Ver. 16.0 ログインに関わるセキュリティを強化 (2024年4月15日)

概要

アップデート日

注意すべき変更点

  • [スクリプトタスク]にて、スクリプトエンジン「GraalJS (Nashorn Compatible Mode)」が廃止されます
  • [スクリプトタスク][サービスタスク(Add-on)]のスクリプトにて、「2024-04: 廃止予定」となっている API(Java クラス / メソッド)が廃止されます
  • プロセスを開始する API にて、パラメータ activityId を利用した形式が廃止されます
  • [Google ドライブ: フォルダ検索]にて、認証設定の仕様が変更されます(Ver. 16.0.1)
  • ページ末尾【仕様などの変更予定】にて、将来バージョンでの変更予定が記載されておりますので、ご確認下さい

Version 16.0.0 の詳細

(★:2024-04-12 追記、★★:2024-04-22 追記)

◆ 全利用者向け機能の変更

ログイン

  • パスワード再設定機能にて、対象ユーザの言語設定に応じて表示言語が変わるように対応(#9783)
    • メールアドレスを入力する画面までは対象ユーザが分からないのでワークフロー基盤の言語設定で表示される
    • パスワード再設定 URL を案内するメール、および URL にアクセスして表示されるフォーム画面は対象ユーザの言語設定で表示される

アカウント設定

パスワード

  • 新しいパスワードを設定する際にパスワード強度がチェックされ表示されるように対応(#9712)
    • パスワード強度のチェック結果に関わらず、パスワードポリシーを満たしていれば新しいパスワードが設定される
  • 「現在のパスワード」が分からない場合でも「新しいパスワード」を設定できるように対応(#9853)
    • [パスワードを忘れた場合はこちら]からと同様の流れとなる
  • [パスワード]設定画面の表示を改良し、パスワードポリシーは常に表示されるように対応(#9731)

ワークフロー

  • ワークフロー基盤からファイルをダウンロードする際の内部処理(Content-Disposition ヘッダ)をサポートブラウザで統一(#9119)
  • プロセス/タスク一覧(検索結果画面)にて、表示カラムに「アプリバージョン」を指定できるように対応(#9716)

オープンチャット

  • メッセージ/コメント投稿時にトピック名が長すぎる場合にエラーメッセージを表示するように対応(#9076)
    • トピック名の長さの上限(128文字)を超えると、投稿に失敗する
  • 次の不具合を修正
    • ユーザ名が半角文字のみで長い場合に、フォロー対象/フォロワーの表示エリアからはみ出して表示される(#9613)
    • 右カラムやお知らせ(通知エリア)に表示されるユーザ名や組織名が長い場合に、規定の表示エリアからはみ出して表示される(#9639)

◆ ワークフロー設計者向け機能の変更

アプリ新規作成

  • 新規作成されるアプリでは、初期設定が「(通知)メールに、データの値を含めない」となるように対応(#9641)
  • [アーカイブから新規作成]からの操作で新規アプリの作成が完了した後に、対象アプリの詳細画面が表示されるように対応(#9529)
  • Ver. 12.3(2021年3月)以前のワークフロー基盤にてエクスポートされたアプリアーカイブ(qar ファイル)はインポートされないように対応(#9620)

データ更新・分岐など の SpEL 式/スクリプトタスク

  • AddableDate/AddableTimestamp に、週の始め(月曜日)を返すメソッドを追加(#9668)
    • AddableDate#getFirstDateInWeek(), AddableTimestamp#getFirstTimeInWeek()
    • その週の月曜日(の 00:00)を返す

メッセージ開始イベント(フォーム)

  • 次の不具合を修正
    • Questetra にログインしているブラウザでアクセスすると、ログインしているユーザの言語/タイムゾーン設定の影響を受ける
      • 「公開フォーム」はワークフロー基盤の言語/タイムゾーン設定に従うのが正しい

