本記事では、iOS 16以降やAndroid 9以降で利用可能なパスキー機能を用いたMFA認証をご案内します。パスキーはFIDOクレデンシャルの一種で、生体認証を活用しQRコードを読み取ることで多要素認証を実現します。管理者が認証要素を追加しポリシーを作成、ユーザーは端末で設定を行う手順もご説明します。
パスキーを利用すると、ユーザー名とパスワードに加え、Microsoft、Apple、Googleが対応しているFIDOクレデンシャルが要求され、OneLogin のセキュリティをより一層強化できます。また、端末に登録されている生体情報を利用した生体認証をかけることができるため、端末を外付けの生体認証デバイスのように利用することが可能となります。パスキーを利用したログインフローは iOSのパスキー対応 もご参照ください。
目次
前提条件
- OneLoginのライセンスプラン が SSO, Advanced, Professional または旧ライセンスプラン Starter, Enterprise, Unlimited のいずれかであること
- OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
- iOS 16以降 や Android 9以降 でパスキーに対応した端末をお持ちであること
パスキー認証の利用方法
パスキーを利用するにはAuthentication FactorとしてWeb Authnを利用する必要があります。まず管理者がパスキーを利用するためのAuthentication Factorを追加し、それを利用するポリシーを作成します。そのポリシーを割り当てられたユーザーは、各自でパスキー利用の準備をします。（既にWeb Authnをご利用中のお客様はMFAファクタの登録、ポリシーの作成は不要です。ご利用中のポリシーを変更して対応可能です。）
1. 管理者側の操作
ここでは例として”Web Authnを利用したことがないお客様がWeb AuthnをMFAファクタに追加し、ポリシーを作成する”際の手順をご紹介します
- OneLoginに管理者でログインし、管理 を開きます
- Security > Authentication Factors を開きます
- ［New Auth Factor］をクリックします
-
Web Authn の［Choose］をクリックします
- 任意の認証要素名を入力し、［Save］をクリックします
- Security > Policies を選択します
- ［New User Policy］をクリックします
- ポリシー名を入力します
例）パスキー
-
MFAタブ > OTP Auth Required にチェックを入れ、先ほど追加したAuthentication Factorにチェックを入れます
- MFAの要求頻度やセッション時間等を設定し、［Save］をクリックします
2. エンドユーザー側の操作
ここでは例として、”既にMFAを登録済みのユーザーが、追加のMFAファクタとしてパスキーを登録する”際の手順をご紹介します
- OneLoginにログインし、［プロフィール］をクリックします
-
セキュリティ要素 タブに移動し、［ファクタを追加］をクリックします
- ［別のデバイス］をクリックします
- QRコードを表示し、iPhoneで読み取ります
- ［続ける］をタップします
- 生体認証が要求されます
- サインインが完了すると”完了”と表示されます
パスキーの利用方法は以上です。