特定IPからはSSO、それ以外のIPからはMFAにてServiceNowにログインしたい

[okamit]

特定IPからはSSO、それ以外のIPからはMFAにてServiceNow(UI16、ServicePortal)にログインできる方法を知りたいです。

＜実現したいこと＞

端末	→	ServiceNow	SSO/MFA
IP(X)	→	UI16	SSO
IP(X)	→	Service Portal	SSO
IP(X以外)	→	UI16	MFA
IP(X以外)	→	Service Portal	MFA

＜試したこと＞

①SSO設定(非Auto Redirect IdP)＋MFA Context設定

• Auto Redirect IdP＝FalseとしてSSO設定
• Adaptive Authentication > Policies > Step-Down MFA Policyにて、Policy Inputsに「IP(X)」を設定
• Adaptive Authentication > MFA Contextにて、Conditionに「IP(X) is true」を設定

端末	→	ServiceNow	SSO/MFA
IP(X)	→	UI16	SSO
IP(X)	→	Service Portal	未ログイン状態でアクセスするとService Portalのログイン画面が表示される（SSOされない）
IP(X以外)	→	UI16	MFA
IP(X以外)	→	Service Portal	MFA

②SSO設定(Auto Redirect IdP)＋MFA Context設定

• Auto Redirect IdP＝TrueとしてSSO設定
• Adaptive Authentication > Policies > Step-Down MFA Policyにて、Policy Inputsに「IP(X)」を設定
• Adaptive Authentication > MFA Contextにて、Conditionに「IP(X) is true」を設定

端末	→	ServiceNow	SSO/MFA
IP(X)	→	UI16	SSO
IP(X)	→	Service Portal	SSO
IP(X以外)	→	UI16	強制的にIdPに飛ばされ、IP(X以外)はIdPとNW疎通できないためエラー
IP(X以外)	→	Service Portal	強制的にIdPに飛ばされ、IP(X以外)はIdPとNW疎通できないためエラー

③SSO設定(非Auto Redirect IdP)＋MFA Context設定＋glide.entry.first.page.script設定

• Auto Redirect IdP＝FalseとしてSSO設定
• Adaptive Authentication > Policies > Step-Down MFA Policyにて、Policy Inputsに「IP(X)」を設定
• Adaptive Authentication > MFA Contextにて、Conditionに「IP(X) is true」を設定
• sys_propertiesに「glide.entry.first.page.script=new SPEntryPage().getFirstPageURL()」として設定

端末	→	ServiceNow	SSO/MFA
IP(X)	→	UI16	ログイン後強制的にService Portalに飛ばされ、その後UI16に遷移できなくなった
IP(X)	→	Service Portal	SSO
IP(X以外)	→	UI16	ログイン後強制的にService Portalに飛ばされ、その後UI16に遷移できなくなった
IP(X以外)	→	Service Portal	MFA

これ以外に＜実現したいこと＞を実現させる方法や概念について教えていただきたいです。

[okamit]

調査している中で一つ解を見つけたので共有します。

試したこと③の設定をしたうえで、「/login_redirect.do」を開けばUI16に遷移できるようです。

https://support.servicenow.com/kb?id=kb_article_view&sysparm_article=KB0777699

ただし、ブラウザのURLバーにUI16のURLを直接入力して開こうとすると予期せぬ動作をする場合があり、これが制約になります。