• ホーム
• アプリの統合
• MFA統合
• AWS ワークスペースの多要素認証

Amazon (AWS) Workspace で 2 要素認証を有効にする方法

---

miniOrange 多要素認証 (MFA) を使用して Amazon WorkSpaces のセキュリティを強化し、ユーザー名とパスワードに加えて 2 番目の認証要素を要求することで保護の層を追加します。

RADIUSまたはOTPサーバーを持たない組織の場合、miniOrangeは 15以上の認証方法Google Authenticator、Microsoft Authenticator、miniOrange Authenticator などの認証サービスを使用して、AWS WorkSpaces の MFA を簡単に設定できます。ユーザーは認証情報を入力した後、仮想またはハードウェア MFA ソリューションを通じて自分の ID を確認します。

詳細なガイドに従って設定してください AWS WorkSpaces の MFA.

AWS WorkSpaces ログイン用の miniOrange MFA 認証

miniOrangeは、RADIUSリクエストとして入力されたユーザーのユーザー名/パスワードを受け入れ、ユーザーストアに対してユーザーを検証するRADIUSサーバーとして機能することでこれを実現します。 Active Directory（AD）最初のレベルの認証の後、miniOrangeはユーザーに 2要素認証（2FA） ユーザーの入力に基づいてアクセスを許可または取り消します。

1. プライマリ認証は、ユーザーがユーザー名とパスワードを送信することで開始されます。 AWS ワークスペース.
2. ユーザーリクエストは、 認証リクエスト RADIUS サーバー (miniOrange) へ。
3. ミニオレンジ RADIUSサーバー ユーザー資格情報を渡して、AD (Active Directory) / データベースに保存されている資格情報と照合して検証します。
4. ユーザーの最初のレベルの認証が検証されると ADはRADIUSサーバーに確認を送信します.
5. miniOrange RADIUSサーバーは、 2要素認証チャレンジ (2FA) ユーザに提供する。
6. ここで、ユーザーはハードウェア/電話で受信した応答/コードを送信します。
7. ユーザーの応答 miniOrange の RADIUS サーバー側でチェックされます。
8. 成功した場合 2要素認証（2FA） ユーザーにAWS Workspacesへのアクセスが許可されます。つまり、Amazon Workspace MFAの場合です。

AWS Workspaces の MFA を有効化/展開するための前提条件:

• Active Directoryは次のいずれかである必要があります
• AWS マネージド Active Directory
• ADコネクタ
• すでに設定および有効化されています AWS ワークスペース

AWS クライアント IP を確認する:

• にログインします AWSマネジメントコンソール.
• に行く ディレクトリサービス MFA を有効にするディレクトリ ID リンクを選択します。



• ディレクトリの詳細ページで、 ネットワークとセキュリティタブ。
• ネットワークとセキュリティタブ、に行く ネットワークの詳細 セクションにアクセスし、DNS アドレスをメモします。



• 下にスクロールして マルチファクタ認証 セクションで、[アクション] を選択し、[編集] を選択します。



• 「多要素認証 (MFA) を有効にする」ページで、次の詳細を入力します。
  
  

  属性	値
  表示ラベル	MFA設定の表示値
  RADIUSサーバーのDNS名またはIPアドレス	18.190.76.192
  ポート	1814
  共有秘密コード	選択した共有秘密コードを入力してください
  確認済みの共有秘密コード	選択した共有秘密コードを入力してください
  プロトコル	プロトコルの選択: PAP
  サーバータイムアウト（秒単位）	30
  RADIUS 要求の最大再試行回数	この値はそのままにしておきます




• ソフトウェアの制限をクリック 送信する この設定を保存し、RADIUS を有効にします。
• 今後はクリック この Radius IP アドレスを検索するためのリンク。
• 取得したDNS IPを入力してください この Radius IP アドレスを検索する手順。



