IT エンジニアのための 流し読み Windows 10 - Windows Hello for Business
•
3 likes•3,496 views
IT エンジニア向けの Windows 10 関連の勉強用資料です。 Windows Hello / Windows Hello for Business について 2020 年 6 月現在の情報を簡単にまとめています。 ngsymw10
Recommended
Recommended
More Related Content
What's hot
What's hot (20)
Similar to IT エンジニアのための 流し読み Windows 10 - Windows Hello for Business
Similar to IT エンジニアのための 流し読み Windows 10 - Windows Hello for Business (20)
More from TAKUYA OHTA
More from TAKUYA OHTA (19)
IT エンジニアのための 流し読み Windows 10 - Windows Hello for Business
- 1. IT エンジニアのための 流し読み Windows 10 Windows Hello for Business 2020 年 6 月 太田 卓也
- 2. 本資料について 本資料は技術勉強用の資料として公開しています マイクロソフトの正式見解であったり、内容をコミットするものではございません。 内容を一部だけ変更して使うなどを控えていただければ、シェアは自由にしていただいて構いません。 ただし、ビジネスでの使用はお控えください。m(_ _)m 太田 卓也 (オオタ タクヤ) マイクロソフトのエンジニア 現在は M365 Security & Compliance を担当しています。
- 3. もくじ ◼ Windows Hello 概要 ◼ Windows Hello for Business 概要 ◼ 登録フローと認証時の動作 ◼ 前提条件・インフラ環境
- 6. ※ PIN だけであれば Hello 対応デバイスが無くても使用可能 Windows Hello の概要とセットアップ https://support.microsoft.com/ja-jp/help/4028017/windows-learn-about-windows-hello-and-set-it-up
- 7. Windows Hello でサポートされる 3 種類の生体認証 https://docs.microsoft.com/ja-jp/windows/security/identity-protection/hello-for-business/hello-biometrics-in-enterprise 指紋 顔 虹彩 Hololens 2 のみで使用
- 8. Windows Hello では PIN の利用も想定 PIN がパスワードより安全な理由 https://docs.microsoft.com/ja-jp/windows/security/identity-protection/hello-for-business/hello-why-pin-is-better-than-password PIN の利点 ◼ PINはデバイスと密接に関連付け ◼ PINはデバイスに対してローカル ◼ PINはハードウェアで保護 ◼ PINは複雑なものも設定可能 ◼ 追加要素の設定も可能 パスワードの問題点 ◼ 長くないとダメ ◼ 複雑じゃないとダメ ◼ 結局使いまわす ◼ 定期変更が必要 ◼ バレると悪用される PIN は一見セキュリティ強度が低いように思われがちなもの。 しかしデバイスに対して設定するもので、そのデバイスだけで有効。 試行できる回数や入力できる時間が制限されている。 また、けがのためやセンサーの不調・故障などに備えて、 PIN を使ってサインインできるように設定が必要。
- 9. メニューより簡単にセットアップが可能 1. [スタート] メニューに移動し、[設定] を選択 2. [アカウント] - [サインイン オプション] を選択 3. 「デバイスへのサインイン方法の管理」にて、 Windows Hello の項目を選択 認識精度を高める 生体認識の反応が悪いときや、メガネなどをかけて容姿 に変化がある場合には、上記の同メニューより [認識精 度を高める] を選択することで調整可能。 10 要素まで登録が可能 最大で 10 人分の指紋や顔が登録できる。 共有で使用している PC の場合には注意が必要。
- 10. Windows 10 デバイスに素早く安全にアクセスする手段 Windows Hello のポイント ◼ “Windows Hello” はパスワードを打つ代わりに、生体認証や PIN を利用して Windows へサインイン ◼ Hello 対応デバイスがあるのであれば、コストもかからず、パスワードを打たないことによりセキュリティを高めることが可能 ◼ 企業利用にて、さらなるセキュリティの向上や Azure AD の ID 連携を考慮する場合には “Hello for Business” も検討
- 11. Windows Hello for Business 概要
- 12. Windows Hello をエンタープライズ環境で使うための機能 セキュリティの向上 キーベースまたは証明書ベースの認証を使用 これにより、 Windows Hello よりもセキュリティが向上 リモート デスクトップ 証明書信頼を利用の場合は、RDP 経由のリモートデスクトップ セッションに対して、資格情報を使用して認証を行うことが可能 暗証番号 (PIN) のリセット ユーザーが PIN を自己管理することも可能 ユーザーが PIN を忘れた場合、設定またはロック画面からリセットが可能 Windows Hello for Business の機能 https://docs.microsoft.com/ja-jp/windows/security/identity-protection/hello-for-business/hello-features
- 13. Windows Hello と公開鍵暗号の仕組みを組み合わせた認証方式 ※ TPM : PC 内のセキュリティ チップ Windows Hello for Business のポイント Windows Hello での Windows へのサインオンに加え、Azure AD アカウントで認証された状態にできる
- 14. Windows Hello よりも企業に向けたポリシーが追加 ■ Windows Hello for Business の強制 Windows Hello for Business の登録を必須にさせることが可能 Windows Hello for Business のポリシー設定の構成 https://docs.microsoft.com/ja-jp/windows/security/identity-protection/hello-for-business/hello-cert-trust-policy-settings [コンピューターの構成] > [管理用テンプレート] > [Windows コンポーネント] > [Windows Hello for Business] > [Windows Hello for Business の使用] ■ 多要素によるロック解除 [デバイスのロック解除要素を構成する] というポリシーを利用し、 複数要素によるロックの解除を促すことが可能 (次ページ)
