このトピックでは、Identity as a Service (IDaaS) EIAM で WebAuthn 認証を設定・使用し、よりセキュアで便利なパスワードレスサインイン体験を実現する方法を説明します。主なメリットと設定手順を解説することで、管理者が WebAuthn を組織の ID インフラストラクチャへ迅速に統合できるよう支援します。
概要
WebAuthn は、FIDO2 標準の中核となるコンポーネントです。Web サイト向けに、クラス最高レベルのハードウェアベースのパスワードレスサインイン体験を実現します。PC のネイティブなデバイス暗号化機能と生体認証機能を活用して、Web サイトの認証を行います。
以下の 2 種類のオーセンティケーターを使用できます：
クロスプラットフォームオーセンティケーターは、YubiKey などの外部セキュリティキーで、複数のデバイスで使用できます。
プラットフォームオーセンティケーターは、Mac の Touch ID や Windows Hello など、使用しているデバイスに組み込まれている認証機能です。
詳細については「WebAuthn ガイド (外部リンク)」をご参照ください。ほとんどの最新ブラウザは WebAuthn をサポートしています。お使いのブラウザの互換性は こちら (外部リンク) でご確認いただけます。
サインインのデモ
ユーザー名だけでセキュアにサインインできます。パスワードは不要です。仕組みは以下のとおりです。
サインイン後、IDaaS アプリケーションポータルの [My Applications] ページにリダイレクトされます。このページには、[mO-Jira] や [Alibaba Cloud - SASE] など、ユーザーに割り当てられたシングルサインオン (SSO) アプリケーションが表示されます。アプリケーションカードをクリックすると、そのアプリケーションに SSO できます。アプリケーションに [Application account not configured] と表示されている場合は、まずアプリケーションアカウントを設定してください。
オーセンティケーターの登録
ユーザーは、オーセンティケーターをサインインに使用する前に、自分のアカウントに登録する必要があります。
WebAuthn を使用してサインインしたい各ユーザーは、まず [My Account] ページに移動する必要があります。[Security Information] > [WebAuthn authenticator] に移動し、[Manage] をクリックして、管理パネルで新しいオーセンティケーターを登録します。
登録プロセスは約 1 分で完了します。[Register Authenticator] をクリックした後、ブラウザに表示される指示に従って設定を完了してください。
登録後、ユーザーは有効になっている任意のオーセンティケーターをサインインに使用できます。また、登録済みのオーセンティケーターを管理することもできます。
現時点では、管理者はユーザーのオーセンティケーターを管理できません。各ユーザーが個別に登録および管理プロセスを完了する必要があります。
サインインのシナリオ
シナリオ 1：パスワードレスサインイン
WebAuthn の一般的で便利な利用方法の 1 つは、パスワードベースのサインインを置き換えることです。
ユーザーは IDaaS のサインインページにアクセスし、ユーザー名を入力して、本人確認のために WebAuthn 方式を選択します。検証が成功すると、アプリケーションにサインインします。このフローはすべての Web アプリケーションで機能します。プロセスは以下のとおりです。
IDaaS 管理者は、ログイン メニューの 一般設定 タブで WebAuthn ログイン オプションを見つけることができます。このオプションはデフォルトで無効になっています。この機能を使用するには、このオプションを有効にします。
有効にすると、サインインページに WebAuthn サインインオプションが表示されます。ユーザーはこのオプションを選択してサインインできます。以下に Mac の Touch ID を使用した例を示します。
IDaaS は、指定されたアカウントに登録されているオーセンティケーター情報を取得します。アカウントにオーセンティケーターが登録されていない場合、IDaaS はエラーを表示し、ユーザーは続行できません。
シナリオ 2：MFA
WebAuthn は、多要素認証 (MFA) のための非常にセキュアな認証要素としても使用できます。
ユーザーは通常どおりユーザー名とパスワードを入力します。MFA が有効になっている場合、ユーザーは MFA フローに入り、そこで WebAuthn オーセンティケーターを選択してセキュアにサインインできます。プロセスは以下のとおりです。
IDaaS 管理者は、ログイン メニューにある 二次認証 タブに移動します。[WebAuthn] チェックボックスを選択し、[保存] をクリックします。MFA が有効になっていることを確認してください。
有効にすると、ユーザーはサインイン後に MFA ページに進みます。ユーザーが WebAuthn オーセンティケーターを登録している場合、それを選択して迅速かつセキュアな本人確認を行うことができます。
MFA ページでは、[SMS verification code]、[email verification code]、[app-based dynamic password]、[WebAuthn authenticator] の 4 つの検証方式を利用できます。[Select WebAuthn authenticator] をクリックすると、ブラウザに本人確認のダイアログボックスが表示され、[Touch ID] を使用するかパスワードを入力することで MFA を完了できます。