• 次のステップのためにこのアドレスを書き留めておいてください。



• 上記の手順でパブリックIPアドレスが表示されない場合は、 セキュリティグループ 以下の手順を使用します。すでにパブリック IP があり、構成に移行している場合は、この手順を無視してください。
• ディレクトリサービスに移動してコピーします ディレクトリIDとセキュリティグループ ディレクトリの。




• さあ行く VPC (仮想プライベートクラウド) ダッシュボードで選択 セキュリティグループ サイドメニューから。
• 検索ボックスを使用して検索してください AWS マネージド Microsoft AD ディレクトリ ID検索結果で、「AWS created security group for」という説明の項目を選択します。 ディレクトリ コントローラー。




• 同じセキュリティ グループの [受信規則] タブに移動します。[編集] を選択し、[別の規則の追加] を選択します。新しい規則には、次の値を入力します。



属性	値
タイプ	カスタム UDP ルール
プロトコル	UDP
ポート範囲	1812
ソース	先ほどコピーしたセキュリティグループを入力します




• ソフトウェアの制限をクリック 追加 ルールを追加するルール ルールを保存.

AWS WorkSpaces の多要素認証 (MFA) を有効にして、セキュリティ レベルを拡張します。

1. miniOrangeでAWS WorkSpacesを設定する

• 以下の手順に従って、取得したIP用の2つのアプリを作成します。 AWS クライアント IP の把握 ステップ。
• miniOrangeにログイン 管理コンソール.
• に行く アプリ をクリックします。入力したコードが正しければ、MFAの設定は正常に完了します アプリケーションの追加 ボタンをクリックします。



• 選択する 半径 アプリケーションの種類として アプリを作成する



• ソフトウェアの制限をクリック AWS ワークスペース アプリケーションタブ。アプリケーションが見つからない場合は、 Radius クライアント アプリケーションタブ。



• 以下を行うには、 ドキュメント Radius サーバーの IP を取得します。



• Radius クライアントを構成するために必要な Radius サーバーの IP をコピーして保存します。



• Radius クライアントを追加するには、以下の詳細を設定します。




クライアント名：	参照用の名前。
クライアント IP:	取得したクライアントIPを入力してください 前 ステップ。
共有秘密:	セキュリティキー。 例えば 「共有シークレット」 (これを保管してください。VPN サーバーで同じ設定を行う必要があります)。

• 上記の詳細を設定したら、 次へ
• ソフトウェアの制限をクリック ログインポリシー AWS Workspace VPN クライアントの次のポリシーの詳細を設定します。

グループ名：	ポリシーが適用されるグループ。
ポリシー名:	ポリシー名を指定する任意の識別子。
ログイン方法 - モバイルのみのポリシー	ユーザーは、SMS、プッシュ通知、ソフト トークン (パスワードレス認証) などのモバイル認証方法を使用してログインし、2 要素認証が自動的に有効になります。





• 上記の詳細を設定したら、 次へ
• 設定する 詳細設定 必要に応じて AWS Workspace VPN クライアント用。



• 次のことを行う必要があり 有効にする システムに存在しないユーザーの RADIUS 要求を追跡して記録する最後のオプションです。
• 上記の詳細を設定したら、 Save
注意： 取得した2番目のRadius IPアドレス用に別のアプリを作成する必要があります。 AWS クライアント IP の把握 ステップ、そしてこのためには、 ステップ 1 再び。


注: オンプレミス バージョンによっては、接続をテストする前に以下の手順に従ってください。



オンプレミス版のみ

ステップ 1: ファイアウォール ポートを開きます。

• RADIUSリクエストを受信するには、 UDPトラフィックを開く ポート上 1812と1813 オンプレミス IdP がデプロイされているマシン用。
• ホスティングマシンが Windows マシンならフォローできる この の資料をご参照ください。
• ホスティングマシンが Linux マシンならフォローできる この の資料をご参照ください。

注: マシンが AWS でホストされている場合は、AWS パネルからポートを有効にします。

2. AWS WorkSpacesでRADIUSを設定する

• 帰る AWSマネジメントコンソール.
• In RADIUSサーバーのDNS名またはIPアドレス下の画像にリストされている IP アドレスのいずれかを入力します。



• 以下のスクリーンショットに示すように、ジョブタイプを ポート 〜へ 1812.



