統合ログイン

security365 統合ログイン

初回ログイン時に統合ログインUIが表示されます。
統合ログインユーザーでない場合、初回ログイン時に統合ログインUIを閉じるとDocument SecurityログインUIが表示されます。

SHIELD ID ログイン画面は DS365.Core.json 設定で以下のように適用可能です。

DS_MIP_INIT項目設定

"mode" 指定は "webView" または "msedgeApp" に指定します。
ログインタイプ「webView」、「msedgeApp」で使用するオプションは、該当するキー値の項目を設定します。

"title" の指定は、統合ログイン UI に表示される文字列を指定します。一般的には Security365 と表示されますが、カスタマイズを通じて統合ログイン CI およびタイトルを変更する場合は、該当ファイルも同様に適用する必要があります。

//DS365.Core.json 설정 예제
{
  "login": {
    "port": "28080",
    "waitMinTime": "0",
    "mode": "msedgeApp",
    "title": "Security365,SOFTCAMP,Shieldrm,Login",
    "webView": {
      "idPwEveryTime": "none",
      "topMost": "none"
    },
    "msedgeApp": {
      "fullScreen": "none",
      "idPwEveryTime": "none",
      "topMost": "none"
    }
  }
}

ユーザー画面	内容	備考
	ウィンドウモード	login.mode : "msedgeApp"
	全画面モード主モニターの全画面で発現	login.mode : "msedgeApp", "login.fullScreen" : "use"

security365 アカウント連携

SHIELD ID ログイン時に該当アカウントに登録された文書セキュリティアカウント（SCIサーバー）情報がない場合、以下のようにアカウント接続が進行されます。
各案内画面は3分タイムアウトこれが適用され、3分間その案内ウィンドウを閉じない場合、自動的に閉じて次のステップに移動します。

ユーザー画面	内容	備考
	統合ログイン (SHIELD ID)	microsoft id/pw 認証
	統合ログインを進めた後、ログインが完了したSHIELD IDに連携されたsciアカウントがない場合、案内ウィンドウを表示	接続された情報がない場合、SHIELD ID 認証に成功した ID の下の項目を試行します。 1. 全体アカウント情報で sci サーバーにユーザーをチェック 2. ドメイン情報を削除した後、sci サーバーにユーザーをチェック
	文書セキュリティログイン手順に従う	文書セキュリティログインが進行中で、自動ログイン/SSO がない場合、文書セキュリティログイン画面が表示され、文書セキュリティログイン完了後、以下の画面に移動します。
	SHIELD ID と文書セキュリティ認証に成功したアカウント情報出力および接続案内画面	ログインが完了した後に文書セキュリティアカウントと既に発行されたトークンの SHIELD ID を比較して異なる場合、既存のトークンを削除し、SHIELD ID に連携されたアカウントを現在ログインしている文書セキュリティアカウントとして登録する際に発生する可能性 e.g. 会議室のように一台の機器に複数のユーザーがログインする場合
	SHIELD IDにsciユーザー登録完了案内画面

SHIELD ID 統合ログインページカスタマイズ

サイト用画面を設定するためには、idpサービスで関連ポリシーの設定が必要です。
- 参考| ⚠️ この資料はアクセスに制限がある資料であることをお知らせします。
DS_MIP_INIT ポリシーの中で extra ポリシーの値設定が必要です
ポリシーの例

{
  "s365_url": "https://devlogin.softcamp.co.kr/",
  "s365_app_id": "4e3b53b2-a18c-4d78-8de1-b9fcada4077c",
  "s365_app_name": "shieldrm-svc",
  "s365_app_secret": "JyktLCInJ------------------------JycsJyQ",
  "s365_log_url": "https://log.security365.com/log/event",
  "shieldrm_url": "https://ssevtr.softcamp.co.kr/",
  "extra": "3CJ55MSE-xLO7Sxt4-qUBKzbcs-XP2cgGEq",
  "tid" : "4d615af9-1d04-4bcc-8e6f-c6b6fe3110dd",
  "runMode": "s365"
}

統合ログイン画面ポップアップ On/Off 設定

備考

統合ログイン画面ポップアップを環境設定またはカスタムポリシーでOn/Offできる機能を説明します。

概要

統合ログイン画面ポップアップを環境設定またはカスタムポリシーで on/off できる機能です。

説明

'SHIELD DRM 未使用' の有無はユーザーが直接選択できる項目であり、デフォルト値は0です。\
DS_SDSENV_NOT_USE_SHIELD_DRM政策は管理者が中央でこのオプションを制御するために使用する政策です。
該当のポリシーを使用すると、環境設定画面の 'SHIELD DRM未使用' チェックボックスは無効化され、ユーザーはそのオプションを変更できません。
チェックの有無は管理者が設定したポリシー値に従って強制的に適用され、ユーザー設定は無視されます。\

