7.2. Identity Management におけるワンタイムパスワード (OTP) 認証
Identity Management (IdM) は、標準パスワードと自動生成されたワンタイムパスワード (OTP) を組み合わせることで、多要素認証を提供します。OTP 方式を使用することで、ユーザーアカウントと LDAP クライアントに追加のセキュリティー層を付与して保護できます。
ワンタイムパスワードを生成するには、ハードウェアまたはソフトウェアのトークンを使用できます。IdM は、ソフトウェアトークンとハードウェアトークンの両方をサポートします。
Identity Management は、次の標準的な OTP メカニズムをサポートしています。
- HMAC ベースのワンタイムパスワード (HOTP) アルゴリズムは、カウンターに基づいています。HMAC は、Hashed Message Authentication Code (ハッシュメッセージ認証コード) を表しています。
- 時間ベースのワンタイムパスワード (TOTP) アルゴリズムは、時間ベースの移動要素に対応する HOTP の拡張機能です。
IdM は、Active Directory 信頼ユーザーの OTP ログインに対応していません。
現在、以下のセキュリティーと、IdM の OTP サポートに関連しています。
- 最も重要なセキュリティー制限は、システム全体で攻撃を再生する可能性のある脆弱性です。レプリケーションは非同期であるため、OTP コードはレプリケーション期間中に再利用できます。ユーザーは 2 つのサーバーに同時にログインできる場合があります。ただし、この脆弱性は通常、包括的な暗号化のために悪用するのが難しくなります。
-
OTP 認証をサポートしないクライアントを使用して、TGT (Ticket-Granting Ticket) を取得することはできません。これは、
mod_auth_kerbモジュールまたは Generic Security Services API (GSSAPI) を使用した認証など、特定のユースケースに影響する可能性があります。
7.2.1. 利用可能な OTP 認証方法 リンクのコピーリンクがクリップボードにコピーされました!
OTP 認証を有効にする場合、以下の認証方法を選択できます。
- 2 要素認証 (パスワード + OTP)
- この方法では、標準パスワードと OTP コードの両方を入力する必要があります。
- Password
- この方法では、標準のパスワードのみを使用して認証を行うオプションがあります。
- RADIUS プロキシーサーバー認証
- IdM で OTP 検証用に RADIUS サーバーを設定する方法は、IdM での OTP バリデーション用の RADIUS サーバー設定 を参照してください。
- グローバルおよびユーザー固有の認証方法
これらの認証方法は、グローバルまたは個々のユーザーに対して設定できます。
- デフォルトでは、ユーザー固有の認証方法設定はグローバル設定よりも優先されます。ユーザーに認証方法が設定されていない場合、グローバルに定義されているメソッドが適用されます。
- 任意のユーザーのユーザーごとの認証方法設定を無効にできます。これにより、IdM はユーザーごとの設定を無視し、常にユーザーにグローバル設定を適用するようになります。
- 複数の認証方法の組み合わせ
複数の認証方法を設定した場合、そのうちのいずれか 1 つが成功すれば、ユーザーを正常に認証できます。以下に例を示します。
2 要素認証とパスワード認証の両方を設定する場合、ユーザーはパスワード (最初の要素) を提供する必要があります。一方、コマンドラインを使用する場合、OTP (2 番目の要素) の提供は任意です。
First Factor: Second Factor (optional):- Web UI では、ユーザーは両方の要素を指定する必要があります。
ただし、RADIUS と別の認証方法が設定されている場合は、軽微な例外が存在します。
- Kerberos は常に RADIUS を使用しますが、LDAP は使用しません。LDAP は、パスワードと 2 要素認証メソッドのみを認識します。
- 外部の 2 要素認証プロバイダーを使用する場合は、アプリケーションから Kerberos を使用します。パスワードを使用した認証のみを許可する場合は、LDAP を使用します。アプリケーションでは、Kerberos または LDAP のいずれかを設定できる Apache モジュールと SSSD を使用することを推奨します。