idP」カテゴリーアーカイブ

Azure ADの生体認証(Windows HelloやFIDO2)の認証連携に対応のリバースプロキシ / 指紋認証や顔認証で既存Webへのアクセス認証強化

リバースプロキシの認証をAzure ADの生体認証と連携させることにより、生体認証で許可されたユーザーのみを認証対応のリバースプロキシ経由で既存のWebへアクセスさせる運用構成です。

既存Web側に「認証機能がない」もしくは「認証機能が脆弱」の場合でも、既存Web側の改修不要で、顔認証や指紋認証などで認証機能を強化してアクセスさせる運用が可能です。

ターゲットのWebは、LAN側に設置の場合でもアクセスができます。

 

 

Azure ADの認証方式

Azure ADで利用できる主な認証方式

 認証方式
 内容
 認証操作
  ID / パスワード  セキュリティ強度は低い
  SMS 認証  毎回異なるパスワード  入力が手間
  ワンタイムパスワード認証  毎回異なるパスワード  入力が手間
  SSLクライアント認証  SSLクライアント証明書の配布  操作は簡単
  Windows Hello  認証器が必要  操作は簡単
  FIDO2  認証器が必要  操作は簡単

 

 

生体認証

MicrosoftのAzure AD ( idP ) へのログイン認証では、多要素認証として顔認証や指紋認証などの生体認証をサポートしています。Azure ADで生体認証を利用する場合には、

【A】Windows Helloの生体認証
【B】FIDO2の生体認証

の2方式が利用可能です。

 

 

 

 

こんな場合に有効

  • Azure ADを利用している
  • Azure ADで生体認証を使いたい
  • 既存Webへのアクセス認証を強化したい
  • 既存Webの改修はしたくない
  • 既存WebへAzure ADの生体認証の連携経由でアクセスさせたい

 

 

 

 

【A】Windows Helloに対応の生体認証器

Windows Helloとは、Windowsへログインする際に顔認証や指紋認証などの生体認証機能を提供する機能です。Windows 10 / 11のPCに搭載されており、Windows Hello対応のWebカメラや指紋認証器などを使うことで利用が出来ます。Windows Helloの補完としてPINによる認証もサポートしています。

顔認証 ノートPCなどに付属のWindows Helloに対応のカメラ マスク装着では認証不可
指紋認証 USB接続のWindows Helloに対応の指紋認証器 10本の指が登録できる

 

 

【A】Windows Hello+Azure AD

Windows Helloの生体認証(顔認証や指紋認証)を利用してAzure ADの認証を行う場合には、Windows Hello for Business を使います。

 

 

 

 

【B】FIDO2に対応の生体認証器

FIDO2に対応の生体認証器は、主にUSB接続の指紋認証タイプの製品が多いです。静脈認証の製品もあります。Windows 10 / 11のPCでは、簡単にFIDO2機器への指紋の登録が出来ます。指紋の登録方法は、Windows Helloの場合と同様です。

指紋認証 USB接続のFIDO2に対応の指紋認証器 10本の指が登録できる
静脈認証 USB接続のFIDO2に対応の静脈認証器 非接触での認証が可能

 

FIDO2対応の静脈認証器 富士通 /  PalmSecure Fシリーズ

 

 

【B】FIDO2+Azure AD

FIDO2対応の生体認証(指紋認証や静脈認証など)を利用してAzure ADのログイン認証を行うことも出来ます。

* Windows Hello やFIDO2ともに、ログイン認証時の操作方法は同一です

 

 

 

Windows HelloやFIDO2の特徴

Windows HellowやFIDO2で利用する認証器の安全性

  • Azure ADとの認証には、公開鍵暗号方式を利用
  • 生体情報はユーザー側の認証器に格納されAzure ADなどの外部へは漏洩しません

 

 

 

Azure ADの認証連携に対応のリバースプロキシ

Azure ADはSAML認証方式をサポートしており、SAML認証に対応のリバースプロキシやSaaSなどはAzure ADの認証連携でSSOでの運用が出来ます。

  • ユーザーは生体認証対応のAzure ADへのログイン
  • Azure ADとリバースプロキシはSAML認証連携
  • ユーザーはリバースプロキシ経由でターゲットWebへアクセス

 

 

 

