スキップしてメイン コンテンツに移動

Workspace ONE Accessに証明書認証でログイン


Workspace ONE AccessではSaaSなどのサービスへのアクセス管理ができますが、クライアント証明書認証の機能も備わっています。

ここでは、Workspace ONE UEMから配信した証明書を使用して、Workspace ONE Accessに証明書認証でログインする、ということをやってみます。

まずは、Workspace ONE UEMコンソールでの作業です。

すべての設定＞システム＞エンタープライズ統合＞Workspace ONE Access＞構成 へ移動し、「エクスポート」をクリックしてAirWatch認証局のルート証明書をエクスポートします。


次に、Windows向けにWorkspace ONE Access認証用証明書プロファイルを作成してデバイスに対して配信します。
SCEPペイロードを選択し、「資格情報ソース」は「AirWatch認証局」を選択します。証明書テンプレートは「証明書（クラウド展開）」です。

【補足】
上記のプロファイルで配信した証明書は秘密キーのエクスポートができないようになっているため、使い回しを防ぐことができます。つまり、私用のデバイスにインポートし直してログインしてしまおう...ということはできない仕組みになっているワケですね。


次はWorkspace ONE Accessの管理コンソールでの作業です。
IDとアクセス管理＞管理＞認証方法をクリックし、「証明書（クラウドデプロイ）」の設定を変更します。（UEMのプロファイルで選択した証明書テンプレートと同じ名前ですね。若干の誤差はありますが...）


始めに、「証明書アダプタを有効にする」にチェックを入れ、「ルートおよび中間CA証明書」のところには先ほどWorkspace ONE UEMからエクスポートした証明書をアップロードし、「証明書の失効を有効にする」にもチェックを入れておきます。
【補足】
公的認証局であっても、ここでルート証明書をアップロードしない限り証明書認証はできないので、今回の例ではWorkspace ONE UEM内部の認証局から発行されている証明書以外では認証できない構成にすることができます。


少し下にスクロールして「OCSPの失効を有効にする」にチェックを入れ、「OCSPレスポンダの署名証明書」には先ほどと同じくWorkspace ONE UEMからエクスポートしたルート証明書をアップロードします。アップロードが完了したら忘れずに「保存」をクリックして設定を保存しておきます。
この設定を入れておくことで、失効済みの証明書の認証をブロックすることができます。


最後に、認証ポリシーに証明書認証を組み込みます。
IDとアクセス管理＞管理＞ポリシー へ移動後、「デフォルトポリシーの編集」をクリックします。


画像のように、Windows10デバイスからのアクセスがあった場合に「証明書(クラウドデプロイ)」という認証方法が適用されるようにポリシーを構成して保存します。


ここまでで設定は完了したので、実際に動作を確認してみます。
Workspace ONE UEMに加入済みのデバイスでWorkspace ONE Accessにアクセスすると...


証明書の提示を求められ...


証明書が正規のもの（Workspace ONE UEMから発行された有効な証明書）であることが確認されればパスワードの入力は求められずにログインが完了し、カタログが表示されます。


Workspace ONE UEMの管理コンソールで証明書を失効させ、もう一度アクセスすると...
 


アクセスが拒否されます。


Workspace ONE Accessへの認証時にパスワードレスの証明書認証が実現できました。
また、証明書の失効確認も行うことで不正な証明書によるアクセスをブロックしているので、セキュリティレベルを落とすことなくユーザビリティの向上が期待できますね。

さらに今回の場合、Workspace ONE UEM内部の認証局を利用しているため、「証明書が配布されている端末＝Workspace ONE UEMで管理されている端末」ということになるワケです。
つまり、管理されたデバイスのみにアクセスを制限する、といういわゆるゼロトラストチックな構成が実現できるためセキュアな感じになります。


ラベル:

コメント

コメントを投稿

このブログの人気の投稿

自分のデバイスは自分で管理

Workspace ONE UENにはセルフサービスポータル（SSP）という機能があります。 名前の通りセルフサービスで自身に紐付いているデバイスに対して色々できるポータルで、デバイスのステータスを確認したり、位置情報を確認してみたり、コマンドを実行したりと様々なことができます。 色々できるとなると、逆に誤操作などでデバイスワイプを実行してしまい意図せず初期化してしまったりするのではないか...という懸念が出てきますが、WS1 UEMのセルフサービスポータルではユーザーが実施可能な操作をカスタマイズできます。 例えば、あくまで情報参照用とするためにデバイス情報の表示の権限だけ与えておいたり、紛失したときの対策のために加入解除操作はできるようにしておく、など運用要件によりカスタマイズして利用できるというワケです。 ここでは、加入解除のみを実行できるようにカスタマイズしたSSPにログインし、ユーザー目線で実際に自分のデバイスを加入解除する、ということをやってみます。 実際にありそうなシーンと言えば、あまり考えたくありませんが、夜中に会社支給のデバイスの紛失に気付いてしまったときとかですかね... まずは、Workspace ONE UEMのSSPにログインします。 WebブラウザでWorkspace ONE UEMコンソールのURLの末尾にmydeviceを付けてEnterキーを押します。「https://cnXXX.awmdm.com/mydevice」みたいな感じです。 アクセス後は、ログイン方法などを選択後次ヘ進み、ユーザー名パスワードを入力してログインします。 今回は事前に権限を極限まで絞っているため「 企業情報ワイプ 」のみ表示されていますので、これをクリックします。 【補足】 画像に映っている通り、自分に紐付くデバイスが複数存在する場合もすべてSSPから管理できます。 すると、対象のデバイスで加入解除が実行され、企業データが削除されます。 ちなみに、上記の動作確認ではSSPの権限をかなり限定して企業情報ワイプしかできないようにしてますが、特に権限を限定しなければ「 企業情報ワイプ 」以外にも「 デバイスの位置情報を確認 」など様々なオプションが実行できますし、「 詳細に進む 」をクリックすると... デバイスの順守状態や適切にプロファイルが適用されているか、...
コメントを投稿
続きを読む

Workspace ONE AccessでOpenID Connect連携

Workspace ONE Accessはその名の通りSaaSなどへのアクセス管理をすることができる製品ですが、Identity Providerの役割を果たすことも可能で、以下のフェデレーションプロトコルに対応しています。 　－WS-Federation 　－SAML 　－OpenID Connect WS-FederationはOffice365と連携する際などに利用したりするヤツですね。 個人的な感覚では、クラウドサービスはSAML認証に対応しているものが多いのでWorkspace ONE Accessと認証連携する場合、SAMLを利用するケースが一番多い気がします。 また、設定ガイド( SAML ベース SSO 統合のドキュメント センター )なんかも公開されており、連携のハードルは比較的低いと思います。 一方で、OpenID Connectの利用に関してはかなり情報が少ない気がしてます... ただ、OpenID Connectも認証連携の仕組みとしては代表的なものの一つではありますので、今回はOpenID Connectを使用してWorkspace ONE Accessと認証連携をしてみたいと思います。（連携先のサービスにはRedmineを使用します。） まずはWorkspace ONE Accessの管理コンソールでの作業です。 カタログ＞Webアプリケーション とクリックして、Workspace ONE Accessのアプリカタログに載せるWebアプリの一覧を開き、「 新規 」をクリックします。 「 名前 」に入力した値はそのままユーザーのアプリカタログに表示されるので、わかりやすい名称にします。入力したら次に進みます。 【補足】 いくつかのサービスは連携用のテンプレートがあり、「 またはカタログから参照 」をクリックすることで利用が可能です。今回使用するRedmineについても、SAML連携であればテンプレートがあるので比較的カンタンに設定できると思います。 まずは、「認証タイプ」で「 OpenID 接続 」を選びます。（おそらくOpenID Connectが訳されているのでしょうが、何か違うような...） すると、OpenID Connect連携用の設定項目が現れるので、各設定を入れていきます。 「 クライアントID 」と「 クライアント シークレ...
コメントを投稿
続きを読む