ID	DS_SDSENV_NOT_USE_SHIELD_DRM
TYPE	Check On/Off
説明	SHIELD DRM 使用有無 (1: 使用しない, 0: 使用する)
ポリシー値	1 (または Check)
scsc	DS_SDSENV_NOT_USE_SHIELD_DRM.scsc

適用方法

モジュールパッチ
カスタムポリシーの設定とポリシーの取得

制約事項

Shield Drm 使用ポリシー値を未使用ポリシー値に変更する場合、システム再起動が行われ、関連モジュールが正常に終了して機能がオフになります。
未使用から使用に変更する場合でも再起動なしで動作が可能ですが、できるだけ再起動を推奨します。
環境設定で該当値を変更する際、システム再起動が必要であるというユーザー案内文が表示されます。

SHIELD ID ユーザーアカウントの無効化時に DS6 認証をブロックし、ログアウト

備考

SHIELD ID のユーザーアカウントが無効化されている場合、DS6 クライアントで SHIELD ID 認証に失敗し、この時既存の SCI サーバー認証もブロック（ログイン失敗処理）する機能です。

概要

SHIELD IDでユーザーアカウントが無効化されると、DS6クライアントで該当ユーザーの認証をブロックし、通知メッセージを表示した後、文書セキュリティのログアウト処理を行う機能です。

説明

security365 ユーザー非アクティブ化
無効化されたユーザーは、次の2つの状況でブロック動作が発生します。
- 文書セキュリティログイン状態
  - ztcap ポリシーで評価される動作によって ( Ex 右クリック MIP で文書変換、MIP->Drm文書変換など) 無効化されたユーザーとして応答を受け取った場合、通知メッセージウィンドウが表示され、文書セキュリティのログアウト状態になります。
- 文書セキュリティ未ログイン状態
  - DS_MIP_INIT ポリシーの Runmode sso を使用する場合に限り、s365 認証を受ける前にユーザー ShieldID で照会し、非アクティブなユーザーの場合はログイン直後に通知メッセージウィンドウが表示され、再びログアウト状態になります。
  - ssoではない他のRunmodeポリシー値の場合、現在サポートされていません（理由については以下の制約事項を参照してください）。

適用方法

モジュールパッチ

制約事項

DS_MIP_INIT ポリシーの Runmode sso ではない他の Runmode 使用時 ( s365, appauth, aad, ds ) 以下の理由により無効化された ShieldID ユーザーのログインブロックおよびログイン後すぐにログアウト機能は動作しません。
- s365, dsの場合、統合ログインウィンドウを使用してs365認証を行うため、ユーザーのshieldIDがブラウザおよびsecuriy365 front側で認証が動作するため、DS 6.0クライアントの観点からShieldIDを取得する方法がありません。( ShieldIDがない場合、非アクティブ状態の確認ができません )
- appauthの場合、個別ユーザーのshieldIdベースではなく、sheildrm svcアプリベースで動作するため、機能が無意味です。
- aadの場合、現在はテナントIDで認証後、トークンからshieldIDを取得できますが、現在の構造では未サポートです。
MIP解除の場合、既存のztcapで解除の有無を判断するロジックが存在しないため、現在の構造ではこの機能が適用されません。

通知メッセージ

ユーザーが無効化される場合、以下の通知メッセージとともに文書セキュリティのログアウト処理が行われます。

PKCE 認証 (パブリッククライアントログイン)

備考

要約: ポリシーにアプリシークレット(s365_app_id)がない場合、自動的にPKCE（ブラウザ）ログインとして動作します。発行されたトークンはPC資格情報マネージャーに安全に保管され、期限前にはオフラインでも使用され、期限切れ時には自動的に更新されます。

概要

DS6のSecurity365ログインは、配布環境に応じてPKCE(パブリッククライアント)方式自動的に動作するようにサポートする機能です。

アプリシークレット（資格証明）を配布できない環境でもブラウザログインのみでユーザー認証を完了し、その後文書セキュリティ等級の指定・MIP保護などSecurity365機能を使用できます。

ユーザーは認証方式を直接選択しません。**管理者ポリシー設定値によって自動的に方式が決定されます。**なり、認証後には保存されたトークンが有効な間、再ログインなしで機能を使用します。

