リスクベース認証設定マニュアル¶

1. 概要¶

1.1 目的¶

本書は、IDApex IAM　にリスクベース認証を設定するための手順をまとめたマニュアルです。ログイン時の条件に応じて、必要な認証フローが自動的に切り替わるよう構成する方法を紹介しています。作業を始める前に、本書をご確認ください。

1.2 前提条件¶

本書での作業を開始するための前提条件です。

前提条件	備考
IDApex IAMのUIが日本語表示であること	基本設定マニュアルを参照して設定してください。

1.3 全体の流れ¶

本書では、以下の認証フローに基づくリスクベース認証の設定を説明します。

Username Password Form
OTP Form
Risk based Authentication
高リスクの場合 WebAuthn Authenticator

高リスク判定時には、追加の多要素認証としてWebAuthn Authenticator（パスキー）を実行します。
低リスク判定時には、追加認証を行わず、ログインを完了します。

本フローはリスクベース認証を用いた構成の一例です。
要件に応じて、リスクベース認証の前後に組み合わせる認証ステップは変更可能です。

リスクベース認証の判定にはユーザーの過去のログイン履歴などを参照する必要があるため、必ず「ユーザーの特定（識別）」が完了するステップを前段に設定してください。

ユーザーの過去のログインイベント等を参照するため必ずレルムの設定でユーザーイベントの登録が有効になっていることを確認してください。

2. リスクベース認証フローの設定¶

本セクションでは、リスクベース認証を実現するための認証フローを設定します。認証フローの追加、リスク判定条件の設定、条件付き２要素認証（Conditional 2FA）の構成、およびパスキー認証（WebAuthn）の設定を行います。

2.1 認証フローの追加¶

管理者ユーザーで IDApex IAM の管理コンソールへアクセスします。
左のメニューから「認証」を選択します。
「Create flow」ボタンを押下し、新しい認証フローを作成します。
任意の認証フロー名を入力し、「作成」ボタンを押下します。
今回の手順では認証フロー名を「RiskBased Browser Flow」として設定しています。

フロータイプは必ず『Basic flow』のままにしてください。

2.2 リスク判定の設定¶

画面がフロー詳細設定に遷移します。「Add sub-flow」を押下します。
「クライアント・スコープの名前」に任意の名前を入力し、追加ボタンを押下します。
例として「Login Flow」を入力しています。
「フロータイプ」は「generic」を選択します。
追加された「Login Flow」の必須条件を「Required」に設定し、右にある「＋」ボタンを押下します。
「Add step」を選択します。
検索ボックスに「Cookie」と入力し、検索結果に表示される「Cookie」を選択します。続けて「追加」ボタンを押下します。
追加された「Cookie」の必須条件を「Alternative」にします。
「Login Flow」の「+」ボタンを押下して「Add sub-flow」を選択します。
「クライアント・スコープの名前」に任意の名前を入力し「追加」ボタンを押下します。
例として「RiskBased Flow」を入力しています。
「フロータイプ」は「generic」を選択します。
追加された「RiskBased Flow」の必須条件を「Alternative」にします。
「RiskBased Flow」の「＋」ボタンを押下して「Add step」を選択します。
検索ボックスに「username」と入力し、検索結果に表示される「Username Password Form」を選択します。続けて「追加」ボタンを押下します。
必須条件が「Required」の状態で追加されます。
「RiskBased Flow」の「＋」ボタンを押下して「Add step」を選択します。
検索ボックスに「otp」と入力し、検索結果に表示される「OTP Form」を選択します。続けて「追加」ボタンを押下します。
必須条件を「Required」に変更します。
「RiskBased Flow」の「＋」ボタンを押下して「Add step」を選択します。
検索ボックスに「risk」と入力し、検索結果に表示される「Risk based」を選択します。続けて「追加」ボタンを押下します。
必須条件を「Required」に変更します。

「Risk based」の歯車マークを押下し、設定画面を表示します。

この画面では以下の設定を行います（要件に応じて調整可能です）。

項目	設定値	備考
エイリアス	Risk based	任意の名称
リスク閾値	2	リスクありと判定されたチェック機能のチェックスコアがリスクスコアに加算されます。追加認証を強制するリスクスコアの閾値を設定できます。整数を入力してください。
認証失敗チェック	オン	直近のログインに失敗している場合、リスクありと判定するチェック機能です。
認証失敗チェックスコア	1	認証失敗チェックでリスクありと判定された場合にリスクスコアに加算されるチェックスコアです。整数で入力してください。
IPアドレス履歴チェック	オン	ログインを試行しているユーザーが未知のIPアドレスからのアクセスしてきた場合に、リスクありと判定するチェック機能です。
IPアドレス履歴のサイズ	5	ここで指定された件数のログイン履歴とIPアドレスを比較します。業務でVPNなどを使用し頻繁にIPアドレスが変化する場合は大きな値を設定することを推奨します。
IPアドレス履歴チェックスコア	1	IPアドレス履歴チェックでリスクありと判定された場合にリスクスコアに加算されるチェックスコアです。整数で入力してください。
最終ログインからの経過時間チェック	オン	ログインを試行しているユーザーの最終ログインからの経過時間を確認し、経過時間の閾値（秒）以上時間が経過している場合にリスクありと判定するチェック機能です。
経過時間の閾値（秒）	3600	リスクありと判定する最終ログインからの経過時間です。秒で指定するため、この例では1時間となります。整数で入力してください。
最終ログインチェックスコア	2	最終ログインからの経過時間チェックでリスクありと判定された場合にリスクスコアに加算されるチェックスコアです。整数で入力してください。

