Omnissa Access での Pass アプリケーション認証の構成

Omnissa Pass は、企業アカウントとアプリケーションへの安全なログインを可能にする多要素認証 (MFA) アプリケーションです。このソリューションは、Omnissa Access を介して提供されるリソースを認証するための、スケーラブルで使いやすいセキュアな方法を提供します。主要な機能は、次のとおりです。

• セキュアな認証のための時間ベースのワンタイム パスコード (TOTP) の生成
• デバイスの証明チェック、セキュリティ ロック、侵害検出などのデバイス セキュリティ ポリシーの適用
• プッシュ通知を使用したログイン承認
• 単一の Omnissa Access テナントでの、ユーザー アカウントごとに最大 3 台の Omnissa Pass デバイスの登録。
• 管理者による Omnissa Pass アプリケーション登録のレポートと監視
• フィッシングやその他の MFA 攻撃に対する保護
• 第 1 要素、第 2 要素、およびステップアップ認証としての使用のサポート
  • 第 1 要素認証 - Omnissa Pass を、証明書などの代替認証方法と併用して、第 1 要素認証子として使用できます。また、Omnissa Pass と Magic Link を組み合わせて使用することもできます。そうすると、エンド ユーザーはパスワードなしで認証できます。一般的に、このアプローチは、認証情報をまだ持っていない従業員を安全にオンボーディングするために使用されます。「Day 0 オンボーディングの Omnissa Access で認証トークン認証で使用するための Magic Link オプションの有効化」を参照してください。
  • 第 2 要素認証 - ユーザー名やパスワードなど、デフォルトのログイン方法の背後にある第 2 要素認証子として Omnissa Pass を使用できます。
  • ステップアップ第 2 要素認証 - ユーザー名とパスワードによる認証などの方法の背後にある第 2 要素認証子として Omnissa Pass を認証に使用し、追加の認証手順として Omnissa Pass を要求するポリシーをアプリケーションのサブセットに設定することもできます。

一部の Omnissa Pass 機能は、すべての Omnissa Access ユーザーがデフォルトで使用できます。また、追加機能はアドオン購入として利用できます。

Omnissa Pass 認証アダプタの構成と組み込み ID プロバイダでの有効化

手順

1. Omnissa Access コンソールの [統合] > [認証方法] ページで、[Pass アプリケーション] をクリックします。
   [Pass アプリケーション] ページに現在の設定が表示されます。ページを初めて構成する前は、ページにデフォルト設定が一覧表示されます。

