多要素認証 (MFA)
ロール単位で強制適用できる多要素認証 (MFA) オプション
概要
Keeperのロール単位の強制適用ポリシーで多要素認証 (MFA) を適用できます。また、ユーザーがボルトで直接設定することもできます。利用できる主な方式は以下のとおりです。
SMS通知/ショートメッセージ
Google AuthenticatorやMicrosoft AuthenticatorなどのTOTP生成アプリ
Duo Security
Keeper DNA (Apple WatchとWear OSデバイスを使用)
YubiKeyなどのFIDO2 WebAuthn対応物理キー
エンドユーザーの設定
各ユーザーはボルトの [設定] 画面から、2要素認証を個別に設定できます。新しいKeeperアカウントを作成すると、多要素認証を有効にするよう案内されます。
各プラットフォームでの多要素認証の設定手順について詳しくは、エンドユーザーガイドをご参照ください。
多要素認証の強制適用ポリシー
多要素認証はKeeper管理者が強制適用でき、ロール別に制御されます。
Keeper管理者は、多要素認証方式、トークンの有効期間などを設定できます。ポリシーはロール別に強制適用できるため、ユーザー群ごとに異なるポリシーを適用できます。
強制適用ポリシーについて詳しくは、こちらのページをご参照ください。
DuoとRSA SecurIDの設定
Duo SecurityやRSA SecurIDなどの一部の多要素認証方式では、Keeper管理者が管理コンソールで事前設定を行う必要があります。 多要素認証の設定を開くには、選択したノードのKeeper管理コンソールで [2FA] タブに移動します。多要素認証方式とトークンの保持動作は、ロール強制適用ポリシー画面からも適用できます。ロール強制適用ポリシーでは、特定のノードで利用できる多要素認証方式を指定できます。そのため、ノードごとに異なる方式でプロビジョニングできます。
Duo Securityの設定
KeeperはすべてのデバイスプラットフォームでDuo Security APIと連携しており、プッシュ方式とSMS方式の両方を利用できます。Duo Securityを有効にする手順は以下のとおりです。
duo.comにアクセスしてアカウントを作成するか、すでにアカウントがある場合はログインします。
左側のメニューから [Applications] (アプリケーション) を選択します。
[Protect an Application] (アプリケーションの保護) を選択してアプリケーション一覧を表示し、[Keeper Security] を選択します。
Duoのサイトから認証情報をコピーします (秘密鍵は表示操作が必要です)。
Keeper管理コンソールに戻り、[2FA] タブを選択します。Duoの歯車アイコンを選び、コピーした認証情報を貼り付けます。[有効にする] をオンにし、[保存] をクリックして完了します。
ユーザー名の正規化に関する重要な注意事項
Duoへのログイン時にエラーが出る場合は、「Username normalization」(ユーザー名の正規化) の設定を確認してください。KeeperのバックエンドがDuo APIと通信する際は、Keeperのメールアドレスが使われます。Duo環境がメールアドレスではなくユーザー名で構成されている場合は、Duoコンソールの設定ページで「Username normalization」を確認し、[Simple] (シンプル) を選択してください。
Duoのナレッジベースにユーザー名の正規化についての記事がありますので、ご参照ください。
Duoはメールアドレスではなくユーザー名でユーザーを照合します。Duoの認証ログに「未登録ユーザー」と表示される場合は、Keeper側の該当ユーザー名をDuoのユーザー名エイリアスに追加してください。
有効化後は、すべてのデバイスでDuo Securityによる認証が求められます。
その他の多要素認証方式
任意の多要素認証方式をボルトから直接設定できます。右上隅のアカウントのメールアドレスをクリックし、[設定] > [セキュリティ] の順に進んで2要素認証をオンにします。続けて、以下のいずれかの方式を選択します。
SMS通知
Keeperでは、2要素認証コードをSMS (ショートメッセージ) で受け取れます。方式一覧から [SMS通知] をオンにし、電話番号を入力します。
TOTP方式
方式一覧から [認証アプリ] をオンにします。Google Authenticator、Microsoft AuthenticatorなどTOTP対応アプリをモバイル端末にインストールし、Keeperに表示されるQRコードをスキャンしてエントリーを追加します。
スマートウォッチ (KeeperDNA)
Keeper DNAは、所有する接続デバイスから固有のプロファイルを作り、本人確認の第2要素として使います。Apple WatchとWear OSデバイスに対応しています。有効にするには、モバイル端末で [設定] > [2要素認証] の順にタップし、[スマートウォッチ (KeeperDNA)] を選択します。
セキュリティキー (FIDO2 WebAuthn)
YubiKeyやGoogle Titanキーなど、FIDO WebAuthn対応のハードウェアセキュリティキーで、多要素認証 (MFA) を安全かつ簡単に行えます。
セキュリティキーはウェブボルトまたはデスクトップアプリで設定します。有効化の手順は以下のとおりです。
ボルト右上のアカウントのメールアドレスをクリックし、[設定] > [セキュリティ] の順に進みます。
2要素認証を有効にし、2要素認証の箇所で [編集] をクリックして、標準の方式を有効にします。これは、セキュリティキーが使えない場合のバックアップになります。SMSではなく認証アプリ (TOTP) をバックアップにすることを推奨します。SMSだと、セキュリティキーでログインするたびにSMSコードが届きます。SIM乗っ取り攻撃を防ぐため、Google AuthenticatorなどのTOTP生成ツールの利用を推奨しています。
[2要素認証] メニューで、[セキュリティキー] の右側にある [セットアップ] をクリックします。
画面の指示に従い、セキュリティキーの名前を入力して [登録] をクリックします。
セキュリティキーにボタンまたはゴールドディスク (Yubicoなど) がある場合は、そのボタンを押して登録します。
セキュリティキーを使用したログイン
Keeper暗号化モデルで説明されている認証システムでは、マスターパスワード認証の前に、デバイス検証と多要素認証の検証が必要です。
セキュリティキーでブラウザ拡張機能にログインする場合、ユーザーから見た流れは少し異なりますが、セキュリティレベルは同じです。ブラウザ拡張機能のログインではマスターパスワードの入力を求められますが、デバイス検証と多要素認証が終わるまでその情報は処理されません。これは、ブラウザ拡張機能が現時点でネイティブのセキュリティキーに対応していないためです。
バックアップ用多要素認証方式
現在、TOTP、SMS、Duo、RSA、Keeper DNAのいずれかによるバックアップ用多要素認証の設定が必要です。ハードウェアセキュリティキーに対応していないデバイスや、キーを手元に置けない場合に使います。
バックアップ用方式を用意したくない場合は、TOTP方式を使い、リカバリコードを安全な場所に保管することを推奨します。バックアップ用方式がないと、一部のデバイスで認証できなくなる場合があります。また、登録済みのセキュリティキーをすべて紛失した場合は、Keeper管理者またはKeeperサポートチームに連絡し、多要素認証方式の変更が必要です。
管理者による2要素認証の管理
管理者は、任意のユーザーの2要素認証を無効にできます。
最終更新