SSO」カテゴリーアーカイブ

Azure ADの生体認証(Windows HelloやFIDO2)の認証連携に対応のWebサー バーを構築運用 / 指紋認証や顔認証でWebへアクセス

MicrosoftのAzure AD ( idP ) へのログイン認証では、多要素認証として顔認証や指紋認証などの生体認証をサポートしています。Azure ADで生体認証を利用する場合には、

【A】Windows Helloの生体認証
【B】FIDO2の生体認証

の2方式が利用可能です。

ターゲットのWebサーバーの認証をAzure ADと連携させることにより、生体認証で許可されたユーザーのみをターゲットのWebへアクセスさせる運用が出来ます。

 

* Windows Hello やFIDO2ともに、ログイン認証時の操作方法は同一です

 

 

Azure ADの認証方式

Azure ADで利用できる主な認証方式

 認証方式
 内容
 認証操作
  ID / パスワード  セキュリティ強度は低い
  SMS 認証 *1  毎回異なるパスワード  入力が手間
  ワンタイムパスワード認証  毎回異なるパスワード  入力が手間
  SSLクライアント認証  SSLクライアント証明書の配布  操作は簡単
  Windows Hello  認証器が必要  操作は簡単
  FIDO2  認証器が必要  操作は簡単

*1 SalesforceではSMS認証の使用禁止 / Google ではSMS認証は非推奨

 

 

こんな場合に

  • Azure ADを利用している
  • Azure ADで生体認証を使いたい
  • Webサイトの認証をAzure ADで行い生体認証のSSOでアクセスさせたい

 

 

 

Windows HelloやFIDO2の特徴

  • https://www.mubit.co.jp/pb-blog/wp-content/uploads/2021/12/key-4-1.png  Azure ADとの認証には、公開鍵暗号方式を利用
  • https://www.mubit.co.jp/pb-blog/wp-content/uploads/2021/12/key-3-1.png 生体情報はユーザー側の認証器に格納されAzure ADなどの外部へは漏洩しません

 

 

 

【A】Windows Helloに対応の生体認証器

Windows Helloとは、Windowsへログインする際に顔認証や指紋認証などの生体認証機能を提供する機能です。Windows 10 / 11のPCに搭載されており、Windows Hello対応のWebカメラや指紋認証器などを使うことで利用が出来ます。Windows Helloの補完としてPINによる認証もサポートしています。

顔認証 ノートPCなどに付属のWindows Helloに対応のカメラ マスク装着では認証不可
指紋認証 USB接続のWindows Helloに対応の指紋認証器 10本の指が登録できる

 

 

【A】Windows Hello+Azure AD

Windows Helloの生体認証(顔認証や指紋認証)を利用してAzure ADの認証を行う場合には、Windows Hello for Business を使います。

 

 

 

 

【B】FIDO2に対応の生体認証器

FIDO2に対応の生体認証器は、主にUSB接続の指紋認証タイプの製品が多いです。静脈認証の製品もあります。Windows 10 / 11のPCでは、簡単にFIDO2機器への指紋の登録が出来ます。指紋の登録方法は、Windows Helloの場合と同様です。

静脈認証 USB接続のFIDO2に対応の静脈認証器 非接触での認証が可能
指紋認証 USB接続のFIDO2に対応の指紋認証器 10本の指が登録できる

 

FIDO2対応の指紋認証器

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2021/12/bio-1.png https://www.mubit.co.jp/pb-blog/wp-content/uploads/2021/12/fido-usb-1.png

FIDO2対応の静脈認証器 富士通 /  PalmSecure Fシリーズ

 

 

【B】FIDO2+Azure AD

FIDO2対応の生体認証(指紋認証や静脈認証など)を利用してAzure ADのログイン認証を行うことも出来ます。

 

 

 

Azure ADに対応のWeb

Azure ADはSAML認証方式をサポートしており、SAML認証に対応のWebやSaaSなどはAzure ADの認証連携でSSOでの運用が出来ます。

  • ユーザーは生体認証対応のAzure ADへのログイン
  • Azure ADとWebはSAML認証連携
  • ユーザーはターゲットWebへアクセス

 