2. [構成] をクリックし、Omnissa Pass アプリケーションの設定を構成します。

   オプション	説明	適用先
   Omnissa Pass アプリケーション認証を有効にする	Omnissa Pass アプリケーションを有効にします。	Omnissa Pass アプリケーションのすべての状況。
   ユーザー ID の形式	ユーザー ID の入力を求めるプロンプトや、認証ページにユーザー ID を表示するために使用するユーザー ID の形式を選択します。	• 第 1 要素認証として使用する場合、ユーザーはこの形式で ID を入力する必要があります。 • 第 2 要素認証として使用する場合、この ID 形式がユーザーに表示されます。
   許可されている再試行回数	ユーザーが間違ったパスコードを入力できる回数を入力します。この回数に達すると、ログインの試行が失敗となり、アクセスが拒否されます。値は 1 から 15 までの範囲です。デフォルトは 5 回です。	TOTP のみ。
   再試行期間	ユーザーのロックアウトがトリガされるまでに許可される再試行回数のローリング期間（分単位）。デフォルトは 5、最小値は 5、最大値は 15 です。	TOTP のみ。
   ロックアウト時間	再試行期間内で再試行回数を超えた後に、ユーザーが Pass でログインできるようになるまでの待機時間（分単位）。デフォルトは 5、最小値は 5、最大値は 60 です。	TOTP のみ。
   フレンドリ アカウント名（オプション）	Omnissa Pass アプリケーションでユーザーに表示されるアカウント名。たとえば、「Acme Corp」と指定します。空白のままにすると、Omnissa Access テナント名がアカウント名として使用されます。 文字数制限：32 文字 注：フレンドリ アカウント名を指定した後に作成された新規登録にのみ名前が表示されます。既存の登録では、元のアカウント名が保持されます。
   プッシュ通知を有効にする	Pass アプリケーションがインストールされているデバイスへの認証手段としてプッシュ通知の送信を有効にするかどうかを示します。	プッシュ通知は、第 2 要素認証にのみ適用されます。
   プッシュ通知のタイムアウト	ユーザーがプッシュ通知に応答する必要がある時間（秒単位）。値は 30 ～ 120 秒です。	プッシュ通知のみ。[プッシュ通知を有効にする] 設定を選択すると、この設定が適用されます。それ以外の場合、この設定は無視されます。
   プッシュ通知の制限を有効にする	各ユーザーに対して 1 分あたり最大 3 件のプッシュ通知という制限を適用するかどうかを示します。	[プッシュ通知を有効にする] 設定を選択し、Omnissa Pass Advanced アドオンを構成すると、この設定が適用されます。それ以外の場合、この設定は無視されます。
   プッシュ番号一致チャレンジを有効にする	プッシュ通知を使用した認証の一部として、ユーザーに番号チャレンジを完了することを要求するかどうかを示します。	[プッシュ通知を有効にする] 設定を選択し、Omnissa Pass Advanced アドオンを構成すると、この設定が適用されます。それ以外の場合、この設定は無視されます。
   複数のデバイス登録を有効にする	Omnissa Pass に複数のデバイスを登録できます。有効にすると、ユーザーは標準の QR ベースの登録フローを使用して、ユーザー アカウントごとに最大 3 台の独立したデバイスを登録できます。 すでに 1 台の登録済みデバイスを持っているユーザーは、Workspace ONE Intelligent Hub ポータルの [サポート] タブに [Omnissa Pass デバイスの追加] オプションが表示されます。 各デバイスは Omnissa Access に一意に登録され、同じユーザー ID に関連付けられます。登録済みのデバイスは、有効な TOTP コードを生成し、ログイン プッシュ通知要求を受信できます。 このオプションは、デフォルトで有効になっています。	Omnissa Pass Advanced アドオンでのみ使用できます。
   ログイン時に登録を有効にする	既存の登録がない場合に、ログイン時に Omnissa Pass 認証に登録するオプションをユーザーに提供するかどうかを示します。	第 2 要素認証のみ。

3. [保存] をクリックします。

Omnissa Access での Omnissa Pass 認証ポリシーの作成

Omnissa Pass には、登録ポリシー ルールと認証ポリシー ルールという 2 つのポリシー ルールを作成します。

登録ポリシー ルールは、デフォルト ポリシーに含まれている必要があります。ただし、認証ポリシー ルールの配置は、機能の使用方法によって異なります。第 1 要素認証または第 2 要素認証に使用する場合、認証ポリシーはデフォルト ポリシーに含まれている必要があります。第 2 要素ステップアップ認証に使用する場合、認証ポリシーはカスタム アプリケーション ポリシーに含まれている必要があります。

• 登録ポリシー ルールは、ユーザーに Omnissa Pass 登録の削除を許可する前に、適切な認証を適用するために必要です。複数のデバイス登録を許可するオプションを有効にすると、ユーザーが最後の Omnissa Pass 登録を削除するか、複数のデバイス登録を追加する前に、登録ポリシー ルールが適用されます。

  このルールを追加するには、[さらに、ユーザーが Omnissa Pass を登録中です] オプションを選択して、デフォルト ログイン ポリシー内にルールを作成します。次に、Omnissa Pass で保護されたリソースへのアクセスに使用するのと同じタイプの認証を適用するポリシー構成を作成します。たとえば、Omnissa Pass が機密性の高いアプリケーション リソースのサブセットのステップアップ認証に使用されている場合に、ユーザーが第 1 要素のユーザー名とパスワードを使用してログインできる状況を考えてみましょう。この場合、Omnissa Pass 登録ポリシー ルールは Omnissa Pass 認証を必要とするように設定されます。これにより、ユーザーのパスワードを取得した攻撃者は、デバイスを Omnissa Pass 認証器として登録して機密性の高いリソースにアクセスすることもできなくなります。

