ITトレンドがおすすめする製品・サービス
- ■構築する環境別
- クラウド型で構築の手間を抑える：Gluegent Gate（グルージェント ゲート）、IIJ IDサービス
- オンプレミス型で自社環境に構築：Secioss Access Manager Enterprise（SAME）
- 既存のActive Directoryと連携して構築：IIJ IDサービス、Gluegent Gate（グルージェント ゲート）、Secioss Access Manager Enterprise（SAME）、SeciossLink（セシオスリンク）
- ■構築の進め方別
- 提供会社や販売店の導入支援を受けて構築：IIJ IDサービス、Okta Workforce Identity
MFA構築の最初に決める保護対象と範囲
MFA構築の最初の作業は、どのシステムを、誰のアカウントから守るのかを決めることです。範囲があいまいなまま製品を選ぶと、後から対応できない接続先が見つかり、構築のやり直しが生じる可能性があります。
多要素認証をかけるシステムの一覧化
まず、社員がログインするシステムを洗い出し、一覧にします。クラウドサービス、VPN、リモートデスクトップ、パソコンへのサインイン、社内の業務システムなどを、利用者数や扱う情報の重要度とあわせて記録しましょう。
一覧には、各システムが対応している認証の連携方式も書き込みます。SAML（ログイン情報を安全に受け渡す仕組み）やRADIUS（ネットワーク機器の認証の仕組み）に対応しているかを確認しましょう。システム独自の多要素認証があるかも調べておくと、製品選びの条件がはっきりします。不明な点は各システムの提供会社に問い合わせましょう。
優先して守るアカウントの決定
すべてのアカウントを同時に守るのが理想ですが、構築の負担を考えると優先順位をつけるのが現実的です。管理者権限を持つアカウントや、社外から接続するテレワーク用のアカウントは、乗っ取られた場合の影響が大きいため、先に対象とする候補です。
あわせて、取引先や派遣社員など社外の人が使うアカウント、共用のアカウントの扱いも決めておきます。共用のアカウントは誰が認証したかを特定しにくいため、個人のアカウントに分けられないかも検討しましょう。決めた範囲と優先順位は、経営層や関係部署と共有して合意を取っておきます。合意した内容を文書にしておけば、構築中に範囲を広げるかどうか迷ったときの判断材料として使えます。
多要素認証ツールの方式と構築体制を選ぶ
範囲が決まったら、多要素認証ツールの提供形態と、誰が構築作業を担うのかを決めます。社内の人員やスキル、予算によって適した組み合わせが変わるため、選択肢を比べて判断しましょう。
クラウド型とオンプレミス型の選択
クラウド型は、認証の仕組みを提供会社のクラウドで利用するため、サーバーを用意せずに構築を始められます。クラウドサービスへのログインが中心で、社外からの接続も多い会社に向いている形態です。
オンプレミス型は、自社のサーバーに認証の仕組みを構築するため、インターネットにつながない閉じたネットワークのシステムも守りやすい点が特徴です。その分、サーバーの準備や保守の作業が加わります。一覧にしたシステムの所在と連携方式を見比べ、どちらの形態で多くの接続先を守れるかを判断しましょう。製品によっては両方の形態を用意しているため、一部のシステムだけオンプレミス型で守る構成が可能かも確認します。
自社で構築するか支援を受けるか
管理画面の設定が中心のクラウド型であれば、情報システム部門だけで構築できる場合もあります。一方、VPN装置との連携やActive Directory（Windowsのアカウントを一元管理する仕組み）との同期など、ネットワークやサーバーの知識が必要な作業もあります。
社内に経験者がいない場合は、提供会社や販売店の導入支援を利用する方法があります。支援の内容は、設定方法の案内から初期設定の作業までさまざまなため、どこまでを任せられるのか、費用はいくらかかるのかを見積もりの段階で確認しましょう。構築後に社内で設定を変更できるよう、作業内容の記録も依頼しておくと安心です。
小規模な検証でMFAの構築内容を確かめる
全社に広げる前に、一部のシステムと利用者で検証を行い、構築した設定が想定どおりに動くかを確かめます。検証で見つかった問題を直してから展開することで、本番での混乱を抑えられます。
検証で確かめる項目
検証では、一覧にしたシステムで実際にログインし、多要素認証が求められるかを確認します。あわせて、認証に失敗したときの画面表示、ログへの記録、管理者への通知が期待どおりかも確かめましょう。
