「LDAP認証」カテゴリーアーカイブ

既存Webの修正不要 / Webサイトへの生体認証や多要素認証の導入方法

GoogleやSalesforceなどのサービスの利用に際しては2要素認証が必須となっています。既存で運用のWebサーバーの認証機能が「ID・パスワードのみ」もしくは、認証機能が「ない」場合に、Web側を改修することなく「リバースプロキシ」を利用して新たに認証機能を「付加」して多要素認証（MFA）や指紋認証や顔認証などの生体認証に対応する方法です。iPhone やアンドロイド携帯の指紋認証や顔認証を利用して、リバースプロキシへのアクセス認証を行う運用も可能です。

 

◉リバースプロキシとは

既存で運用のWebサーバーの前段に「リバースプロキシ」を設置します。リバースプロキシ経由で既存のWebサイトへのアクセス構成にします。

リバースプロキシには、各種のWeb認証機能を持たせることが出来ます

  • ワンタイムパスワード認証
  • SSLクライアント認証
  • AD / LDAP 認証
  • SAML認証
  • OIDC認証
  • FIDO2生体認証

認証機能対応のリバースプロキシ経由で、既存のWebへアクセスさせることにより多要素認証での運用が構成できます。リバースプロキシ先としては、LAN内に設置のWebサーバーへのアクセスも設定できます。

リバースプロキシは、導入に際して

  • リダイレクト先の既存Webを隠蔽
  • リダイレクト先の既存Webの改修は不要

 

 

◉認証機能に対応のリバースプロキシ

各種の認証機能に対応のリバースプロキシ・アプライアンスとしては、

https://www.mubit.co.jp/sub/products/blue/img2/arrow-finger.gif　Powered BLUE Reverse-Proxy

を利用すると、簡単に多要素認証での構成を簡単に構築できます。

 

WAN側に設置のWebへのアクセスに際しても、認証対応のリバースプロキシ経由で運用することが可能です。

 

◉リバースプロキシの設定

  • 複数のリバース先を設定可能
  • リバース先のポート (80 / 443 / 任意のポート番号） を指定
  • ターゲットのWebまでSSL通信での運用が可能
  • リバースプロキシーに Let’s Encrypt も利用可能

 

◉対応の認証方式

【１】 リバースプロキシ & OTP / ワンタイムパスワード認証
【２】 リバースプロキシ & Private-CA + SSLクライアント認証
【３】 リバースプロキシ & OTP / ワンタイムパスワード認証 ＋ SSLクライアント認証
【４】 リバースプロキシ & AD / LADP 認証 ( Active Directory連携 )
【５】 リバースプロキシ & SSLクライアント認証＋AD / LDAP 認証
【６】 リバースプロキシ & SAML認証 やOIDC認証( idP連携 ）
【７】 リバースプロキシ & パスワードレス生体認証（ FIDO2 / WebAuthn )

 

 

◉OTP / ワンタイムパスワード認証

ソフトウエアトークン

Google Authenticator / Microsoft Authenticator などの無償のソフトウエア・トークンに対応

構成

 

リバースプロキシへのアクセス時の手順

1）ワンタイムパスワードの表示
2）リバースプロキシにアクセス　ID / パスワード / ワンタイムパスワード入力
3）2要素認証の成功後　リバースプロキシ経由でターゲットのWebサイトの表示

 

対応のモデルは
https://www.mubit.co.jp/sub/products/blue/img2/arrow-finger.gif 　Powered BLUE Reverse-Proxy / OTP

 

 

◉Private-CA + SSLクライアント認証

Private CA 機能/SSLクライアント証明書の発行・管理および・認証とリバースプロキシまでを1台で運用

 

構成

 

SSLクライアント認証例

クライアント証明書 〇 クライアント証明書 ✕

対応のモデルは
https://www.mubit.co.jp/sub/products/blue/img2/arrow-finger.gif 　Powered BLUE Private CA / Reverse-Proxy

 

 

◉OTP/ワンタイムパスワード認証 ＋ SSLクライアント認証

１）Private CA機能
２）SSLクライアント証明書の発行・管理・認証
３）ワンタイムパスワード認証
４）リバースプロキシ

までを1台で運用

 

構成

 

リバースプロキシへのアクセス時の手順

 

対応のモデルは
https://www.mubit.co.jp/sub/products/blue/img2/arrow-finger.gif　Powered BLUE WebStation

 

 

 

◉AD / LADP 認証 ( Active Directory連携 )