設定変更の有無にかかわらず、必ず「保存」を押下してください。

「保存」せずにログインするとエラーが発生し、IDApex IAM にログインできなくなります。

2.3 サブフローの構成（Conditional 2FA）¶

Conditional 2FA は、設定した条件を満たした（高リスクと判定された）場合にのみ、追加の多要素認証（MFA）を実行するためのサブフローです。

本項では、認証フローに Conditional 2FA をサブフローとして追加し、適用条件とパスキーを設定します。

「RiskBased Flow」の「＋」ボタンを押下し、「Add sub-flow」を選択します。
ダイアログの「クライアント・スコープの名前」に「Conditional 2FA」と入力し、「追加」ボタンを押下します。このサブフローが、リスク判定の結果に応じて実行される追加認証の処理になります。

「フロータイプ」は必ず**generic**のまま使用してください。他のフロータイプを選択すると処理が正しく実行されません。
「Conditional 2FA」の必要条件を「Conditional」に変更します。
「Conditional 2FA」の「+」ボタンを押下し、「Add condition」を選択します。
「Condition - user attribute」を選択後、「追加」ボタンを押下します。
「Condition - user attribute」の必要条件を「Required」にし、右側の歯車マークから設定画面を開きます。
以下の内容を入力後、「保存」ボタンを押下します。

項目設定値備考

エイリアス Risk based result check 任意の名称

Attribute name additional_required 固定値

Expected attribute value force 固定値
「Conditional 2FA」の「+」ボタンを押下して、「Add step」を選択します。
検索テキストボックスに「webauthn」と入力し、検索結果に表示される「WebAuthn Authenticator」を選択します。続けて「追加」ボタンを押下します。
「WebAuthn Authenticator」の必要条件を「Required」に変更します。

以上でリスクベース認証のフローが作成できました。
認証フローの全体図です。

2.4 認証フローの適用¶

作成した認証フローは、作成しただけでは有効になりません。システム全体（レルム全体）に適用するか、あるいは特定のシステム（クライアント）にのみ適用するか、要件に応じて以下のいずれかの方法で割り当てを行います。

2.4.1 IAM全体のブラウザフロー（ブラウザからのログイン）に割り当て¶

作成したリスクベース認証フローを、レルム全体のデフォルトのログイン動作として適用する手順です。

左側のナビゲーションメニューの「認証」をクリックし、フロー一覧画面を開きます。
作成した「RiskBased Browser Flow」の右側にある「アクション（三点リーダー）」ボタンを押下し、「Bind flow（フローのバインド）」を選択します。
チューズダイアログが表示されるので、バインド先として「ブラウザーフロー」を選択します。
「Save（保存）」を押下します。画面右上に「Flow successfully updated」と表示されれば、レルム全体のブラウザログインに対して、作成したリスクベース認証フローが適用されます。

2.4.2 特定のクライアントログインに割り当て¶

システム全体に適用するのではなく、特定のシステム（例：account-console）へのログイン時のみに限定して、作成したリスクベース認証フローを強制する手順です。

左側のナビゲーションメニューの「クライアント」をクリックし、一覧から対象のクライアント（例：account-consoleのクライアントID）を選択します。
クライアント詳細画面の上部にある「Advanced（詳細設定）」タブをクリックします。
画面を一番下付近までスクロールし、「Authentication flow overrides（認証フローのオーバーライド）」セクションを表示します。
「ブラウザフロー」のドロップダウンメニューから、作成した「RiskBased Browser Flow」を選択します。
「Save（保存）」を押下します。これにより、対象のクライアントへアクセスした際のみ、このリスクベース認証フローが動くようになります。

3. ログイン方法¶

本セクションでは、IDApex IAM のログイン画面から、リスクベース認証でログインする手順を説明します。
リスクベース認証フローを特定のクライアントに割り当てた場合はそのクライアントのログイン画面へアクセスしてください。

3.1 初回ログイン¶

ログイン画面が表示されたら、ユーザーのIDまたはメールアドレスとパスワードを入力して「ログイン」ボタンを押下します。初期パスワードがユーザーのメールアドレスに送信されていますのでそちらをご参照ください。
本書では、すべてのユーザーに対してワンタイムパスワード（OTP）による認証を必須としているため、初回ログイン時には認証アプリの登録画面（QRコード）が自動的に表示されます。

画面の案内に従い、認証アプリで QR コードを読み取り、生成されるワンタイムパスワードを入力して登録を完了してください。

ワンタイムパスワードの登録が正常に完了すると、次の認証ステップ、またはログインが完了します。
リスクベース認証により、追加の認証が必要と判断された場合にパスキーの登録画面が表示されます。画面の指示に従い、セキュリティキーをタップするなどしてパスキーの登録を行ってください。パスキー認証が正常に完了すると、ログインが完了します。
ログイン完了後は、画面の案内に従いパスワードを更新してください。

3.2 ２回目以降のログイン¶

ログイン画面が表示されたら、ユーザーのIDまたはメールアドレスとパスワードを入力して「ログイン」ボタンを押下します。
OTPを登録済みの場合、2回目以降のログインでは、ワンタイムパスワード入力画面が表示されます。
認証アプリに表示されているワンタイムパスワードを入力してください。
その後、リスクベース認証により、高リスクと判定された場合は、追加でパスキー認証が求められます。

項目	設定値	備考
エイリアス	Risk based result check	任意の名称
Attribute name	additional_required	固定値
Expected attribute value	force	固定値