管理パネルの [セキュリティ] ページでは、組織のニーズに合わせて Lucid のセキュリティ設定をカスタマイズできます。

一部のセキュリティ機能は、エンタープライズアカウントでのみ使用できます。エンタープライズアカウントにアップグレードするには、「Lucid アカウントのアップグレード」の記事を参照してください。

セキュリティページへのアクセス

[セキュリティ] ページに移動するには以下の手順に従います。

[管理者] を選択します。
左側のメニューで [セキュリティ] をクリックします。

ドメイン管理の有効化

ドメイン管理はエンタープライズアカウント専用の機能であり、ドメイン上のユーザーのセキュリティ設定を管理したり、組織全体のセキュリティ基準を設定したりできます。Lucid アカウントでドメイン管理を有効にすると、ユーザーは管理対象ドメインで不正なチームを作成できなくなります。

ドメインコントロールを有効にすると、Lucid アカウントへの新規登録を試みたユーザーに対し、エンタープライズアカウントがすでに存在する旨が通知され、そのユーザーは ID 認証のためリダイレクトされます。ユーザーの ID 認証が完了すると、ユーザーは組織の Lucid アカウントに追加されます。

ユーザーの ID を確認するために選択する方法は、アカウントに設定されたデフォルトのユーザーサインイン認証方法と一致する必要があります。

以下のいずれかの方法でユーザーの ID を確認します。

確認メール : ユーザーは確認リンクが記載されたメールを受信します。
SAML 認証 : ユーザーは組織の SAML インスタンスにリダイレクトされます。
Google SSO 認証 : ユーザーは Google SSO 経由での認証へリダイレクトされます。
Office 365 SSO 認証 : ユーザーは Office 365 認証情報を使用した認証へリダイレクトされます。
カスタム認証 URL へリダイレクト: ユーザーは認証 URL 経由で別の SSO プロバイダーにリダイレクトされます。

注意 : ドメイン管理のセキュリティ要件に従い、設定のリクエストに際してはアカウントマネージャー、カスタマーサクセスマネージャー、またはセールス担当に問い合わせる必要があります。

ドメインの確認

ドメインは、統合およびドメイン管理の2つの目的で確認されます。

ドメインの確認は、単一のアカウントで管理できるようにドメインをロックダウンしたり、それらのドメイン上のユーザーを統合したりする前に、特定のドメインの所有権を確認するプロセスです。セキュリティとデータのプライバシーを確保するため、Lucid は特定の手順に従って、特定のドメインの統合または管理を要求しているアカウントがそのドメインを所有していることを確認する義務があります。

以下の両方に当てはまる場合は、ドメインを確認する必要があります。

統合または管理されるドメインがアカウント所有者のドメイン (アカウントのメールアドレスを参照) と異なる。
統合または管理されるアカウントと同じドメインを持つアカウントにユーザーがいない。

ドメインの確認方法

Lucid では、ドメインを確認する方法が3つあります。

ホスティング検証
DNS レコードの検証
メールアドレスの検証

エンタープライズアカウントのドメイン確認をリクエストするには、アカウントマネージャー、カスタマーサクセスマネージャー、またはセールス担当者にお問い合わせいただき、以下の情報をお伝えください。

確認するドメイン。
これらのドメインの Web 管理者のメールアドレスと名前 (ホスティングまたは DNS レコード検証でドメインを確認する場合)。
Lucid 管理者のメールアドレスと名前。

ドメイン管理アカウントへの招待

check-box-to-enable-or-disable-document-invitation-previews.png

同じドメインのユーザーが Lucid アカウントを作成したときに、チームへの参加リクエストをメールで送信できるかどうかを決定します。このチェックボックスをオフにすると、参加リクエストは受信されなくなり、同じドメインの次に大きなアカウントがリクエストを受信します。

