RAM ユーザーのパスキーをバインドする - Resource Access Management

パスキーとは

パスキーは、デバイスに内蔵された指紋リーダー、顔認証、または画面ロック PIN を使用して、RAM ユーザーとして Alibaba Cloud に安全かつ便利にログインするための新しいパスワードレス認証方式です。パスキーは多要素認証 (MFA) の形式としても使用できます。パスキーは FIDO2 標準に基づいており、公開鍵暗号方式を使用しています。パスキーを作成すると、デバイスはキーペアを生成します。

秘密鍵はローカルデバイスにのみ保存され、アップロードされたり公開されたりすることはありません。これはお客様固有の鍵として機能します。
公開鍵は Alibaba Cloud が保存し、錠前として機能します。

ログインまたは認証を行う際、Alibaba Cloud は公開鍵を使用してデバイスに認証チャレンジを送信します。ローカルの秘密鍵と生体認証の組み合わせのみが、これを解除できます。Alibaba Cloud サービスとデバイス間で自動的に検証が行われるため、プロセス全体でパスワードの入力は不要です。生体認証情報がデバイスから外部に出ることはなく、アカウントのセキュリティを向上させ、ログインを簡素化します。

パスキーを使用する理由

フィッシング耐性：各パスキーは特定のウェブサイトにバインドされます。これにより、詐欺サイトや模倣サイトでは使用できず、フィッシング攻撃を防ぎます。
パスワード記憶が不要：脆弱なパスワード、パスワードの使い回し、または不適切なパスワードの保存に関連するリスクを排除します。
迅速かつ便利：生体認証により、従来のパスワードや認証コードを使用するよりも、ログインが大幅に高速化されます。
簡素化された多要素認証：パスキーは本質的に多要素認証の性質を持つため、認証コードの入力などの余分な手順を省き、認証を合理化します。

制限事項

1 人の RAM ユーザーにつき、最大 5 つのパスキーをバインドできます。デバイスを紛失または変更した場合のアカウントロックアウトを防ぐため、頻繁に使用するすべてのデバイスにパスキーをバインドし、バックアップ方法としてセキュリティメールアドレスを設定することを推奨します。
RAM ユーザーにバインドする各パスキーには、異なるデバイスを区別しやすくするため、一意の名前を付ける必要があります。

パスキーに対応しているデバイス

お使いのデバイスとソフトウェアが、次のバージョン要件を満たしていることを確認してください。

ブラウザのバージョン

Google Chrome：108 以降
Microsoft Edge：108 以降
Safari：16.1 以降
Firefox：122 以降

コンピューター

Windows 10 および Windows 11 は、パスキーをローカルに保存し、Windows Hello で認証することに対応しています。
macOS Ventura 13 以降は、iCloud キーチェーンにパスキーを保存することに対応しており、これによりデバイス間で同期できます。すべてのデバイスがシステムバージョンの要件を満たしていることを確認してください。
Google Chrome や Microsoft Edge などの対応ブラウザにパスキーを保存して、複数のデバイス間で同期できます。

モバイルデバイス

iOS 14.5 以降は、デバイスにパスキーをローカルに保存することに対応しています。iOS 16 以降は、iCloud キーチェーンにパスキーを保存してデバイス間で同期することに対応しています。
iOS 14.5 以降では、対応モバイルブラウザにパスキーを保存できます。
メーカーによる Android オペレーティングシステムへのカスタマイズのため、多くの Android スマートフォンはネイティブではパスキーに対応していません。Google Chrome ブラウザを使用してパスキーを保存することを推奨します。
コンピューターでパスキーのバインドを開始し、QR コードをスキャンしてモバイルデバイスにパスキーを保存する場合、iOS 14.5 以降はローカルへの保存に対応しています。他の iOS バージョンまたは Android デバイスの場合は、Google Chrome ブラウザを使用してパスキーを保存することを推奨します。

その他のデバイス

FIDO2 準拠のセキュリティキーに対応しています。これらのデバイスは、USB ポート、Bluetooth、または NFC を介してコンピューターやモバイルデバイスに接続できます。U2F デバイスは、セキュリティキーとして機能するようにアップグレードできます。

RAM ユーザーのパスキーのバインド

RAM ユーザーのパスキーをコンピューターにバインドして保存できます。コンピューターの指紋リーダー、顔認証、または PIN を認証に使用できます。また、QR コードをスキャンしてモバイルデバイスにパスキーをバインドしたり、FIDO2 準拠のセキュリティキーをバインドしたりすることもできます。