 

SAML認証に対応のWebサーバー

Azure AD(idP)と連携するWebサーバー(SP)としては、SAML認証に対応したPowered BLUE Web  for SSO/IDaaS」を利用します。

* idP  アイデンティ・プロバイダー(認証機能を提供する側)
* SP  サービス・プロバイダー(認証機能を受ける側)

 

この製品は

  • SAML認証対応のSP(サービスプロバイダ)機能
  • Web/Mail/DNS/ftp(インターネットサーバー機能)
  • Let’s Encrypt (フリープラグインで提供)
  • 仮想アプライアンス
  • ひとり情シスでの運用に対応

のWebアプライアンスです。Azure / AWSなどのクラウド環境や、VMware / Hyper-Vなどの仮想環境でオールインワンで運用することが出来ます。

 

 

ユーザーアカウント不要

SAML認証対応のWebサーバー側にはユーザーアカウントを作成することなくidP/Azure ADによるSAML認証を行い、Webサーバーへアクセスさせることが出来ます。またグループアクセスでのコントロールに対応しています。

グループアクセスコントロール 例

  • 営業部・開発部・支店のみにアクセスを許可
  • 管理職のみにアクセスを許可
  • 社員・会員・代理店のみにアクセスを許可

SP機能のWebサーバー側にはユーザーアカウントがないため、Webサーバー側からのアカウント漏洩の心配はありません。

 

 

SAML認証対応のWebサイト機能

一般的なWebコンテンツのアップロードやWordPerssでのWebサイトの構築・運用に対応しています。

  1. トップページはワールドワイドに公開
  2. 特定のディレクトリは、社員や会員のみに公開
一般的なWebコンテンツのWebサイト WordPressのWebサイト

 

 

必要な機器や環境

ユーザー側

汎用のPC https://www.mubit.co.jp/pb-blog/wp-content/uploads/2021/10/uh55-1.png
ブラウザ https://www.mubit.co.jp/pb-blog/wp-content/uploads/2021/12/brauza-3.png
生体認証器

Windows Hello / FIDO2

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2021/12/bio-1.png https://www.mubit.co.jp/pb-blog/wp-content/uploads/2021/12/fido-usb-1.png

システム

Azure AD

SAML認証対応Webシステム

運用先

VMware / Hyper-V / AWS

 

 

生体認証器

生体認証として、Windows HelloやFIDO2対応の「指紋認証器」の登録手順です。

 

 

指紋登録の手順

  • 利用者はUSBタイプの「指紋認証器」をPCへ接続
  • 利用者の指紋を「指紋認証器」へ登録

 

 

 

指紋登録方法

* Windows 10 / 11 ユーザーは、Windows標準機能を利用しての登録に対応しています

Windowsの「アカウント」設定項目のサインイン・オプションのセキュリティキーの登録機能からセキュリティキーへの「指紋登録」が出来ます

 

アカウントを選択

 

 

サインインオプションを選択 ( 指紋認証を選択)

 

 

 

セキュリティキー(指紋認証器)にタッチ

 

 

 

「セキュリティキーの指紋」のセットアップを選択

 

 

セキュリティキー(指紋認証器)にpinコードを設定

  • 新規使用時や初期化時にpinコードを設定します
  • pinコードは、指紋などの登録や再登録時にも使用します(重要)

 

 

本人の確認(指紋認証器に設定したPINコードの入力)

 

 

 

「指紋認証器」へ指紋の登録

 

 

指紋センサー(指紋認証器)にタッチ

同じ指でのタッチを、複数回繰り返し指紋を登録します

 

 

 

他の指も登録できます(合計10本まで)

 

顔認証の登録方法

Windowsの「アカウント」設定項目のサインイン・オプションのセキュリティキーの登録機能からセキュリティキーへの「顔認証の登録」が出来ます

 

アカウントを選択

 

サインインオプションを選択 ( 顔認証を選択)

 

 

PINコードを入力

 

セットアップ

 

登録終了

 

