MicrosoftのAzure AD ( idP ) へのログイン認証では、多要素認証として顔認証や指紋認証などの生体認証をサポートしています。Azure ADで生体認証を利用する場合には、

【A】Windows Helloの生体認証
【B】FIDO2の生体認証

の2方式が利用可能です。

ターゲットのWebサーバーの認証をAzure ADと連携させることにより、生体認証で許可されたユーザーのみをターゲットのWebへアクセスさせる運用が出来ます。

 

*　Windows Hello やFIDO2ともに、ログイン認証時の操作方法は同一です

 

 

Azure ADの認証方式

Azure ADで利用できる主な認証方式

認証方式	内容	認証操作
ID / パスワード	セキュリティ強度は低い
SMS 認証　*1	毎回異なるパスワード	入力が手間
ワンタイムパスワード認証	毎回異なるパスワード	入力が手間
SSLクライアント認証	SSLクライアント証明書の配布	操作は簡単
Windows Hello	認証器が必要	操作は簡単
FIDO2	認証器が必要	操作は簡単

*1　SalesforceではSMS認証の使用禁止 / Google ではSMS認証は非推奨

 

 

こんな場合に

• Azure ADを利用している
• Azure ADで生体認証を使いたい
• Webサイトの認証をAzure ADで行い生体認証のSSOでアクセスさせたい

 

 

 

Windows HelloやFIDO2の特徴

•   Azure ADとの認証には、公開鍵暗号方式を利用
• 　生体情報はユーザー側の認証器に格納されAzure ADなどの外部へは漏洩しません

 

 

 

【A】Windows Helloに対応の生体認証器

Windows Helloとは、Windowsへログインする際に顔認証や指紋認証などの生体認証機能を提供する機能です。Windows 10 / 11のPCに搭載されており、Windows Hello対応のWebカメラや指紋認証器などを使うことで利用が出来ます。Windows Helloの補完としてPINによる認証もサポートしています。

顔認証	ノートPCなどに付属のWindows Helloに対応のカメラ	マスク装着では認証不可
指紋認証	USB接続のWindows Helloに対応の指紋認証器	10本の指が登録できる

 

 

【A】Windows Hello＋Azure AD

Windows Helloの生体認証（顔認証や指紋認証）を利用してAzure ADの認証を行う場合には、Windows Hello for Business を使います。

 

 

 

 

【B】FIDO2に対応の生体認証器

FIDO2に対応の生体認証器は、主にUSB接続の指紋認証タイプの製品が多いです。静脈認証の製品もあります。Windows 10 / 11のPCでは、簡単にFIDO2機器への指紋の登録が出来ます。指紋の登録方法は、Windows Helloの場合と同様です。

静脈認証	USB接続のFIDO2に対応の静脈認証器	非接触での認証が可能
指紋認証	USB接続のFIDO2に対応の指紋認証器	10本の指が登録できる

 

FIDO2対応の指紋認証器

FIDO2対応の静脈認証器　富士通 /  PalmSecure Fシリーズ

 

 

【B】FIDO2＋Azure AD

FIDO2対応の生体認証（指紋認証や静脈認証など）を利用してAzure ADのログイン認証を行うことも出来ます。

 

 

 

Azure ADに対応のWeb

Azure ADはSAML認証方式をサポートしており、SAML認証に対応のWebやSaaSなどはAzure ADの認証連携でSSOでの運用が出来ます。

• ユーザーは生体認証対応のAzure ADへのログイン
• Azure ADとWebはSAML認証連携
• ユーザーはターゲットWebへアクセス

 

 

SAML認証に対応のWebサーバー

Azure AD（idP)と連携するWebサーバー（SP）としては、SAML認証に対応した「Powered BLUE Web  for SSO/IDaaS」を利用します。

 

 

 

 

 

 

* idP  アイデンティ・プロバイダー（認証機能を提供する側）
* SP  サービス・プロバイダー（認証機能を受ける側）

 

この製品は

• SAML認証対応のSP（サービスプロバイダ）機能
• Web/Mail/DNS/ftp（インターネットサーバー機能）
• Let’s Encrypt （フリープラグインで提供）
• 仮想アプライアンス
• ひとり情シスでの運用に対応

