Workspace ONE Accessの認証時に管理デバイスを使ってMFAを行う

 

Workspace ONE Accessのログイン時の認証として、組み込みのMFA認証がいくつかあります。その一つにVerify(Intelligent Hub)認証と言う認証方法があり、Workspace ONE UEMで管理されているデバイスに認証通知を送信することでMFAを実現することができます。

昔から存在していたVMware Verifyと名前が似ていますが（というかカッコ部分を除けば同じですが...）、VMware Verifyとどう違うのか、どのような使い勝手かも含めて体感してみるために検証してみました。

大まかな流れは以下の通りです。

    1．Verify(Intelligent Hub)認証の有効化

    2．認証ポリシーにVerify(Intelligent Hub)認証を追加

    3．動作確認（Verify(Intelligent Hub)認証でログイン）

    Appendix．UEMに加入しているデバイスを持っていないユーザでログイン

1．Verify(Intelligent Hub)認証の有効化

WS1 Accessの管理コンソールにログインし、[IDとアクセス管理]>[認証方法]をクリック後、[Verify (Intelligent Hub)]の編集ボタンをクリックします。

[Verify(Intelligent Hub)を有効にする]にチェックを入れ、[保存]をクリックします。

[IDとアクセス管理]>[IDプロバイダ]をクリックし、組み込みIDPで[Verify(Intelligent Hub)]を有効化します。

2．認証ポリシーにVerify(Intelligent Hub)認証を追加

次は、Verify(Intelligent Hub)認証用のポリシーを設定します。

[IDとアクセス管理]>[ポリシー]をクリック後、デフォルトアクセスポリシーを編集します。

以下の設定にして保存します。

ユーザーは次からコンテンツにアクセスしています：Webブラウザ

ユーザーは次を使用して認証することができます：何らかの認証方法（パスワードなど）

および：Verify(Intelligent Hub)

【補足】

1要素目の認証方法を設定しないと認証方法のプルダウンにVerify(Intelligent Hub)認証は出てきません。

3．動作確認（Verify(Intelligent Hub)認証でログイン）

ここまでで設定自体は完了したので、実際に動作を見てみます。

WS1 Accessのカタログへのログインを実行し、まずは一要素目の認証を突破します。

ログインを実行したユーザに紐付くデバイス(WS1 UEMに加入しているデバイス)のIntelligent Hubに認証要求通知が送信されます。

【補足】

画面ではAndroidと表示されていますが、これはUEMに加入しているのがAndroidデバイスだからです。もしユーザに複数のデバイスが紐付いている場合、ここで選択画面が表示されます。

WS1 UEMに加入しているデバイスのIntelligent HubにVerifyの認証要求が来ているので、[承認]をタップします。

ログインが完了しました。

Appendix．UEMに加入しているデバイスを持っていないユーザでログイン

ここまでで、Verify(Intelligent Hub)を使用した認証は確認ができました。

ついでにUEMに加入しているデバイスを持っていないユーザでログインを試みるとどうなるのか動きを見てみました。

先ほどと同様、まずは一要素目の認証を突破します。

UEM上に、WS1Aにログインを試行したユーザに紐付くデバイスが存在しないため、ログインが失敗します。承認要求通知を送ろうにも対象となるデバイスが無い状態だからですね。