外部のクラウドサービスと連携する自動処理工程/データ処理を行う自動処理工程

  • 次の自動処理工程(サービスタスク)を追加
    • Google
      • Google ドライブ
        • ★Google ドライブ: ファイルダウンロード(#9897)
          • Google ドライブ内の指定ファイルをダウンロードする
          • Google Cloud の「サービスアカウント」を利用して認証する
      • Google スプレッドシート
        • Google スプレッドシート: セル更新&取得(#9774)
          • セルの値を更新した後にセルの値を取得する
          • 「関数を実行した上で結果を取得する」といった処理が可能となる
      • Google Vertex AI
        • Google Vertex AI: Gemini: チャット(#9867)
          • 大規模言語モデル「Gemini」にメッセージを送信し、回答を取得する
    • Microsoft 365
      • Microsoft Lists: リストアイテム検索(#9825)
        • Microsoft Lists の指定リスト内のリストアイテムを検索する
      • Microsoft Lists: リストアイテム取得(#9826)
        • Microsoft Lists の指定リスト内のリストアイテムを1件取得する
    • WordPress.com
      • WordPress.com: 下書き記事作成(#9654)
        • 下書き記事(draft)を作成する
        • タイトル/本文/抜粋/スラッグ/アイキャッチ画像/カテゴリ/タグを指定可能
      • WordPress.com: カテゴリ取得(#9746)
        • カテゴリ名を指定してカテゴリIDを取得する
        • カテゴリ名が未指定の場合、全カテゴリの名前とIDを取得する
      • WordPress.com: タグ取得(#9747)
        • タグ名を指定してタグIDを取得する
        • タグ名が未指定の場合、全タグの名前とIDを取得する
      • WordPress.com: メディアアップロード(#9809)
        • メディアライブラリにファイルをアップロードする
  • 次の自動処理工程(サービスタスク)の仕様などを変更
    • Google
      • Google スプレッドシート
        • Google スプレッドシート: 行更新(#9773)
          • 更新する値の解釈方法として RAW/USER_ENTERED モードを選択できるように対応
    • Amazon Web Services
      • ★Amazon Bedrock: Anthropic Claude: チャット(#9898)
        • モデルの選択肢に「Claude 3」を追加
        • 画像を入力に指定できるように対応
        • 温度/停止シーケンスを指定できるように対応
        • ログ出力を強化
    • Microsoft 365
      • Excel for Business
        • Microsoft 365 Excel for Business: 行挿入(#9636)
          • 名称を変更(”for Business” を追加)
    • OpenAI
      • ★OpenAI ChatGPT: チャット(#9899)
        • モデルの選択肢に「gpt-4-turbo-preview」「gpt-4-vision-preview」を追加
        • 温度/停止シーケンスを指定できるように対応
        • ログ出力を強化
    • Slack
      • Slack: チャット投稿 (Bots)(#9891)
        • (予告)廃止予定(deprecated)の設定項目「C1-deprecated: OAuth2 設定」を Ver. 16.1(2024年8月)で廃止
          • 「C1: OAuth2 設定」の項目にて OAuth2 設定を行なってください
          • 当該設定項目の利用がない工程では「C1-deprecated: OAuth2 設定」は表示されておりません
  • 次の自動処理工程(サービスタスク)の内部実装を変更
    • Google
      • Google ドライブ
        • Google ドライブ: フォルダ作成(#9820)
        • Google ドライブ: ファイル / フォルダ削除(#9821)
        • Google ドライブ: フォルダ検索(#9822)
        • Google ドライブ: 共有リンク作成(#9823)
        • Google ドライブ: 共有リンク削除(#9824)
      • Google カレンダー
        • Google カレンダー: 予定追加(#9840)
        • Google カレンダー: 予定のカレンダー移動(#9841)
        • Google カレンダー: 予定削除(#9842)
        • 開始: Google カレンダー: 予定開始時(#9843)
      • Google スプレッドシート
        • Google スプレッドシート: ファイル作成(#9768)
        • Google スプレッドシート: シート追加(#9769)
        • Google スプレッドシート: シートコピー(#9770)
        • Google スプレッドシート: シート削除(#9771)
        • Google スプレッドシート: 行取得(#9767)
        • Google スプレッドシート: 行追加 (テーブル型データ)(#9865)
      • Google BigQuery
        • Google BigQuery: データ追加(#9866)
    • Microsoft 365
      • OneDrive for Business
        • Microsoft 365 OneDrive for Business: ファイル / フォルダ削除(#9624)
        • Microsoft 365 OneDrive for Business: ファイルアップロード(#9632)
        • Microsoft 365 OneDrive for Business: フォルダ作成(#9633)
    • Box
      • Box: フォルダ作成(#9651)
      • Box: フォルダ削除(#9726)
      • Box: フォルダ検索(#9727)
      • Box: フォルダ共有リンク作成(#9672)
      • Box: フォルダ共有リンク削除(#9673)
      • Box: フォルダに電子すかし適用(#9728)
      • Box: ファイルアップロード(#9723)
      • Box: ファイルにメタデータ追加(#9671)
      • Box: ファイルコピー(#9718)
      • Box: ファイル移動(#9721)
      • Box: ファイル共有リンク作成(#9653)
      • Box: ファイル共有リンク削除(#9720)
      • Box: ファイルダウンロード(#9719)
      • Box: ファイルを PDF/テキスト/画像でダウンロード(#9722)
      • Box: ファイルに電子すかし適用(#9724)
      • Box: コラボレーション追加(#9649)
      • Box: コラボレーション削除(#9650)
      • Box Sign: 署名リクエストの進捗確認(#9729)