• 少なくとも、認証ポリシー ルールは、リソースにアクセスするための認証方法として Omnissa Pass が必要なタイミングを指定します。第 1 要素認証に使用する場合、認証ポリシー ルールはユーザーのセッションと、セッションがアクセスを許可するすべてのアプリケーションとリソースも効果的に保護します。

アクセス ポリシーの構成の詳細については、「Omnissa Access サービスでのアクセス ポリシーの管理」を参照してください。

カスタム アクセス ポリシーへのアプリケーションの割り当て

Omnissa Pass を使用してステップアップ認証を実装する場合は、アプリケーションを、前の手順で作成した認証方法として Omnissa Pass を使用するアクセス ポリシーに割り当てる必要があります。Omnissa Access でアプリケーションをポリシーに割り当てる方法については、「条件付きアクセスのための、アクセス ポリシー ルールの構成と、ポリシーへの Web、仮想、および Horizon Cloud Service next-gen アプリケーションの割り当て」を参照してください。

エンド ユーザー - Omnissa Pass のインストールと登録

次の手順をユーザーに提供します。

前提条件

次のデバイス要件を満たしていること。

• iOS 16 以降または Android 11 以降の OS バージョン。
• インストール後にアプリケーションにアクセスできるようにするには、デバイスに、承認されていないオペレーティング システムの変更や昇格された権限を持たせることはできません。
• インストール後にアプリケーションにアクセスできるようにするには、デバイスのセキュリティ ロックを有効にする必要があります。

手順

1. モバイル デバイスで、Android デバイスの場合は Google Play ストア、Apple デバイスの場合は App Store に移動し、Omnissa Pass アプリケーションをダウンロードしてインストールします。
2. 組織の Workspace ONE Intelligent Hub ポータルにログインし、[サポート] タブを選択します。
3. [マイ デバイス] セクションで、[Omnissa Pass アカウントの追加] をクリックします。
   Omnissa Pass を登録するための QR コードが掲載されたポップアップ ウィンドウが表示されます。
4. モバイル デバイスで Omnissa Pass アプリケーションを起動し、アカウントを追加するオプションを選択して、[QR コードをスキャン] をクリックします。
5. プロンプトが表示されたら、アプリケーションにデバイスのカメラを使用する権限を付与し、QR コードをスキャンします。
   QR コードをスキャンすると、Omnissa ユーザー名を使用してアプリケーションにエントリが作成されます。
6. Pass アプリケーションで [表示] をクリックして、6 桁のワンタイム パスコードを表示します。
7. Web ブラウザのポップアップ ウィンドウの [ここにパスコードを入力] テキスト ボックスにパスコードを入力し、[続行] をクリックします。
   TOTP コードが有効な場合は、「登録に成功しました」というメッセージが表示されます。
8. [閉じる] をクリックし、Workspace ONE Intelligent Hub ポータルの [サポート] ページで Omnissa Pass オプションが「アクティベーション済み」になっていることを確認します。
   管理者がプッシュ通知を有効にした場合は、Omnissa Pass アプリケーションでプッシュ通知のオンボーディング画面と、Omnissa Pass アプリケーションにプッシュ通知を送信する権限を付与するように求めるプロンプトが表示されます。
9. プッシュ通知が有効になっている場合は、Omnissa Pass アプリケーションで、ログイン承認プッシュ通知の受信を開始する権限を受け入れます。

エンド ユーザー - Omnissa Pass 用の追加デバイスの登録

管理者が複数のデバイス登録を有効にしている場合は、Omnissa Pass 認証用に最大 3 台のデバイスを登録できます。

たとえば、業務用電話、個人用電話、タブレットに Omnissa Pass をインストールし、3 台すべてのデバイスを Workspace ONE Intelligent Hub ポータルに登録できます。その後、登録済みのデバイスから TOTP コードを使用して認証を行うことができます。プッシュ通知の場合は、通知を受信するデフォルトのデバイスを選択します。

