ログイン
ユーザー名は大文字と小文字を区別しません。パスワードを 5 回（設定可能）続けて間違えるとアカウントが 15 分間ロックされ、管理者がロックしたアカウントは管理者がロックを解除する必要があります。アイデンティティソースを有効にしている場合、ログインページには「X でログイン」ボタンも表示されます。アイデンティティソース を参照してください。
セッションはサーバー側に保存され、ブラウザが保持するのは HttpOnly のセッション Cookie 1 つだけです。30 分（設定可能）操作がないとセッションは期限切れになり、再度ログインする必要があります。
プロフィール
右上のアバターをクリックすると プロフィール が開きます。
- 基本情報：表示名とメールアドレスを変更できます。ユーザー名と所属組織は管理者が管理します。
- パスワードの変更：現在のパスワードを入力する必要があります。変更すると、他の端末のセッションはすべて終了します。アイデンティティソース経由でログインするアカウントでは、ここにパスワードの変更は表示されず、パスワードはアイデンティティソースが管理します。
- 二段階認証：下記を参照してください。
- 自分のログインデバイス：現在ログインしているブラウザの一覧で、心当たりのないセッションを終了できます。
- 最近のログイン履歴：最近 10 回のログイン、ログアウト、失敗した試行が記録されます。他の人が自分のユーザー名でログインを試みた場合も含まれます。
管理者がパスワードをリセットした場合やパスワードの有効期限が切れた場合は、次回ログイン時にまず「パスワードの変更」画面に移動します。変更を完了するまで他の機能は利用できません。
二段階認証
有効にすると、ログイン時にパスワードに加えて、認証器アプリ（Google Authenticator、Microsoft Authenticator、1Password など）の 6 桁の検証コードが必要になります。
- プロフィールの「二段階認証」で 認証器の設定 をクリックします。
- 認証器アプリにアカウントを追加します。ページに表示されたキーを入力するか、アプリをインストールした端末で otpauth リンクを開きます。
- アプリに表示された検証コードを入力し、有効にする をクリックします。
- ページに リカバリコードが 10 個 表示されます。表示されるのは今回だけなので、大切に保存してください。認証器を紛失した場合、リカバリコードは 1 つにつき 1 回、検証コードの代わりにログインできます。
有効にした後は、リカバリコードを再生成（古いコードは直ちに無効になります）したり、二段階認証を無効にしたりできます。どちらの操作でも検証コードを 1 回入力する必要があります。認証器を紛失していてリカバリコードもない場合は、管理者に ユーザー管理 でそのアカウントの二段階認証をリセットしてもらってください。
重要な操作の再検証
二段階認証を有効にしたアカウントでは、次の操作を行うために、最近 10 分（設定可能）以内に検証済みである必要があります。署名鍵のローテーション、クライアントの作成またはその鍵のローテーション、テナントの作成または無効化、他のユーザーのパスワードまたは二段階認証のリセット、ロールの割り当て、権限付与の変更、アイデンティティソースの追加または変更、権限申請の承認です。
この時間を過ぎてからこれらの操作を行うと、コンソールに「本人確認」ダイアログが表示され、検証コードを入力すると先ほどの操作が自動的に続行されます。grantforge.security.mfa.required-for-sensitive=true を設定すると、これらの操作を行うアカウントに二段階認証の有効化を必須にできます。
オンラインセッション
管理者は アクセス制御 → オンラインセッション で、このテナントにログインしているすべてのブラウザ（アカウント、IP、ブラウザ、ログイン時刻、最近の操作）を確認し、不審なセッションを終了できます。アカウントを無効化、ロック、またはパスワードをリセットすると、そのアカウントのセッションはすべて直ちに終了します。