チームのユーザーが他のチームアカウントへの招待の受諾によりチームを離れられるかどうかを決定します。ユーザーが管理者からの明示的なアクションなしでチームを離れられるようにする設定はデフォルトでオフに設定されています。このオプションを選択すると、ユーザーは他のチームからの明示的な招待を受諾できるようになります。

注意: ユーザーが招待によってチームを離れる場合、デフォルトでは文書がそのユーザーと一緒に移動します。ただし、チームフォルダー内にある文書については、ユーザーと一緒に転送されません。

管理者以外のユーザーにチームへの新規ユーザーの招待を許可

ここでは、アカウントの管理者以外のユーザーが新しいユーザーをアカウントに参加するよう招待する機能を指定できます。

次のようなオプションがあります。

制限はなく、すべてのユーザーが新しいユーザーを招待できます。
すべてのユーザーは、同じ (または承認された) ドメインを持つ他のユーザーを招待できます。
すべてのユーザーは、ここに記載されたドメインから新しいユーザーを招待できます。
完全にロックダウン。アカウント所有者とチーム管理者のみが新しいユーザーを招待できます。

認証サインオン方式

左側のメニューの [セキュリティ] ドロップダウンから [認証] を選択して、ユーザーのサインオンとパスワードの設定にアクセスします。

Lucid で現在サポートされているサインオン方法は以下のとおりです。

メールアドレスとパスワード
Google SSO
Office 365 SSO
Slack
SAML (エンタープライズのみ)

注意 : Lucid ユーザーは、Google または Microsoft の SSO ログインを介して多要素認証 (MFA) を設定できます。エンタープライズアカウントでは、ID 管理プロバイダー (IDP) 経由で多要素認証を設定できます。

ユーザーのサインイン

ログイン方法の有効化や無効化は、それぞれのログイン方法の横のボックスのチェックを入れるか外して行います。

user-sign-in-methods-allowed-on-team-or-enterprise-account.png

複数のログイン方法を選択すると、ユーザーは Lucid のログインページにメールアドレスを入力した後で各自の希望するログイン方法を選択できるようになります。

デフォルトの認証

チームのデフォルトの認証方法は、ユーザーが Lucid ログインページにメールアドレスを入力した後に [次へ] をクリックするか、[Enter] キーを押したときに表示されるログイン方法となります。

選択するデフォルトの認証方法は、ユーザー ID の検証に選択した方法と一致する必要があります (ドメイン管理のセクションを参照してください)。

SAML (エンタープライズのみ)

SAML サインオンを使用している場合は、SAML をデフォルトの認証方法として設定する必要があります。これが設定されていない場合、ユーザーは IDP を通して Lucidchart、Lucidspark、Lucidscale にアクセスできるものの、Lucid のログインページで SAML サインオンを使用することはできなくなります。

許可された IP アドレスへのユーザーのログイン制限

Lucid アカウントへの従業員のログインを特定の場所からに限定したい場合には、このボックスにチェックを入れ、特定の IP アドレスを以下のフィールドへ入力してリストに登録します。この機能では、CIDR 表記で IP 範囲を示す必要があります (例：192.168.2.0/24)。

注意: この機能により、許可された IP アドレスでログインしたユーザーが記載されていない他のアドレスへの移動を妨げられることはありません。

パスワードポリシーの設定

所属先の組織でメールアドレスとパスワードによるログインを許可している場合には、左側のメニューの [セキュリティ] ドロップダウンの [認証] から設定を変更し、ユーザーのパスワードのセキュリティを強化することができます。

チームアカウントとエンタープライズアカウントの場合には、ここで最小文字数の設定、大文字、数字、記号文字の各項目の少なくとも1つを要求するかどうかの指定も行えます。

password-restrictions-if-email-and-password-allowed-for-Lucid-sign-in.png

エンタープライズアカウントで利用できる追加のパスワード制限には、ロックアウト前に許可されるログイン試行の失敗回数の制限とロックアウト期間の設定、一定期間後にユーザーにパスワードの変更を要求すること、以前に使用したパスワードの再利用の防止が含まれます。

password-restrictions-available-on-enterprise-account.png

強制パスワードリセット

強制パスワードリセットを選択すると、組織のメンバー全員のパスワードを強制的にリセットできます。この動作の後にユーザーがログインすると、パスワードの変更を促されます。