この手順を使用して、2 台目または 3 台目のデバイスを登録します。

前提条件

追加されるデバイスは、最初のデバイスと同じ要件を満たす必要があります。

手順

1. 組織の Workspace ONE Intelligent Hub ポータルにログインします。

   ログインすると、既存の登録済み Omnissa Pass デバイスと [Omnissa Pass デバイスの追加] オプションがページに表示されます。

   注：管理者によっては、別のデバイスを追加したり、最後に登録したデバイスを削除したりする際に、別の認証要素を使用してログインするよう求められる場合があります。

2. 登録する新しいデバイスで、Android デバイスの場合は Google Play ストア、Apple デバイスの場合は App Store に移動し、Omnissa Pass アプリケーションをダウンロードしてインストールします。

3. Intelligent Hub ポータルで、[Omnissa Pass デバイスの追加] をクリックします。
   QR コードが画面に表示されます。

4. 登録する新しいデバイスで Omnissa Pass アプリケーションを開きます。

5. アカウントを追加するオプションを選択し、[QR コードのスキャン] をクリックします。

6. デバイスのカメラを使用してブラウザに表示されている QR コードをスキャンし、プロンプトに従って登録を完了します。
   新しいデバイスの Omnissa Pass アプリケーションがアカウントに登録されます。新しいデバイスが、既存の登録済みデバイスとともに [サポート] タブに表示されます。

7. [サポート] タブで新しいデバイスのデフォルト名を変更するには、タイルのメニュー アイコンをクリックし、[名前の変更] を選択して新しい名前を入力し、[保存] をクリックします。
   たとえば、デフォルト名「Pass 1」を「iPhone 17」に変更して、簡単に識別できるようにすることができます。

8. プッシュ通知を受信するデバイスを選択します。
   プッシュ通知は 1 台のデバイスにのみ送信でき、デフォルトでは最初に登録されたデバイスに送信されます。別のデバイスを選択するには、タイルのメニュー アイコンをクリックし、[デフォルト デバイスとして設定] を選択して、[保存] をクリックします。どのデバイスもデフォルトとして設定されていない場合、プッシュ通知を受信するデバイスを選択するように求めるプロンプトがログイン画面に表示されます。

エンド ユーザー - Omnissa Pass での認証

ユーザーがアプリケーションの認証方法として Omnissa Pass を使用するようにデバイスを構成すると、Omnissa Access は、管理者が構成した方法に応じて、主に次の 2 つのうちいずれかの方法で応答するようにユーザーに求めます。

• 時間ベースのワンタイム パスワード (TOTP) - ユーザーは自分のデバイスに送信されるワンタイム パスコードを入力します。
• プッシュ通知 - ユーザーは自分のデバイスに送信されたログイン通知要求を承認します。プッシュ通知のセキュリティは、ユーザーが応答する必要がある番号一致プロンプトを使用して強化できます。

TOTP コード方式を使用した認証手順

1. 必要な第 1 要素認証方法を使用してアプリケーションにログインします。
2. 多要素認証を求められたら、モバイル デバイスで Omnissa Pass アプリケーションを開きます。
3. デバイスのセキュリティ方式（指紋、PIN、または Face ID）を使用してアプリケーションのロックを解除します。
4. [表示] をクリックして、関連付けられている 6 桁の時間ベースのワンタイム パスワード (TOTP) を表示します。
5. ログイン画面の多要素認証プロンプトにコードを入力して、認証を完了します。

プッシュ通知方式を使用した認証手順

このオプションは、Omnissa Access 管理者が Omnissa Pass アダプタのプッシュ通知設定を有効にし、Omnissa Pass アプリケーションに通知権限を付与した後に、ユーザーが使用できるようになります。

1. Omnissa Pass を第 2 要素認証方法として使用するように構成されたアプリケーションを起動します。
2. Omnissa Pass がインストールされていて登録済みのモバイル デバイスにプッシュ通知が送信されます。
   Omnissa Pass 認証方法に複数のデバイスを登録している場合、プッシュ通知はデフォルト デバイスとして設定されているデバイスに送信されます。デフォルトのデバイス設定は、Intelligent Hub ポータルの [サポート] タブで管理できます。
3. 通知をタップして Omnissa Pass アプリケーションを起動します。デバイスのセキュリティ方式（指紋、PIN、Face ID など）を使用してアプリケーションのロックを解除します。
4. アプリケーションで [承認] をタップして、ログイン要求を確認します。

