ITトレンドがおすすめする製品・サービス
- ■認証要素別
- 認証アプリ（ワンタイムパスワード・プッシュ通知）：SeciossLink（セシオスリンク）、Secioss Access Manager Enterprise（SAME）
- FIDO2・パスキー：SeciossLink（セシオスリンク）、IIJ IDサービス、Secioss Access Manager Enterprise（SAME）、YubiKey as a Service、TrustBind、YubiKey、ATKey.Card
- 生体認証：YubiKey as a Service、Okta Workforce Identity、ATKey.Card
- ハードウェアトークン：Secioss Access Manager Enterprise（SAME）、YubiKey as a Service、YubiKey
- ■接続先との連携方式別
- SAMLによるクラウドサービス連携：SeciossLink（セシオスリンク）、IIJ IDサービス、Secioss Access Manager Enterprise（SAME）、Gluegent Gate（グルージェント ゲート）、AXIOLE、TrustBind
- RADIUSによるネットワーク機器との連携：AXIOLE
- パソコンへのログオン：Okta Workforce Identity、おくとパスBusiness
MFAツールの乗り換えで引き継げないもの
MFAツールの乗り換えでは、利用者のアカウント情報は移せても、認証に使う秘密の情報は移せないことがあります。何を引き継げて何をやり直すのかを、最初に整理しておきましょう。
認証アプリに登録した秘密鍵
認証アプリでワンタイムパスワードを表示する方式では、ツール側と利用者のスマートフォンが共通の秘密鍵（シード）を持っています。この秘密鍵は安全のため外部に書き出せない設計の製品もあり、乗り換え先のツールへそのまま移せない場合があります。
そのため、社員は新しいツールの登録画面でQRコードを読み取るなどの手順をやり直す必要があります。移行できる範囲はツールの組み合わせによって異なるため、乗り換え先の提供会社に確認しましょう。
ハードウェアトークンの扱い
USBキーやカード型のワンタイムパスワード端末などのハードウェアトークンは、乗り換え先で使い続けられるかを個別に確認します。FIDO2に対応したセキュリティキーは、対応するサービスであれば再登録して使える場合があります。
一方、特定のツール専用のトークンは、乗り換え後に使えなくなる可能性があります。配布済みの台数、利用者、保管場所を一覧にし、回収や買い替えの費用と手間も乗り換えの見積もりに含めておきましょう。
利用者の登録情報と例外設定
アカウントの一覧や所属グループは、ID管理の仕組み（IdP）や人事データと連携していれば、乗り換え先へ同期させやすい情報です。一方、SMS認証用の電話番号や、利用者ごとに設定した例外ルールは、ツール側だけに保存されている場合があります。
特定の端末からのみ多要素認証を省略する設定や、一時的に認証を免除した利用者などは、理由を確認してから移行するかを判断します。不要な例外を持ち込まないことで、乗り換え後の安全性を保ちやすくなります。
多要素認証をかけている接続先の洗い出し
MFAツールは、クラウドサービス、VPN、パソコンへのログオンなど、複数の接続先と連携しています。乗り換えでは、連携方式ごとに切り替え手順が異なるため、接続先を一覧にして方式別に分類しましょう。
SAMLで連携するクラウドサービス
SAML（ログイン情報を安全に受け渡す標準的な仕組み）で連携しているクラウドサービスは、認証を担うIdPの設定を変更して切り替えます。サービスごとに、どのIdPと連携しているか、管理者の設定権限は誰が持っているかを確認しましょう。
多要素認証をIdP側で行っている場合は、IdPの認証設定を変えるだけで済むこともあります。一方、サービス独自の多要素認証を使っている場合は、個別に設定を見直す必要があるため、一覧に区別して記録します。
RADIUSで連携するVPNやリモートデスクトップ
VPN装置やリモートデスクトップの接続では、RADIUS（ネットワーク機器の認証に使われる仕組み）を経由してMFAツールと連携している場合があります。乗り換えでは、機器側の認証サーバの設定を新しいツールの接続先に変更します。
この設定変更は、ネットワーク機器の管理者やベンダーの協力が必要な場合があります。設定を誤るとリモート接続が止まる可能性もあるため、業務時間外の作業や、元の設定に戻す手順の用意を含めて計画しましょう。
パソコンへのログオンやオンプレミスのシステム