• ソフトウェアの制限をクリック 有効にする この設定を保存し、RADIUS を有効にします。

3. ユーザーディレクトリを構成する

miniOrangeは、さまざまな外部ソースからのユーザー認証を提供します。 ディレクトリ (ADFS、Microsoft Active Directory、Microsoft Entra ID、OpenLDAP、Google、AWS Cognito など) アイデンティティプロバイダー (Okta、Shibboleth、Ping、OneLogin、KeyCloak など) データベース (MySQL、Maria DB、PostgreSQLなど) さらに多くの既存のディレクトリ/ユーザー ストアを構成したり、miniOrange でユーザーを追加したりできます。

AD/LDAPをユーザーディレクトリとして設定する

miniOrangeをユーザーディレクトリとして設定する

Microsoft Active Directory、Microsoft Entra ID、OpenLDAP などの既存のディレクトリを構成します。

• ソフトウェアの制限をクリック ID プロバイダー >> ID プロバイダーの追加 ダッシュボードの左側のメニューにあります。



• IDプロバイダーの選択で、 AD/LDAP ディレクトリ をドロップダウンから選択します。



• 次に検索 AD/LDAP それをクリックします。



• MINIORANGE に LDAP 設定を保存する: miniOrange の設定を維持する場合は、このオプションを選択してください。Active Directory がファイアウォールの背後にある場合は、AD への受信リクエストを許可するためにファイアウォールを開く必要があります。
• LDAP 構成をオンプレミスに保存: 設定を社内に保持し、社内のADへのアクセスのみを許可する場合は、このオプションを選択します。ダウンロードしてインストールする必要があります。 miniOrange ゲートウェイ あなたの前提に基づいて。




• LDAPを入力してください 表示名 および 識別する 名前。
• 選択する ディレクトリの種類 as Active Directory.
• LDAPサーバーのURLまたはIPアドレスをLDAPに対して入力します サーバー URL フィールド。
• 以下を行うには、 試験用接続 ボタンを押して接続が成功したかどうかを確認します LDAPサーバー.



• Active Directoryで、ユーザーコンテナ/OUのプロパティに移動し、 識別名属性バインドアカウントには、Active Directory のディレクトリ参照に必要な最低限の読み取り権限が必要です。また、プロビジョニング（ユーザーまたはグループの作成、更新、削除など）を伴うユースケースの場合は、アカウントに適切な書き込み権限も付与する必要があります。



• 有効なバインド アカウント パスワードを入力します。
• 以下を行うには、 バインドアカウント資格情報のテスト LDAP 接続の LDAP バインド資格情報を確認するボタン。



• 検索ベース ディレクトリ内でユーザーの検索が開始される場所です。識別名を取得したのと同じ場所から取得します。



• ドロップダウンメニューから適切な検索フィルターを選択します。 単一グループ フィルターのユーザー or 複数グループフィルターのユーザーを置き換えますグループDN> 検索フィルターに、ユーザーが所属するグループの識別名を入力します。カスタム検索フィルターを使用するには、 「カスタム フィルターを作成する」 オプションを選択し、それに応じてカスタマイズします。



• 以下を行うには、 次へ ボタン、またはに移動します ログインオプション タブには何も表示されないことに注意してください。
• ADの設定時に以下のオプションを設定することもできます。有効化 LDAPをアクティブ化する AD/LDAPからユーザーを認証するには、 次へ ユーザーストアを追加するためのボタン。




以下に属性のリストと、有効にした場合の動作を示します。これに応じて有効/無効にすることができます。

属性	詳細説明
LDAPをアクティブ化する	有効にすると、すべてのユーザー認証はLDAP認証情報を使用して行われます。
フォールバック認証	LDAP認証に失敗した場合、ユーザーはminiOrangeを通じて認証されます。
管理者ログインを有効にする	これを有効にすると、miniOrange管理者ログインはLDAPサーバーを使用して認証されます。
ユーザーにIdPを表示する	このオプションを有効にすると、このIdPはユーザーに表示されます
miniOrangeでユーザーを同期する	LDAP認証後、miniOrangeにユーザーが作成されます。



