ITトレンドがおすすめする製品・サービス
- ■サーバー構成別
- 自社のサーバーに構築するオンプレミス型：Secioss Access Manager Enterprise（SAME）
- サーバーの構築が不要なクラウド型：Gluegent Gate（グルージェント ゲート）、IIJ IDサービス、SeciossLink（セシオスリンク）
- ■接続先との連携方式別
- Active Directoryなどのディレクトリーとの連携：Secioss Access Manager Enterprise（SAME）、SeciossLink（セシオスリンク）、Gluegent Gate（グルージェント ゲート）、IIJ IDサービス
- SAMLによるWebシステムとの連携：Secioss Access Manager Enterprise（SAME）、SeciossLink（セシオスリンク）、Gluegent Gate（グルージェント ゲート）、IIJ IDサービス、TrustBind
MFAサーバーが担う役割
MFAサーバーは、ログインしようとしている人が本人かどうかを、パスワード以外の要素で確かめる中継役です。サーバーがどの処理を受け持つのかを知っておくと、必要な構成や性能を判断しやすくなります。
認証要求の受け取りと第2要素の検証
社員がVPNや社内システムにログインすると、接続先の機器やシステムからMFAサーバーへ認証の要求が送られます。MFAサーバーは、まずIDとパスワードが正しいかを社内のアカウント管理の仕組みに問い合わせ、そのうえで第2の要素を確認します。
第2の要素には、ワンタイムパスワードの照合や、スマートフォンへのプッシュ通知の送信と承認結果の受け取りがあります。確認が終わるとサーバーは接続先へ許可か拒否を返し、その結果を認証ログとして記録します。つまり、MFAサーバーは連携しているすべての接続先のログインを支える位置にあります。
サーバーに保存される情報
MFAサーバーには、利用者のアカウントと登録した認証要素の対応、ワンタイムパスワードを生成するための秘密鍵（シード）、認証ルール、認証ログなどが保存されます。秘密鍵が漏えいすると、第三者が正しいワンタイムパスワードを作れてしまうおそれがあります。
そのため、サーバーへの管理者ログインを限られた人に絞ること、保存データの暗号化に対応しているかを確認することが大切です。バックアップにも秘密鍵が含まれる場合があるため、バックアップの保管場所と取り扱いの手順もあわせて決めておきましょう。
多要素認証ツールのサーバー構成パターン
多要素認証ツールのサーバー構成は、自社にすべてを置く形と、クラウドの認証基盤を使いながら社内に連携用のサーバーを置く形に大きく分けられます。守りたい接続先とネットワークの条件から選びましょう。
自社にMFAサーバーを置く構成
オンプレミス型では、認証を判定するサーバーを自社のデータセンターや社内のサーバールームに置きます。インターネットに出ずに認証を完結させられるため、閉じたネットワークの業務システムや、外部との通信に制限がある環境で選ばれる構成です。
一方で、サーバー機器や仮想環境の用意、OSとMFAソフトの更新、障害時の復旧まで自社で担います。必要なCPUやメモリ、ディスクの容量は利用者数やログの保存期間によって変わるため、提供会社が示す動作要件と、自社の利用者数の見込みを照らしあわせて決めましょう。
クラウドと社内の連携用サーバーを組み合わせる構成
クラウド型の多要素認証ツールでも、社内に小さな連携用のサーバーやソフトを置く場合があります。社内のVPN装置やActive Directory（Windowsのアカウントを一元管理する仕組み）と連携するためです。この連携用サーバーが社内の機器からの要求を受け、クラウドへ問い合わせて結果を返す役割を担います。
この構成では、認証の判定や機能の更新はクラウド側で行われるため、自社で保守する範囲は連携用サーバーに限られます。ただし、連携用サーバーからクラウドへの通信が許可されている必要があるため、ファイアウォールの設定やプロキシ経由の通信に対応しているかを確認しましょう。
MFAサーバーと接続先の連携方式
MFAサーバーと接続先をつなぐ方式は、接続先の種類によって使い分けます。代表的なのはRADIUS、LDAP、SAMLの3つです。自社で守りたいシステムがどの方式に対応しているかを、構成を考える前に一覧にしておきましょう。
RADIUSによるVPNやネットワーク機器との連携
RADIUS（ネットワーク機器の認証に使われる標準的な仕組み）は、VPN装置や無線LANの認証、リモートデスクトップの接続で使われることのある方式です。接続先の機器をRADIUSクライアントとして登録し、MFAサーバーをRADIUSサーバーとして指定することで連携します。
