LoginSignup
2
1

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

@riina_hoiz(riina hoiz)

【IBM Cloud・CP4DaaS】ログイン・セッション期限、トークン有効期限のデフォルト設定を変更する

Last updated at Posted at 2024-04-08

はじめに

本記事では、2023年12月に新機能リリースされたIBM Cloud「ログイン・セッション」のデフォルト時間変更について、その設定手順と留意事項をまとめています。

ここで取り上げるIBM Cloud新機能はCP4Dとも連動しており、その影響で予期せぬセッション・タイムアウトが起こることがあります。そのため、設定内容や変更手順、留意事項をtipsとして整理しています。

併せて、「トークン有効期限」の設定反映状況の確認結果もまとめています。

※いずれの設定も、特定の権限を持ったユーザーのみが設定変更可能です。
設定変更画面にて、以下のような表示が出ている場合は対象外のユーザーであることを意味しています。

権限を持たないユーザーの画面表示
「この設定を表示するためのアクセス権限がありません。 アカウント所有者、または IAM Identity サービスのビューアー以上の役割を割り当てられたユーザーのみが表示できます。」

image.png

ログイン・セッション

本項目では、ログイン・セッションで変更可能な項目とその変更手順、留意事項をまとめています。

ログイン・セッションとは、アカウントのセキュリティー強化を目的に、アカウント・ユーザーにカスタマイズ設定した間隔でログイン資格情報の入力を求めるよう設定します。

セッション期限を変更できる権限ユーザーは以下です。

  • アカウント所有者
  • すべてのアカウント管理サービスに対するエディター役割または管理者役割
  • IAM Identity サービスに対するエディター役割または管理者役割

設定項目

「ログイン・セッション」では、以下3項目を設定できます。

アクティブ・セッション

  • ユーザーが資格情報を再入力する必要が生じるまでにアクティブ・セッションを維持できる時間を設定します。
  • この設定時間を過ぎると、ユーザーは再びログイン資格情報を入力する必要があります。
デフォルト 最小時間 最大時間 設定単位
24時間 15分 720時間 hh:mm

非アクティブの継続によるサインアウト

  • ユーザーがセッションからサインアウトされて資格情報の再入力を求められるようになるまでのユーザーの非アクティブ時間を設定します。
  • この設定時間を過ぎると、ユーザーは再びログイン資格情報を入力する必要があります。
デフォルト 最小時間 最大時間 設定単位
2時間 15分 24時間 hh:mm

並行セッション数

  • アカウント・ユーザーがアクティブにできるログイン・セッションの数を設定します。
  • 設定したセッション数を超えると新規セッション立ち上げに失敗し、再試行を促すようなメッセージ等が表示されます。
デフォルト 最小数 最大数 設定単位
無制限 1個 無制限 無制限、またはN個（N=整数）

なお、最大数は「無制限」に変わりありませんが、実数では最大「21億4748万3647個」まで指定できるようです。
image.png

設定方法

IBM CloudのIAM画面の「設定」からGUIで変更できます。

【IBM Cloud画面】

  1. IBM Cloudにログインし、ダッシュボードを開く（https://cloud.ibm.com/）
  2. ダッシュボード右上「管理」 > 「アクセス（IAM）」をクリックする
  3. 左サイドメニューから「設定」をクリックする
  4. 設定画面のうち、「ログイン・セッション」タブを開く
  5. 変更した項目横の編集ボタン（ペンマーク、有効期限の編集）をクリックする
  6. 入力欄をクリックする
  7. 変更したい時間数を入力する
  8. 右上の「保存」ボタンをクリックし、設定変更が完了。
    image.png

image.png

image.png

image.png

image.png

【CP4D画面】
CP4D画面からは、以下の手順でIAMページにアクセスできます。（IAMからは上記手順３から同様です）
image.png

  1. CP4Dのトップページにアクセスし、画面左上のメニューアイコンをクリックする
  2. メニューから管理 > アクセス（IAM）をクリックし、IAMページを開く
  3. 以下、IBM Cloud画面と同手順

その他通知・表示画面

セッション切れ前の事前通知

セッション残り時間5分前に、以下のような通知が表示されます。
「まもなくセッションの有効期限が切れます セッションは約5分で終了します。」
image.png

セッション切れ後の表示画面

アクティブ・セッションを15分に設定し、時間経過後の画面は以下です。（設定直後15分きっかり、というよりも16分後くらいに自動でログアウトされるイメージです）

image.png

セッション残時間の確認方法

セッション残時間は以下の手順で確認できます。

  1. IBM Cloudにログインし、ダッシュボードを開く（https://cloud.ibm.com/）
  2. 右上の人型アイコン（アバターアイコン） > プロファイルをクリックする
  3. 左サイドメニューからログイン・セッションをクリックする
    image.png
    image.png

image.png

例えば、アクティブ・セッションを15分で設定したあと3分経過すると「13分残り」と表示されます。（※留意事項１つ目を併せて参照）
image.png

並行セッション数超過の画面

並行セッション数を1個に制限し、IBM Cloud Consoleとは別にIBM Cloud CLIを起動してみます。
image.png

CLIの立ち上げに失敗し、ステータスも「取り消し済み」となっています。
image.png

この状態で、セッション数を無制限に開放すると、CLIの立ち上げに成功し、ステータスも「アクティブ」となります。
image.png

留意事項

変更反映のために再ログインが必要

セッション時間を変更した後、実際に設定時間を反映させるためには一度IBM Cloudアカウントからログアウトし、再度ログインする必要があります。（2024年1月時点）

