ITトレンドがおすすめする製品・サービス
- ■保護したい接続先別
- クラウドサービスへのログイン：Gluegent Gate（グルージェント ゲート）、IIJ IDサービス、Okta Workforce Identity、SeciossLink（セシオスリンク）、TrustBind
- パソコンへのサインイン：Okta Workforce Identity、おくとパスBusiness
- ■既存のIDとの連携方法別
- Active Directoryとの同期：IIJ IDサービス、Gluegent Gate（グルージェント ゲート）、SeciossLink（セシオスリンク）
- 人事データやCSVによる取り込み：Okta Workforce Identity、SeciossLink（セシオスリンク）
クラウド型MFAツールの仕組み
クラウド型のMFAツールでは、認証の判定や利用者情報の管理を提供会社のクラウドが担います。自社で用意するものが少ない分、仕組みのどこを自社が担当するのかを最初に把握しておくことが大切です。
認証の判定をクラウドが担う流れ
社員がクラウドサービスや社内システムにログインすると、接続先からクラウド型のMFAツールへ認証の確認が送られます。MFAツールは、スマートフォンへの通知やワンタイムパスワードで本人を確認し、その結果を接続先に返します。利用者から見ると、いつものログイン画面に確認の手順が1つ加わる形です。
この流れのうち、認証の判定、利用者や端末の登録情報、認証ログの保存はクラウド側で行われます。自社が担当するのは、接続先との連携設定、利用者の登録や削除、認証ルールの設定といった管理画面での作業が中心です。
オンプレミス型との役割分担の違い
オンプレミス型は、認証用のサーバを自社の環境に置き、OSの更新や障害対応、バックアップまで自社で行う形態です。設定の自由度を確保しやすい反面、運用の手間と専門知識が必要です。
クラウド型では、サーバの保守や機能の更新を提供会社が行うため、自社の作業はその分少なくなります。ただし、提供会社の仕様の範囲で使うことになるため、細かな動作を変えたい場合は、設定の範囲で対応できるかを資料や検証で確認しましょう。製品によっては、クラウド型とオンプレミス型の両方を用意している場合もあります。将来の構成変更も見据えて、移行の選択肢があるかを確認しておくとよいでしょう。
クラウドの多要素認証で守れる接続先
クラウド型のMFAツールで守れるのは、クラウドサービスだけではありません。社内に連携用のソフトを置くことで、VPNやパソコンへのサインインにも多要素認証をかけられる製品があります。接続先ごとの連携の考え方を整理しましょう。
クラウドサービスへのログイン
グループウェアや営業管理などのクラウドサービスは、SAML（ログイン情報を安全に受け渡す標準的な仕組み）などで連携し、ログイン時に多要素認証をかける方法があります。複数のサービスをまとめて連携すれば、認証のルールを1か所で管理できます。
シングルサインオン（1回のログインで複数のサービスを使える仕組み）と組み合わせると、社員が入力するパスワードの数も減らせます。利用中のサービスがどの連携方式に対応しているかは、サービスごとに確認しましょう。サービスの契約プランによって連携機能の有無が変わる場合もあります。
VPNやパソコンへのサインイン
VPN装置やリモートデスクトップは、RADIUS（ネットワーク機器の認証に使われる仕組み）でMFAツールと連携する場合があります。クラウド型では、社内に連携用のソフトや小さなサーバを置き、そこを経由してクラウドに問い合わせる構成をとる製品があります。
Windowsなどへのサインインに多要素認証をかける場合は、端末に専用のソフトを入れる必要があることもあります。社内に置く要素がどこまで必要かは製品によって違います。クラウド型でも社内側の作業が残る場合があると考えて、構成を確認しましょう。
クラウド型の多要素認証が向く会社
クラウド型の多要素認証（MFA）ツールが向くかどうかは、利用しているシステムの場所と、社内の運用体制によって変わります。向いている会社と、別の形態も検討したい会社の特徴を比べてみましょう。
クラウドサービス中心で専任者が少ない会社
業務の多くをクラウドサービスで行い、テレワークで社外から接続する社員が多い会社では、クラウド型が導入しやすい形態です。インターネット経由で認証できるため、社内ネットワークの外にいる社員にも同じルールを適用できます。
情報システムの専任者が少ない会社でも、サーバの保守を提供会社に任せられる点は利点です。利用者数に応じた料金体系の製品もあり、少ない人数から始めて段階的に対象を広げる進め方もとれます。拠点が複数ある会社でも、拠点ごとに認証用のサーバを置かずに済む点は運用面の利点です。