SAML認証に対応のリバースプロキシ

Azure AD(idP)と連携するリバースプロキシ(SP)としては、SAML認証に対応したPowered BLUE ReverseProxy for SSO / IDaaS 」を利用します。

* idP  アイデンティ・プロバイダー(認証機能を提供する側)
* SP  サービス・プロバイダー(認証機能を受ける側)

 

この製品は

  • SAML認証対応のリバースプロキシ機能(SP・サービスプロバイダ)
  • アプライアンス
  • ひとり情シス対応

のアプライアンスです。Azure / AWSなどのクラウド環境や、VMware / Hyper-Vなどの仮想環境でオールインワンで運用することが出来ます。

 

 

ユーザーアカウント不要

SAML認証対応のリバースプロキシ側にはユーザーアカウントを作成することなくidP/Azure ADによるSAML認証を行い、リバースプロキシへアクセスさせることが出来ます。また「グループアクセス」でのコントロールに対応しています。

グループアクセスコントロール 例

  • 営業部・開発部・支店のみにアクセスを許可
  • 管理職のみにアクセスを許可
  • 社員・会員・代理店のみにアクセスを許可

SP機能のリバースプロキシ側にはユーザーアカウントがないため、リバースプロキシ側からの「アカウント漏洩」の心配はありません。

 

 

 

ターゲットWebや設置場所

 

リバースプロキシ経由でアクセスさせるターゲットWebは

  • WAN側やLAN側など任意の場所に設置可能
  • リバースプロキシ経由でのアクセスに限定することで、セキュリティを確保

 

例 社内のWebへのアクセス

https://www.mubit.co.jp/sub/products/blue/img2/share-point-2-2.png https://www.mubit.co.jp/pb-blog/wp-content/uploads/2015/02/cybozu-proxy-11.png
SharePoint デスクネッツ サイボウズ

 

 

 

 

 

必要な機器や環境

ユーザー側

汎用のPC https://www.mubit.co.jp/pb-blog/wp-content/uploads/2021/10/uh55-1.png
ブラウザ https://www.mubit.co.jp/pb-blog/wp-content/uploads/2021/12/brauza-3.png
生体認証器

Windows Hello / FIDO2

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2021/12/bio-1.png https://www.mubit.co.jp/pb-blog/wp-content/uploads/2021/12/fido-usb-1.png

システム

Azure AD

SAML認証対応リバースプロキシ

運用先

VMware  / AWS / オンプレ

 

 

生体認証器

生体認証として、Windows HelloやFIDO2対応の「指紋認証器」の登録手順です。

 

 

指紋登録の手順

  • 利用者はUSBタイプの「指紋認証器」をPCへ接続
  • 利用者の指紋を「指紋認証器」へ登録

 

 

 

指紋登録方法

* Windows 10 / 11 ユーザーは、Windows標準機能を利用しての登録に対応しています

Windowsの「アカウント」設定項目のサインイン・オプションのセキュリティキーの登録機能からセキュリティキーへの「指紋登録」が出来ます

 

アカウントを選択

 

 

サインインオプションを選択 ( 指紋認証を選択)

 

 

 

セキュリティキー(指紋認証器)にタッチ

 

 

 

「セキュリティキーの指紋」のセットアップを選択

 

 

セキュリティキー(指紋認証器)にpinコードを設定

  • 新規使用時や初期化時にpinコードを設定します
  • pinコードは、指紋などの登録や再登録時にも使用します(重要)

 

 

本人の確認(指紋認証器に設定したPINコードの入力)

 

 

 

「指紋認証器」へ指紋の登録

 

 

指紋センサー(指紋認証器)にタッチ

同じ指でのタッチを、複数回繰り返し指紋を登録します

 

 

 

他の指も登録できます(合計10本まで)

 

顔認証の登録方法

Windowsの「アカウント」設定項目のサインイン・オプションのセキュリティキーの登録機能からセキュリティキーへの「顔認証の登録」が出来ます

 

アカウントを選択

 

サインインオプションを選択 ( 顔認証を選択)

 

 

PINコードを入力

 

セットアップ

 

登録終了

 

 

 

リバースプロキシ・SP側の設定

SAML認証に対応のリバースプロキシの設定

Powered BLUE Reverse Proxy  for SSO/IDaaSにリバースプロキシを運用する仮想サイトを作成

例 https://wp-sam.mubit.jp

 

 

リバースプロキシの設定

作成した仮想サイトにリバースプロキシを設定します

 

