ServiceNowのアクセス制御：ブラウザUIセッション(同時ログイン制限)とREST API(レート制限)の違いをPDI実機で検証してみたThis article verifies how ServiceNow handles concurrent login restrictions for…
匿名の公開いいねです。記事の保存・お気に入りではなく、Featured、Top 3、重要度、掲載順位には影響しません。仕組みとプライバシーAnonymous public likes are reactions, not saved articles or bookmarks. They do not affect Featured, Top 3, importance, or listing order.How it works and privacy
- ServiceNowにおけるブラウザUIの同時ログイン制限とREST APIのレート制限という二つのアクセス制御の仕組みを、PDI実機を使って実際に検証・比較した記事。
- 運用設計やセキュリティ要件を満たす際の判断材料として役立つ。
This article verifies how ServiceNow handles concurrent login restrictions for browser UI sessions versus rate limiting for REST API calls, using a hands-on PDI instance to highlight the key differences relevant to security and operational design.
本ページの本文と要約は AI による自動生成です。日本語版と英語版は言語ごとに独立して生成されるため、表現や詳しさが異なる場合があります。正確性は元記事 (qiita.com) をご確認ください。The body and summaries are AI-generated independently for each language, so wording and detail may differ. Verify accuracy at the original source (qiita.com).
要約と収集メタデータに基づく AI 解説。元記事全文の転載・翻訳ではありません。AI explainer based on the summaries and collected metadata, not a copy or translation of the full source article.
ServiceNowのアクセス制御では、ブラウザUIの同時ログイン制限とREST APIのレート制限で仕組みが大きく異なる。開発用インスタンス（PDI）による実機検証では、ブラウザUI側の制限を機能させるために必要な設定条件が確認された。
ブラウザUI
同一ユーザーによるブラウザUIの同時ログインを制限するには、無料プラグイン「Limit Concurrent Sessions」を使用する。ただし、プラグインを有効化するだけでは制限は働かず、関連するプロパティや対象ユーザー側の設定もそろえる必要がある。
プラグインは、System Definition > Pluginsで「Limit Concurrent Sessions」を検索し、Activateを実行して有効化する。
4つの設定
実機では、プラグインの有効化、有効化プロパティの設定、同時セッション上限数の指定、対象ユーザーへの個別設定という4つがすべてそろって初めて機能した。いずれか1つでも欠けると、同時ログイン制限は無効化されたままとなる。
有効化プロパティには「glide.authenticate.limit.concurrent.interactive.sessions = true」を設定する。上限数は「glide.authenticate.max.concurrent.interactive.sessions = 1」のように指定する。
ユーザー設定
2つのプロパティは2017年から標準で存在するが、デフォルトはfalseまたは未設定であり、明示的な有効化が必要となる。さらに見落としやすい条件として、対象ユーザーのsys_userレコードにある「Limit Concurrent Sessions」チェックボックスを個別にONにする必要がある。フィールド名は「limit_concurrent_sessions」で、ロール単位でも同じチェックボックスを設定できる。
REST API
REST APIでは、Table APIなどからの連続的なアクセスや乱用を防ぐ要件に対してレート制限を扱う。ブラウザUIの同時ログイン制限とは制御の仕組みが異なるため、アクセス元を区別して設定を検討する必要がある。
Access Restrictions and Session Management
ServiceNow applies different control mechanisms to browser UI sessions and REST API access, including the Table API. This distinction matters when security or operational requirements call for limiting simultaneous logins by the same user or preventing repeated and abusive API calls.
A hands-on test using a ServiceNow personal developer instance examined browser UI concurrent-login restrictions alongside REST API rate limiting. The verification focused on observed behavior and the settings required for browser session controls.
Limit Concurrent Sessions
ServiceNow’s official concurrent-login restriction uses the free “Limit Concurrent Sessions” plugin. According to the hands-on verification, the restriction works only when four required elements are configured together. If any one of them is missing, the feature remains disabled.
First, “Limit Concurrent Sessions” must be found under System Definition > Plugins and activated. The property glide.authenticate.limit.concurrent.interactive.sessions must then be set to true.
The maximum number of concurrent interactive sessions must also be defined. In the tested configuration, glide.authenticate.max.concurrent.interactive.sessions was set to 1.
User and Role Settings
The final requirement is an individual setting on the relevant sys_user record. Its “Limit Concurrent Sessions” checkbox, whose field name is limit_concurrent_sessions, must be enabled for the restriction to apply to that user.
The same “Limit Concurrent Sessions” checkbox can also be configured at the role level. This user-level or role-level setting is an important part of the configuration rather than an optional addition.
The two concurrent-session properties have existed as standard properties since 2017. However, their defaults are false or unset, so they must be explicitly configured.
REST API Rate Limiting
Browser UI operations and REST API access use substantially different control mechanisms. The concurrent interactive-session configuration applies to browser UI logins, while repeated REST API calls are addressed through rate limiting rather than the same session restriction.
The PDI verification therefore treats concurrent browser sessions and REST API request controls as separate access-control concerns. Security and operational designs should distinguish between the requirement to limit simultaneous interactive logins and the requirement to control repeated or abusive REST API calls.
ポコとTECHガイドPoko & TECH Guide
ポコと当サイトのTECHガイドが、記事の要約と収集した情報から読みどころを語るAI生成の対話です。Poko and TECH Dashboard's own TECH Guide discuss the article's highlights in an AI-generated conversation based on its summary and collected source details.
- ポコPoko同時ログイン制限は、4つの設定が全部そろわないと動かないんだ！これって大きいこと？Whoa, the concurrent login restriction only works when all four settings are in place! Is that a big deal?
- TECHガイドTECH Guide実機検証では、1つでも欠けると無効のままだったそうじゃ。設定漏れがそのまま制限漏れにつながる点は重要じゃのう。The hands-on test found that missing even one leaves the restriction disabled. That matters because a small setup omission can mean no restriction at all.
- ポコPoko「インタラクティブセッション」って何？REST APIのレート制限とは、つまりどう違うの？What’s an “interactive session”? How is that different from REST API rate limiting?
- TECHガイドTECH GuideここではブラウザUIで操作するログイン状態のことじゃ。REST API側は呼び出し回数を抑えるレート制限で、制御の仕組みが別なんじゃよ。Here, it means a logged-in browser UI session. REST API access is controlled separately by rate limiting, which curbs repeated calls.
- ポコPoko自分なら、同じユーザーのブラウザ利用を1セッションに絞って、共有ログイン対策に使ってみたいな。I’d set a user to one browser session and use that to discourage shared logins.
- TECHガイドTECH Guideその場合も、プラグイン、有効化プロパティ、上限値、対象ユーザーのチェックが必要じゃ。ロール単位でも設定できると紹介されておるぞ。That setup still needs the plugin, enablement property, session limit, and the target user’s checkbox. The piece also notes that it can be configured by role.