アクティブ・セッションを15分に変更しても、残時間が更新されていません。（アクティブ・セッションのデフォルト24時間vs非アクティブのデフォルト2時間で、残時間は2時間表示）
image.png

この問題は、一度IBM Cloudからログアウトし、再度ログインすると問題が解消されることを確認済みです。

ログイン・セッション変更
設定変更後、必ず一度ログアウトし、再びログインしてください。

複数環境にアクセスできる場合、一番厳しい制約に準ずる

同一アカウントで複数のIBM Cloud環境にアクセスできる場合、最も厳しい設定が適用されます。
例えば、アクティブ・セッション時間について、環境Aで初期のデフォルト設定（24時間）、環境Bで15分に設定します。その場合、環境Aまたは環境Bいずれでも15,16分経過後にIBM Cloudから自動ログアウトされます。

試しに、環境A、環境Bを2画面で同時観察したところ、同時に自動ログアウトされました。
image.png

トークンの有効期限

本項目では、「トークンの有効期限」で変更可能な項目とその変更手順、確認結果をまとめています。

「トークンの有効期限」では、カスタム有効期限値を設定することで、個別のセキュリティー要件を満たすことができます。

トークンの有効期限を変更できる権限ユーザーは以下です。

  • アカウント所有者
  • すべてのアカウント管理サービスに対するオペレーター役割または管理者役割
  • IAM Identity サービスに対するオペレーター役割または管理者役割

設定項目

「トークンの有効期限」では、以下2項目を設定できます。

アクセス・トークン

  • アクセス・トークンの有効期間を設定します。
デフォルト 最小時間 最大時間 設定単位
60分 15分 60分 mm

リフレッシュ・トークン

  • リフレッシュ・トークンの有効期間を設定します。
デフォルト 最小時間 最大時間 設定単位
72時間 15分 72時間 hh:mm

設定方法

ログイン・セッションと同様に、IAMの設定 > ログイン・セッションタブから変更できます。
※ログイン・セッションの設定手順項目を参照してください。

トークン切れ確認

アクセス・トークンを15分に設定し、API実行でトークン切れになるか、以下シナリオで確認しました。

コード例（一部）
params = {}
params['apikey'] = 'your_api_key'
params['project_id'] = "your_project_id"
params['token_url'] = "https://iam.cloud.ibm.com/oidc/token"
params['token_data'] = "apikey=" + params['apikey'] + "&grant_type=urn:ibm:params:oauth:grant-type:apikey"
params['token_headers'] = { "Content-Type" : "application/x-www-form-urlencoded" }
params['url'] = "https://api.jp-tok.dataplatform.cloud.ibm.com" #set your region url

import requests
import time


# IAMのトークン取得
iam_response  = requests.post( params['token_url'], headers=params['token_headers'], data=params['token_data'] )
bearer_token = "Bearer " + iam_response.json()["access_token"]

# スリープ15分
print("15分後に処理を開始します。")
time.sleep(900) 
print("処理が再開されました。")

# 後ろにジョブ実行処理を続けて記述（以下略）

実行すると「Invalid Token」、つまりトークン無効のため失敗することが分かります。
image.png

WSジョブ画面を見ると、ジョブがキックされていない状態であることも確認できます。（テスト用に事前に2回ジョブ実行しています）
image.png

ここで、スリープ時間を1分間に変更してみます。
すると、API実行は成功し、WS画面でもジョブキックされ、成功していることがわかります。
image.png

その他、スリープ時間を以下パターンで試したところ、それぞれ次のような結果になりました。

スリープ時間

  • 14分00秒（time.sleep(840) ）-> トークン有効
  • 14分01秒（time.sleep(841) ）-> トークン有効
  • 14分59秒（time.sleep(899) ）-> トークン切れ
  • 15分00秒（time.sleep(900) ）-> トークン切れ
  • 16分00秒（time.sleep(960) ）-> トークン切れ

image.png

アクセス・トークンの設定時間に応じた 何らかのプログラムを実装する際には、期待する経過時間で無効になるか事前に十分確認されることを推奨します。

お断り

このサイトの掲載内容は私自身の見解であり、必ずしも所属会社の立場、戦略、意見を代表するものではありません。 記事は執筆時点の情報を元に書いているため、必ずしも最新情報であるとはかぎりません。 記事の内容の正確性には責任を負いません。自己責任で実行してください。

参考リンク

2
1
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
2
1

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?