Omnissa Access での FIDO2 のパスワードなし認証の構成方法

Omnissa Access サービスで FIDO2 認証を設定するには、FIDO2 認証を有効にし、FIDO2 設定を構成し、組み込み ID プロバイダで FIDO2 を有効にします。続いて、FIDO2 で認証するようにアクセス ポリシー ルールを構成します。

FIDO2 認証は、Workspace ONE Intelligent Hub アプリケーションおよび Hub Web ポータルを介して Web アプリケーションにアクセスする場合に使用できます。

**注：**プライマリ認証器としての FIDO2 は、Android デバイスの Google Chrome ブラウザではサポートされていません。

前提条件

システムの要件

手順

1. Omnissa Access コンソールで、[統合] > [認証方法] を選択します。

2. [FIDO2] を選択し、[構成] をクリックします。

3. FIDO2 の設定を構成します。

   

   FIDO2 アダプタを有効にする	組み込み ID プロバイダで FIDO2 認証を有効にします。
   ログイン時に登録を有効にする	デフォルトでは無効になっています。このオプションが有効な場合、ユーザーが初めてログインすると、FIDO2 認証器を登録するように求められます。最初の FIDO2 ログイン ダイアログに次のテキストが表示されます。 Omnissa Access コンソールの [アカウント] > [ユーザー] ページでセキュリティ キーを直接設定する場合は、この設定を無効にできます。 注：FIDO2 ログイン ダイアログは、[FIDO2 ログイン ダイアログ] オプションが有効になっている場合にのみ表示されます。
   認証のタイムアウト (秒単位)	要求の有効期限が切れる前にユーザーが認証する必要がある時間を秒単位で入力します。推奨される時間は 180 秒（3 分）です。
   登録のタイムアウト (秒単位)	要求の有効期限が切れる前にユーザーが登録する必要がある時間を秒単位で入力します。
   認証の最大試行回数	ユーザーが「アクセスは拒否されました」メッセージを受信する前に認証を試行できる回数。
   ユーザー検証の設定	ユーザー検証の処理方法を設定します。 [必須] がデフォルト値です。このオプションは、最高のセキュリティを提供します。 非推奨。この値は、証明書利用者が認証中にユーザー検証の使用を望まないことを示します。 優先。この値は、証明書利用者が、可能であればユーザー検証を優先し、応答に UV フラグが設定されていない場合でも操作が失敗しないことを示します。 必須。デフォルトです。この値は、証明書利用者が操作に対するユーザー検証を必要とし、応答に UV フラグが設定されていない場合は操作が失敗することを示します。
   認証器タイプの設定	管理者がユーザーを登録している場合は、[クロス プラットフォーム] を選択します。ユーザーがデバイスを登録している場合は、[プラットフォーム] を選択します。両方のオプションを使用する場合は、[すべて] を選択します。 プラットフォーム。デバイスに接続されている認証器。たとえば、Windows Hello を実行しているラップトップなどです。 クロス プラットフォーム。取り外し可能でクロス プラットフォームの認証器。たとえば、YubiKey などです。これらの認証器は、複数のデバイスで使用できます。 すべて
   認証移転の設定	認証器から返される認証データには、ユーザーの追跡に使用できる情報が含まれています。このオプションにより、Omnissa Access サーバは、認証データが FIDO2 登録イベントにとってどれほど重要であるかを示すことができます。 なし。この値は、証明書利用者が認証器の証明に関心がないことを示します。推奨される設定値は [なし] です。 間接。この値は、証明書利用者が検証可能な認証ステートメントを生成する認証移転を優先する一方で、クライアントにそのような認証ステートメントを取得する方法の決定を許可することを示します。 直接。デフォルトです。この値は、証明書利用者が認証器によって生成された認証ステートメントの受信を望んでいることを示します。 注：認証移転の設定が [直接] または [間接] の場合、TouchID 認証器は機能しません。
   アクション タイプ	（オプション）ユーザーの制限を構成し、AAGUID に基づいて特定の FIDO2 セキュリティ キーを許可したり、AAGUID に基づいて特定の FIDO セキュリティ キーをブロックしたりできます。 アクション タイプを選択した場合は、管理する [AAGUID の認証器リスト] を構成します。 [ブロック] は設定する推奨値です。
   認証器 AAGUID のリスト	許可またはブロックするすべてのタイプの認証器の FIDO2 セキュリティ キー AAGUID をリストします。 各認証器は、登録時に Authenticator Attestation GUID (AAGUID) を提供する必要があります。AAGUID は、認証器のメーカーやモデルなどのタイプを示す 128 ビットの識別子です。 AAGUID は、ダッシュ (-) で区切られた 5 つの 16 進文字列で構成される文字列（7a98c250-6808-11cf-b73b-00aa00b117a7 など）として表されます。
   FIDO2 ログイン ダイアログを表示	デフォルトで有効になっています。このオプションを有効にすると、ユーザーがログインするときに次のダイアログが表示され、FIDO2 認証器を使用してログインするか、別の方法でログインするかを選択できます。 注：FIDO2 認証器を登録するための情報とリンクは、[ログイン時に登録を有効にする] オプションが選択されている場合にのみ、このダイアログに表示されます。 [FIDO2 ログイン ダイアログを表示] オプションが無効になっている場合、ユーザーがログインしても上記のダイアログは表示されず、ユーザーは FIDO2 認証を直接求められます。たとえば、次のダイアログが Windows に表示されます。

4. [保存] をクリックします。

5. [統合] > [ID プロバイダ] ページに移動して、構成済みの組み込み ID プロバイダを選択します。

   1. [認証方法] セクションで、[FIDO2] を選択します。

   2. [保存] をクリックします。

次のステップ

[ポリシー] で FIDO2 登録ポリシー ルールと FIDO2 認証ポリシー ルールを作成します。「Omnissa Access での FIDO2 認証ポリシーの作成」を参照してください。