この機能が必要な理由

既存の Confidential 方式はアプリシークレット(s365_app_id)このポリシーに配布されている必要があります。シークレットを配布するのが難しいパブリッククライアント環境では、ログイン自体が不可能でした。
また、認証情報がない状態でMIP変換（ランク変更・保護）を試みると、ログインウィンドウが表示されず、作業が進まない事例がありました。
この機能はPKCE標準（パブリッククライアント）ログインを追加し、未認証状態の変換リクエストで再認証ウィンドウが正常に表示されるように整備しました。

動作方式

ポリシーのアプリシークレット(s365_app_id) 有無でPKCE / Confidential を自動分岐して、PKCEではブラウザログインでユーザートークンを発行し、資格情報マネージャーに保管し、期限切れ時には自動更新または再ログインにつながります。

適用範囲 / 入口点

エントリーポイント	動作
Security365 機能初回使用	ブラウザログインウィンドウ出力 → トークン発行
ファイルを右クリック → セキュリティレベルの変更	保存トークンの使用、必要に応じて再認証（オンライン確認後）
ファイルを右クリック → MIP 保護/解除	保存トークンの使用、必要に応じて再認証
文書セキュリティ(DS) 未ログイン状態	MIP 右クリックメニュー自体が表示されない — 制約事項を参照してください

トークンの寿命と再認証

DS6 は二種類のトークンを使用します。ユーザートークンは作業の実行に、リフレッシュトークンはアクセストークンの再発行に使われます。

状況	動作	ユーザー介入
R1. アクセストークンの有効期限	リフレッシュトークンでサーバーに静かに自動再発行（オンライン必要）	なし (ログインウィンドウ未出力)
R2. リフレッシュトークンの期限切れ・無効	作業中の場合はブラウザのログインウィンドウを自動再出力、バックグラウンドの場合は実行時点で再認証	再ログイン
R3. テナント(会社)の変更	保存トークン廃棄後再ログイン要求 (クロステナント悪用防止)	再ログイン
R4. アカウント非活性 (`User is not enabled`)	ログイン画面を繰り返し表示せずに即座に失敗	管理者にアカウントの有効化をリクエスト

ポリシー / 設定

設定項目	位置	値 / 説明	必須
`s365_app_id` `s365_app_secret`	サーバーポリシー`DS_MIP_INIT`	空にすると PKCE、埋めると Confidential	方式決定
`s365_pkce_appid`	サーバーポリシー`DS_MIP_INIT`	PKCE クライアント ID (最優先)	推奨
`login.pkce-clientId`	`DS365.Core.json`	PKCE 基本クライアント ID.`s365_pkce_appid`未設定時に使用。再配布なしで環境ごとに置き換え可能	`s365_pkce_appid`未使用時必須

警告

注意:s365_pkce_appid(サーバーポリシー)とlogin.pkce-clientId(設定ファイル)がすべて空の場合、内蔵のデフォルト値がないためログインできません。どちらか一方は必ず設定する必要があります。

設定ファイルの例 (DS365.Core.json):

{
  "login": {
    "pkce-clientId": "9586b6e7-7f17-4d18-871b-051705bd5eb6",
    "title": "SOFTCAMP,Security365"
  }
}

動作シナリオ

状況	結果
初回使用 (オンライン)	ブラウザログイン → トークン発行・保存
保存トークン有効	通信なしで即使用 (オフラインを含む)
アクセストークンの有効期限切れ (オンライン)	自動更新, ウィンドウ未出力
アクセストークンの有効期限切れ (オフライン)	更新不可 → オンライン必要
リフレッシュトークンの有効期限切れ (オンライン)	ブラウザ再ログイン
DS ミログイン / オフライン状態の再認証が必要	ネットワークエラーのお知らせ、ウィンドウ未出力
アカウント無効	即時失敗、管理者の対応が必要です

制約事項

#	制約	詳細
C1	初回使用・トークン更新時にオンラインが必要	ブラウザログイン·自動更新にサーバー通信が必要
C2	有効なトークンを保持している場合、オフラインで使用可能です	保存トークンの有効期限前にはオフライン動作
C3	リフレッシュトークンの期限切れ時に再ログイン	自動更新不可 → ブラウザ再認証
C4	テナント変更時の再ログイン	会社不一致時の保存トークン廃棄
C5	アカウント非活性時の管理者の措置	再認証ウィンドウ未出力、アカウントの活性化が必要
C6	DS ログイン前提	MIP変換メニューは文書セキュリティログイン状態でのみ表示されます
C7	`login.title`設定が必要 (運用)	未設定時のログインウィンドウ未終了・約10秒後にキャンセル
C8	`shieldrm-svc`サーバー登録が必要です	未登録時のグレード照会·MIPブロック
C9	PKCE クライアント ID 最低 1 か所設定必須	`s365_pkce_appid`または`login.pkce-clientId`一つ以上、なければログイン不可