共有設定の調整

アカウントの所有者またはチーム管理者は、左側のメニューの [セキュリティ] ドロップダウンから [共有] を選択することで、共有設定を調整できます。ページの上部に [共有設定] タブ、[文書の所有権の移譲] タブ、[エディターエクスペリエンス] タブが表示されます。

基本的な共有

文書とフォルダーの共有
チームまたはエンタープライズユーザーに対してアカウントのすべてのユーザーと文書、画像、フォルダーを一度に共有する機能を付与する場合は、このチェックボックスをオンにします。

check-box-to-enable-or-disable-sharing-across-your-lucid-account.png

文書への招待のプレビュー
アカウントのユーザーが送信する文書の招待状に文書のプレビューを含める場合は、このチェックボックスをオンにします。

check-box-to-enable-or-disable-document-invitation-previews.png

画像共有
Lucidchart ユーザーが共有する画像を特定の画像に制限するか、すべての画像を自動的に共有できるようにするかを選択できます。

image-sharing-options-for-lucid-team-or-enterprise-account.png

高度な共有 (エンタープライズのみ)

共有可能なリンク

この設定では、アカウントのユーザーが、アカウント上の Lucidchart 文書、Lucidspark ボード、および Lucidscale モデルへの共有可能なリンクを作成できるかどうかを制御できます。

公開 : すべてのユーザーがアクセスできる共有リンクを生成する権限をユーザーに付与します。
制限付き : アカウントの他のユーザーのみがアクセスできる共有リンクを生成する権限をユーザーに付与します。
オフ : ユーザーが共有可能なリンクを生成する機能を無効化します。

shareable-link-restriction-options-for-lucid-account.png

期限間近の共有リンク

新しく作成されたすべての共有リンクにデフォルトで有効期限を設定するには、このボックスをチェックし、すべてのリンクの有効期限を選択します。ユーザーは、個々の文書やボードでより短い有効期限を設定することができますが、ここで設定したデフォルトより長い有効期限を設定することはできません。

注意 :

デフォルトの有効期限は、設定が有効になった後に作成された共有リンクにのみ適用されます。
デフォルトの有効期限設定は共有リンクにのみ適用されます。したがって、リンクの有効期限が切れる前に文書にアクセスした共同編集者はすべて、引き続きその文書やボードにアクセスできます。共同編集者のアクセスを取り消すには、その共同編集者との文書の共有を解除する必要があります。

check-box-to-set-parameters-for-expiring-share-links.png

Lucidspark でのゲスト共同編集者のアクセス

Lucidspark ボードのゲストコラボレーターアクセスリンクの生成を有効または無効にします。詳細については、 Lucid のゲストコラボレーターの記事をご覧ください。

check-box-to-enable-or-disable-guest-collaborator-link-creation.png

参加 ID を有効化

Lucidchart 文書、Lucidspark ボード、Lucidscale モデルに対する6桁の参加 ID コードの生成を有効または無効にします。

参加 ID リンクの共有制限 :

ゲスト共同編集者で公開 (Lucidspark のみ) : アカウントで [共有可能なリンク] が「公開」に設定されており、ゲスト共同編集者アクセスリンクが有効になっている場合、参加 ID を使用するとゲスト共同編集者としてのアクセスが受信者に付与されます。アカウントで [共有可能なリンク] が「公開」に設定し、ゲスト共同編集者アクセスリンクを無効にしている場合、参加 IDを使用すると、受信者に [公開 - 編集と共有] アクセスが付与されます。
公開 : アカウントで [共有可能なリンク] が「公開」に設定されている場合、参加 ID を使用すると、受信者に [公開 - 編集と共有] アクセスが付与されます。
制限付き : アカウントで [共有可能なリンク] が「制限付き」に設定されている場合、参加 ID を使用すると、受信者に [編集と共有 (アカウントに制限)] アクセスが付与されます。
オフ : アカウントで [共有可能なリンク] が「オフ」に設定されている場合、参加 ID は動作せず、エラーメッセージが表示されます。