VPNのように通信の待ち時間が関係する接続では、プッシュ通知の承認を待つ間に接続が切れないかも確認したい点です。ログインできるかだけで判断せず、ログアウト後の再接続や、別の端末からの利用など、普段の業務で起こる場面も試しておきます。無料の試用期間がある製品であれば、契約前にこうした確認を進められます。検証は本番の業務に影響しないよう、検証用のアカウントや時間帯を決めて行いましょう。
協力してもらう部署の選び方
検証には、情報システム部門だけでなく、実際に業務で使う部署にも協力してもらいましょう。テレワークの多い部署や、スマートフォンを持ち込めない職場など、条件の違う部署を含めると、全社展開で起こりそうな問題を事前に見つけられます。
協力した社員からは、登録手順の分かりにくい点や、業務中に手間だと感じた場面を聞き取ります。寄せられた意見は、手順書の書き方や認証ルールの見直しに役立てましょう。検証期間と終了の判断基準を最初に決めておくと、検証が長引くのを防げます。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で多要素認証（MFA）ツールの一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
構築した多要素認証を全社に広げる段取り
検証が終わったら、決めた優先順位に沿って対象を広げていきます。全社一斉に切り替えるのではなく、段階を区切って進めると、問い合わせの集中を避けられます。
段階ごとの展開計画と周知
展開は、管理者アカウント、社外から接続する社員、社内で働く社員のように段階を分け、それぞれの開始日と完了の目標を決めます。繁忙期の部署は時期をずらすなど、業務への影響も考慮しましょう。
周知では、多要素認証を導入する理由、開始日、登録の期限、必要な端末、問い合わせ先を伝えます。メールだけでなく、朝礼や部署の会議で案内する機会を設けると、見落としを減らせるでしょう。導入の目的が会社の情報と社員自身のアカウントを守ることだと説明しておくと、協力を得やすくなります。手順書は画面の写真を入れ、ITに詳しくない社員でも読めるように作りましょう。
問い合わせ窓口の準備
展開の初期は、登録できない、通知が届かないといった問い合わせが集中する可能性があります。窓口の担当者を複数人決め、よくある質問と回答の一覧を用意してから展開を始めましょう。
問い合わせの内容は記録し、同じ質問が続く場合は手順書や社内ポータルの案内を改善します。窓口の対応範囲を超える技術的な問題は、提供会社への連絡方法と連絡先を事前に確認しておくと、対応が遅れるのを防げます。展開の各段階が終わるごとに、登録率と問い合わせの件数を振り返り、次の段階の計画に反映しましょう。
MFA構築後に回す運用ルール
MFAは構築して終わりではなく、入社や退職、端末の紛失などに対応し続ける必要があります。構築の段階で運用ルールを決め、文書として残しておきましょう。
例外申請とアカウント復旧の手順
スマートフォンを持てない社員や、一時的に多要素認証を外したいシステムがある場合に備え、例外の申請と承認の手順を決めます。例外を認めた理由と期限を記録し、期限が来たら見直す流れにしておくと、例外が増え続けるのを防げます。
端末の紛失や故障でログインできなくなった社員の復旧手順も必要です。上長の承認や本人確認を経て一時的なログイン手段を発行する流れを定め、複数の担当者が同じ基準で対応できるようにしましょう。
入社・退職時の反映と定期的な見直し
入社した社員には初回登録を案内し、退職した社員のアカウントと登録済みの端末は速やかに削除します。人事データやActive Directoryと連携していれば、反映が自動で行われるかを確認しておきましょう。
あわせて、半年や1年など時期を決めて、対象システムの追加や認証ルール、未登録者の有無を見直します。新しいクラウドサービスを導入したときに多要素認証の対象へ加える手順も決めておくと、守りの抜けを防げます。見直しの結果は記録し、次回の見直しや担当者の交代時に引き継げるようにしておきましょう。
MFAの構築方針別に見る製品の違い
構築する環境や既存のディレクトリーとの連携、導入支援の有無を比べられるよう、この記事で紹介する多要素認証ツールを一覧にまとめました。
| 製品名 | 特徴 |
|---|---|
| Gluegent Gate（グルージェント ゲート） | 構築不要のクラウド型。AD連携や統合Windows認証にも対応 |
| IIJ IDサービス | 最低利用期間やユーザー数の制限がないクラウド型。導入検証も依頼可 |
| Secioss Access Manager Enterprise（SAME） | 自社環境に構築できるオンプレミス型。AD・OpenLDAPと連携可能 |
| Okta Workforce Identity | 導入支援パートナーを通じて構築。人事システム連携によるID自動化に対応 |
