AWS Managed Microsoft AD の多要素認証の有効化 - AWS Directory Service
考慮事項 AWS Managed Microsoft AD のMFA認証を有効にする

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS Managed Microsoft AD の多要素認証の有効化

Managed AWS Microsoft AD ディレクトリの多要素認証 (MFA) を有効にして、ユーザーがサポートされている Amazon Enterprise アプリケーションにアクセスするための AD 認証情報を指定すると、セキュリティを強化できます。を有効にするとMFA、ユーザーは通常どおりユーザー名とパスワード (第 1 要素) を入力し、仮想またはハードウェアMFAソリューションから取得した認証コード (第 2 要素) も入力する必要があります。これらの要因を組み合わせると、ユーザーが有効なユーザー認証情報と有効なMFAコードを指定しない限り、Amazon Enterprise アプリケーションへのアクセスを防ぐことで、セキュリティを強化できます。

を有効にするにはMFA、リモート認証ダイヤルインユーザーサービス (RADIUS) サーバーであるMFAソリューション、またはオンプレミスインフラストラクチャに既に実装されているRADIUSサーバーへのMFAプラグインが必要です。MFA ソリューションは、ユーザーがハードウェアデバイスまたは携帯電話などのデバイスで実行されているソフトウェアから取得するワンタイムパスコード (OTP) を実装する必要があります。

RADIUS は、ユーザーがネットワークサービスに接続できるようにする認証、認可、および会計管理を提供する業界標準のクライアント/サーバープロトコルです。 AWS Managed Microsoft AD には、MFAソリューションを実装したRADIUSサーバーに接続するRADIUSクライアントが含まれています。RADIUS サーバーがユーザー名とパスワードを検証しますOTP。RADIUS サーバーがユーザーを正常に検証すると、 AWS Managed Microsoft AD は Active Directory に対してユーザーを認証します。Active Directory に対する認証に成功したユーザーは、 AWS アプリケーションにアクセスできるようになります。 AWS Managed Microsoft AD RADIUSクライアントとRADIUSサーバー間の通信では、ポート 1812 を介した通信を有効にする AWS セキュリティグループを設定する必要があります。

Managed AWS Microsoft AD ディレクトリの多要素認証を有効にするには、次の手順を実行します。 AWS Directory Service および を使用するようにRADIUSサーバーを設定する方法の詳細についてはMFA、「」を参照してくださいMulti-Factor·Authentication の前提条件。

考慮事項

Managed AWS Microsoft AD の多要素認証に関する考慮事項を次に示します。

  • Multi-Factor·Authentication は、Simple AD では使用できません。ただし、AD Connector ディレクトリでは MFA を有効にできます。詳細については、「AD Connector の多要素認証の有効化」を参照してください。

  • MFA は AWS Managed Microsoft AD のリージョン機能です。マルチリージョンレプリケーション を使用している場合、 は AWS Managed Microsoft AD のMFAプライマリリージョンでのみ使用できます。

  • Managed AWS Microsoft AD を外部通信に使用する場合は、これらの通信用に AWS ネットワーク外で Network Address Translation (NAT) Internet Gateway または Internet Gateway を設定することをお勧めします。

    • Managed AWS Microsoft AD と AWS ネットワークでホストされているRADIUSサーバー間の外部通信をサポートする場合は、 にお問い合わせくださいAWS Support。

  • 、Amazon WorkSpaces、Amazon WorkDocs、Amazon WorkMail、Amazon を含むすべての Amazon Enterprise IT アプリケーション AWS Management Console は QuickSight、 AWS IAM Identity Center で AWS Managed Microsoft AD と AD Connector を使用する場合にサポートされますMFA。

