クラウドエンジニアブログ

Azure AD のオシャレ機能(第1弾)パスワードリセット

宮内 吉宏

宮内 吉宏

皆さんこんにちは、宮内です。
最近ずっと眠いなぁ・・・と思っていたら花粉が原因でした。相変わらず花粉とバトル中ですが、皆さんも花粉に負けず頑張っていきましょう!

さてさて、今回のテーマは Azure Active Directory (Azure AD) です。Azure AD の存在は知っているけど、具体的にどんなことができるんだろう?という方もいらっしゃるかと思います。今回はそんな Azure AD のオシャレな機能を紹介していきたいと思います。まずは第1弾としてこの記事を書いていますので、次回も乞うご期待ください。

では、参りましょう!

パスワードリセット

Azure AD にはユーザーのパスワードをリセットする手段として、2パターン用意されています。1つめは管理者によるパスワードリセットで、2つめはユーザー自身によるパスワードリセット(SSPR)です。
SSPR は当たり前だと思いがちな機能ですが、Azure AD では既定で無効になっているんですね。クラウド環境の特性を考えた場合、既定で有効になっていると第三者でも変更できてしまう危険があるため、Azure AD では既定で無効になっているのだと思います。

まず試しに SSPR が無効の状態でパスワードを変更してみます。

1.サインイン画面でパスワード変更画面に飛びます
サインイン画面でパスワード変更画面に飛びます

2.パスワードを変更するためにユーザー ID とロボットではないことを証明します
パスワードを変更するためにユーザー ID とロボットではないことを証明します

3.エラーになった!
エラーになった!

対象ユーザーの ID さえ知っていれば2の手順クリア後にパスワード変更できてしまうのでは?と思ってしまいますよね。でもご安心を。Azure AD の SSPR ではパスワードリセットの際に本人を認証する仕組みを持っているのです!SSPR を有効化していくところと合わせて説明していきます。

まずは、SSPR を有効化します。
Azure Portal にサインイン後、[Azure Active Directory] ? [パスワード リセット] ? [プロパティ] から SSPR を有効化するために [すべて] を選択して、[保存] します。これで SSPR は有効になります。

SSPR を有効化

そしてもう一つ大事なのはパスワードリセットする際の“認証方法”の設定です。[Azure Active Directory] ? [パスワード リセット] ? [認証方法] をクリックします。ここではパスワードをリセットするために必要な認証方法の数と、ユーザー認証に使用できる方法を設定できます。ここではリセットに必要な数は ”1” 、認証に使用できる方法は “携帯電話” を設定してみます。

認証方法の設定

これで 認証設定も完了になりましたので、もう一度パスワードリセットしてみますね。先ほどの手順2までは一緒ですが、エラーにはならず携帯電話で本人認証が求められるようになりました、いいですね!

アカウントを回復する

続いて電話番号を入れると携帯電話に確認コードが SMS で送信されます、ふむふむ。受信した確認コードをいれていきます。

アカウントを回復する

お、新しいパスワード変更画面まできた!これで新しいパスワードを入れてリセット完了です。

アカウントを回復する

と、ここまできて気付いた方もいると思うのですが、なんかマズい気がしません・・・??


  • SSPR を全ユーザーに対して有効化する
  • 本人認証に必要な数は “1” 、認証方法は携帯電話
  • ユーザーはパスワードリセットする際の本人認証をまだしていない
  • 悪意を持ったユーザーがパスワードリセット対象のユーザー ID を知っている


この条件が揃った時、悪意をもったユーザーは対象のユーザー ID を入力して、自身の携帯電話で偽の本人認証をするとリセットできてしまうのです!

これは非常に危険なので、SSPR を有効化する際はリセットに必要な数は “2” に、認証に使用できる方法は確実に本人しか知らない方法(電子メールでの認証、秘密の質問)を組み合わせましょう!

まとめ

今回の記事のポイントは、

  • Azure AD では既定で SSPR が無効になっている
  • SSPR は Azure AD Basic 以上で利用できる
  • SSPR を有効化する際はリセットに必要な数は “2” に、認証に使用できる方法は確実に本人しか知らない方法(電子メールでの認証、秘密の質問)を組み合わせる(これ大事!)

いかがでしたでしょうか?機能自体は知っているけど実際に触ってみないと気付かないことって多いもの。やってみなはれの精神は大事ですね。

みなさんも是非お試しください、では。



次回予告
  • Azure Stream Analytics から Azure Functions を呼び出す



【総合】お問い合わせ

ソリューションに関する全般的なお問い合わせはお気軽にご相談ください。

ピックアップ

セミナー情報
クラウドエンジニアブログ
clouXion
メールマガジン登録