生体認証ログインコマンド
プラットフォームごとの生体認証ログインの概要とコマンド操作に関する詳細
仕組み
生体認証ログインでは、ユーザーがパスワードを入力せず、生体認証情報 (指紋、顔認証、その他の安全なトークン) で認証できます。これらはユーザーに紐づく暗号トークンとして扱われます。
生体認証 (Windows Hello) はWindows端末側で構成する必要があります。詳細はMicrosoftのWindows Hello構成ガイドをこちらからご参照ください。
1. 認証情報の作成 (登録)
生体認証情報は、ユーザーの端末上でローカルに生成されます。
公開鍵と秘密鍵のペアが作られます。
秘密鍵は端末内に安全に保管され、端末の外には出ません。
公開鍵がKeeperに送られ、ユーザーアカウントに登録されます。
この公開鍵は、以降の認証用にユーザーと関連付けて保持されます。
2. 認証 (ログイン)
生体認証でログインするとき、端末は秘密鍵で暗号チャレンジに署名します。
署名済みのチャレンジ (トークン/アサーション) がKeeperに送られます。
登録済みの公開鍵で署名が検証されます。
検証に成功すると次のとおりです。
そのトークンは本人確認の証拠として扱われます。
ユーザーにボルト/セッションへのアクセスが許可されます。
3. 基本原則
ゼロ知識セキュリティ – 生体データや秘密鍵はKeeperに送られず、公開鍵のみが保持されます。
端末に紐づく認証情報 – 認証情報は、作成した端末に結び付きます。
パスワードレスログイン – 一度登録すれば、マスターパスワードの代わりに使えたり、第二要素として機能したりします。
フォールバック – 生体認証が使えない場合でも、パスワードやその他の二要素認証でログインできます。
要件
Power Commanderでは、Windows Helloのみを使った生体認証ログインが利用できます。
要件:
Windows 11以降が必要です
PowerCommander 1.0.7以降であること
Python CLIでは、Windows HelloとmacOSの両方で生体認証ログインが利用できます。 Python 3.10以上が必要です。
これらのコマンドは、Windows上の.NET Framework 4.7.2 (net472) 向けビルドでのみ利用できます。
対応コマンド一覧
次のコマンドを扱う。
Register Biometricコマンド
このコマンドは、現在CLIにログインしているユーザーのメールアドレスで新しいパスキーを作成します。生体認証ログインを既定のログイン方法にしたあと、ユーザーがログインするときの認証にこのパスキーが使われます。
このコマンドを使うには、CLIにログイン済みである必要があります。
注:
このコマンドを実行したあと、生体認証を既定のログイン方法にするには、端末をKeeperに登録する必要があります。
永続ログインは生体認証ログインより優先されます。端末で永続ログインが有効な場合、ログイン時に生体認証情報は検証されません。
対象: Windows Helloのみ。
フラグ:
PassThru : このフラグは、認証情報IDなどの詳細を表示するかどうかを制御します。true にすると詳細が出力され、そうでなければ出力されません。
例
PassThruフラグあり
PassThruフラグなし
対象: WindowsとmacOSの両方。
このコマンドは、現在CLIにログインしているユーザーのメールアドレスで新しいパスキーを作成します。端末に生体認証ログインを登録したあと、ユーザーがログインするときの認証にこのパスキーが使われます。
このコマンドを使うには、CLIにログイン済みである必要があります。
注:
このコマンドを実行したあと、生体認証を既定のログイン方法にするには、端末をKeeperに登録する必要があります。
永続ログインは生体認証ログインより優先されます。端末で永続ログインが有効な場合、ログイン時に生体認証情報は不要になります。
Windows上のnet472向けビルドでのみ利用できます。
Show Credentialコマンド
このコマンドは、指定アカウントに登録済みの認証情報をすべて一覧し、認証器の種類、認証情報ID、作成日、最終利用日を表示します。
このコマンドを使うには、CLIにログイン済みである必要があります。
フラグ
IncludeDisabled - 現在有効なものに加え、以前使われたが無効化された認証情報の詳細も表示します。
例
出力例:
このコマンドは、指定アカウントに登録済みの認証情報をすべて一覧し、認証器の種類、認証情報ID、作成日、最終利用日を表示します。
このコマンドを使うには、CLIにログイン済みである必要があります。
例:
Verify Credentialコマンド
このコマンドは、保存済みの認証情報でセッションを認証するために使います。生体認証でログインするときも同じ処理が使われます。
フラグ:
Purpose - login または reauth を指定します。サーバーに対し、ログイン用の認証か、ログイン状態の再確認かを伝えます。
PassThru - 認証情報IDなどコマンド出力を表示するかどうか。既定は false で、そのような詳細は表示されません。
出力例
フラグ:
--purpose - vault または reauth を指定します。このフラグで目的をvault/reauthに設定します。省略可能です。
出力例:
このコマンドは、保存済みの認証情報でセッションを認証するために使います。生体認証でログインするときも同じ処理が使われます。
例:
Unregister Credentialコマンド
このコマンドは、Keeper上で認証情報を無効化するために使います。指定した暗号認証情報は、ユーザーに結び付いたものとしてKeeperに受け入れられなくなります。
フラグ :
CredentialId - 無効化する認証情報のID。省略するとすべてが対象になる。
PassThru - 結果のフィルター。既定は false で、実行時に技術的な詳細はユーザーに返しません。このフラグを付けると、削除した認証情報の詳細を確認できます。
出力例 :
フラグ
--confirm : 確認ダイアログを省略します。
出力例
このコマンドは、Keeper上で生体認証の認証情報を無効化するために使います。指定した暗号認証情報は、ユーザーのログインに用いるものとしてKeeperで受け付けられなくなります。
例:
Change Nameコマンド
このコマンドは、指定した端末の表示名を変更します。
未実装
このコマンドは、次の操作を対話形式で行います。
利用可能な認証情報から選択する
新しいフレンドリ名を入力する (最大32文字)
更新を確定する
出力例:
最終更新
役に立ちましたか？