多要素認証を有効にする方法, 多要素認証を設定する方法 - Elastic Desktop Service

多要素認証 (MFA) を有効にすると、エンドユーザーは WUYING Terminal にログインする際に、ユーザー名とパスワードに加えて MFA 用の動的パスワードまたは検証コードを入力する必要があります。これにより、セキュリティ保護のレイヤーが追加されます。このトピックでは、MFA を有効にする方法について説明します。

背景情報

MFA は、シンプルで効果的なセキュリティプラクティスです。オフィスネットワークまたは組織 ID レベルで MFA を有効にすると、エンドユーザーがログインするたびに、システムは 2 つのセキュリティ要素を検証します。

第一要素: ユーザー名とパスワードを入力します。
第二要素: 仮想 MFA デバイスによって生成された動的パスワード、またはショートメッセージかメールで受信した検証コードを入力します。
説明
仮想 MFA: 時間ベースのワンタイムパスワード (TOTP) アルゴリズムは、広く使用されている多要素認証プロトコルです。仮想 MFA デバイスは、 Google Authenticator や Microsoft Authenticator などの TOTP をサポートするアプリケーションであり、携帯電話などのデバイスで実行されます。ユーザーが仮想 MFA デバイスを有効にすると、ログイン時にアプリケーションによって生成された 6 桁の動的パスワードを入力する必要があります。これにより、パスワードの盗難に起因する不正ログインを防ぐことができます。

WUYING Terminal は、ソフトウェアベースの仮想 MFA デバイスをサポートしています。Google Authenticator や Microsoft Authenticator などの TOTP アプリケーションをスマートフォンにインストールして、仮想 MFA デバイスとして使用できます。

WUYING Workspace は、次の MFA 方式をサポートしています。

認証方式	サポートされるディメンション	サポートされるターミナルタイプ	サポートされるアカウントタイプ
TOTP 動的パスワード	組織 ID とオフィスネットワーク	すべて	すべて
メール検証コード	組織 ID	Windows クライアントおよび macOS クライアント (V7.6 以降) Android クライアントおよび iOS クライアント (V7.3 以降)	簡便アカウントおよび AD アカウント (メールアドレスを設定する必要があります)

オフィスネットワークで MFA を有効にする

EDS Enterprise コンソールにログインします。
左側のナビゲーションウィンドウで、[ネットワークとストレージ] > [オフィスネットワーク] を選択します。
上部のナビゲーションバーの左上隅で、リージョンを選択します。
[オフィスネットワーク] ページで、管理するオフィスネットワークのオフィスネットワーク ID をクリックします。
ページの下部にある [その他の情報] セクションで、[多要素デバイス認証] スイッチをオンにし、確認ダイアログボックスで [OK] をクリックします。
説明
クライアントログイン検証とシングルサインオン (SSO) の設定が無効になっていることを確認してください。

MFA を有効にすると、オフィスネットワークを使用するエンドユーザーは、WUYING Terminal にログインするときに MFA の動的パスワードを入力する必要があります。

組織 ID で MFA を有効にする

EDS Enterprise コンソールにログインします。
左側のナビゲーションウィンドウで、[ユーザー] > [ログイン設定] を選択します。
[ログイン] ページの [セキュリティ設定] タブで、[多要素デバイス認証] を [有効] に設定します。
確認ダイアログボックスで、認証方式を選択します。
1. TOTP 動的パスワード
  Google Authenticator などの一般的なワンタイムパスワード (OTP) アプリを第二要素認証に使用します。
2. メール検証コード
  この方式は、デスクトップクライアント V7.6 以降およびモバイルクライアント V7.3 以降でのみサポートされます。簡便アカウントおよび AD アカウントに適用されます。
  説明
  選択したアカウントにメールボックスが設定されていない場合、ユーザーは検証を完了できません。

MFA を有効にすると、組織 ID を使用するエンドユーザーは、WUYING Terminal にログインするときに、認証方式で要求される動的パスワードまたは検証コードを入力する必要があります。

MFA デバイスの削除

コンソールで TOTP ベースの多要素認証を有効にすると、エンドユーザーは初めてログインするときに仮想 MFA デバイスをアタッチする必要があります。エンドユーザーが仮想 MFA デバイスを置き換えた場合、コンソールで元の仮想 MFA デバイスを削除できます。デバイスが削除された後、ユーザーは次回のログイン時に新しい仮想 MFA デバイスをアタッチする必要があります。

簡易ユーザにアタッチされた MFA デバイスの削除

左側のナビゲーションウィンドウで、[リソース] > [クラウドコンピューター] を選択します。
左側のナビゲーションウィンドウで、[ユーザー] > [ユーザーと組織]を選択します。
[ユーザーと組織] ページの [ユーザー] タブで、対象のユーザーを見つけ、[アクション] 列の ⋮ アイコンをクリックし、[ユーザー MFA デバイスの管理] を選択します。
[ユーザー MFA デバイスの管理] ダイアログボックスで、削除する仮想 MFA デバイスを見つけ、[アクション] 列の [削除] をクリックし、[確認] をクリックします。

エンタープライ AD アカウントにアタッチされた MFA デバイスの削除

オフィスネットワーク配下のエンタープライズ AD ユーザーにアタッチされた MFA デバイスを削除する

左側のナビゲーションウィンドウで、[リソース] > [クラウドコンピューター] を選択します。
上部のナビゲーションバーの左上隅で、リージョンを選択します。
[WUYING Workspace] ページで、エンタープライズ AD ユーザーに割り当てられたクラウドコンピューターを見つけ、[アクション] 列の ⋮ アイコンをクリックし、[ユーザー MFA デバイスの管理] を選択します。
[ユーザー MFA デバイスの管理] パネルで、プロンプトに従って仮想 MFA デバイスを削除します。

説明

オフィスネットワークに対して MFA が有効になっており、エンドユーザーがエンタープライズ AD アカウントで WUYING Terminal にログインする際に 10 回連続で誤った動的パスワードを入力した場合、アタッチされた仮想 MFA デバイスは 1 時間ロックされます。このロック期間中に、UnlockVirtualMFADevice 操作を呼び出してデバイスのロックを解除できます。または、DeleteVirtualMFADevice 操作を呼び出してデバイスを削除することもできます。その後、エンドユーザーは新しい仮想 MFA デバイスをアタッチする必要があります。

組織 ID 配下のエンタープライズ AD ユーザーにアタッチされた MFA デバイスを削除する

左側のナビゲーションウィンドウで、[リソース] > [クラウドコンピューター] を選択します。
左側のナビゲーションウィンドウで、[ユーザー] > [ログイン設定] を選択します。
[ログイン] ページの [セキュリティ設定] タブで、対象の AD ドメイン名を見つけ、ドメイン名の横にある [ユーザー MFA デバイスの管理] をクリックします。
[ユーザー MFA デバイスの管理] パネルで、プロンプトに従って仮想 MFA デバイスを削除します。