(Google+)26この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。WorkSpacesの利用にあたり、お客様からセキュリティ対策としてMFA(多要素認証)導入のご要望をいただくケースが多々あります。WorkSpacesでMFAを利用するためには、ワンタイムパスワードを認証できるRADIUSサーバーを別途用意するがあります。OSSや商用のパッケージ製品を利用してRADIUSサーバーを構築する方法もありますが、運用の手間を省くという観点ではSaaSを利用するのも有力な選択肢かと思います。WorkSpacesにMFAを導入する方法をご紹介します。Directoryと連携することも可能です。ADはRADIUSサーバー連携に対応していません。Proxyサーバーを構築します。Proxy経由でアクセスします。ProxyはLinux及びWindows向けのパッケージが提供されているのでこれを利用します。本ブログではWorkSpaces環境の構築手順には触れません。Proxy用)は構築済みの前提で話を進めます。Duoアカウント登録&初期設定まずはじめに必要なのはDuoのアカウント登録です。手順は弊社市田のブログ記事に詳しいです。MFAプラン($3/User/Month、最低10Userから)の契約が必要です。保護対象のアプリケーション(RADIUS)の登録Duoの管理画面にログインし、DuoでRADIUSインテグレーション機能を使うための設定を行います。Application」を選択します。Application」をクリックします。インテグレーションキー、シークレットキー、APIホスト名が発行されるので、これらを控えておきます。Proxyに設定します。Proxyをインストールします。依存パッケージのインストールOpenSSLやPythonのdevパッケージなどをインストールします。Pythonは「2.6」または「2.7」が必要です。Unixのダウンロード最新版をダウンロードします。https://dl.duosecurity.com/duoauthproxy-latest-src.tgzビルドダウンロードしたファイルを展開しビルドします。Proxyのバージョンを指定します。Proxy最新版は「2.7.0」でした。)PYTHON=pythonでpythonコマンドのバイナリファイル名を指定します。環境によっては「python2.6」、「python2.7」といったファイル名になるかもしれません。インストールデフォルト設定でインストールします。設定ファイルは「/opt/duoauthproxy/conf/authproxy.cfg」です。設定が必要なのは[duo_only_client]セクションと[radius_server_duo_only]の2つです。それ以外の設定は全て削除またはコメントアウトします。[duo_only_client]セクションは、セクション名のみを書きます。RADIUS認証リクエストの接続ポート。ユーザー認証が拒否される設定ファイルの例[duo_only_client][radius_server_duo_only]ikey=XXXXXXXXXXXXXXXXXXXXskey=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxapi_host=api-xxxxxxxx.duosecurity.comradius_ip_1=10.0.0.100radius_secret_1=theradiussecretradius_ip_2=10.0.1.200radius_secret_2=theradiussecretclient=duo_only_clientport=1812failmode=safe共有シークレットコードは、実際には十分に複雑な文字列を設定してください。以下の通信を許可します。ADのセキュリティグループ設定WorkSpacesのマネージメントコンソールを開いて「ディレクトリ」を選択します。AD)のセキュリティグループIDを確認します。ProxyへのUDP/1812のアウトバウンド通信を許可します。ADからのUDP/1812のインバウンド通信を許可します。ADのディレクトリIDをクリックします。ADの設定で「多要素認証の有効化」にチェックを入れます。「RADIUSステータス」が「完了済み」になれば設定完了です。Duoのユーザー作成Duo側でWorkSpacesのログインユーザーと同名のユーザーを作成します。User」をクリックします。User」をクリックします。Changes」をクリックします。Email」をクリックして、ユーザーにMFA設定のためのメールを送信します。ユーザー側のMFA設定ユーザー側でMFAを設定します。今回はiPhoneを利用する場合の手順をご紹介します。Mobileをインストールしておきます。Enrollmentのメールが送信されてくるので、メール本文中のリンクをクリックします。Setup」をクリックします。認証に利用するデバイスを選択します。phoneを選択します。)国名を選択し、電話番号を入力します。phoneの種類を選択します。(iPhoneを選択します。installed」をクリックします。Mobileを起動していQRコードをスキャンします。以下の画面が表示されればMFAの設定完了です。Enrollment」をクリックします。WorkSpacesに接続WorkSpacesクライアントを起動すると、ユーザー名とパスワードに加えてMFAコードの入力欄が表示されます。Mobileを起動して表示されるMFAコードを入力します。Directoryと連携するケースが多いかと思いますが、その場合も今回ご紹介したものと同様の手順でMFAを導入することができます。WorkSpacesをよりセキュアに利用するために、MFAの導入をご検討ください。527,996Rust始めました。〜ITエンジニアのお仕事とホンネ〜2月19日に新卒向けの会社説明会〜ITエンジニアのお仕事とホンネ〜を開催します。リモート】クラスメソッドの会社説明会を開催しますクラスメソッドでは、AWS・AI・ビッグデータ・モバイルなどの技術職や営業のメンバーとして一緒にお仕事をする仲間を大募集しています。#cmdevio新型コロナウイルスの感染拡大を受け、本イベントを延期させていただくことになりました(開催時期未定)。お申し込みいただいた皆様には大変申し訳ございませんが、何卒ご理解いただけますようよろしくお願いいたします。AWSについてライトに色んな情報交換をしましょう。カフェ店長のオカノです。使いたいときの注意点を書きました。EC2)環境において、不要な踏み台サーバをなくすことができる便利なアップデートです。環境をDockerで構築してみました。臼田佳祐295ワークフロー自動化OSSのn8nをAWS環境で建てて検証してみました。非常に期待できるサービスです。Fargateの勉強をしています。使ってみたい方は参考にしてください。洋介252SnowflakeがAWSの東京リージョン上で稼働するようになりました。データを日本に置けます。芳賀健231こんにちは!猫様の忠実なるしもべ、芳賀健です。Tokyoで開催されました。クラスメソッド株式会社が運営するAWS・iOS・HTML5に関する技術情報サイトです。