Windowsへのサインイン時に多要素認証をかけている場合は、端末側に専用のソフトが入っていることがあります。乗り換えでは、ソフトの入れ替えを端末ごとに行う必要があるため、配布の方法と順番を決めておきます。
社内サーバや独自開発のシステムに多要素認証を組み込んでいる場合も、連携方法を確認しましょう。乗り換え先が同じ方式に対応しているかは、資料や検証で事前に確かめることが大切です。
乗り換え先MFAの認証要素を選び直す
再登録が必要になるなら、乗り換えは認証要素そのものを見直す機会です。安全性と社員の使いやすさの両面から、どの認証要素を標準にするかを決めましょう。
フィッシングに強い認証要素の検討
ワンタイムパスワードやプッシュ通知は導入しやすい一方、偽のログイン画面にコードを入力させる手口や、通知を何度も送って承認させる手口の対象となる場合があります。そこで、正規のサイトに対してのみ認証が成立するFIDO2やパスキーへの切り替えも選択肢です。
ただし、対応状況は接続先のサービスや端末によって異なります。まずは管理者など影響の大きいアカウントから導入し、対応範囲を確認しながら広げる方法もあります。
スマートフォンを使えない社員への代替手段
工場や店舗など、業務中にスマートフォンを持てない職場や、会社支給の端末がない社員もいます。認証アプリだけを標準にすると、こうした社員がログインできなくなるおそれがあります。
代替手段として、ハードウェアトークンや、共用端末で使える生体認証、ICカードなどを組み合わせられるかを確認しましょう。職場や職種ごとに使える認証要素を整理しておくと、乗り換え先を選ぶ際の条件をはっきりさせられます。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で多要素認証（MFA）ツールの一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
社員の再登録を進める段取り
再登録は社員一人ひとりの作業を伴うため、全社一斉ではなく部署ごとに期間を区切って進めると混乱を抑えられます。案内、本人確認、進捗の確認を一連の流れとして設計しましょう。
部署ごとの登録期間と案内の準備
情報システム部門などで先行して登録し、手順書の分かりにくい点を洗い出してから、部署ごとに登録期間を設定します。繁忙期の部署は時期をずらすなど、業務への影響も考慮しましょう。
案内には、登録の期限、必要な端末、操作手順、問い合わせ先を記載します。画面の写真や短い動画を用意すると、ITに詳しくない社員も手順を理解しやすくなります。旧ツールが使える期間も明記しておきましょう。
登録時の本人確認の方法
再登録の手続きは、攻撃者に悪用されないよう本人確認を伴う形で行うことが大切です。例えば、現在のMFAでログインした状態でのみ新しい認証要素を登録できるようにする方法があります。
スマートフォンの紛失などで現在のMFAを使えない社員には、上長の承認や対面での確認を経て一時的な登録用コードを発行する手順を用意します。この手順は特定の担当者だけでなく、複数の管理者が同じ基準で対応できるよう文書にしておきましょう。
登録状況の確認と未登録者への対応
管理画面で登録済みと未登録の社員を確認し、期限が近づいたら未登録者へ個別に案内します。休職中や長期出張中の社員など、期間内に登録できない人の扱いも決めておきましょう。
登録率だけでなく、実際に新しいツールでログインできているかも確認します。登録後にログインできていない社員がいれば、手順や端末の問題を早めに見つけられます。
旧MFAツールを止める前後の運用
全社員の移行が完了したら、旧ツールを停止します。停止後に困らないよう、アカウント復旧の手順と認証ログの扱いを整えておきましょう。
アカウント復旧手順の作り直し
スマートフォンの機種変更や紛失、セキュリティキーの故障は、乗り換え後も起こり得ます。新しいツールでの復旧手順として、本人確認の方法、一時コードの発行、新しい認証要素の登録までの流れを定めましょう。
機種変更時の手順は社員向けの案内としても公開しておくと、問い合わせを減らせます。復旧の申請と対応の記録を残せば、不正な復旧要求がなかったかを後から確認する手がかりにもなります。
旧ツールの認証ログの保存
旧ツールの契約が終わると、認証の記録を確認できなくなる場合があります。不正アクセスの調査や監査に備え、社内規程で定めた期間分のログを契約終了前に書き出して保管しましょう。
書き出せる期間や形式は製品によって異なるため、事前に提供会社へ確認します。新しいツールのログもSIEM（ログを集めて分析する仕組み）などに転送しているなら、項目名の違いを踏まえて検知の設定を見直しておくと、監視を継続できます。