メールによる共有

アカウントで [メールによる共有] 設定を設定する場合、次のオプションがあります。

メールによるアイテムの共有を制限しない : ユーザーは任意のドメインのユーザーにメール経由で文書を共有できます。
所定のドメイン外のメールに文書を共有するチームメンバーに警告する: ユーザーが許可されたドメイン外で文書の共有を試みた場合に、警告メッセージが表示されます。
メールによるアイテムの共有を以下のドメインに制限する : ユーザーは、許可されたドメイン上の他のユーザーとのみ文書を共有できます。記載されていないユーザーと共有しようとすると、共有が許可されていない旨の通知が届きます。

注意 : 共有先ドメインに基づいてユーザーに警告または制限することを選択した場合は、[ドメインの制限] セクションの下部にあるテキストボックスに許可されたドメインを入力できます。これを行わないと、チームの全員が文書を共有しようとするたびに警告または制限が発動します。

公開と埋め込み

この設定では、アカウントのユーザーがウェブページに文書を公開して一般公開の状態で埋め込むことができるかどうかを制御できます。

enable-or-disable-publishing-and-embedding-on-your-Lucid-account.png

文書の所有権設定の移譲

この設定では、文書の所有権を移譲できるユーザーを制限できます。すべての制限を解除するか、文書の所有権をエンタープライズアカウントのユーザー間でのみ移譲できるように設定するか、文書の所有権を移譲できないように設定するかを選択できます。文書の所有権を移譲する手順についてはこちらの記事を参照してください。

エディターエクスペリエンス

管理パネルのこのセクションでは、ユーザーが Lucidspark でチャットしたり、画像やアイコンを検索して使用したり、標準の Lucidchart テンプレートライブラリを使用したりできる機能を有効または無効にできます。ここで、アカウントのユーザーが利用できるようにするブランドフォントをアップロードすることもできます。

チャット

ユーザーがボードの編集中にチャットできるようにするには、このチェックボックスをオンにします。チャット機能は Lucidspark でのみ利用できます。

画像とアイコンの検索

これらの設定で以下の機能を制御できます。

Bing 画像検索を有効にしてユーザーが画像を検索できるようにします。
Giphy 画像検索を有効にしてユーザーが GIF を検索できるようにします。
Iconfinder 検索を有効にしてユーザーがアイコンを検索できるようにします。

image-and-icon-search-settings-including-bing-giphy-and-icon-finder.png

標準テンプレート

このチェックボックスをオンにすると、ユーザーは標準の Lucidchart テンプレートを使用できるようになります。このチェックボックスをオフにすると、ユーザーは、個人的に、またはチーム/エンタープライズアカウントの他のユーザーによって作成されたカスタムメイドのテンプレートのみを使用できるようになります。

enable-or-disable-standard-template-usage-for-Lucid-account.png

ブランドのフォント

チーム管理者またはエンタープライズ管理者は、アカウントのすべてのユーザーが使用できるチームフォントを Lucidchart、Lucidspark、Lucidscale にアップロードできます。方法は以下のとおりです。

管理パネルの左側のメニューにある [セキュリティ] ドロップダウンを展開します。
左側のメニューオプションから [共有] をクリックします。
ページの上部にある [エディターエクスペリエンス] タブを選択します。
[ブランドのフォント] で [+] 記号をクリックしてフォントファイルをアップロードします。
画面の指示に従ってファイルをアップロードします。

add-brand-fonts-to-Lucid-account-for-access-across-all-documents.png

Key Management Service (KMS)