プッシュ通知方式と番号一致方式を併用した認証手順

このオプションは、Access で Omnissa Pass アダプタのプッシュ通知設定と番号一致設定の両方を有効にし、Omnissa Pass アプリケーションに通知権限を付与した場合にのみ使用できます。

1. Omnissa Pass を第 2 要素認証方法として使用するように構成されたアプリケーションを起動します。
   ログイン画面に 2 桁の番号が表示されます。
2. Omnissa Pass がインストールされていて登録済みのモバイル デバイスにプッシュ通知が送信されます。
   Omnissa Pass 認証方法に複数のデバイスを登録している場合、プッシュ通知はデフォルト デバイスとして設定されているデバイスに送信されます。デフォルトのデバイス設定は、Intelligent Hub ポータルの [サポート] タブで管理できます。
3. 通知をタップして Omnissa Pass アプリケーションを起動します。デバイスのセキュリティ方式（指紋、PIN、Face ID など）を使用してアプリケーションのロックを解除します。
4. Omnissa Pass アプリケーションには、3 つの番号が表示されます。ログイン画面に表示される番号と一致する番号を選択して、ログイン要求を確認します。

Omnissa Pass 関連レポートの表示

Omnissa Access コンソールには、Omnissa Pass 認証方法のデプロイを管理するのに役立ついくつかのレポートがあります。レポートには、Omnissa Pass アプリケーションを登録して有効にしたユーザー、ユーザーがブロックされているかどうか、ユーザー デバイスが侵害されているかどうか、ユーザーが最後にアプリケーションを使用して正常にログインしたのはいつか、などの情報が表示されます。Omnissa Pass の登録イベントとログイン イベントを含む詳細な監査ログを表示することもできます。

レポートを表示するには、次の手順を実行します。

1. Omnissa Access コンソールで、[監視] > [レポート] の順に移動します。

2. レポートを選択します。

   次のレポートには、Omnissa Pass に関連するデータが含まれています。

   • Pass 登録レポート
   • Pass デバイスの状態レポート（Omnissa Pass Advanced および Omnissa Pass アプリケーション バージョン 26.03 以降が必要）
   • 監査イベント レポート

3. レポートを CSV ファイルにエクスポートするには、レポート ページで [エクスポート] をクリックします。

Pass 登録レポート

このレポートを使用して、ユーザー登録ステータスを監視します。

レポートには、すべてのユーザーに関する次の情報が表示されます。

• [名前]：ユーザーの姓、名、およびユーザー名
• [メール アドレス]：ユーザーのメール アドレス
• [ドメイン]：ユーザーのドメイン
• [ステータス]：ユーザーの登録のステータス
  • [未登録]：ユーザーはまだ Omnissa Pass アプリケーションを登録していません
  • [未アクティベーション]：ユーザーはまだ Omnissa Pass アプリケーションをアクティベーションしていません
  • [アクティベーション済み]：ユーザーは Omnissa Pass アプリケーションを登録してアクティベーションしました
  • [ブロック済み]：Omnissa Pass アプリケーションへのログインの試行時に、ユーザーが [再試行期間] 中に [許可されている再試行回数] を超えました。[ロックアウト時間] が経過した後にユーザーが再度ログインを試みるまで、ステータスは [ブロック済み] のままになります。
• [通知ステータス]：ユーザーがプッシュ通知を有効にしているかどうか。値：[有効] または [無効]

レポートはステータスでフィルタリングできます。

注：Pass 登録レポートには、ユーザーごとにステータスが 1 つのみ表示されます。ユーザーが複数のデバイスを登録している場合は、[Pass デバイスの状態] レポートを使用して、すべてのデバイスに関する情報を表示します。また、ユーザーのアカウント ページに、プッシュ通知の状態を含むデバイスとその状態のリストが表示されます。[アカウント] > [ユーザー] の順に移動し、ユーザーを選択し、[多要素認証] タブを選択して、[Omnissa Pass] セクションの情報を確認します。

Pass デバイスの状態レポート

Pass デバイスの状態レポートには、次の要件が適用されます。

• テナントに対して Omnissa Pass Advanced を有効にする必要があります。
• レポートにデータを表示するには、iOS または Android 向け Omnissa Pass アプリケーション バージョン 26.03 以降をユーザー デバイスにインストールする必要があります。