Active DirectoryやLDAPと連携

リバースプロキシへのアクセス時の手順

対応のモデルは
https://www.mubit.co.jp/sub/products/blue/img2/arrow-finger.gif　　Powered BLUE Reverse-Proxy for AD / LDAP Auth

 

 

◉SSLクライアント認証＋AD / LDAP 認証

１）Private CA機能
２）SSLクライアント証明書の発行・管理・認証
３）AD認証連携
４）リバースプロキシ

までを1台で運用

 

構成

リバースプロキシへのアクセス時の手順

１）リバースプロキシへアクセス（SSLクライアント認証）
２）アカウントやパスワードを入力
３）AD / LDAP 認証
４）AD / LDAPの認証後にリバース先のWebページを表示

 

対応のモデルは
https://www.mubit.co.jp/sub/products/blue/img2/arrow-finger.gif　Powered BLUE Reverse-Proxy for AD Auth

 

 

 

◉SAML認証やOIDC認証（idP連携）

iDaaS/idPと連携

Azure ADやiDaaSなどのidPと認証連携をして、SAML認証やOIDC認証に対応のリバースプロキシとして動作 します。

 

対応のidPなど

Azure AD / TrustLogin / OneLogin / Okta / CloudGate Uno / HENNGE ONE / G Suite / Keycloak / OpenAM 他

 

リバースプロキシへのアクセス時の手順

①   SAML認証対応リバースプロキシへアクセス
②   初回のみ idP へアクセス ( シングルサインオン ）
③　idPの認証後にターゲットのWebサイトの表示

 

対応のモデルは
https://www.mubit.co.jp/sub/products/blue/img2/arrow-finger.gif　Powered BLUE Reverse-Proxy for SSO / IDaaS

 

 

◉パスワードレス生体認証（ FIDO2 / WebAuthn )

 

FIDO2対応のリバースプロキシとして動作

 

生体認証器

生体認証としては、FIDO2 / WebAuthn に対応の指紋認証や顔認証などの「生体認証器」を利用します。

 

Android / iPhone / iPad では、スマートフォンに内蔵の「生体認証」機能を利用

アンドロイド携帯 iPhone / iPad

 

 

PCでは、USBタイプの「指紋認証器」などを利用

 

指紋を登録（PCの場合）

  • 利用者はUSBタイプの「指紋認証器」をPCへ接続
  • 利用者の指紋を「指紋認証器」へ登録

 

リバースプロキシへのアクセス時の手順（PCの場合）

例　生体認証を利用したパスワードレス認証

（「認証器の所持認証」+「生体認証」の2要素認証 ）

① 生体認証対応リバースプロキシへアクセス（IDのみ入力・パスワードレス認証）
② 指紋認証（セキュリティキーへタッチ）
③ 認証後にターゲットWebへリダイレクト

 

 

リバースプロキシへのアクセス時の手順（スマートフォンの場合）

アンドロイド携帯 iPhone / iPad

 

例　生体認証を利用したパスワードレス認証
（「スマートフォン の所持認証」+「生体認証」の 2要素認証 ）

① 生体認証対応リバースプロキシへアクセス（IDのみ入力・パスワードレス認証）
② 生体認証（ スマートフォンの顔認証や指紋認証を利用 ）
③ 認証後にターゲットWebへリダイレクト

 

 

対応のモデルは
https://www.mubit.co.jp/sub/products/blue/img2/arrow-finger.gif　　Powered BLUE ReverseProxy for SSO / IDaaS

 

 

 

◉冗長構成

リバースプロキシで同期を行いHA運用にも対応

 

 

 

◉運用先

認証対応のリバースプロキシの運用先など

  • VMwareESXi / Hyper-V
  • AWS / Azure / FUJITSU Hybrid IT Service FJcloud-O / IndigoPro / VPS

 

 

◉ターゲットWebアプリなど

リバースプロキシ先のWebアプリなど

サイボウズ

 

DeskNet’s

 

X-point

File-Blog

イントラマート

Active mail

Sharepoint

楽々Workflow

Poweregg

eValueNS

NIコラボスマート

Roundcube

WordPress

 

デモサーバー

https://www.mubit.co.jp/sub/products/blue/img2/arrow-finger.gif　デモサーバー

 

 

終わりに

デモ環境で試してみたい方や詳しい話を聞いてみたい方などは、ムービットの https://www.mubit.co.jp/sub/products/blue/img2/arrow-finger.gif お問い合わせフォーム からご連絡ください。