Umbrella: Dashboard のアカウント認証を拡張する機能の紹介

[tkitahar]

• 1. はじめに
• 2. 2段階認証
• 3. SAMLダッシュボードのユーザ設定
• 4. 2 段階認証と SAML 認証の併用は可能か？

※ 2024 年 11 月 30 日現在の情報をもとに作成しています

1. はじめに

Umbrella Dashboardには、現行のアカウント認証の動作を拡張する以下の 2 つの機能が用意されています。

• 2段階認証 (Two-Step Verification)
• SAMLダッシュボードのユーザ設定 (SAML Dashboard User Configuration)

この 2 つの機能における注意すべき点としては、2段階認証が個別のアカウントに設定されるのに対し、SAML 認証は組織に属するすべてのアカウントに一括で設定されることです。本記事では、これらの機能の概要について紹介します。

2. 2段階認証

2段階認証は、Umbrella Dashboard にログインする際、パスワードによる認証の後に、モバイル機器を用いた認証を行う機能になります。

この機能を有効にすることで、パスワードという「知っているもの (Something you know)」による認証と、モバイル機器という「持っているもの (Something you have)」による認証が行われるようになり、いわゆる「2要素認証」の要件も満たすことになります。

モバイル機器による認証は、Umbrella Dashboard へのパスワード認証後に、モバイル機器上で確認したセキュリティ コードを入力することで行います。以下はその時の画面です。

セキュリティ コードの取得には、以下の 2 種類の方法が用意されています。

• セキュリティ コードが記載されたテキスト メッセージ (SMS) を登録した電話番号に送る
• セキュリティ コードが表示される認証用のアプリをモバイル機器にインストールする

これらのうち、後者のアプリの使用が推奨されており、現在 「Duo Mobile」というアプリが対応しています。

さて、Umbrella Dashboard には本機能に関連する画面が 2 つあり、1 つ目は、管理 (Admin) > 認証 (Authentication) の 2 段階認証で、こちらでは現在ログインしているアカウントが 2 段階認証を有効にしているかどうかを確認できます。

※ こちらの画面からは設定を行いません

もう 1 つは、管理 (Admin) > アカウント (Accounts) の個別のアカウントにある 2 段階認証 (2FA) で、ログインしているアカウント (つまり自分自身) に限り、設定の変更が可能です。

以下に、Duo Mobile を使った簡単な例を紹介します。前述の「有効化」を押すとモバイルアプリか SNS かを選ぶ画面が表示されますので、モバイルアプリを選んだままで「次へ」を押します。

QR コードが表示されますので、モバイル機器上で Duo Mobile を起動し、QR コードを読み込みむと「サードパーティ製の Umbrella」というエントリーが追加されます。その後、「次へ」をクリックします。

現在使っている Umbrella Dashboard のパスワードと、Duo Mobile に表示されているパスコードを入力し、「次へ」をクリックします。

緊急バックアップコードは、2 段階認証を無効にする際に使われますので、必ず控えてください。最後に「完了」をクリックします。

以上で設定は終わりです。今後の Umbrella Dashboard へのログインには、パスワードに加えて、Duo Mobile のパスコードも必要となります。

なお、2 段階認証をやめたい場合は、前述の「無効にする」をクリックします。以下の画面が表示されますので、Umbrella Dashboard のパスワードと、Duo Mobile のパスコードまたは控えていた緊急バックアップコードを入力します。

※ デバイス機器を紛失し、緊急バックアップコードを使う場合でも、「6桁のセキュリティコード」の欄に任意の数字を埋めてください

※ デバイス機器も緊急バックアップコードも紛失した場合は、Umbrella サポートに問い合わせを行う必要があります

(参考情報) Enable Two-Step Verification

https://docs.umbrella.com/deployment-umbrella/docs/enable-two-step-verification

3. SAMLダッシュボードのユーザ設定

本機能は、サードパーティの IdP (アイデンティティ プロバイダ) による SAML 認証を使って Umbrella Dashboard にログインできるようにするものです。SAML 認証の詳しい解説は、こちらの記事で行っています。

4. 2 段階認証と SAML 認証の併用は可能か？

Umbrella Dashboard で SAML 認証を有効にした場合、その組織に属するすべてのアカウントが SSO (シングルサインオン) 用となり、Umbrella のデータベースからパスワード情報が削除されます。これは Umbrella Dashboard へのアカウント認証を IdP 側に任せたことにより、Umbrella 側でパスワードを保持する必要がなくなったためです。

それに伴って、Umbrella Dashboard のパスワード認証の後に行われていた 2 段階認証も自動的に無効になります。つまり、Umbrella Dashboard 上の SAML 認証の設定と 2 段階認証の設定を併用することはできません。

※ セキュリティ上、どうしても 2 段階認証が必要な場合は、代わりに IdP 側で行う必要があります

また、SAML 認証が有効になっているアカウントで Umbrella Dashboard にログインし、管理 (Admin) > アカウント (Accounts) 画面を見ても、2 段階認証の記載そのものがなくなっており、有効にすることはできません。

なお、再び Umbrella Dashboard の 2 段階認証の設定を使いたい場合は、SAML 認証そのものを無効にするか、または、SAML 認証が有効になっている組織からアカウントを削除する必要があります (アカウントが複数の組織に属している場合)。

上記のいずれかの方法を取った場合、アカウントのメールアドレス宛にパスワード リセットを依頼するメールが Umbrella のシステムから届き、再び Umbrella によるパスワード認証が開始します。そして、この状態であれば、Umbrella Dashboard の管理 (Admin) > アカウント (Accounts) 画面から 2 段階認証を有効化できます。