設定では、機器とサーバーの間で、共有する秘密の文字列と、応答の待ち時間をそろえる必要があります。プッシュ通知の承認を待つ間に機器側の待ち時間が切れると、ログインが失敗する場合があります。機器の設定画面で変えられる項目と、ネットワーク機器の管理者やベンダーの協力が必要な範囲を事前に確認しましょう。
LDAPやSAMLによる社内システムとの連携
LDAP（アカウント情報を問い合わせるための仕組み）は、MFAサーバーがActive Directoryなどに利用者のIDとパスワードを確認しに行く際に使われます。社内のアカウント管理の仕組みと正しくつながっていることが、多要素認証の前提です。
Webで使う社内システムやクラウドサービスは、SAML（ログイン情報を安全に受け渡す仕組み）で連携できる場合があります。独自開発の古いシステムなど、どの方式にも対応していないものは、ログイン画面の手前に認証用の仕組みを置く方法を検討します。対応できるかどうかは、製品の資料や検証で確かめましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で多要素認証（MFA）ツールの一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
MFAサーバーを止めないための要件
MFAサーバーが止まると、連携しているシステムへのログインが一斉にできなくなる可能性があります。台数の構成と時刻の扱い、障害時の動作をあらかじめ決めておきましょう。
2台以上での冗長化
MFAサーバーを1台だけで動かすと、故障や更新作業のたびにログインが止まります。そのため、2台以上のサーバーを用意し、片方が止まってももう片方で認証を続けられる構成を検討しましょう。
VPN装置などの接続先には、RADIUSサーバーを複数登録できるものがあります。サーバー間で利用者情報や認証ログをどう同期するのか、別の拠点やクラウドに2台目を置けるのかは製品によって異なるため、構成例を資料で確認しましょう。切り替えが正しく動くかは、導入前の検証で試しておくことが大切です。
時刻の同期と障害時の動作設定
一定時間ごとに変わるワンタイムパスワードは、サーバーと利用者の端末の時刻が一致していることを前提に照合します。サーバーの時刻がずれると、正しいコードを入力しても認証に失敗する場合があるため、NTP（ネットワーク経由で時刻をそろえる仕組み）で定期的に時刻を同期しましょう。
あわせて、MFAサーバーに接続できないときに認証をすべて拒否するのか、一時的にパスワードだけで通すのかを決めておきます。拒否すれば安全性は保てますが業務が止まり、通せば業務は続きますが守りが弱まります。システムの重要度ごとに方針を決め、設定と手順書に反映しましょう。
MFAサーバーの運用と保守
MFAサーバーは、構築して終わりではなく、更新や証明書の管理、ログの確認を続けて行う必要があります。運用の手順を文書にし、複数の担当者で回せる体制を整えましょう。
OSやソフトの更新と証明書の管理
オンプレミス型のMFAサーバーでは、OSやMFAソフトに脆弱性（セキュリティ上の弱点）の修正が出たら、計画的に更新を適用します。2台構成であれば、1台ずつ更新することでログインを止めずに作業できます。
管理画面やSAML連携では、通信の暗号化や署名に電子証明書を使う場合があります。証明書には有効期限があり、期限が切れると連携が止まるおそれがあるため、期限の一覧を作り、更新の担当者と時期を決めておきましょう。更新作業の手順は、検証環境で一度試しておくと安心です。
認証ログの確認とバックアップ
MFAサーバーの認証ログには、誰がいつどこから認証し、成功したか失敗したかが記録されます。短時間に失敗が続いているアカウントや、身に覚えのない承認要求の報告がないかを定期的に確認しましょう。
ログをSIEM（ログを集めて分析する仕組み）に転送すれば、ほかのシステムの記録とあわせて調べられます。設定と利用者情報は定期的にバックアップを取り、別のサーバーへ戻せるかを年に一度など時期を決めて試しておくと、障害時に復旧の手順で迷わずに済みます。
MFAサーバーの構成と連携方式の比較表
サーバーの構成や連携できる方式の違いを比べられるよう、この記事で紹介する多要素認証ツールの特徴を一覧にまとめました。
| 製品名 | 特徴 |
|---|---|
| Secioss Access Manager Enterprise（SAME） | オンプレミスで運用でき、AD・OpenLDAPやSAMLとの連携に対応 |
| SeciossLink（セシオスリンク） | AD・LDAPと同期し、SAMLやリバースプロキシでSSOを実現 |
