な正確な IP 範囲を収集します。 CIDR 表記を使用します（例：203.0.113.0/24）。
• 自分自身をロックアウトしないように、まず、管理者ネットワークを追加することを計画します。
• リモート、緊急、またはパートナーアクセスを考慮し、必要に応じてそれらの範囲を含めます。
• サードパーティアプリケーション（Salesforce など）または Acrobat Sign モバイルアプリケーション（送信者の観点から）を使用する予定があるかどうかを把握します。

設定

利用対象：

• Acrobat Standard および Acrobat Pro：サポート対象外
• Acrobat Sign Solutions：サポート対象
• Acrobat Sign for Government：サポート対象外

アクセス範囲

• Web UI：許可リスト外の IP からのリクエストは、次のように拒否されます。「このコンピューターからは、ご使用のアカウントにアクセスすることはできません。 社内のサポート担当者に連絡してください。」
• API：「API を介してシステムにアクセスするためにこれらの IP アドレスを許可」設定がオンの場合にのみ許可されます。オフの場合、リストに含まれる IP からでも API 呼び出しは拒否されます。
• 認定アプリケーション：主な統合（例：Microsoft、Salesforce）はデフォルトで許可されています。
  • Acrobat Sign モバイルアプリケーションは認定アプリケーションの範囲に含まれ、Acrobat Sign サービスへのアクセスを許可または拒否する制御の影響を受けます。
    ユーザーとして Acrobat Sign に接続することのみが影響を受けることに注意してください。 受信者は影響を受けません。

設定範囲：

• 「許可する IP 範囲」は、アカウントレベルとグループレベルで設定できます。 
  • グループレベルの設定が適用される場合、ユーザーのアクセスはプライマリグループによって定義されます。
• 統合（Microsoft Dynamics、Salesforce など）はデフォルトで許可されています。

ブラウザーアクセス、API リクエスト、モバイルアプリケーションや統合などの API ベースのクライアントに IP 制限を適用するかどうかを決定する 3 つの設定があります。

1. 以下にリストされている IP アドレスからのみシステムへのアクセスを許可 - IP アドレスの制限を有効にし、許可リストの設定をロック解除します。
   • リストされている IP 範囲がない場合、ページ設定を保存すると、このオプションは自動的にクリアされ、この機能は無効になります。
   • このオプションを有効にしない場合、IP アドレスの制限は適用されないため、どの IP アドレスも、ユーザー認証を通じてアカウントへのアクセスを試みることができます。
   • 1 つ以上の IP アドレス範囲を定義すると、それらのアドレスから Acrobat Sign ユーザーインターフェイスにログインしようとする認証のみが許可されます。
2. これらの IP アドレスからのみ API 経由のシステムへのアクセスを許可 - リストされた IP 範囲から API アクセスを明示的に許可します。
   • このオプションには IP アドレス制限を有効にする必要があります。
   • 有効にすると、リストされた IP アドレスからの API 接続のみが接続を許可されます。
   • このオプションが有効でない場合、許可された IP アドレスからのリクエストであっても、API リクエストは拒否されます。
3. 認定パートナーアプリケーションの IP アドレスからの API アクセスを常に許可 - 認定アプリケーションに API IP 制限のバイパスを許可します。
   • このオプションには API アクセスを有効にする必要があります。
   • 有効にすると、Acrobat Sign モバイルアプリケーションを含む認定アプリケーションに IP 制限が適用されません。
   • 認定パートナーアプリケーションには、Salesforce や SharePoint などの Acrobat Sign 開発統合が含まれます。

ブラウザーアクセス、モバイルアプリケーション、統合全体で IP 制限を一貫して適用するには、API アクセスを有効にし、認定アプリケーションのバイパスを許可しないようにする必要があります。

許可する IP 範囲の設定方法

許可リストを設定する前に、ネットワークチームと協力して適切な CIDR IP 範囲を取得します。
まず、現在作業している IP 範囲を許可するようにしてください。

構成されたすべての IP 範囲が、コントロールの下のスクロールリスト内に設定されて表示されます。 「詳細オプション」アイコンから新しいページネーションオプションを選択しない限り、一度に表示される CIDR 表記は 2 つまでです。

許可される IP 範囲の管理：

ベストプラクティス

• 許可リストをデフォルトで拒否するポリシーとして扱います。つまり、既知の範囲のみを追加します。
• ポリシーによって許可されている場合は、重要な役割のための緊急用範囲を含めます。
• エンドユーザーへのデプロイメント後に変更を実装する場合は、事前に変更を伝えて、ブロックされた場合にアクセスをリクエストする方法をエンドユーザーに周知させます。
• API アクセスを制限する場合は、使用状況とセキュリティ要件に基づいて、認定アプリケーションが IP 制限をバイパスする必要があるかどうかを確認してください。

管理と維持

• ネットワークが変更された場合（新しいオフィス、VPN 変更、ISP またはクラウドエグレス）は、範囲を確認および更新します。
• 承認された範囲の文書化された信頼できるソースを保持します。
• 少数のユーザーでテストしてから、より広いオーディエンスに展開してください。
• ユーザーがブロックされた場合、現在のパブリック IP を確認し、正しい範囲を追加するか、制御を一時的にオフにし、修正後に再度有効にします。

影響と制限

• アクセスを IP アドレスで制限すると、リモートユーザーのネットワークや VPN エグレス範囲が含まれない限り、リモートユーザーのサポートは制限されます。
• この制御は web アプリケーションと API へのアクセスに影響します。
• 統合は、Acrobat Sign サポートを通じて明示的に別の設定をしない限り、デフォルトで許可されます。
• すべての外部アクセスをブロックするようにアカウントを設定することができます。 慎重に計画してテストしてください。