Googleアカウント統合ログインおよびDSアカウント連携サポート

備考

**要約:**統合ログインユーザー確認が特定のアカウント種類に束縛されないように改善しました。GoogleアカウントでログインしてもDSアカウント連携が登録され、連携登録以降のログインからDS自動ログイン(SSO)が動作します。

概要

DS6(Document Security 365) の Security365(ShieldRM) 統合ログインで Microsoft Azure アカウント以外のログイン手段 (Google など) でもユーザー確認と DS アカウント連携が正常に動作するようにサポートする機能です。

従来は統合ログインユーザーを確認する際にAzureアカウントのみを読み取るようになっていたため、Googleアカウントでログインするとユーザー情報が空の状態になり、文書セキュリティ（DS）アカウントとの連携が登録されていませんでした。その結果、統合ログインに成功してもDS自動ログイン（SSO）が成立しませんでした。

この機能は、ログインに使用したアカウントの種類をサーバーが知らせる値そのままに従う方式に変更し、Google・Azure・LDAPおよび今後追加されるログイン手段をモジュール修正なしでサポートします。

この機能が必要な理由

Googleアカウントで統合ログインしたユーザーに次の症状がありました。

統合ログイン自体は成功しますが、SHIELD管理画面のSCIアカウント接続リストにユーザーが登録されません。
DS 自動ログイン(SSO)が毎回失敗し、ログインするたびにDSアカウント入力ウィンドウが表示される
統合ログ（監査ログ）送信が認証失敗で拒否される事例
Azure アカウントでないために発生する正常な状況がログにエラーとして記録され、障害分析を妨げる

原因はユーザー確認ロジックがAzureアカウント欄のみを読み取るように固定されていたことです。Googleログイン時にその欄が空であるため、ユーザー識別子が空白になり、その後のサーバーリクエストがすべて空のユーザーとして送信され、連携登録が行われませんでした。

動作方式 (1行メカニズム)

統合ログインサーバーが発行する認証情報には、どの手段でログインしたのかを知らせる値が含まれています。この値を基準にして該当アカウントの欄を探して読み取るため、アカウントの種類別の例外処理なしに同じ手順で動作します。

適用範囲 / 入口点

エントリーポイント	動作
Security365 統合ログイン (ブラウザ)	ログイン手段に関係なくユーザー確認・資格情報保存
統合ログイン後 DS 自動ログイン(SSO)	DSアカウント連携が登録されている場合は自動ログイン
SHIELD サーバー	DSアカウント連携登録 — 初回ログイン時自動登録
統合ログ（監査ログ）送信	ログイン手段に関係なくユーザー識別子の記録

警告

MIP ドキュメント保護機能は Google アカウントでは提供されていません — 制約事項 C1 を参照してください

初回ログインとその後のログインの違い

備考

初回ログインでDSアカウント入力欄が表示されるのは正常な動作です。障害と誤解されやすい部分ですので、別途ご案内いたします。

[初回ログイン]
ブラウザ統合ログイン → SHIELD ID確認 → DSアカウント連携情報なし
  → DSログイン画面表示（ユーザーがDSアカウントを入力）
  → SHIELDサーバーに「SHIELD ID - DSアカウント」連携登録

[連携登録後のログイン]
ブラウザ統合ログイン → SHIELD ID確認 → DSアカウント連携情報あり
  → DS自動ログイン（SSO成立、入力画面なし）

連携はアカウントごとに1回のみ必要です。登録後は再インストール・再起動に関係なく自動ログインが維持されます。

また、統合ログインサーバーは有効期限が残っている認証情報を再利用する場合があり、連携後にもDSアカウント情報が欠落した認証情報が降りてくることがあります。この場合、既存の連携情報を削除せずに保持するように処理されています。

ポリシー / 設定

設定項目	位置	値 / 説明	必須
s365_log_url	サーバーポリシー DS_MIP_INIT	統合ログ（監査ログ）収集サーバーアドレス	非運用テナント必須

警告

s365_log_url が空の場合、運用ログサーバーのアドレスがデフォルトで使用されます。開発・検証テナントでこのパスをたどると、運用サーバーが認証を拒否し、ログ送信が401で失敗します。運用でないテナントは必ずこのポリシーを設定する必要があります。

