ユーザーポリシーの設定 - ハードウェアトークン – ペンティオヘルプセンター

本記事では、OneLogin で ハードウェアトークン を多要素認証（MFA）として利用するためのユーザーポリシーの設定手順をご案内します。ハードウェアトークンの登録、APIトークン取得、ユーザーポリシー作成、ユーザーやグループへのポリシー割り当て方法をご説明します。

ハードウェアトークン を利用すると、ユーザー名とパスワードに加え、ハードウェアで生成されるワンタイムパスワード（OTP）の入力が要求され、OneLogin のセキュリティをより一層強化できます。

*OneLoginでは、OTPの生成時間間隔が30秒で、6桁の数字を生成するハードウェアトークンのみに対応しております。ハードウェアトークンのシード値は、バイナリに変換後、Base64形式 に変換する必要があります。必ず Hex to Base64 Converter を用いて、Base64に変換してください。登録したハードウェアトークンの情報は、米国One Identity社でのみ削除が可能です。もし誤ったハードウェアトークンのIDや生成時間間隔などを登録してしまった場合は、ペンティオヘルプサポートまでお問い合わせください。ペンティオでは、飛天ジャパン株式会社が提供する C200 にて動作確認を行いました。そのほかのハードウェアトークンにつきましては確認を行なっておらず、動作の保証はできかねますことをご承知おきください。

前提条件

OneLoginのライセンスプランが SSO, Advanced, Professional または旧ライセンスプラン Starter, Enterprise, Unlimited のいずれかであること
OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
ハードウェアトークンのID、およびシード値を所有していること

1. OneLogin APIトークンの取得

OneLoginに管理者でログインし、管理を開きます
Developers > API Credentials を選択します
［New Credential］をクリックします
任意の Name を入力し、Manage All を選択します
［Save］をクリックします
Client ID と Client Secret をクリップボードにコピーします
［Done］をクリックします

2. ハードウェアトークンの登録

下記記事の「2. Postman側の設定」を実施し、OneLogin APIのアクセストークンを取得します
Postmanを使用してOneLogin APIから情報を取得する
ハードウェアトークンの登録用コレクションを追加するため、［+］> ［Collection］をクリックします
任意のコレクション名を入力します
Authorizationタブに移動します
Auth Typeを Bearer Token、Tokenを{{access_token}}に設定します
ご利用端末がmacOSの場合は cmd + S、Windowsの場合は ctrl + S を実行し、設定内容を保存します
［Add request］を選択します
任意のリクエスト名を入力します
HTTPリクエストのメソッドを POST に変更します
https://{{api-domain}}/api/v5/oath_tokens/import を入力します
Bodyタブに移動します
Bodyの形式をnoneからrawに変更します
下記の形式でお手元のハードウェアトークンの情報を入力します。トークン自体に記載されているID、およびハードウェアメーカーやベンダーから受け取ったシード値を利用します
*本手順で登録する情報は、お手元では削除できず、米国One Identityのみで削除が可能です。IDやシード値に間違いがないことを今一度ご確認ください。
*seed には、下記コンバータを用いて変換したBase64形式のシード値をご設定ください。
Hex to Base64 Converter
```
[
    { "id" : "<ハードウェアトークンのID>", "seed" : "<ハードウェアトークンのシード値(Base64形式)>", "interval" : "30", "digits" : "6" }
]
```
［Save］をクリックします
［Send］をクリックします
APIを実行したレスポンスコードが 201 Created、レスポンスボディに "tokens_imported": "[\"ハードウェアトークンのID\"]" が記載されていたら、正常に登録完了です

3. ユーザーポリシーの作成

Security > Authentication Factors を開きます
［New Auth Factor］をクリックします
OATH Hardware Token の［Choose］をクリックします
任意の認証要素名を設定し、［Save］をクリックします
*認証要素名はエンドユーザーによるトークン登録時に表示されます。
Security > Policies に移動します
［New User Policy］をクリックします
任意のポリシー名を入力します
MFAタブに移動します
Multi-Factorにて、設定した認証要素のみにチェックが入るように設定します
*そのほかの認証要素の利用も許可する場合は、ほかの要素にチェックが入っていても問題ありません。
Enforcement Settings > OTP required for を All users に設定します
その他、パスワードポリシーやログインセッション時間の設定などを行います
［Save］をクリックします
ユーザーポリシー設定の保存時、OneLoginがデフォルトで定めているパスワードポリシーよりも低いパスワードポリシーの場合、下記画像のように警告が出る場合があります。問題ないことをお確かめの上、［Confirm］をクリックします