Lucid Key Management Service を使用すると、企業は独自の暗号化キーを管理してセキュリティをさらに強化できます。Lucid KMS は、有料の企業向けアドオン機能です。このサービスの詳細については、「KMS ホワイトペーパー」を参照するか、セールスチームへお問い合わせください。

注意 : アカウント所有者またはチーム管理者は、アカウントでこの機能がすでに有効になっている場合にのみ、左側のメニューの [セキュリティ] ドロップダウンに KMS メニューオプションが表示されます。

ライセンス数が 200 未満のお客様は、毎週 1 回、または Lucid のセキュリティが侵害された証拠がある場合に、マスターキーをローテーションできます。200 以上のライセンスをお持ちのお客様は、24時間ごと、または Lucid のセキュリティが侵害された証拠がある場合に、マスターキーをローテーションできます。

Lucid の KMS BYOK 製品には、すべての DEK の追加のキー暗号化キーとして機能する Break Glass Key (BGK) が含まれています。BGK は非対称型の暗号キーを利用しており、Lucid の文書サービスがキーの公開部分を保持しています。この公開キーは、顧客が通常利用しているキー暗号化キーに加え、顧客のデータの暗号化に使用されるデータ暗号化キーを個別に暗号化します。BGK の非公開部分は暗号化され、安全な方法で保存され、Lucid エグゼクティブと共有されます。キーの非公開部分を復号化するために必要な情報は、暗号化されたキーとは別に安全に保存され、Lucid エグゼクティブの別のグループと共有されます。BGK の非公開部分にアクセスするには、Lucid のエグゼクティブが2人以上 (暗号化されたキーの非公開部分へのアクセス権を持つ人が1人とキーの復号化に必要な情報にアクセスできる人が1人) 必要です。

KMS と Bring Your Own Key (BYOK)

Lucid KMS と Lucid KMS BYOK の主な違いは、BYOK では、顧客データ暗号化キーを復号する AWS KMS または CloudHSM が、Lucid の AWS アカウントではなく、顧客の AWS アカウントにあることです。AWS KMS または CloudHSM が正しく設定および動作していることを確認する責任は顧客にあり、確認しない場合は Lucid の KMS BYOK 機能が正しく機能せず、Lucid 製品に保存されている顧客データへのアクセスに影響を与える可能性があります。また、Lucid KMS BYOK をサポートする AWS アカウントでサービスを実行するために発生するコストも顧客側が負担します。

Lucid KMS BYOK 製品では BGK を使用しないよう構成できますが、使用した場合、キー関連の障害が発生した場合に顧客のデータへの継続的なアクセスを保証できません。顧客または Amazon が Lucid による顧客の暗号化キーの使用を禁止している場合、Lucid 製品内の顧客のデータは復号化できず、取り返しのつかない損失となります。

ユーザー機能の管理

開発者コントロール

開発者コントロールの制限は、エンタープライズアカウントでのみ使用できます。開発者ツールへのアクセスを制限すると、アカウントのユーザーはアカウント設定から開発者ツールのロックを解除することはできませんが、アカウント所有者とチーム管理者は、Lucid 管理パネルの [ユーザー] ページから手動でロールを割り当てることができます。

手順と詳細については、Lucid の開発者ツールに関する記事を読み、 Lucid 開発ガイドの「管理コントロール」セクションを参照してください。

開発者ツールへのアクセスを制限するための明快な管理パネルのセクション.png

Collaborative AI

Lucid のコラボレーティブ AI を使用すると、ユーザーはブレインストーミングを行い、より創造性と革新性を備えたアイデアをより短時間で構築できます。この機能へのアクセス権をチームに付与するかどうかは、[AI 機能の有効化: 概要、アイデアの生成、アイデアの並べ替え] のオンとオフを切り替えることで制御できます。コラボレーション AI へのアクセスの制限は、エンタープライズアカウントでのみ使用できます。

詳細については、コラボレーティブ AI による生産性とイノベーションの変革に関する記事をご覧ください。

コラボレーティブ-AI-トグル-イン-明快-セキュリティ-設定.png

関連記事