• 以下を行うには、 次へ ボタン、またはに移動します Attributes タブには何も表示されないことに注意してください。

ADからの属性マッピング

• デフォルトではuserName、firstName、lastName、emailが設定されています。下にスクロールしてクリックしてください。 Save ボタンをクリックします。Active Directoryから追加の属性を取得するには、 構成された属性を送信する左側に、アプリケーションに公開する名前を入力します。右側に、Active Directoryの属性名を入力します。例えば、Active Directoryから会社属性を取得し、それを組織名として設定済みアプリケーションに送信する場合は、次のように入力します。

  SP に送信される属性名 = 組織
  IDPからの属性名 = 会社






• 以下を行うには、 次へ ボタン、またはに移動します プロビジョニング タブには何も表示されないことに注意してください。

ADからのユーザーのインポートとプロビジョニング

• プロビジョニングを設定する場合は、 ここをクリック 詳細については、こちらをご覧ください。この手順はここでは省略します。

接続のテスト

• ディレクトリのリストが表示されます。 アイデンティティプロバイダー。 ドロップダウンから選択します AD/LDAP ディレクトリ、設定したディレクトリを検索し、その横にある3つの点をクリックして選択します。 試験用接続.



• LDAP 構成を確認するためにユーザー名とパスワードの入力を求めるポップアップが表示されます。



• On Successful: LDAP サーバーに接続すると、成功メッセージが表示されます。

テスト属性マッピング

• ディレクトリのリストが表示されます。 アイデンティティプロバイダー。 ドロップダウンから選択します AD/LDAP ディレクトリ、設定したディレクトリを検索し、その横にある3つの点をクリックして選択します。 テスト属性マッピング.



• ポップアップが表示され、ユーザー名を入力してクリックします。 ホイール試乗.



• テスト属性マッピング結果が表示されます。

AD を外部ディレクトリとしてセットアップする構成が完了しました。

注意： 私たちを参照してください ガイド Windows サーバーに LDAP をセットアップします。

• miniOrange にユーザーを追加するには、次の 2 つの方法があります。

1. miniOrangeでユーザーを作成する

2. ユーザーの一括アップロード

1. miniOrangeでユーザーを作成する

• ソフトウェアの制限をクリック ユーザー >> ユーザーリスト >> ユーザーの追加.



• ここで、パスワードなしでユーザーの詳細を入力し、 ユーザーの作成



• ユーザーの作成が成功すると通知メッセージが表示される 「エンドユーザーが正常に追加されました」 ダッシュボードの上部に表示されます。



• ソフトウェアの制限をクリック オンボーディングステータスタブ登録したメールIDでメールを確認し、アクションを選択してください パスワードリセットリンクを記載したアクティベーションメールを送信する from アクションを選択 ドロップダウンリストをクリックし、 Apply



• さて、あなたのメールIDを開いてください。miniOrangeから受信したメールを開いて、 アカウントのパスワードを設定します。
• 次の画面でパスワードと確認パスワードを入力し、 シングルサインオン（SSO）パスワードのリセット



• これで、資格情報を入力して miniOrange アカウントにログインできます。

2. CSV ファイルをアップロードして miniOrange にユーザーを一括アップロードします。

• MFAデバイスに移動する ユーザー >> ユーザーリスト。 をクリックしてください ユーザーを追加する



• 一括ユーザー登録 サンプルのcsv形式をダウンロード コンソールから、指示に従ってこの csv ファイルを編集します。



• ユーザーを一括アップロードするには、ファイルを選択し、 カンマ区切りの .csv ファイル形式 次に「アップロード」をクリックします。



• csv ファイルが正常にアップロードされると、リンクを含む成功メッセージが表示されます。
• そのリンクをクリックすると、アクティベーション メールを送信するユーザーのリストが表示されます。アクティベーション メールを送信するユーザーを選択し、[アクティベーション メールの送信] をクリックします。選択したユーザーにアクティベーション メールが送信されます。