- 15. ポリシーにより複数要素が必要とするように構成も可能 [デバイスのロック解除要素を構成する] で設定 最初の要素で解除後も、追加の要素を要求可能 以下から 2 つの要素を要求することが可能 ◼ PIN ◼ 顔 ◼ 指紋 ◼ 信頼されたシグナル (スマートフォンの近接通信、ネットワークの場所など) 多要素のロック解除 https://docs.microsoft.com/ja-jp/windows/security/identity-protection/hello-for-business/feature-multifactor-unlock ※ サインイン オプションとしてパスワードは選択可能で、 パスワードではそれだけでロックを解除することができる。 あくまで Hello はパスワードを無くすものではなく、 パスワードの入力する機会を減らす目的でご使用を。
- 16. Windows Hello for Business の構成や展開 ■ Windows Hello for Business を簡単に展開 クラウド環境でデバイスの管理をしている環境であれば、 intune の管理コンソールより Hello for Business の有効化が可能。 フルクラウド環境であれば、インフラ環境でのサーバーの構築が無く、 Windows Hello for Business を使用することができる。 Windows Hello for Business と Microsoft Intune の統合 https://docs.microsoft.com/ja-jp/mem/intune/protect/windows-hello ■ プロファイルの作成が可能 全体での Windows Hello for Business の有効化や、 デバイスグループやユーザーグループに対しプロファイルの作成が可能
- 17. Windows Hello for Business 登録フローと認証時の動作
- 18. 秘密鍵 Hello for Business Container ❷ TPM にアクセス Sign-in Request ❸ Sign-in リクエストを秘密鍵で署名して AAD に送信 ❺ Primary Refresh Token が発行される 公開鍵 ❶ ID を指定､PIN や Hello で認証 Azure AD TPM 秘密鍵 ❹ Request を公開鍵で 確認し中身をチェック
- 19. ❶ デバイスの登録要求 Azure AD デバイス登録サービス （DRS） ❸ AAD にサインイン（多要素必須） ❷ 認証画面表示 ❹ DRS にアクセスするためのトークン ❻ 証明書署名要求 （CSR） Hello for Business Container ❺ Key pair 生成 秘密鍵 ❼ 公開鍵証明書 ❾ PIN / Hello を設定 Azure AD ❽ 登録完了 TPM 公開鍵
- 20. Windows Hello for Business 前提条件・インフラ環境
- 21. Windows Hello for Business の展開 キー信頼 ユーザー証明書の管理に関連する労力を減らす必要がある場合や、ADFS を使用しない構成に有効 証明書信頼 RDP 経由のリモートデスクトップセッションに対して、資格情報を使用して認証可能というメリット Windows Hellofor Business 展開ガイド https://docs.microsoft.com/ja-jp/windows/security/identity-protection/hello-for-business/hello-deployment-guide さらに、ハイブリッド、オンプレミス環境については 2 つの信頼モデルに分かれる クラウド Azure AD / intune で Windows 10 デバイスを管理している環境 ハイブリッド Azure AD と Active Directory (オンプレミス AD) を接続し、Windows 10 デバイスを管理している環境 クライアントが Azure AD 参加か Hybrid Azure AD Join (オンプレ AD 参加) かによって要件も異なる オンプレミス オンプレミス の AD のみで Windows 10 を管理している環境 インフラ環境の形態については 3 つの展開モデルに分かれる
- 22. Windows Hello for Business - 最新情報や詳細な構成はこちらでご確認ください https://docs.microsoft.com/ja-jp/windows/security/identity-protection/hello-for-business/hello-identity-verification Azure AD ハイブリッド (Azure AD + AD) Active Directory Azure MFA intune キー信頼 WS2008R2 DC Azure AD 参加 Hybrid Azure AD 参加 証明書信頼 WS2012 CA Azure AD Conect Azure MFA WS2016 DC WS2012 CA WS2012 NDES Azure AD Conect Azure MFA キー信頼 WS2016 DC 証明書信頼 WS2012 CA Azure AD Conect WS2016 DC WS2012 CA WS2016 ADFS WS2012 NDES Azure AD Conect Azure MFA Azure AD 参加 Azure MFA 3rd Party MFA キー信頼 WS2016 DC 証明書信頼 WS2012 CA WS2016 ADFS 3rd Party MFA WS2008R2 DC WS2012 CA WS2016 ADFS Azure AD 参加 ※ オンプレミス / ハイブリッド すべてにおいて WS2016 のスキーマが必要です intune intune
- 23. Appendix – おまけ
- 24. セキュリティ キーによるパスワードレス サインイン (プレビュー) Azure Active Directory を使用して Windows 10 デバイスへのパスワードレス セキュリティ キー サインインを有効にする (プレビュー) https://docs.microsoft.com/ja-jp/azure/active-directory/authentication/howto-authentication-passwordless-security-key-windows FIDO2 セキュリティ キーに基づくパスワードレス認証 FIDO2 対応デバイスを使用して、 Azure AD アカウントで Windows へパスワードレスにサインインが可能に。 低コストでセキュリティ キーによるサインインの実現が可能。 必要条件 (例 : Azure AD 参加の場合) ◼ Azure MFA ◼ 互換性のある FIDO2 セキュリティ キー ◼ Windows 10, version 1903 以降 また制限はあるものの、Windows Hello を使わなくとも、 手軽にパスワードレス サインインできる手段の一つに。
- 25. IT エンジニアのための 流し読み Windows 10 Windows Hello for Business END 太田 卓也