ログインページ

RAM ユーザーが初めてコンソールにログインするときに、パスキーをバインドできます。

RAM ユーザーログインページにアクセスし、RAM ユーザー名とログインパスワードを入力します。
[Passkey] を選択します。
[パスキーのバインド] ページで、パスキーの名前を入力し、[バインド] をクリックします。

パスキー名は、複数のデバイスを区別するのに役立ちます。パスキー名は、その RAM ユーザー内で一意である必要があります。名前は後で変更できます。
デバイスの認証プロンプトが表示されます。画面の指示に従って、コンピューター、モバイルデバイス、または外部セキュリティキーを選択してバインドを完了します。
バインド結果を確認します。

[パスキー] ページで、新しく作成されたパスキーがリストに表示されます。[パスキー名]、[パスキー ID]、[作成時刻]、[最終使用日時] を表示できます。パスキーを削除するには、[操作] 列の [削除] をクリックします。

セキュリティ情報ページ

RAM ユーザーログインページにアクセスし、RAM ユーザーとして Alibaba Cloud コンソールにログインします。
右上のプロフィール画像にカーソルを合わせ、[セキュリティ情報] をクリックします。
[パスキー] セクションで、[パスキーの作成] をクリックします。
パスキーの名前を入力し、[バインド] をクリックします。

パスキー名は、複数のデバイスを区別するのに役立ちます。パスキー名は、その RAM ユーザー内で一意である必要があります。名前は後で変更できます。
デバイスの認証プロンプトが表示されます。画面の指示に従って、コンピューター、モバイルデバイス、または外部セキュリティキーを選択してバインドを完了します。
バインド結果を確認します。

新しくバインドされたパスキーがパスキーリストに表示されます。[パスキー名]、[パスキー ID]、[作成時刻]、[最終使用日時] を表示できます。パスキーを削除するには、[操作] 列の [削除] をクリックします。

パスキーの削除

デバイスを交換または紛失した場合、またはパスキーを使用する必要がなくなった場合は、パスキーを削除する必要があります。

RAM ユーザーログインページにアクセスし、RAM ユーザーとして Alibaba Cloud コンソールにログインします。
右上のプロフィール画像にカーソルを合わせ、[セキュリティ情報] をクリックします。
[パスキー] セクションで、削除するパスキーを見つけ、[操作] 列の [削除] をクリックします。
[パスキーの削除] ダイアログボックスで、[OK] をクリックします。

パスキーでのログイン

パスキーは、安全なパスワードレス認証方法を提供します。生体認証 (指紋や顔認証) やローカル PIN など、デバイスに組み込まれた認証機能を使用してログインできます。

前提条件

管理者による設定: 管理者は、RAM ユーザーがパスキーでログインできるようにするオプションを有効にする必要があります。この設定は、新しいアカウントではデフォルトで有効になっています。この設定を変更するには:
1. Alibaba Cloud アカウントを使用するか、AliyunRAMFullAccess ポリシーがアタッチされた RAM ユーザーである RAM 管理者として、RAM コンソールにログインします。
2. 「設定項目」ページの「セキュリティ」セクションで、[変更] をクリックします。
3. [セキュリティ] パネルで、[ユーザーのパスキーによるログインを許可] をオンにします。
ユーザーパスキー登録: RAM ユーザー用にパスキー (Touch ID や Windows Hello など) をすでに登録している必要があります。詳細については、「パスキーまたはセキュリティキーの登録」をご参照ください。

ログイン手順

RAM ユーザーログインページに移動します。
ユーザーログイン名を <RAM-Username>@<Default-Logon-Suffix> または <RAM-Username>@<Custom-Logon-Suffix> のフォーマットで入力し、[次へ] をクリックします。デフォルトおよびカスタムのログインサフィックスを表示または変更する方法の詳細については、「RAM ユーザーログインサフィックス」をご参照ください。
[パスキーログイン] をクリックします。パスキー認証に失敗した場合は、[パスワードを使用してログイン] をクリックして、代わりにパスワードでログインします。
ブラウザにパスキーで認証するようプロンプトが表示されます。複数のパスキーを登録している場合は、使用するパスキーを選択します。
認証が正常に完了すると、コンソールにログインします。