【Box】デバイストラストが特定ユーザーだけ使えない時の監査ログで原因を確認する方法

Boxのデバイストラスト機能は、企業のセキュリティポリシーに準拠した端末からのみアクセスを許可するための重要な仕組みです。しかし、特定のユーザーのみこの機能が使えず、アクセスが拒否されるケースがあります。原因を素早く特定するには、Box管理コンソールの監査ログを活用するのが効果的です。本記事では、監査ログを用いてデバイストラストの失敗原因を確認する方法を、実務に沿って解説します。

Boxデバイストラストとは何か

Boxデバイストラストは、ユーザーがアクセスする端末が組織のセキュリティ基準を満たしていることを確認する機能です。具体的には、端末がBoxのデスクトップアプリ(Box Drive)を介して信頼済みとして登録され、かつMDM(Mobile Device Management)などの準拠要件をクリアしているかをチェックします。この機能を有効にすると、未承認の端末からのアクセスをブロックできるため、データ漏洩のリスクを低減できます。デバイストラストは管理者がBox管理コンソールからポリシーとして設定し、特定のユーザーやグループに割り当てることが可能です。ただし、ユーザー自身のアカウント設定でデバイストラストが無効になっている場合や、端末がポリシーに適合していない場合には、正常に機能しません。

特定ユーザーだけ使えない時に確認すべきポイント

特定のユーザーだけデバイストラストが利用できない場合、まずは以下の3つの観点から確認を進めると効率的です。

ユーザーアカウントの設定確認

Box管理コンソールで該当ユーザーのアカウント詳細を開き、「デバイストラスト」の項目が有効になっているか確認します。ユーザー単位で無効化されている場合は有効に変更します。また、ユーザーが複数のグループに所属している場合、グループポリシーが優先されることがあります。そのため、各グループのデバイストラスト設定も併せて確認してください。例えば、所属グループのいずれかでデバイストラストが無効になっていると、ユーザー全体で機能しなくなる可能性があります。

端末の準拠状況確認

ユーザーが使用している端末が、組織の準拠要件を満たしているか確認します。Boxデバイストラストでは、MDMへの登録、OSのバージョン、ディスク暗号化、パスワードポリシーなどがチェックされます。ユーザーに端末の状態をヒアリングするか、MDMコンソールから該当端末のコンプライアンス状況を確認してください。また、Box Driveのバージョンが古いとデバイストラストが正しく動作しない場合もあるため、最新版にアップデートされているかも確認ポイントです。

デバイストラストポリシーの割り当て確認

管理コンソールで、該当ユーザーまたは所属グループに対してデバイストラストポリシーが正しく割り当てられているか確認します。ポリシーは「デバイストラスト」セクションから設定し、適用対象をユーザーまたはグループで指定します。割り当てが漏れている場合は、ポリシーを割り当て直します。また、複数のポリシーが競合する場合、優先順位が高いポリシーが適用されるため、ポリシーの順序も確認してください。

監査ログで原因を特定する手順

監査ログを活用すると、デバイストラスト失敗の具体的な理由を突き止めることができます。以下の手順で進めてください。

1. Box管理コンソールに管理者アカウントでログインします。
2. 左メニューから「監査ログ」をクリックします。
3. 「フィルターを追加」から「イベントタイプ」を選択し、「デバイストラスト チェック」または「デバイストラスト 失敗」を選びます。
4. 「ユーザー」フィルターに対象ユーザーのメールアドレスを入力し、さらに絞り込みます。
5. 該当するイベント行をクリックすると、詳細ペインが表示されます。ここでエラーコードや失敗理由が確認できます。
6. エラーコード(例:DEVICE_NOT_TRUSTED)をメモし、その意味を次の表で確認します。
7. 必要に応じて、前後のログイン試行やポリシー評価イベントも参照し、原因を総合的に判断します。

よくあるエラーとその意味

監査ログで表示される主なエラーコードと、その意味、対処方法を下表にまとめました。

エラーコード	意味	対処方法
DEVICE_NOT_TRUSTED	端末が信頼されていない	Box Driveで端末を再登録するか、ユーザーに端末の信頼設定をやり直させてください。
DEVICE_NOT_COMPLIANT	端末が準拠要件を満たしていない	MDMコンソールでコンプライアンスポリシーを確認し、端末が要件を満たすように修正してください。
DEVICE_NOT_ENROLLED	端末がMDMに登録されていない	該当端末をMDMに登録するようユーザーに指示してください。
POLICY_NOT_ASSIGNED	ユーザーにデバイストラストポリシーが割り当てられていない	管理コンソールでポリシーをユーザーまたはグループに割り当ててください。
USER_DEVICE_TRUST_DISABLED	ユーザーのデバイストラスト設定が無効	ユーザー設定でデバイストラストを有効に変更してください。

管理者に伝えるべき情報と再発防止策

問題を解決した後、同様の事象が再発しないようにするためには、管理者への報告と再発防止策の実施が重要です。監査ログのスクリーンショットやエラーコードを記録し、どのような状況で発生したかを明確に伝えてください。また、以下の再発防止策を検討しましょう。

• デバイストラストポリシーの定期的な見直し:ユーザーや端末の状況が変化した場合にポリシーが適切か確認します。
• ユーザー向けの注意喚起:端末をMDMに登録することや、Box Driveの最新版を使用するよう定期的に通知します。
• MDMとの連携強化:コンプライアンス違反の端末を即座に検知し、ユーザーに自動通知する仕組みを導入します。
• 監査ログの定期的なチェック:週次または月次でログを確認し、デバイストラストの失敗が増えていないか監視します。

よくある質問

Q1: 監査ログで「DEVICE_NOT_TRUSTED」が出たが、端末は正常に動作している。どうすれば?
A1: Box Driveの再インストールや、端末のデバイストラスト登録を削除して再追加してみてください。それでも解決しない場合は、Boxサポートに問い合わせることをおすすめします。

Q2: 監査ログの保存期間は?
A2: デフォルトで90日間です。Enterpriseプランでは延長可能ですので、管理者にご確認ください。

Q3: 一般ユーザーでも監査ログを見られますか?
A3: いいえ、管理者権限が必要です。ユーザー自身で確認できないため、管理者に問い合わせてください。その際、エラーメッセージのスクリーンショットを添付するとスムーズです。

Q4: デバイストラストポリシーが適用されているかどうか、ユーザー自身で確認する方法は?
A4: Box Driveの設定画面から「デバイストラストの状態」を確認できます。ただし、詳細な原因までは表示されないため、問題がある場合は管理者に相談してください。

まとめ

Boxデバイストラストが特定ユーザーで使えない場合、監査ログを参照することでエラーの詳細を把握できます。原因はユーザー設定、端末の準拠状態、ポリシー割り当てのいずれかにあることがほとんどです。具体的なエラーコードをもとに対処すれば、迅速に解決できます。管理者は定期的にログを確認し、ポリシーが正しく適用されているか検証することをおすすめします。本記事の手順を参考に、問題解決にお役立てください。