サイオステクノロジー技術部の小山です。Azureでは、ライセンス契約することによりMFA機能を利用することができます。IdPと連携して簡易な多要素認証環境を構築しました。IdPとはSAML規格に対応したシングルサインオンを実現するためのオープンソースソフトウェアです。Authentication)とは、パスワード認証以外に、ユーザーが所持している物や生体情報で認証を行うことで、セキュリティ強度を高めるための認証方法です。MFAの種類AzureのMFA機能には大きく分けて下記の2種類あり、それぞれ利用できる機能が異なります。両者の違いについては、こちらを参照ください。Premiumライセンスが必要となります。検証する際は試用版等の使用が必要です。)用途によってどちらを使うか決めましょう。Server)を使用します。以下のような環境を構成します。Serverが中継し、認証時に双方向OTP認証を実行するサーバーは下記を用意します。Serverのダウンロードを行います。Directoryにアクセスし、【MFAサーバー】を選択します。Serverのインストーラをダウンロードします。【双方向テキストメッセージのタイムアウト秒数】にタイムアウト秒数を入力し、保存します。IdPのログイン中に応答する必要があるので、長めに設定しています。(画像では3分にしていますが、もう少し短くてもいいかもしれません。Serverのダウンロードは完了です。Serverのインストールを行います。Server用のWindowsサーバーダウンロードしたインストーラをWindowsサーバーに転送し、ダブルクリックで起動します。設定はデフォルトのまま【Next】をクリックします。【Finish】をクリックします。Serverが起動します。構成ウィザードを実行するか聞かれますが、スキップします。Azureポータルの【MFAサーバー⇒サーバー設定】の箇所で、【生成】をクリックして表示される認証情報をメモしてください。Serverに入力し、【Activate】をクリックします。任意のグループ名を入力し、【OK】をクリックします。構成ウィザードを実行するか聞かれるため、【No】をクリックします。Serverが起動すれば、インストールは完了です。ユーザー情報の同期LDAPのユーザーに対して多要素認証を設定するため、OpenLDAPからユーザー情報の同期を行います。Integration】を選択します。【Settings】タブで、源泉ディレクトリの情報を入力します。今回はOpenLDAP想定です。【Filters】タブで、LDAP参照するためのフィルタを入力します。【Attributes】タブで、取得する属性を設定します。Directoryの属性になっているので注意しましょう。identifierについては、ユーザー識別に使用されるため重要です。【Synchronization】タブで、同期の設定を行います。今回は認証方式として、テキストメッセージの双方向(Two-Way)を設定します。Now】をクリックすると、LDAPからのユーザー同期が実行されます。左メニューの【Users】から、ユーザーが同期されているか確認します。resolution”という警告により、ユーザーを使用することができません。そのため、ユーザー照合に使用する情報を、SIDからLDAP一意識別子に変更する必要があります。usernames】を選択します。再度、左メニューの【Users】からユーザーを確認し、警告が消えていることを確認します。以上でユーザー情報の同期設定は完了です。ServerがLDAPとして振る舞うよう設定します。Authentication】を選択し、LDAP認証方のポート番号、許可するクライアントを設定します。以上でLDAPの設定は完了です。Serverの準備が整いました。実際にサーバー上で認証テストを行います。Serverのコンソールを起動し、左メニューの【Users】を選択します。一覧からテストするユーザーを選択し、【Test】をクリックします。(※ユーザーにはSMS用の電話番号が同期されいるものとします。テキストメッセージがユーザーの電話番号に送信されます。携帯電話でメッセージを受信することを確認します。双方向(Two-Way)のため、受信したコードをそのまま入力して返信します。送信したコードが正しければ、認証テストは成功となります。Serverの準備は完了しました。IdP側の設定と、動作確認を行います。雑誌等の執筆依頼を受付しております。役に立たなかった1人がこの投稿は役に立ったと言っています。コメントをキャンセルメールアドレスは表示されません。Reserved.本サイトに掲載されている社名、製品名、サービス名等は各社の商標または登録商標です。プライバシーポリシーお問い合わせ。