このレポートを使用して、デバイスの場所、OS バージョン、侵害ステータスなど、Omnissa Pass アプリケーションがインストールされているデバイスのステータス、およびデバイスが最後に検出され、最後に正常にログインに使用された時刻を監視します。

レポートには、すべての Omnissa Pass デバイス登録に関する次の情報が表示されます。

• [名前]：ユーザーの姓、名、およびユーザー名
• [ID]：一意のデバイス識別子
• [OS プラットフォーム]：iOS または Android
• [OS バージョン]：OS バージョン（例：iOS 26.3）
• [モデル]：デバイス モデル（例：Pixel 7 Pro）
• [Pass バージョン]：Omnissa Pass アプリケーションのバージョン（例：26.03）
• [セキュリティ パッチ]（Android のみ）：デバイスのセキュリティ パッチ レベル（例：2025-04-05）
• [リージョン]：デバイスが最後に検出されたときの、IP アドレス（GPS ではない）に基づいたおおよその位置
• [前回のログイン]：TOTP 認証に成功した、またはデバイスからのプッシュ通知に対する応答があった前回の時刻。タイムスタンプには、管理者のタイムゾーンが反映されます。
• [ロック ステータス]：デバイスのセキュリティ ロック（パスコードまたは生体認証）が有効かどうか。値：[有効] または [無効]
• [侵害状態]：デバイスが侵害状態（Jailbreak 状態または root 化状態）かどうか。値：[はい] または [いいえ]
• [前回の検出]：デバイスがオンラインで、Omnissa Pass アプリケーションがデータを報告した前回の時刻。タイムスタンプには、管理者のタイムゾーンが反映されます。

ユーザーが複数のデバイス登録を行っている場合、レポートにはユーザーに対して複数の行（デバイスごとに 1 行）が表示されます。

レポートは、ユーザー、OS プラットフォーム、Omnissa Pass アプリケーション バージョン、デバイス侵害状態でフィルタリングできます。

監査イベント レポート

このレポートを使用して、Omnissa Pass に関連する監査イベントを表示します。[タイプ] に [PassAuthenticator] を選択すると、イベントをフィルタリングできます。

Omnissa Pass 関連の監査イベントの例は次のとおりです。

• [PassAuthenticator CREATE] および [PassAuthenticator UPDATE] イベント：ユーザーが Omnissa Pass アプリケーションを登録してアクティベーションするとき、またはその後で更新するときに作成されます
  注：ユーザーに複数のデバイスが登録されている場合は、監査イベントの詳細で authenticatorId 値を検索して、イベントが関連付けられているデバイスを確認できます。
• [LOGIN (Omnissa Pass)] イベント：ユーザーが Omnissa Pass アプリケーション認証方法を使用して正常にログインするか、ログインを試みたときに作成されます
• [ブロック済み] イベント：Omnissa Pass アプリケーションへのログインの試行時に、許可されている再試行回数を超え、ユーザーがブロックされたときに作成されます

Omnissa Pass ユーザー登録のリセット

管理者は、ユーザーのデバイスが破損または紛失した場合などに、ユーザーの Omnissa Pass 登録をリセットできます。

1. Omnissa Access コンソールで、[アカウント] > [ユーザー] に移動します。
2. ユーザーの名前をクリックするか、ユーザーを検索します。
3. [多要素認証] タブを選択します。
   [Omnissa Pass] セクションには、ユーザーが登録したすべてのデバイスが一覧表示されます。各デバイスがいつ登録されたか、アクティベーションされているかどうか、およびデバイスでプッシュ通知が有効になっているかどうかを確認できます。[デフォルト] ラベルは、プッシュ通知の受信に使用されるデバイスを示します。
4. リセットするデバイスを選択し、[Omnissa Pass] セクションで [リセット] をクリックします。
   ユーザーは Workspace ONE Intelligent Hub ポータルの [サポート] タブに移動して、新しいデバイスを登録できます。

Omnissa Pass に関する一般的な問題のトラブルシューティング

Omnissa Pass の問題、原因、および解決方法