スクリプトタスク/サービスタスク(Add-on)

  • [スクリプトタスク]にて、スクリプトエンジン「GraalJS (Nashorn Compatible Mode)」を廃止(#9105)
  • HttpClientWrappergetGoogleOAuth2Token(QuserView, String) メソッドを廃止(#9106)
  • テーブル型データを操作する ListArray, ListArray.ListRow クラスや setRows() などのメソッドを廃止(#8613)
    • ScriptListArray, ScriptListRow クラスおよびそのメソッドを利用してください
  • HttpRequestWrapperbasic(String, String) メソッドの廃止予定を解除(#9674)
    • 2024-04 に廃止予定だったが廃止せずに残す
    • HTTP 送信時に固定の「ユーザ名/パスワード」を指定して Basic 認証を行う場合は、「HTTP 認証設定」に登録されている認証情報を参照し authSetting(AuthSettingWrapper) メソッドを利用する
  • OAuth2 JWT Bearer Flow を実装できるように対応(#9269)
    • JWT(Json Web Token)を利用した 2-legged OAuth に対応した認証設定を独自実装できるようになる
  • バイナリから URL-Safe な文字列形式に Base64 エンコードできるように対応(#9630)
    • Base64UtilsWrapperencodeToUrlSafeString(ByteArrayWrapper) メソッドを追加
  • ★★テーブル型データ項目の選択型サブデータ項目から選択肢を取得できるメソッドを ItemDaoWrapper クラスに追加(#9290)
    • List<ItemView> findAll(SubDataDefinitionView)
    • ItemView findByValue(SubDataDefinitionView, String)
  • ★★テーブル型データ項目の数値/日付/選択型サブデータ項目の値を BigDecimal / AddableDate / ItemView で指定できるように対応(#9291)
    • ScriptListRow クラスに次のメソッドを追加
      • void setObject(String field_name, Object value)
      • void setObject(int index, Object value)
  • 次の不具合を修正
    • [サービスタスク(Add-on)]の定義ファイルにて、depends-on 属性の依存関係が <tab> 要素をまたぐ場合、設定項目が正しく表示されない(#9610)

メッセージ送信中間イベント (HTTP)/スクリプトタスク HttpClient

  • [カスタム HTTP ヘッダ]にて、次のヘッダをを許可リストに追加
    • ★Workbook-Session-Id(#9621)
      • Microsoft 365 Excel API の固有ヘッダ

◆ システム管理者向け機能の変更

  • 次の不具合を修正
    • ★[Basic Edition] サイドメニューのセキュリティセクションにて表示が崩れる(#9851)

システム概要

  • 「ログインユーザ数の推移」グラフを追加(#9158)
    • 集計は Ver. 16.0 へのアップデート後から行われる

ユーザ

  • ユーザの「最終ログイン日時」を確認できるように対応(#9367)
    • 記録は Ver. 16.0 へのアップデート後から行われる
    • ログイン方法(パスワード/自動/Google アカウント/SAML)は区別されない
      • 「自動(ログイン)」は Cookie に保存されている情報を利用したログイン機能
  • [ユーザ新規作成]などでユーザ名の入力フィールドを広げる(#9599)
  • ワークフロー基盤から特定ユーザへメール送信されないよう設定できるように対応(#9739)
    • ユーザのメールアドレスが受信可能な状態ではない場合などに本設定を有効にする
  • ユーザ/組織/ロールの全件ダウンロード機能を、一覧画面から[一括登録]を行う画面に移動(#9816)
    • 一括登録(更新)を行う際に既存の設定をダウンロードし、CSV 編集後にインポートして利用しやすくなる
  • 次の不具合を修正
    • [ユーザ一覧]画面にて、ライセンスに関するエラー表示がある場合に表示が崩れる(#9667)
    • [ユーザ一括登録]の[CSV によるインポート]にて、一部のユーザ更新処理に失敗した際にシステムエラーとなる場合がある(#9816)