| SeciossLink（セシオスリンク） | AD・LDAP同期とCSV取り込みで既存IDを引き継いで構築 |
構築の進め方から選ぶ多要素認証ツール
構築にかかる手間や既存環境との連携、導入時に受けられる支援の違いに着目して、多要素認証ツールを選びました。
Gluegent Gate（グルージェント ゲート）
- 連携サービスとのシングルサインオン設定で利便性を向上
- 連携サービスのIDを一元管理することで管理者の負荷を軽減
- 多要素認証、アクセス制限をサービスごとに自由に組み合わせ可能
サイオステクノロジー株式会社が提供する「Gluegent Gate（グルージェント ゲート）」は、自社でサーバーを立てずにSSOと多要素認証の仕組みを用意できるクラウドサービスです。Google WorkspaceやMicrosoft 365とはプロビジョニングを含めて連携でき、Active Directory連携と統合Windows認証にも対応しています。多要素認証やアクセス制限はサービスごとに組み合わせて設定できるため、保護する範囲を段階的に広げていく進め方に向く製品です。
IIJ IDサービス
- 超図解マニュアルと直感的・シンプルなUIで導入・運用がカンタン
- デバイス証明書認証やFIDO2認証など、さまざまな認証機能に対応
- 複数の国内DCで稼働する万全のセキュリティ体制
株式会社インターネットイニシアティブが提供する「IIJ IDサービス」は、最低利用期間やユーザー数の制限がなく、連携サービスが増えても追加の費用がかからないクラウド型の認証管理サービスです。少人数の部署で試してから全社に広げるといった進め方がしやすいのが特徴です。Active Directoryとの自動同期にも対応しています。サービス導入前の検証作業と、IIJによる導入・設定作業の代行は有償で依頼でき、構築を任せたい企業にとっての候補です。
Secioss Access Manager Enterprise（SAME）
- シングルサインオンであらゆるサービスに連携
- FIDO認証や証明書認証などの多要素認証で認証を強化
- 柔軟なルール設定が可能なアクセス制御機能を搭載
株式会社セシオスが提供する「Secioss Access Manager Enterprise（SAME）」は、認証の仕組みを自社のサーバーに構築して使うオンプレミス型のソフトウェアです。認証元としてActive DirectoryやOpenLDAP、外部IdPと連携でき、既存のディレクトリーを生かして構築を進められます。SSOの方式はSAMLやOpenID Connect、リバースプロキシ、エージェントなどから選べ、SAML未対応のSaaSなどには代理認証で対応します。ログイン画面のロゴや文言のカスタマイズにも対応しています。
Okta Workforce Identity
- ネットワークや端末などコンテキストに応じたMFAポリシーを適用
- 既存の要素を使いリソースへのパスワードレスログインを実現
- 一部ユーザーが異なるIdPを使用していてもログインを保護
Okta Japan株式会社が提供する「Okta Workforce Identity」は、パートナーによる導入支援を受けられるクラウド型のIDサービスです。Universal Directoryで複数のIDソースを同期し、人事システムと連携して入退社や異動に伴うアカウントの作成・更新・停止を自動化するプロビジョニング機能を備えています。SSOとMFA、特権アクセス管理まで一つのプラットフォームで構築できるため、段階的に守る範囲を広げたい企業の選択肢です。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、クラウド型のIDaaSで、Active DirectoryやLDAPのディレクトリーサーバーと情報を同期して構築できます。Microsoft 365やGoogle Workspaceなどへのプロビジョニングに対応し、人事システムから出力したCSVをAPIでアップロードして取り込む方法も使えます。IPアドレスや時間、国によるアクセス制御は連携サービスごとに設定できるため、社内からの利用と社外からの利用で認証の強さを分ける構築にも向きます。
まとめ
MFAの構築は、守るシステムとアカウントの範囲を決めることから始め、提供形態と構築体制を選び、小規模な検証を経て段階的に全社へ広げる流れで進めます。展開時は周知と問い合わせ窓口を準備し、構築後も例外申請や復旧、入社・退職時の反映といった運用ルールを回し続けることが大切です。資料請求で多要素認証（MFA）ツールの対応範囲や導入支援の内容を比較し、自社に適した製品を選んでください。