ユーザー グループの作成 (推奨)

AD ユーザー グループ

miniOrange ユーザーグループ

• この手順では、Active Directory からユーザー グループをインポートし、プロビジョニングします。
• に行く プロビジョニング。 切り替える プロビジョニングのセットアップ タブを選択 Active Directory ドロップダウンメニューから選択します。



• 選択する グループのプロビジョニング/デプロビジョニング タブをクリックしてオンに切り替えます インポートグループ オプションを選択します。
• 入力する ベースDN グループ同期の場合はクリック Save.



• miniOrangeに存在するグループにユーザーを動的に割り当てる場合は、 「ユーザーをグループに割り当てる」



• 今すぐに切り替えます グループのインポート オプションと選択 Active Directory ユーザーをインポートする場所。
• 最後に、をクリックします インポート ボタンをクリックしてください。グループがインポートされます。




(Active Directory グループ プロビジョニング (同期) の設定が完了しました。これで、LDAP サーバーでユーザーが作成または変更されるたびに、ユーザーをグループに割り当てるが有効になっている場合は、LDAP サーバーのユーザー グループ属性が自動的に同期され、miniOrange でそれに応じてユーザー グループが割り当てられるか変更されます。)

• 選択する グループ >> グループの管理 左のパネルから。
• 以下を行うには、 グループを作成 ボタンを押します。



• 適切な グループ名 をクリックします。入力したコードが正しければ、MFAの設定は正常に完了します グループを作成.



• このガイドでは、名前でグループを作成しました VPN_グループ。
• グループにさまざまなメンバーを割り当てるには、 ユーザーの割り当て グループ リスト内のグループに関連付けられたオプション。



• このグループに割り当てる必要があるユーザーを選択します。次に、 グループに割り当てる アクションドロップダウンの選択で、[適用]ボタンをクリックします。



• これらのグループは複数の 2FAポリシー アプリケーションについて。

4. AWS WorkSpacesのMFAを設定する

• ここでは、 ポリシーを構成する 作成したユーザーグループ このステップ AWS WorkSpaces VPN アプリケーションに関連付けます。
• ソフトウェアの制限をクリック ポリシー >> アプリ ログイン ポリシー。



• ソフトウェアの制限をクリック ポリシーを追加
• アプリケーションセクションで、 RADIUS アプリ 手順 1 で先ほど構成したものです。
• 必要なユーザーグループを選択してください グループ名 そして、入力します。 ポリシー名.
• このガイドでは、 パスワードのみ のための政策 「VPN_グループ」これにより、VPN_Group メンバーのみが 2 番目の要素なしで VPN サービスにアクセスできるようになります。
• ポリシー設定が完了したら、 送信する ポリシーを追加します。

5. AWS WorkSpaces MFAをテストする

• 適切な AWS WorkSpaces クライアントに移動します (例: (Windows、Linux、Web)
• ここでは、3つの入力フィールドの代わりに2つの入力フィールドが表示されます。 ユーザー名、パスワード、MFA コード.
• AWSワークスペースに入る および パスワード それぞれのフィールドに入力して MFA コード 会場は MFAコードフィールド miniOrangeで設定された認証方法





• 成功した場合 MFA認証 AWS Workspaces セッションが開始されます。

注意： miniOrange はソリューションの概要を提供し、RADIUS/MFA を有効にして Amazon WorkSpaces のセキュリティを強化するための重要な手順を案内しています。ユーザーは、設定が完了したらすぐに MFA コードを提供する必要があります。本番環境に展開する前に、テスト環境または開発環境でこの実装をテストすることをお勧めします。

よくある質問（FAQ）

さらなる参考文献

• Windows VPN の MFA
• MFA による安全なリモート アクセス
• MFA でネットワークデバイスを保護する
• RADIUS MFA ソリューション