パスワードログイン

  • パスワードポリシーの設定ルールを強化(#8013)
    • 「英大文字/英小文字/数字/記号」のうち、2種類以上の文字種の指定を必須にする
      • Ver. 16.0 アップデート時に、文字種が1つ or 未指定の場合は「英小文字」「数字」の順で強制的に追加される
    • 最低文字数を8文字から増やす
      • 文字種の指定が2つの場合:最低文字数は15文字
      • 文字種の指定が3つ or 4つの場合:最低文字数は12文字
    • 新規ワークフロー基盤構築時は、文字種のデフォルト設定は「英大文字」「英小文字」「数字」の3種とする
  • [ユーザ新規作成]にて、「初期パスワードを無効化する」がデフォルトとなるように対応(#9743)
  • [ユーザ一括登録]にて、CSV でパスワードを指定しない場合、初期パスワードを無効とするように対応(#9742)
    • Ver. 15.2 までは、初期パスワードが自動生成されていた
  • ユーザにパスワード変更を要求できるように対応(#9741)
    • [パスワードリセット]機能にて「次回ログイン時にパスワード変更が必要」オプションを選択できるように対応
    • パスワード変更を要求されたユーザは、パスワード変更を完了するまで他の機能を利用できない
    • ★[ユーザ新規作成]時に「次回ログイン時にパスワード変更が必要」オプションを指定できるように対応(#9859)
  • ユーザ詳細画面にて、「パスワードログイン」が許可されているユーザかどうかを確認できるように対応(#9754)
    • 「パスワードログインが禁止」されたワークフロー基盤でも、[システム管理権限]を持ったユーザはパスワードログインが可能
    • 「パスワードログイン」が許可されているユーザでのみ[パスワードリセット]ボタンが表示されるように対応
  • [自動ログイン]機能が禁止されている状態が標準設定となるように対応(#9755)
    • 本機能が有効となっているワークフロー基盤にて、パスワードログインを利用できるユーザが[自動ログイン]を利用することが可能
    • Ver. 16.0 以降に新規構築されるワークフロー基盤では「自動ログインは禁止」が初期設定となる
      • Ver. 15.2 にて既に利用されているワークフロー基盤では、設定内容は変わらない
  • ユーザの「パスワード最終変更日時」を確認できるように対応(#9793、#9858)
    • 記録は Ver. 16.0 へのアップデート後から行われる
  • ★★パスワード変更機能をスマートフォン向け画面からも利用できるように対応(#9778)

役職

  • 役職詳細画面にて、[役職を参照しているアプリ一覧]を確認できるように対応(#9564)

SSO(SAML)

  • SAML 固有のエラーでログイン失敗した場合、エラー内容をシステムログに記録するように対応(#9328)
  • セキュリティ向上のため、利用ライブラリを移行し内部実装を大幅に変更(#9329)

REST API > Basic 認証

  • 「Basic 認証による API アクセス」の許可/禁止を、ワークフロー基盤単位ではなくユーザ単位で設定/管理できるように対応(#9839)
    • [API クライアント]>[Basic 認証による API アクセス]メニューは廃止
    • ユーザ詳細画面にて「Basic 認証による API アクセス」の設定を変更できるように対応
    • Ver. 16.0 へのアップデート時に、次のルールに基づいて設定が移行される
      • Ver. 15.2 で「Basic 認証による API アクセスが禁止」されていたワークフロー基盤:全ユーザで「Basic 認証による API アクセスは禁止」となる
      • Ver. 15.2 で「Basic 認証による API アクセスが許可」されていたワークフロー基盤:[システムログ]に Basic 認証の記録があるユーザは「Basic 認証による API アクセス」は「許可」、Basic 認証の記録がないユーザは「禁止」となる