認証要素と連携方式で比べるMFA製品一覧
乗り換え先のMFAを選ぶときは、使える認証要素と、接続先との連携方式が自社の環境にあうかがポイントです。この記事で紹介する製品の主な特徴を一覧にまとめました。
| 製品名 | 特徴 |
|---|---|
| SeciossLink（セシオスリンク） | OTPやPUSH通知、FIDO（パスキー）などを組み合わせて多要素認証が可能なIDaaS |
| IIJ IDサービス | FIDO2やデバイス証明書、ワンタイムパスワードから認証方式を選べる国産IDaaS |
| Secioss Access Manager Enterprise（SAME） | オンプレミスのSSOソフト。OTPハードウェアトークンやFIDO認証に対応 |
| YubiKey as a Service | 外付け型の認証デバイス「YubiKey」をサブスクリプションで利用できるサービス |
| Gluegent Gate（グルージェント ゲート） | SAMLや代理認証でSSOを実現し、多要素認証やアクセス制限をサービスごとに設定可能 |
| Okta Workforce Identity | ネットワークや端末などの状況に応じてMFAポリシーを適用できる適応型多要素認証 |
| AXIOLE | LDAP/RADIUS認証に対応した認証アプライアンス。SAML認証にも対応 |
| TrustBind | パスキー・FIDO2によるパスワードレス認証に対応。SAMLやOpenID Connectで連携できる |
| YubiKey | USBやNFCで接続し、タッチするだけでFIDO2/U2Fなどの多要素認証ができるセキュリティキー |
| ATKey.Card | 指紋認証とFIDO2パスキー機能を1枚のカードに搭載。PCやスマホで利用できる |
| おくとパスBusiness | 社員証や交通系ICカードとWindowsパスワードの二要素認証でPCへのログオンを保護 |
再登録の負担も考えて選びたいMFAツール
MFAツールの乗り換えでは、社員が登録し直す認証要素と、SAMLやRADIUSでつないでいる接続先を新しい製品でも扱えるかを確認する必要があります。認証方式の選択肢や連携方式の違いに注目して比較してみてください。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、乗り換えを機に認証方式を選び直したい企業が比較しやすい、クラウド型のIDaaSです。ワンタイムパスワードやPUSH通知、Windows HelloなどのFIDO（パスキー）認証、クライアント証明書など、多様な認証方式を組み合わせた多要素認証を設定できます。SAMLやOpenID Connectに対応したサービスに加え、代理認証やリバースプロキシでSAML未対応のサービスやオンプレミスの社内システムもSSOの対象にできます。
IIJ IDサービス
- 超図解マニュアルと直感的・シンプルなUIで導入・運用がカンタン
- デバイス証明書認証やFIDO2認証など、さまざまな認証機能に対応
- 複数の国内DCで稼働する万全のセキュリティ体制
株式会社インターネットイニシアティブが提供する「IIJ IDサービス」は、各種システムへのシングルサインオンと不正ログイン対策を実現する国産のIDaaSです。ID/パスワード認証に加え、FIDO2、デバイス証明書、ワンタイムパスワードなどから認証方式を選び、ユーザーごとに組み合わせて設定できます。OpenID Connect 1.0やSAML 2.0に準拠したサービスとのSSOに対応し、社内外など利用場所に応じて認証条件を変えられるため、接続先ごとの認証の強さを見直したい場合の候補です。
Secioss Access Manager Enterprise（SAME）
- シングルサインオンであらゆるサービスに連携
- FIDO認証や証明書認証などの多要素認証で認証を強化
- 柔軟なルール設定が可能なアクセス制御機能を搭載
株式会社セシオスが提供する「Secioss Access Manager Enterprise（SAME）」は、多要素認証やアクセス制御、シングルサインオンの機能を持つオンプレミス型のソフトウェアです。ワンタイムパスワードはOTPアプリ方式、メール通知方式、OTPハードウェアトークンに対応し、FIDO認証（パスキー）やクライアント証明書認証も利用できます。SAMLやOpenID Connectに加えて代理認証にも対応しており、自社のサーバーで認証基盤を運用したい企業の選択肢です。
YubiKey as a Service
- サブスクリプション型のため、初期コストを抑えて導入可能