AWS Managed Microsoft AD の Multi-Factor·Authentication を有効にする

次の手順では、 AWS Managed Microsoft AD の多要素認証を有効にする方法を示します。

  1. RADIUS MFA サーバーの IP アドレスと AWS Managed Microsoft AD ディレクトリを特定します。

  2. Virtual Private Cloud (VPC) セキュリティグループを編集して、 AWS マネージド Microsoft AD IP エンドポイントとRADIUSMFAサーバー間のポート 1812 経由の通信を有効にします。

  3. AWS Directory Service コンソールのナビゲーションペインで、[Directories] (ディレクトリ) をクリックします。

  4. Managed AWS Microsoft AD ディレクトリのディレクトリ ID リンクを選択します。

  5. [Directory details] (ディレクトリ詳細) ページで、以下のいずれかの操作を行います。

    • マルチリージョンレプリケーション の下に複数のリージョンが表示されている場合は、 を有効にするリージョンを選択しMFA、ネットワークとセキュリティタブを選択します。詳細については、「プライマリリージョンと追加のリージョン」を参照してください。

    • [Multi-Region replication] (マルチリージョンレプリケーション) の下にリージョンが表示されない場合は、[Networking & security] (ネットワークとセキュリティ) タブを選択します。

  6. [Multi-factor authentication] セクションで、[Actions] (アクション)、[Enable] (有効化) の順に選択します。

  7. 多要素認証を有効にする (MFA） ページで、次の値を指定します。

    [Display label] (表示ラベル)

    ラベル名を指定します。

    RADIUS サーバーDNS名または IP アドレス

    RADIUS サーバーエンドポイントの IP アドレス、またはRADIUSサーバーロードバランサーの IP アドレス。カンマで区切って、複数の IP アドレスを入力できます (例えば、192.0.0.0,192.0.0.12)。

    注記

    RADIUS MFA は、、 AWS Management Console、、Amazon QuickSightChime などの Amazon Enterprise WorkSpacesアプリケーションおよびサービスへのアクセスを認証する場合にのみ適用できます。Amazon Enterprise のアプリケーションとサービスは、 AWS マネージド Microsoft AD にマルチリージョンレプリケーションが設定されている場合にのみ、プライマリリージョンでサポートされます。EC2 インスタンスで実行されている MFA Windows ワークロード、またはEC2インスタンスへのサインインには提供されません。 AWS Directory Service はRADIUSチャレンジ/レスポンス認証をサポートしていません。

    ユーザーは、ユーザー名とパスワードを入力するときにMFAコードを持っている必要があります。または、ユーザーのSMSテキスト検証MFA out-of-bandなどの を実行するソリューションを使用する必要があります。 out-of-band MFA ソリューションでは、ソリューションにRADIUSタイムアウト値を適切に設定する必要があります。MFA ソリューションを使用する場合 out-of-band、サインインページにMFAコードの入力が求められます。この場合、ユーザーはパスワードフィールドと MFA フィールドの両方にパスワードを入力する必要があります。

    [ポート]

    RADIUS サーバーが通信に使用するポート。オンプレミスネットワークでは、 AWS Directory Service サーバーからのデフォルトのRADIUSサーバーポート (UDP:1812) を介したインバウンドトラフィックを許可する必要があります。

    [Shared secret code] (共有シークレットコード)

    RADIUS エンドポイントの作成時に指定された共有シークレットコード。

    [Confirm shared secret code] (共有シークレットコードの確認)

    RADIUS エンドポイントの共有シークレットコードを確認します。

    [プロトコル]

    RADIUS エンドポイントの作成時に指定されたプロトコルを選択します。

    [Server timeout (in seconds)] (サーバータイムアウト (秒単位))

    RADIUS サーバーが応答するまでの秒単位の待機時間。これは 1～50 の範囲の値にする必要があります。

    注記

    RADIUS サーバーのタイムアウトを 20 秒以下に設定することをお勧めします。タイムアウトが 20 秒を超えると、システムは別のRADIUSサーバーで再試行できず、タイムアウトが失敗する可能性があります。

    最大RADIUSリクエスト再試行数

    RADIUS サーバーとの通信が試行された回数。これは 0～10 の範囲の値にする必要があります。

    多要素認証は、RADIUSステータスが Enabled に変わったときに使用できます。

  8. [Enable] (有効化) を選択します。