例 https://wp-sam.mubit.jp/blog/  ⇒  https://sni-1.mubit.jp/blog/

 

 

SAML設定

SAMLのエンドポイントを指定します  例 /

idP側のxmlのメタデータをSPへインポートします

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/b870-saml-13.png

 

idP側のxmlのメタデータをインポートします

SP側のxmlのメタデータをダウンロードします

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/b870-saml-13.png

 

 

SAMLの認証をかけたいdirを指定します

例 /blog

https://wp-sam.mubt.jp/blog/   にSAML認証が適用されます

 

 

 

Azure AD / idPの設定

Azure AD の前提条件

  • Azure AD Premium
  • Wndows Hello for Business  ( Windows Helloの場合 )

 

エンタープライズ アプリケーションブレード

自社独自のSAMLベースWebを登録の場合には、[エンタープライズ アプリケーション] ブレードを使用して、アプリケーションを Microsoft ID プラットフォームに接続します。

  • お使いの Microsoft ID プラットフォーム管理者アカウントを使用して、Azure Active Directory ポータルにサインインします。
  • Azure Active Directory を選択
  • [エンタープライズ アプリケーション] > [新しいアプリケーション] の順に選択します。
  • (省略可能だが推奨) [ギャラリーから追加する] 検索ボックスに、アプリケーションの表示名を入力します。 検索結果にアプリケーションが表示されたら、それを選択し、この手順の残りをスキップします。
  • [ギャラリー以外のアプリケーション] を選択します。 [独自のアプリケーションの追加] ページが表示されます。

  1. 新しいアプリケーションの表示名を入力します。
  2. [追加] を選択します。

この方法でアプリケーションを追加することにより、事前に統合されたアプリケーションに似たエクスペリエンスを提供します。 まず、アプリケーションのサイドバーから、 [シングル サインオン] を選択します。 次の画面 ( [シングル サインオン方式の選択] ) は、SSO を構成するためのオプションを示しています。

 

 

SAMLを選択

 

① 基本的なSAML構成を選択

 

SP側のxmlを読み込み

メタデータファイルをクリック

 

idPに読み込むメタデータファイルの指定(SP側のxmlファイル)

もしくは、以下の項目をxmlの内容に沿って記述します

 

Azure AD SAML の設定例

SAMLの項目

SP側のxmlの内容に従って、以下の項目を設定します。SP側のxmlファイルのアップロードでの登録も出来ます。

エンティティID

https://wp-sam.mubit.jp/endpoint/metadata

 

応答URL (Assertion Consumer Service URL )

https://wp-sam.mubit.jp/endpoint/postResponse

 

サインオンURL

https://wp-sam.mubit.jp/develop-dep/

 

リレー状態

空欄でも可能

 

ログアウトURL

空欄でも可能

② ユーザー属性とクレーム

必要に応じて設定

③ SAML署名

idP/Azure AD側のフェデレーションメタデータ(XML)をダウンロードして、SP側に登録します

 

Validate

idPおよびSP側の設定が正しければ、「Validate] ボタンをクリックすると SP側のWebページが表示されます。

正常にアクセス出来ればセットアップは終了です。

 

 

ターゲットWebへのアクセス手順

①   認証対応のリバースプロキシへアクセス
②   初回のみ Azure AD へアクセス ( 生体認証&シングルサインオン )
③ Azure ADの認証後にリバースプロキシ経由でターゲットWebサイトの表示

* SP initiated SAML および idP initiated SAMLに対応

 

 

HA構成

 シングルAZ + ロードバランサー

 

 

マルチリージョンでリバースプロキシの冗長構成での運用

  • リージョンA / 東日本データセンタ
  • リージョンB / 西日本データセンタ

 

 

 

運用先

 

SAML認証対応リバースプロキシ・アプライアンスの運用先など

  • VMwareESXi / Hyper-V
  • AWS / Azure / FUJITSU Hybrid IT Service FJcloud-O (富士通) / VPS
  • オンプレ

 

 

 

デモサーバー

https://www.mubit.co.jp/sub/products/blue/img2/arrow-finger.gif デモサーバー

 

 

終わりに

デモ環境で試してみたい方や詳しい話を聞いてみたい方などは、ムービットの https://www.mubit.co.jp/sub/products/blue/img2/arrow-finger.gif お問い合わせフォーム からご連絡ください。