マルチファクタ認証の管理

ユーザーのみが自分のアカウントに対してマルチファクタ認証(MFA)を有効化できます。ユーザーは自分のアカウントのMFAを無効化することもできます。管理者グループのメンバーは他のユーザーのMFAを無効にできますが、別のユーザーのMFAを有効にできません。

マルチファクタ認証は、ユーザーのアイデンティティを検証するために複数の要素を使用する必要のある認証方法です。

IAMサービスでMFAが有効化されている場合は、ユーザーがOracle Cloud Infrastructureにサインインするときに、最初の要素(ユーザーが知っているもの)であるユーザー名とパスワードの入力が求められます。その後ユーザーは、登録されたMFAデバイスに2番目の検証コードを提供するよう求められます。これは、2番目の要素(ユーザーが所有しているもの)です。これら2つの要素は連携して機能し、ユーザーのアイデンティティを検証し、サインイン処理を完了するためにセキュリティのもう1つの層が必要です。

通常、MFAには次の2つが含まれます。

• パスワードなど、ユーザーが知っているもの。

• デバイスなど、ユーザーが所有しているもの。

• フィンガープリントなど、ユーザーそのもの。

IAMサービスでは、パスワード(最初の要素)および時間ベースのワンタイム・パスワード(TOTP)(2番目の要素)を生成できるデバイスを使用した2つの要素による認証をサポートしています。

次に、よく理解する必要がある基本概念のリストを示します。

マルチファクタ認証(MFA)

マルチファクタ認証(MFA)は、ユーザーのアイデンティティを検証するために複数の要素を使用する必要のある認証方法です。認証ファクタの例としては、パスワード(知っているもの)やデバイス(持っているもの)があります。

オーセンティケータ・アプリケーション

モバイル・デバイスにインストールするアプリケーション。アイデンティティの検証にソフトウェアベースのセキュア・トークンを提供できます。オーセンティケータ・アプリケーションの例には、Oracle Mobile AuthenticatorやGoogle Authenticatorなどがあります。IAMサービスでMFAを有効にするには、オーセンティケータ・アプリケーションがインストールされているデバイスが必要です。アプリケーションを使用してデバイスを登録します。次に、同じアプリケーション(同じデバイス上)を使用して、サインインするたびに時間ベースのワンタイム・パスコードを生成します。

登録済モバイル・デバイス

マルチファクタ認証は、特定のユーザーおよび特定のデバイスに対して有効です。ユーザーのMFAを有効化する手順には、モバイル・デバイスの登録が含まれます。この同じデバイスを使用して、ユーザーがサインインするたびに時間ベースのワンタイム・パスコードを生成する必要があります。登録されたモバイル・デバイスが使用不可になった場合、ユーザーのMFAを無効化してMFAを新しいデバイスで再度有効化できるようにする必要があります。

時間ベースのワンタイム・パスワード(TOTP)

TOTPは、RFC 6238で定義されているとおり、共有秘密キーのワンタイム・パスワードと現在の時間を計算するアルゴリズムによって生成されるパスワード(またはパスコード)です。登録済モバイル・デバイスのオーセンティケータ・アプリケーションによって、Oracle Cloud Infrastructureにサインインするたびに入力する必要があるTOTPが生成されます。

次のオーセンティケータ・アプリケーションがOracle Cloud Infrastructure IAMサービスでテストされました。

• Oracle Mobile Authenticator
• Google Authenticator

これらのアプリケーションはモバイル・デバイスのアプリケーション・ストアにあります。MFAを有効化するには、モバイル・デバイスにこれらのアプリケーションのいずれかをインストールする必要があります。

MFAを有効化する際には、次の点に注意してください。

• MFAに登録する予定のモバイル・デバイスに、サポートされているオーセンティケータ・アプリケーションをインストールする必要があります。
• 各ユーザーは、サインインするたびにアクセスできるデバイスを使用して、MFAを有効にする必要があります。管理者は、別のユーザーのMFAを有効化できません。
• MFAを有効化するには、モバイル・デバイスのオーセンティケータ・アプリケーションを使用して、IAMサービスによって生成され、コンソールに表示されるQRコードをスキャンします。QRコードは、秘密キーをアプリケーションと共有しており、アプリケーションはIAMサービスによって検証可能なTOTPを生成できます。
• ユーザーは、MFAで使用するデバイスを1つのみ登録できます。
• Oracle Cloud Infrastructureアカウントをオーセンティケータ・アプリケーションに追加すると、アカウント名がOracle <tenancy_name> - <username>としてオーセンティケータ・アプリケーションに表示されます。

IAMサービスの時間ベースのワンタイム・パスワード認証を使用して認証されたユーザーのみに、リソースへのアクセスを制限できます。リソースへのアクセスを許可するポリシーで、この制限を設定します。

ポリシーによって付与されるアクセスをMFA検証済ユーザーのみに制限するには、次のwhere clauseをポリシーに追加します。

where request.user.mfaTotpVerified='true'

たとえば、GroupAにインスタンスの管理を許可するポリシーが会社にあるとします。

allow group GroupA to manage instance-family in tenancy

セキュリティを強化するには、MFAを使用して検証されたユーザーのみがインスタンスを管理できるようにする必要があります。これらのユーザーのみにアクセスを制限するには、次のようにポリシー・ステートメントを変更します。

allow group GroupA to manage instance-family in tenancy where request.user.mfaTotpVerified='true'

このポリシーを有効にすると、登録済モバイル・デバイスによって生成されるパスワードおよび時間ベースのワンタイム・パスコードの両方を入力して正常にサインインしたGroupAのメンバーのみがインスタンスにアクセスして管理できます。MFAを有効にせず、パスワードのみを使用してサインインしているユーザーは、インスタンスを管理するためのアクセス権が許可されません。

ポリシーの書込みの詳細は、ポリシー構文を参照してください。

MFAを有効にしたら、次のいずれかの手順を使用してOracle Cloud Infrastructureにサインインします。

登録済のモバイル・デバイスを紛失した場合、コンソールからOracle Cloud Infrastructureへの認証を行うことはできません。アカウントのマルチファクタ認証を無効にするには、管理者に連絡してください。その後、このプロセスを繰り返して、新しいモバイル・デバイスを使用したマルチファクタ認証を有効にすることができます。

連続して10回試行してコンソールへのサインインに失敗した場合、そのユーザーは以降のサインイン試行から自動的にブロックされます。管理者は、コンソール(ユーザーのブロックを解除するにはを参照)またはUpdateUserState API操作を使用してユーザーのブロックを解除できます。

各ユーザーは、ユーザー自身のMFAを無効化できます。管理者は、別のユーザーのMFAを無効化することもできます。

コンソールでMFAを管理するには、次の手順を使用します。

APIの使用およびリクエストの署名の詳細は、REST APIのドキュメントおよびセキュリティ資格証明を参照してください。SDKの詳細は、SDKおよびCLIを参照してください。

次のAPI操作を使用して、マルチファクタ認証デバイスを管理します。

• CreateMfaTotpDevice
• ListMfaTotpDevices
• GetMfaTotpDevice
• DeleteMfaTotpDevice
• ActivateMfaTotpDevice
• GenerateTotpSeed