本記事では、MFAデバイス紛失時のアカウント復旧に、管理者が一時的なMFAトークン（Temporary token）を発行する手順をご案内します。有効期限や再使用可否を設定でき、トークンは手動または自動で失効します。設定方法やログイン手順、トークン破棄方法もご説明します。
OneLogin のGenerate MFA Token（Emergency Replacement OTP Token）機能を使用すると、一定期間、他のMFAトークンの代わりに使用できる一時的なMFAトークン（Temporary token）を生成することが可能です。例えば、MFAデバイスを紛失した場合のアカウント復旧に、このトークンを使用します。
目次
1. Generate MFA Tokenの設定
- OneLoginに管理者でログインし、管理 を開きます
- Users > Users を開きます
- 対象ユーザーを選択します
-
Authentication タブに移動し、Temporary token > Generate をクリックします
- Reusable > Yes（複数回利用可能）または No（1回のみ利用可能）を選択します
*Reusableを No にして1回きりのワンタイムパスワードとした場合は、有効期限到来またはトークンを利用してログインしたタイミングのいずれか早い時点で自動的に失効されます。こちらも手動での失効は不要で、有効期限内については任意のタイミングで管理者による失効も可能です。
-
15 mins（15分間）〜 3 days（3日間）の範囲で
*期限は管理者がトークンを発行した日時から自動的に起算されます。
- 設定が完了したら、［Generate］をクリックします
- 生成されたトークンをクリップボードへコピーします
Generate MFA Tokenの設定は以上です。
3. Temporary tokenによる認証確認
- ユーザー名とパスワードを入力し、［続行する］をクリックします
-
Generate MFA Tokenの設定 で取得したトークンを貼り付け、［続行する］をクリックします
*Temporary tokenが有効な間はMFA要素の登録の有無に関わらず、下記画面が優先的に自動表示されますので、エンドユーザー様でのボタン操作等なく下記画面が表示されます。
- ユーザーポータルに遷移することを確認します
Temporary tokenによる認証確認は以上です。
4. Temporary tokenの無効化
-
Revoke をクリックし、元の認証方法に戻します
- 実際にログインを試みると、Temporary tokenではなく、元のMFAが要求されることを確認します
Temporary tokenの無効化は以上です。