別の形態も検討したい会社
工場の制御システムや、インターネットにつながない閉じたネットワークで使うシステムを守りたい場合、クラウドへ問い合わせられないため、クラウド型だけでは対応できないことがあります。この場合は、オンプレミス型や、通信が切れたときの動作を設定できる製品を検討します。
また、社内規程により認証ログを長期間自社で保管する必要がある会社や、データの保存場所に条件がある会社は、クラウド側での保存期間や保存地域を確認しましょう。条件を満たせない場合は、ログを定期的に書き出す運用で補えるかもあわせて検討します。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で多要素認証（MFA）ツールの一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
認証をクラウドに預ける前の確認事項
クラウド型では、社員がログインできるかどうかを外部のサービスに預けます。障害が起きた場合の影響と、預ける情報の扱いを事前に確認しておきましょう。
障害や通信断のときの動作
クラウド型のMFAツールに障害が起きたり、社内からインターネットへの通信が止まったりすると、認証ができず業務システムにログインできなくなるおそれがあります。提供会社が公表している稼働率の目標や、障害情報の通知方法を確認しましょう。
あわせて、障害時に認証を一時的に省略するか、すべて止めるかを設定できるかも確認します。管理者用の緊急ログイン手段を用意し、誰がどの条件で使うかを文書にしておくと、障害時に判断が遅れるのを防げます。緊急ログイン手段を使った記録が残るかも確認しておきましょう。
保存されるデータとログの扱い
クラウド上には、利用者の氏名やメールアドレス、電話番号、登録した端末の情報、認証の記録が保存されます。どの国や地域のデータセンターに保存されるのか、通信や保存時に暗号化されるのかは、資料や利用規約で確認したい項目です。
認証ログの保存期間はプランによって異なる場合があります。不正アクセスの調査に必要な期間を満たさない場合は、ログの書き出しや、SIEM（ログを集めて分析する仕組み）への転送ができるかを確認しましょう。契約終了時のデータ削除の扱いも見ておくと安心です。これらの項目は情報システム部門だけで判断せず、法務や監査の担当者とも共有しておきましょう。
MFAをクラウドで使う際の既存IDとの連携
クラウド型のMFAツールを使い始めるには、社員のアカウント情報をツールに登録する必要があります。既存のID管理の仕組みとどう連携させるかによって、入社や退職時の管理の手間が変わります。
Active Directoryとの同期
社内でActive Directory（Windowsのアカウントを一元管理する仕組み）を使っている場合、そのアカウント情報をクラウド型のMFAツールへ同期できる製品があります。同期には、社内に連携用のソフトを置く方式などがあります。
同期できれば、退職者のアカウントを社内で無効にしたとき、MFAツール側にも反映されるため、削除漏れを防ぎやすくなります。どの項目が同期されるか、同期の間隔はどのくらいかは製品によって違うため、検証の段階で確かめておきましょう。同期が止まった場合に管理者へ通知されるかも、あわせて確認したい点です。
人事データやCSVからの取り込み
Active Directoryを使っていない会社では、人事システムのデータやCSVファイルからアカウントを一括で取り込む方法があります。製品によっては、ほかのID管理サービスと連携し、アカウントの作成や削除を自動で反映できるものもあります。
CSVなどを手作業で取り込む場合は、入社や異動、退職の情報をいつ誰が反映するのかを決めておくことが大切です。特定の担当者1人に任せず、手順書と作業記録を残して複数人で確認できる体制にすると、反映漏れに気づきやすくなります。
クラウド型MFAツールの対応範囲を比べる一覧
クラウド型の多要素認証ツールについて、守れる接続先や既存IDとの連携方法がわかるよう、特徴を一覧にまとめました。
| 製品名 | 特徴 |
|---|---|
| IIJ IDサービス | AD自動同期と統合Windows認証に対応する国産クラウド型IDサービス |
| Gluegent Gate（グルージェント ゲート） | Google WorkspaceやMicrosoft 365にSSO連携。MFAとアクセス制限を併用可 |
| Okta Workforce Identity | 端末やネットワークに応じたMFAと、Windows向けの生体認証を提供 |
| SeciossLink（セシオスリンク） | AD・LDAPのID同期とCSV取り込みに対応するIDaaS |