| Gluegent Gate（グルージェント ゲート） | 構築不要のクラウド型。SAML・OIDC・代理認証でWebアプリと連携 |
| IIJ IDサービス | AD同期と統合Windows認証に対応したクラウド型の認証基盤 |
| TrustBind | SAML・OAuth 2.0・OpenID Connectに対応するクラウド型の認証基盤 |
構成と連携方式から選ぶMFAサーバー製品
自社サーバーで運用する製品と、サーバー構築が不要な製品の両方から、ディレクトリーやSAMLとの連携が確認できる多要素認証ツールを選びました。
Secioss Access Manager Enterprise（SAME）
- シングルサインオンであらゆるサービスに連携
- FIDO認証や証明書認証などの多要素認証で認証を強化
- 柔軟なルール設定が可能なアクセス制御機能を搭載
株式会社セシオスが提供する「Secioss Access Manager Enterprise（SAME）」は、自社の環境に構築して使うオンプレミス型のソフトウェアです。多要素認証、アクセス制御、SSOの機能を備えています。認証元としてActive DirectoryやOpenLDAP、外部のIdPと連携できます。SSOの方式はSAML、OpenID Connect、OAuth、WS-Federation、リバースプロキシ、エージェントから選べます。認証に関するログはWebから検索でき、規定回数の認証失敗でアカウントをロックアウトする設定も可能です。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、クラウドで提供されるIDaaSで、認証用のサーバーを自社で用意せずに多要素認証を始められる製品です。Active DirectoryやLDAPのディレクトリーサーバーと情報を同期できます。SSOはSAML対応サービスのほか、代理認証やリバースプロキシ機能を使えば、SAML未対応のサービスやオンプレミスの社内システムでも設定できます。UEMやEDR、SASEなどセキュリティ製品との連携機能も備えています。
Gluegent Gate（グルージェント ゲート）
- 連携サービスとのシングルサインオン設定で利便性を向上
- 連携サービスのIDを一元管理することで管理者の負荷を軽減
- 多要素認証、アクセス制限をサービスごとに自由に組み合わせ可能
サイオステクノロジー株式会社が提供する「Gluegent Gate（グルージェント ゲート）」は、オンプレミスのWebアプリも含めてSSOでまとめられるクラウド型の認証基盤です。SAML 2.0に対応するWebアプリと連携できるほか、OpenID ConnectやOAuthへの対応、SAMLに未対応のWebアプリ向けの代理認証も用意されています。オンプレミスのWebアプリのログインURLに値を送信してSSOを実現できるため、社内システムとクラウドを同じ認証基盤にまとめたい場合の選択肢です。Active Directoryとも連携します。
IIJ IDサービス
- 超図解マニュアルと直感的・シンプルなUIで導入・運用がカンタン
- デバイス証明書認証やFIDO2認証など、さまざまな認証機能に対応
- 複数の国内DCで稼働する万全のセキュリティ体制
株式会社インターネットイニシアティブが提供する「IIJ IDサービス」は、国内の複数のデータセンターで運用されるクラウド型の認証管理サービスです。OpenID Connect 1.0やSAML 2.0に準拠するサービスへSSOでき、Active DirectoryからID・パスワード・グループ情報を自動で同期します。アカウントが所属するグループにもとづいて認証と認可を制御できるため、ディレクトリーを中心に運用している企業が検討しやすい製品です。導入前の検証や設定の代行は有償で依頼できます。
TrustBind （NTTテクノクロス株式会社）
- パスワード不要のデバイス認証とFIDO2で高い耐性を実現。
- SAML/OAuth2.0/OpenID Connect対応でシステム連携可能。
- 国産開発、導入実績豊富、国内サポート内製化。
まとめ
MFAサーバーは、接続先からの認証要求を受けて第2の要素を確かめる中継役です。自社にすべてを置く構成と、クラウドと社内の連携用サーバーを組み合わせる構成があり、守りたい接続先とネットワークの条件から選びます。RADIUSやLDAP、SAMLの対応状況を確認し、冗長化や時刻同期、障害時の動作も決めておきましょう。資料請求で多要素認証（MFA）ツールのサーバー構成や連携方式を比較し、自社に適した製品を選んでください。