REST API > OAuth2 クライアント

  • セキュリティ向上のため、利用ライブラリを移行し内部実装を大幅に変更(#9597)
  • 次の不具合を修正
    • OAuth2 クライアントの詳細画面にて、リダイレクトURLが複数行の場合に、改行文字が <br /> としてテキスト表示される(9745)

システムログ

  • 「パスワード変更」のログは「ユーザ変更」とは別のログ種別で記録されるように対応(#9780)
  • ログイン成功時のログにはユーザのメールアドレスは記録しないように対応(#9781)
    • 「ユーザ変更」のログにはメールアドレスを記録するように対応
  • 対象ユーザID/対象ユーザ名を記録する項目(カラム)を追加(#9781)
    • 「ユーザ変更」などの対象ユーザ
  • 「主として属する組織」の変更は「ユーザ変更」ログの対象外とし、[システムログ]に記録されないよう対応(#9790)
  • ユーザ名や組織名など実際に内容の変更を伴わない処理が行われた場合は、「ユーザ変更」「組織変更」などのログを出力しないように対応(#9791)
  • Basic 認証による API アクセスは[システムログ]に記録されないよう対応(#9838)
  • システムログ一覧の表示レイアウトを横スクロールできるように対応(#9815)
    • プロセス/タスク一覧と同様のレイアウトとなる
  • ★★システムログ一覧にてテキスト折り返しを制御するトグルボタンを追加(#9785)
  • 次の不具合を修正
    • ログインページからのパスワード再設定が行われた際、操作ユーザのユーザID/ユーザ名が記録されない(#9779)
    • システムログ一覧にて、全カラムを表示対象にすると「詳細」カラムが表示されない場合がある(#9814)
    • フィルタ条件を設定後、表示カラムの追加/削除/変更を行うと条件がリセットされてしまう(#9819)

DKIM

  • ★DKIM に対応(#9603)
    • 送信者ドメインの秘密鍵をワークフロー基盤に登録できるように対応
    • Advanced / Professional Edition で設定可能

◆ Questetra REST API Developer 向け機能の変更

  • プロセスを開始する API(/API/PE/ProcessInstance/start)にて、パラメータ activityId を利用した形式を廃止(#9150)
  • 役職を追加/更新/削除する API を追加(#9606)
    • /API/UGA/Qtitle/add, /API/UGA/Qtitle/update, /API/UGA/Qtitle/delete
  • システムログ一覧を取得する API を追加(#9794)
    • 日時/ログID を指定しての検索(Web UI と同じ)に加え、ログ種別を指定しての検索も可能
  • ユーザ追加の API (/API/UGA/Quser/add)にて次の仕様を変更
    • password パラメータを必須としないように対応(#9744)
      • password が省略された場合、「初期パスワード無効」の状態でユーザが新規作成される
    • primaryQgroupId パラメータを追加(#9766)
      • ユーザ追加時に「主として属する組織」を指定できるようになる
      • Web UI とは異なり、必須ではない
  • ★ユーザ追加/更新の API(/API/UGA/Quser/add,/API/UGA/Quser/update)にて次のパラメータ/プロパティを追加(#9852, #9852, #9852)
    • emailReceivable(デフォルト: true): メール受信可能かどうか
    • basicAuthenticationEnabled(デフォルト: false): Basic 認証による API アクセスが許可されているかどうか
    • passwordResetRequired(デフォルト: false): 次回ログイン時、パスワード変更を要求するかどうか
  • ユーザ(の一覧)を返す API (/API/User/Quser/list, /API/User/Quser/self, /API/User/Quser/find)のレスポンスに次のプロパティを追加(#9828、#9850、#9874)
    • latestLoginTime: 最終ログイン日時
    • passwordLastUpdated: パスワード最終変更日時
    • emailReceivable: メール受信可能かどうか
    • basicAuthenticationEnabled: Basic 認証による API アクセスが許可されているかどうか
    • passwordResetRequired: 次回ログイン時、パスワード変更を要求するかどうか
    • ユーザ管理権限を持つユーザが API にアクセスした場合のみ含まれる
      • 権限を持たないユーザが API にアクセスした場合、これらのプロパティはレスポンスされない
  • アプリ一覧を取得する API (/API/Admin/ProcessModel/list)のレスポンスに「概要(processModelInfoShortExplanation)」を含めるように対応(#9717)
  • API リファレンス([REST API Reference])をソースコードから自動生成するように対応(#9776, #9777)