動作シナリオ要約表

状況	結果
Googleアカウントで初回統合ログイン	ユーザー確認成功 → DSログイン画面表示 → 連携登録
Googleアカウントで連携後再ログイン	DS 自動ログイン(SSO) 成立、入力欄なし
Azure アカウントにログイン	既存と同様に動作 (回帰なし)
LDAP アカウントログイン	同じ手順で動作
認証情報にDSアカウント情報がありません	エラーではありません。既存の連携情報を保持します。
ユーザー識別子の確認に失敗しました	資格情報未保存 + ログに理由記録
appAuth モード (統合ログイン未使用)	既存と同様に動作 (回帰なし)
Google アカウントで MIP ドキュメントの保護を試みる	未提供 — 制約事項 C1

制約事項

#	制約	詳細
C1	Google アカウントは MIP ドキュメント保護を提供していません	MIPはMicrosoft Azureテナントベースの機能であり、Azureアカウント以外のログインでは提供されません。本機能では、ログイン時点の不要なMIP認証要求のみをブロックします。メニュー・画面でMIP機能を隠す処理は含まれておらず、別途課題です。
C2	初回ログイン1回はDSアカウントの入力が必要です	連携登録前のため、自動ログイン対象はありません。アカウントごとに1回です。
C3	非運用テナントはログサーバーポリシーの設定が必要です	未設定の場合、運用ログサーバーに送信され、401失敗
C4	ログイン手段の確認はサーバーの応答に依存します。	サーバーはログイン手段とアカウント欄を埋める必要があります。旧バージョンのサーバー応答に対する代替ルールが用意されています。

統合ログイン

security365 統合ログイン

DS_MIP_INIT項目設定

security365 アカウント連携

SHIELD ID 統合ログインページカスタマイズ

統合ログイン画面ポップアップ On/Off 設定

概要

説明

関連カスタムポリシー

適用方法

制約事項

SHIELD ID ユーザーアカウントの無効化時に DS6 認証をブロックし、ログアウト

概要

説明

適用方法

制約事項

通知メッセージ

関連カスタムポリシー

PKCE 認証 (パブリッククライアントログイン)

概要

この機能が必要な理由

動作方式

適用範囲 / 入口点

トークンの寿命と再認証

ポリシー / 設定

動作シナリオ

制約事項

Googleアカウント統合ログインおよびDSアカウント連携サポート

概要

この機能が必要な理由

動作方式 (1行メカニズム)

適用範囲 / 入口点

初回ログインとその後のログインの違い

ポリシー / 設定

動作シナリオ要約表

制約事項

security365 統合ログイン​

DS_MIP_INIT項目設定​

security365 アカウント連携​

SHIELD ID 統合ログインページカスタマイズ​

統合ログイン画面ポップアップ On/Off 設定​

概要​

説明​

関連カスタムポリシー​

適用方法​

制約事項​

SHIELD ID ユーザーアカウントの無効化時に DS6 認証をブロックし、ログアウト​

概要​

説明​

適用方法​

制約事項​

通知メッセージ​

関連カスタムポリシー​

PKCE 認証 (パブリック クライアント ログイン)​

概要​

この機能が必要な理由​

動作方式​

適用範囲 / 入口点​

トークンの寿命と再認証​

ポリシー / 設定​

動作シナリオ​

制約事項​

Googleアカウント統合ログインおよびDSアカウント連携サポート​

概要​

この機能が必要な理由​

動作方式 (1行メカニズム)​

適用範囲 / 入口点​

初回ログインとその後のログインの違い​

ポリシー / 設定​

動作シナリオ要約表​

制約事項​

security365 統合ログイン

DS_MIP_INIT項目設定

security365 アカウント連携

SHIELD ID 統合ログインページカスタマイズ

統合ログイン画面ポップアップ On/Off 設定

概要

説明

関連カスタムポリシー

適用方法

制約事項

SHIELD ID ユーザーアカウントの無効化時に DS6 認証をブロックし、ログアウト

概要

説明

適用方法

制約事項

通知メッセージ

関連カスタムポリシー

PKCE 認証 (パブリッククライアントログイン)

概要

この機能が必要な理由

動作方式

適用範囲 / 入口点

トークンの寿命と再認証

ポリシー / 設定

動作シナリオ

制約事項

Googleアカウント統合ログインおよびDSアカウント連携サポート

概要

この機能が必要な理由

動作方式 (1行メカニズム)

適用範囲 / 入口点

初回ログインとその後のログインの違い

ポリシー / 設定

動作シナリオ要約表

制約事項