 

 

Web / SP側の設定

SAML認証に対応のWebサーバーの設定

Powered BLUE Web  for SSO/IDaaSにWebを運用する仮想サイトを作成

例 http://wp-sam.mubit.jp

 

 

 

SAML設定

SAMLのエンドポイントを指定します  例 /

idP側のxmlのメタデータをSPへインポートします

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/b870-saml-13.png

 

 

samlの有効化

設定のSAMLを有効にします

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/b870-saml-15.png

 

 

Azure AD / idPの設定

Azure AD の前提条件

  • Azure AD Premium
  • Wndows Hello for Business  ( Windows Helloの場合 )

 

エンタープライズ アプリケーションブレード

自社独自のSAMLベースWebを登録の場合には、[エンタープライズ アプリケーション] ブレードを使用して、アプリケーションを Microsoft ID プラットフォームに接続します。

  • お使いの Microsoft ID プラットフォーム管理者アカウントを使用して、Azure Active Directory ポータルにサインインします。
  • Azure Active Directory を選択
  • [エンタープライズ アプリケーション] > [新しいアプリケーション] の順に選択します。
  • (省略可能だが推奨) [ギャラリーから追加する] 検索ボックスに、アプリケーションの表示名を入力します。 検索結果にアプリケーションが表示されたら、それを選択し、この手順の残りをスキップします。
  • [ギャラリー以外のアプリケーション] を選択します。 [独自のアプリケーションの追加] ページが表示されます。

  1. 新しいアプリケーションの表示名を入力します。
  2. [追加] を選択します。

この方法でアプリケーションを追加することにより、事前に統合されたアプリケーションに似たエクスペリエンスを提供します。 まず、アプリケーションのサイドバーから、 [シングル サインオン] を選択します。 次の画面 ( [シングル サインオン方式の選択] ) は、SSO を構成するためのオプションを示しています。

 

 

SAMLを選択

 

① 基本的なSAML構成を選択

 

SP側のxmlを読み込み

メタデータファイルをクリック

 

idPに読み込むメタデータファイルの指定(SP側のxmlファイル)

もしくは、以下の項目をxmlの内容に沿って記述します

Azure AD SAML の設定例

SAMLの項目

SP側のxmlの内容に従って、以下の項目を設定します。SP側のxmlファイルのアップロードでの登録も出来ます。

エンティティID

https://wp-sam.mubit.jp/endpoint/metadata

 

応答URL (Assertion Consumer Service URL )

https://wp-sam.mubit.jp/endpoint/postResponse

 

サインオンURL

https://twp-sam.mubit.jp/develop-dep/

 

リレー状態

空欄でも可能

 

ログアウトURL

空欄でも可能

② ユーザー属性とクレーム

必要に応じて設定

③ SAML署名

idP/Azure AD側のフェデレーションメタデータ(XML)をダウンロードして、SP側に登録します

 

Validate

idPおよびSP側の設定が正しければ、「Validate] ボタンをクリックすると SP側のWebページが表示されます。

 

 

Webページに正常にアクセス出来ればセットアップは終了です。

一般的なWebコンテンツのWebサイト WordPressのWebサイト

 

 

 

SSO対応のターゲットWebへのアクセス手順

 

①   ターゲットWeb へアクセス
②   初回のみ Azure AD へアクセス ( 生体認証&シングルサインオン )
③ Azure ADの認証後にターゲットWebサイトの表示

* SP initiated SAML および idP initiated SAMLに対応

 

 

運用先

SAML認証対応Webアプライアンスの運用先など

  • VMwareESXi / Hyper-V
  • AWS / Azure / FUJITSU Hybrid IT Service FJcloud-O (富士通) / VPS

 

 

 

デモサーバー

https://www.mubit.co.jp/sub/products/blue/img2/arrow-finger.gif デモサーバー

 

 

終わりに

デモ環境で試してみたい方や詳しい話を聞いてみたい方などは、ムービットの https://www.mubit.co.jp/sub/products/blue/img2/arrow-finger.gif お問い合わせフォーム からご連絡ください。