Version 16.0.1 の詳細

(2024-05-02 追記、★:2024-05-13 追記)

◆ ワークフロー設計者向け機能の変更

外部のクラウドサービスと連携する自動処理工程

  • 次の自動処理工程(サービスタスク)の仕様を変更
    • Google
      • Google ドライブ: フォルダ検索(#9943)
        • 認証設定を「サービスアカウント」を利用する形式に変更
        • 既存の認証設定は廃止予定(Ver. 16.0.1 にてアプリ定義エラー)となるため、設定を変更いただく必要があります

◆ システム管理者向け機能の変更

  • [DKIM]にてヘルプページへのリンクを追加(#9968)
  • 次の不具合を修正
    • [API クライアント]の OAuth2 クライアント編集画面にて、スコープの選択肢ラベルが言語設定に従わない場合がある(#9963)
    • ★次の条件を満たすユーザを Ver. 16.0.0 にて削除できない(#9999)
      • Ver. 15.2 以前のバージョンで Questetra が OAuth2 認可サーバとして認可して発行したトークンがあるユーザ

◆ 外部ツール等の機能および非機能面での変更

  • ワークフロー基盤のセキュリティ強化(#9708)

Version 16.0.2 の詳細

(2024-07-29 追記)

◆ 全利用者向け機能の変更

◆ ワークフロー設計者向け機能の変更

Google

  • 次の自動処理工程にて、内部実装の変更、処理の改良など
    • Gmail: メール取得(#9936)
      • プロセスログ出力を強化
      • マルチパートが入れ子構造となっているメールにて、添付ファイルとして保存されないパートがあったのを改良

仕様などの変更予定

将来バージョンにて、次の仕様変更、システム基盤の変更を予定しております。

Ver. 16.1(2024年8月)対応予定

Ver. 17.0(2025年4月)対応予定

  • メッセージ開始イベント(フォーム)にて、旧形式の URL が廃止されます
    • 旧形式 URL: /System/Event/MessageStartForm/view
    • 廃止までの間は、現在の形式の URL にリダイレクトされます
  • [ユーザ一括登録]の CSV 入力にて、「リーダ」としての所属を指定する形式「!組織名」が廃止されます
  • Questetra REST API にて、ページネーション機能を持たない、組織/ロールへの所属を検索する API が廃止されます
    • /API/User/Membership/listByQuser, listByQgroup
    • /API/User/RoleMembership/listByQuser, listByQrole
    • ページネーション機能を持つ次の API を利用してください
      • /API/User/Membership/list, /API/User/RoleMembership/list
  • Questetra REST API にて、処理フォーム画面の情報を取得する API(/API/PE/Workitem/Form/viewXml)が廃止されます

Ver. 18.0(2026年4月)対応予定

  • スクリプトタスク/サービスタスク(Add-on)のスクリプトにて、HTTP 認証設定関連の次のメソッドが廃止されます
    • 廃止予定の API が実行されるとプロセスログに警告メッセージが出力されます
    • [プロセスログ]にて「警告を含むログのみ」で検索すると対象アプリや工程を確認できます
    • 対象
      • httpClient.getOAuth2Token(String settingName)
      • httpClient.begin().authSetting(String settingName)
  • メッセージ開始イベント/受信中間イベント(HTTP)にて、データ定義番号を含む旧形式の受信パラメータ(data[XX].input など)が廃止されます
    • 旧形式の受信パラメータが使用された場合、プロセスログに警告メッセージが出力されます
    • HTTP 送信元にて、フィールド名を利用したパラメータを指定するように変更してください
  • Questetra REST API の Membership API にて、リクエストパラメータ role、レスポンスに含まれる role プロパティが廃止されます
  • Questetra REST API にて、タスク処理を行う API(/API/PE/Workitem/Form/save)が廃止されます
    • Ver. 15.2 で追加された新しいタスク処理の API(/API/PE/Workitem/{workitemId}/Form/save)を利用してください
上部へスクロール

Questetra Supportをもっと見る

今すぐ購読し、続きを読んで、すべてのアーカイブにアクセスしましょう。

続きを読む