はじめに
IBM Security Verify の Gateway for Windows Login を利用すると、Windowsのリモートデスクトップのログインや、ローカルログインに多要素認証を組み込むことができます。
今回はHTTP Proxyを利用する設定を試してみたことを記載しています。
インターネットへの接続をHTTP Proxy経由のみに制限されているWindowsサーバーに対して多要素認証を組み込むというシナリオを想定しました。
検証で利用するWindowsサーバーは、HTTP Proxyを介してインターネットに接続することは可能で、
インターネット側から直接の接続はできないという前提です。
構成のイメージ
動作確認にあたり、HTTP ProxyにはSquidを使用しました。
多要素認証をしたいWindowsサーバーは、Squidの提供するHTTP Proxyを経由しインターネットにHTTPSで接続をすることができるようになっています。インターネット側からは、多要素認証をしたいWindowsサーバーへはアクセスできません。
構成イメージでは、メールやSMS等を使ってワンタイムパスワードを通知していますが、Google AuthenticatorのようなTOTPアプリケーションを利用してワンタイムパスワードを管理することも試しています。
設定手順
事前準備
以下の設定を行います。
- IBM Security Verify の APIクライアントの構成
- WindowsサーバーにIBM Security Verify Gateway for Windows Login アプリケーションをダウンロード
- IBM Security Verify Gateway for Windows の構成
設定後のconfig.jsonの設定イメージ
IBM Security Verify Gateway for Windows の構成パラメーターである config.json は以下のように設定をしました。
{
"ibm-auth-api":{
/*IBM Security Verify tenant API Client and connection details. */
"client-id":"xxxxxxxx-xxxx-xxxx-8196-01f6b288b4cb",
/* See obfuscate.exe tool to obfuscate "client-secret". */
"obf-client-secret":"xxxxxxxxxxxxxxxx4AWf4dNB62XMzwBe39CGuhVcT3A=",
"protocol":"https",
"host":"xxxx.verify.ibm.com",
"port":443,
"proxy":"http://192.168.101.bbb:3128",
"revoke-best-effort":true ,
"max-handles":16
},
"credential-provider":{
/* Windows Logon behavior */
"trace-file":"c:/work/credprov.log",
"username-format":"%U",
"disable-builtin-password-logon": false,
"rdp-only": false,
"auth-method":"winpwd-then-choice-then-otp",
"choices":["device","transient","totp","smsotp","emailotp", "voiceotp"]
}
}
HTTP Proxy を経由して接続するための設定として、config.jsonに以下のパラメータを設定しました。(192.168.101.bbb;:3128 は HTTP Proxy のアドレスとポートです）
"proxy":"http://192.168.101.bbb:3128",
"revoke-best-effort":true ,
動作確認
HTTP Proxy経由で IDaaSである IBM Security Verify に接続できるように設定したことで、多要素認証を実現することができました。
画面右下に
このように表示されているように、このサーバーはインターネットへの接続が制限された状態になっていることがわかります。
Gateway for Windows Login に HTTP Proxy の設定をすることで、インターネット上のIDaaSサービスである、IBM Security Verify を利用して多要素認証を実現することができました。
WindowsサーバーにID・パスワードを入力後、ユーザーは通知されたワンタイムパスワードを使って多要素認証をすることができます。
多要素認証の方式
メール、SMS、電話などは、IBM Security Verify からユーザーに通知されます。
メール、SMS、電話でのワンタイムパスワードの通知以外にも、ワンタイムパスワードを表示するアプリケーション (Google Authenticator など)を利用した方法、スマートフォンアプリのIBM Security Verifyを利用する方法もあります。
最後に
今回は、インターネットへの接続をHTTP Proxy経由のみに制限されているWindowsサーバーに対して多要素認証を組み込みました。