- セキュリティ強度の高いMFA（多要素認証）を手軽に実現
- 『YubiKey』だけ入手しても悪用不可能！紛失時のリスクが低い
株式会社インターナショナルシステムリサーチが提供する「YubiKey as a Service」は、外付け型の認証デバイス「YubiKey」をサブスクリプションで利用できるサービスです。USBメモリのようにPCに接続し、PINの入力とタッチ、または指紋をかざす操作で認証します。フィッシング耐性に優れたパスキーによるパスワードレス認証を、初期コストを抑えて導入できる点が特徴です。認証時に携帯電話を必要としないため、スマートフォンを使えない社員への代替手段としても検討できます。
Gluegent Gate（グルージェント ゲート）
- 連携サービスとのシングルサインオン設定で利便性を向上
- 連携サービスのIDを一元管理することで管理者の負荷を軽減
- 多要素認証、アクセス制限をサービスごとに自由に組み合わせ可能
サイオステクノロジー株式会社が提供する「Gluegent Gate（グルージェント ゲート）」は、シングルサインオンを中心に、多要素認証やアクセス制限でセキュリティを強化するクラウド型のサービスです。SAML 2.0に対応したWebアプリケーションとの連携に加え、OpenID Connectや代理認証にも対応しています。Google WorkspaceやMicrosoft 365とはSSOに加えてアカウントやグループのプロビジョニングも行えるため、クラウドサービスの認証をまとめて移したい場合に比較しやすいでしょう。
Okta Workforce Identity
- ネットワークや端末などコンテキストに応じたMFAポリシーを適用
- 既存の要素を使いリソースへのパスワードレスログインを実現
- 一部ユーザーが異なるIdPを使用していてもログインを保護
Okta Japan株式会社が提供する「Okta Workforce Identity」は、Adaptive MFA（適応型多要素認証）を備えたアイデンティティ管理の基盤です。ネットワークや端末などの状況に応じてMFAのポリシーを適用し、機密性に応じて必要なときだけ追加の認証を求められます。生体・所持・知識の要素を組み合わせた本人認証や、フィッシング耐性のあるパスワードレス認証に対応しており、Windows向けのDesktop MFAも用意されています。
AXIOLE
- ネットワーク認証に必要なスキーマ構築済みの認証アプライアンス
- LDAP/RADIUS認証に対応し様々なネットワーク機器から認証が可能
- 「時間」や「場所」を考慮した、より厳密な複合認証が可能
株式会社ネットスプリングが提供する「AXIOLE」は、VPN装置などのネットワーク機器とRADIUSで認証連携している環境で検討しやすい、LDAPベースの認証アプライアンスサーバです。LDAPとRADIUSの両方の認証方式に対応し、さまざまなネットワーク機器やアプリケーションとの認証連携に使えます。SAML認証にも対応しています。多要素認証機能では、時間や場所（認証要求を行う機器のIPアドレス）を条件に設定できます。提供形態はハードウェア版、仮想版、クラウド版から選べます。
TrustBind （NTTテクノクロス株式会社）
- パスワード不要のデバイス認証とFIDO2で高い耐性を実現。
- SAML/OAuth2.0/OpenID Connect対応でシステム連携可能。
- 国産開発、導入実績豊富、国内サポート内製化。
YubiKey （SCSK株式会社）
- FIDO2/U2F・スマートカードなど複数の認証方式に対応。
- USB・NFC接続でタッチするだけの簡単認証
- 電池不要で堅牢な設計
ATKey.Card （オーセントレンドテクノロジー株式会社）
- 指紋認証とFIDO2パスキー機能を1枚のカードに搭載。
- NFCと接触型リーダー対応。PCやスマホで利用可能。
- バッテリー不要で連続動作。
おくとパスBusiness （株式会社Ｃ&Ｃアソシエイツ）
- 既存のICカード社員証や交通系ICカードを認証に流用可能
- ICカード＋Windowsパスワードの二要素認証に対応
- ログオン・ログオフ履歴を記録し、不正利用を追跡可能
まとめ
MFAツールの乗り換えでは、認証アプリの秘密鍵などを移せない場合があるため、社員の再登録を計画の中心に据えることが大切です。接続先を連携方式別に洗い出し、フィッシングに強い認証要素や代替手段も含めて選び直しましょう。部署ごとに登録期間を設け、本人確認と復旧手順を整えてから旧ツールを停止します。資料請求で多要素認証（MFA）ツールの認証要素や連携方式を比較し、自社に適した乗り換え先を選んでください。