| おくとパスBusiness | ICカードやスマホをかざしてWindowsにログオン。履歴も記録 |
| TrustBind | パスキー・FIDO2対応のパスワードレス認証プラットフォーム |
クラウドで始められるMFAツールの紹介
サーバーを自社で用意せずに使えるか、既存のIDを引き継げるかを基準に、クラウドで提供される多要素認証ツールを選びました。
IIJ IDサービス
- 超図解マニュアルと直感的・シンプルなUIで導入・運用がカンタン
- デバイス証明書認証やFIDO2認証など、さまざまな認証機能に対応
- 複数の国内DCで稼働する万全のセキュリティ体制
株式会社インターネットイニシアティブが提供する「IIJ IDサービス」は、クラウドで提供される国産の認証管理サービスで、複数の国内データセンターで運用されています。Active Directoryとパスワードやグループ情報を自動で同期でき、ADだけでID管理を完結できる点が特徴です。AD環境では統合Windows認証により、連携先サービスへ再認証なしでログインできます。最低利用期間やユーザー数の制限がなく、連携サービスが増えても追加費用がかからないため、小さく始めたい企業の候補です。
Gluegent Gate（グルージェント ゲート）
- 連携サービスとのシングルサインオン設定で利便性を向上
- 連携サービスのIDを一元管理することで管理者の負荷を軽減
- 多要素認証、アクセス制限をサービスごとに自由に組み合わせ可能
サイオステクノロジー株式会社が提供する「Gluegent Gate（グルージェント ゲート）」は、導入や構築が不要なクラウドサービスとして提供されている認証基盤です。SSOに加えて多要素認証とアクセス制限をサービスごとに組み合わせられます。Google WorkspaceやMicrosoft 365とは、アカウントやグループのプロビジョニングも含めて連携します。SAML 2.0に対応するWebアプリのほか、SAML未対応のWebアプリも代理認証でSSOを設定できます。Active Directoryとの連携にも対応しています。
Okta Workforce Identity
- ネットワークや端末などコンテキストに応じたMFAポリシーを適用
- 既存の要素を使いリソースへのパスワードレスログインを実現
- 一部ユーザーが異なるIdPを使用していてもログインを保護
Okta Japan株式会社が提供する「Okta Workforce Identity」は、クラウド上でSSOと多要素認証、IDのライフサイクル管理をまとめて提供するサービスです。Windows向けのDesktop MFAで生体認証を使ったサインインにも対応し、パソコンへのログインまで多要素認証の対象にできます。人事システムと連携して入退社や異動に伴うアカウントの作成・更新・停止を自動化する機能もあります。導入支援はパートナー経由で受けられ、全社展開を考える企業の選択肢です。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、ID管理や多要素認証、アクセス制御、SSOを一つにまとめたクラウド型のIDaaSです。Active DirectoryやLDAPのディレクトリーサーバーと情報を同期できます。Microsoft 365やGoogle WorkspaceなどのクラウドサービスへのID同期も可能です。人事システムから出力したCSVをAPIでアップロードして取り込む使い方にも対応します。ログイン画面やポータルを自社向けにカスタマイズでき、既存のID運用を生かしたい企業に向きます。
おくとパスBusiness （株式会社Ｃ&Ｃアソシエイツ）
- 既存のICカード社員証や交通系ICカードを認証に流用可能
- ICカード＋Windowsパスワードの二要素認証に対応
- ログオン・ログオフ履歴を記録し、不正利用を追跡可能
TrustBind （NTTテクノクロス株式会社）
- パスワード不要のデバイス認証とFIDO2で高い耐性を実現。
- SAML/OAuth2.0/OpenID Connect対応でシステム連携可能。
- 国産開発、導入実績豊富、国内サポート内製化。
まとめ
クラウド型のMFAは、認証の判定や保守を提供会社に任せられるため、クラウドサービス中心で専任者が少ない会社でも始めやすい形態です。一方、VPNやパソコンへのサインインでは社内に連携用のソフトが必要な場合があり、閉じたネットワークではオンプレミス型も検討します。障害時の動作やログの保存期間、既存のIDとの連携方法も確認しましょう。資料請求で多要素認証（MFA）ツールの対応範囲を比較し、自社に適した製品を選んでください。