のWebアプライアンスです。Azure / AWSなどのクラウド環境や、VMware / Hyper-Vなどの仮想環境でオールインワンで運用することが出来ます。

 

 

ユーザーアカウント不要

SAML認証対応のWebサーバー側にはユーザーアカウントを作成することなくidP/Azure ADによるSAML認証を行い、Webサーバーへアクセスさせることが出来ます。またグループアクセスでのコントロールに対応しています。

グループアクセスコントロール　例

• 営業部・開発部・支店のみにアクセスを許可
• 管理職のみにアクセスを許可
• 社員・会員・代理店のみにアクセスを許可

SP機能のWebサーバー側にはユーザーアカウントがないため、Webサーバー側からのアカウント漏洩の心配はありません。

 

 

SAML認証対応のWebサイト機能

一般的なWebコンテンツのアップロードやWordPerssでのWebサイトの構築・運用に対応しています。

例

1. トップページはワールドワイドに公開
2. 特定のディレクトリは、社員や会員のみに公開

一般的なWebコンテンツのWebサイト		WordPressのWebサイト

 

 

必要な機器や環境

ユーザー側	汎用のPC
	ブラウザ
	生体認証器 Windows Hello / FIDO2
システム	Azure AD
	SAML認証対応Webシステム
運用先	VMware / Hyper-V / AWS

 

 

生体認証器

生体認証として、Windows HelloやFIDO2対応の「指紋認証器」の登録手順です。

 

 

指紋登録の手順

• 利用者はUSBタイプの「指紋認証器」をPCへ接続
• 利用者の指紋を「指紋認証器」へ登録

 

 

 

指紋登録方法

* Windows 10 / 11 ユーザーは、Windows標準機能を利用しての登録に対応しています

Windowsの「アカウント」設定項目のサインイン・オプションのセキュリティキーの登録機能からセキュリティキーへの「指紋登録」が出来ます

 

アカウントを選択

 

 

サインインオプションを選択 ( 指紋認証を選択）

 

 

 

セキュリティキー（指紋認証器）にタッチ

 

 

 

「セキュリティキーの指紋」のセットアップを選択

 

 

セキュリティキー（指紋認証器）にpinコードを設定

• 新規使用時や初期化時にpinコードを設定します
• pinコードは、指紋などの登録や再登録時にも使用します（重要）

 

 

本人の確認（指紋認証器に設定したPINコードの入力）

 

 

 

「指紋認証器」へ指紋の登録

 

 

指紋センサー（指紋認証器）にタッチ

同じ指でのタッチを、複数回繰り返し指紋を登録します

 

 

 

他の指も登録できます（合計10本まで）

 

顔認証の登録方法

Windowsの「アカウント」設定項目のサインイン・オプションのセキュリティキーの登録機能からセキュリティキーへの「顔認証の登録」が出来ます

 

アカウントを選択

 

サインインオプションを選択 ( 顔認証を選択）

 

 

PINコードを入力

 

セットアップ

 

登録終了

 

 

 

Web / SP側の設定

SAML認証に対応のWebサーバーの設定

 

 

 

 

 

 

Powered BLUE Web  for SSO/IDaaSにWebを運用する仮想サイトを作成

例　http://wp-sam.mubit.jp

 

 

 

SAML設定

SAMLのエンドポイントを指定します　　例　/

idP側のxmlのメタデータをSPへインポートします

 

 

 

 

 

 

 

SSO対応のターゲットWebへのアクセス手順

 

①   ターゲットWeb へアクセス
②   初回のみ Azure AD へアクセス ( 生体認証＆シングルサインオン ）
③　Azure ADの認証後にターゲットWebサイトの表示

* SP initiated SAML および idP initiated SAMLに対応

 

 

◆運用先

SAML認証対応Webアプライアンスの運用先など

• VMwareESXi / Hyper-V
• AWS / Azure / FUJITSU Hybrid IT Service FJcloud-O （富士通） / VPS

 

 

 

◆デモサーバー

　デモサーバー

 

 

終わりに

デモ環境で試してみたい方や詳しい話を聞いてみたい方などは、ムービットの  お問い合わせフォーム からご連絡ください。