今日やること
これまでの記事では、IDとパスワードによる認証を経て、Policy Agentが導入されているWebサーバーにアクセスしてました。今日は、この認証にもう１要素加えて、多要素認証としてみたいと思います。
多要素認証ってわたしは呼んでますが、2段階認証とか、2要素認証とか認証サービスごとによっていろいろな呼び方をされてますね。なにか区別しているんでしょうか？
流れとしては、上記のような感じですね。ユーザーはOpenAMで認証して、認証済みのセッションを払いだしてもらうために、1. IDとパスワードで認証と2. TOTPで認証を行うという感じです。
TOTPってなに？
TOTPはTime-Based One-Time Passwordの略です。RFCで定義されています。秘密鍵と現在時間を共有する一度きりのパワードを生成するアルゴリズムみたいなもんです。あまり細かいことはわかってません(◞‸◟)
大まかな概要図はこのような感じだと思います。図から想像できるように、KEYは事前に共有しておく必要があります。
OpenAMでTOTP認証を有効化する
それではやっていきましょう！
ForgeRock Authenticator モジュールを追加する
OpenAMの管理コンソールに管理者アカウント（ユーザー名はamadmin）でサインインします。
Authentication => Modules => Add Moduleとアクセスします。
モジュールの追加ウィザードが表示されます。以下のパラメータを入力し、Createをクリックします。
- Name
- TOTP
- Type
- ForgeRock Authenticator(OATH)
こんな感じです。
引き続きパラメータを入力し、Save Changesをクリックします。（変更点のみ記載）
- 使用するOATHアルゴリズム
- TOTP
- Name of the issuer
- iam.example.com
こんな感じです。
Name of issuerは発行元みたいなイメージでしょうか。
TOTPモジュールをチェーンに追加
OpenAMには認証のチェーン（連鎖）という仕組みがあります。「Aという認証が成功したらBという認証」、とか、「Aという認証が成功しても失敗してもBという認証」...とかいう感じで、認証の組み合わせを定義できます。
設定はAuthentication => Chainsから行うことができます。デフォルトでは、ldapServiceというチェーンが適用されていますので、これをクリックします。
ん～(´▽｀)直観的でわかりやすいインターフェースだと思います。Add a Moduleから先ほど追加したモジュールを追加することができます。追加後は以下のような画面になります。
ここで、RequireとかRequisiteとか表示されていますが、これは各モジュールの実行後の動作決める条件となります。以下のようなパラメータを設定することができます。
| 条件 | 説明 |
|---|---|
| requisite | モジュールは成功する必要があります。成功すると、チェーンの次のモジュールに進み、失敗すると、そこで認証失敗となります。 |
| required | モジュールの成功が必要です。成功するかどうかに依らず、チェーンの次のモジュールに進みます。 |
| sufficient | モジュールの成功は必須ではありません。成功すると、チェーンの次のモジュールに進まず、認証成功となります。失敗すると、チェーンの次の認証モジュールに進みます。 |
| optional | モジュールの成功は必須ではありません。成功するかどうかに依らず、チェーンの次のモジュールに進みます。 |
ForgeRock Authenticatorのインストール
お手持ちのスマホにForgeRock Authenticatorをインストールします。
このアプリはユーザー側のOTPの生成器みたいなものになります。（アップデートしたほうがいいですね...）
動作確認
それでは、試してみましょう。
Policy Agentを導入済みのWebサーバーweb.example.comにアクセスします。
アクセス後、IDとパスワードによる認証画面が表示されますので、検証アカウント（ユーザー名はjohnd）でサインインします。
ユーザー側でOTPを生成するために必要な鍵の事前共有と2要素目の認証のプロセスが開始されます。REGISTER DEVICEをクリックします。
先ほど、スマホにインストールしたForgeRock Authenticatorを使って、鍵の登録をします。QRコードが表示されるので、このアプリで読み取ります。
読み取り後、LOGIN USING VERIFICATION CODEをクリックします。
ちなみに、ForgeRock Authenticatorでは、時間の経過とともに変化するOTPが表示されます。
ここで、表示されているOTPを入力するフォームが表示されるので、ForgeRock Authenticatorに表示されているOTPを入力します。
認証に成功すると、おなじみのApacheの画面が表示され、認証が成功していることが確認できます。
1回目はOTPを生成する鍵の共有が必要だったので、QRコードの読み取りが必要でしたが、2回目以降は不要となります。
はまるとこ
当然、時刻ベースでOTPを生成して、比較するという認証なので、ForgeRock Authenticator側とOpenAM側で時刻があっていないと、認証が成立しません。
気を付けされたし(´◉◞౪◟◉)
〆
まとめると、
- ForgeRock Authenticatorモジュールで、TOTPをつかった多要素認証を実装できる
- OpenAMには認証のモジュールを組み合わせて、認証機能を提供できる
- ForgeRock AuthenticatorはOTPを生成するのに必要な鍵共有のインターフェースもモジュール上で提供している
という感じですかね～。結構簡単にTOTPできました。
ただこのForgeRock Authenticatorで作られたQRコードですが、OTPの生成器アプリとして名高いGoogle Authenticatorで読み取ることができません。なんだか特殊なURNで表現されてるのかな～？ま、いっか(´▽｀)
明日はなにしよう～？
ばい！