多要素認証によるCohesityの強固なセキュリティ｜技術ブログ

2022.05.17

こんにちは。SB C&Sでバックアップソリューションを担当している臼井です。

この2、3年の間にランサムウェアによるサイバー攻撃は進化を遂げ、大小さまざまな企業や自治体、病院にまで被害が及んでいます。攻撃者はセキュリティを突破するために、さまざまな工夫を凝らして侵入を試みますが、その大半はパスワードのみの認証が大きな要因となっており、今後はセキュリティ強化のためにゼロトラストに基づき、パスワードだけでなくパスワード以外の要素を組み合わせたMFA(多要素認証)の必要性が増していくものと考えられます。

重要なバックアップデータを保持するCohesityでは、MFAに対応しており、正しいユーザーのみをCohesityにアクセスさせることでランサムウェア対策にもなります。そこで、今回はCohesityのMFA機能とその設定方法についてご紹介します。

Cohesityの多要素認証の要件

■Cohesityバージョン

MFAはCohesityの6.5.1f以降と6.6.0c以降のバージョンで利用可能です。既にCohesityをご利用でこれらのバージョンより古いバージョンを使用している場合にはバージョンアップが必要になります。

https://docs.cohesity.com/6_5_1/Web/UserGuide/Content/ReleaseNotes/WhatsNew651f.htm
※要Cohesityサポートアカウント
Multi-Factor Authentication for Local Users
Cohesity now supports Multi-Factor Authentication (MFA) for local users.

https://docs.cohesity.com/6_6/Web/UserGuide/Content/ReleaseNotes/WhatsNew660c.htm
※要Cohesityサポートアカウント
Multi-factor Authentication for Local Users
Cohesity now supports Multi-factor Authentication (MFA) for local users.

■MFAを利用できるアカウント

上記のドキュメントに記載がありますが、MFAを利用できるのはCohesityのローカルユーザーのみになります。CohesityではActive DirectoryやSSOプロダイダーのユーザーもアカウントとして利用できますが、CohesityのMFA機能との連携はできません。

■認証方式

認証方式としてはアプリケーションによる認証とメールによる認証を利用可能です。アプリケーションはTOTP(時間ベースのワンタイムパスワード)に対応した下記のアプリケーションをサポートしています。

CohesityクラスタでのMFA設定

アプリケーションとメールの２つの認証方式のMFAの設定手順ご紹介しますが、プライマリの認証としてはアプリケーションによる認証を推奨しており、メールによる認証をプライマリとすることは推奨しておりません。そのため、今回はプライマリの認証としてアプリケーションを設定後にセカンダリの認証としてメールによる認証を追加する手順をご紹介します。

■前提条件
・Cohesityバージョン: 6.6.0d_u2_release-20220226_5cca7024
・アプリケーション: Micorosoft Authenticator(Android スマートフォンにインストール済み)

尚、MFAを有効化するにはAdminロールを割り当てられた管理者もしくは、[Cluster Management]の[Manage MFA]の権限を持つカスタムロールを割り当てられたユーザーで実行する必要があります。

①アプリケーションによる認証

まず、プライマリの認証としてアプリケーションを使用する手順をご紹介します。Cohesityのコンソールにログインし、[Settings]→[Access Management]を選択し、[MFA]タブを表示します。

「MFA」のトグルを右に移動し、「Authenticator App」のみにチェックを入れて「Save」をクリックします。

確認メッセージが表示されますので、「Enable」をクリックして有効化します。

以上でMFAが有効となります。アプリケーションによるMFAを設定するため、右上のアカウントメニューから「Log out」をクリックしてログアウトします。

ユーザー名とパスワードを入力し、「Sign In」をクリックします。

認証アプリケーションの画面でQRコードが表示されますので、スマートフォンで読み込みます。

QRコードで読み込んだリンクからMicorosoft Autheticatorを起動すると、自動でアカウントが登録されます。

登録されたアカウントをクリックすると、ワンタイムパスワードが確認できます。ワンタイムパスワードは30秒間隔で更新されます。

尚、QRコードが使用できない場合は、目のマークをクリックしてSecret Keyを表示し、手動でMicorsoft Authenticatorのアカウントを追加して表示されたSecret Keyを秘密キーに設定することも可能です。

アプリケーションで確認したワンタイムパスワードを「Secret Key」に入力し、「Verify」をクリックします。

「Security code verified successfully 」と表示され、セキュリティコードの検証が成功したことを確認し、「Complete」をクリックします。

Cohesityコンソールにログインできます。

尚、2回目以降のログインではユーザー/パスワードを入力した後にQRコードやSecret Keyの画面は表示されず、パスコードを入力する画面のみ表示されます。後でSecret Keyを確認することはできませんので、ご注意ください。

②メールによる認証

次にセカンダリの認証方法としてメールを追加する手順をご紹介します。メールによる認証を追加設定することでアプリケーションによる認証が使用できない場合の代替としてメールによる認証を行うことが可能です。

メール通知などでメールサーバーの設定をしていない場合は、まずメールサーバーの設定を行います。Cohesityのコンソールにログインし、[Settings]→[Summary]を表示し、[Summary]タブから「Configure」をクリックします。

「Enable SMTP Server」のトグルを右に移動して有効化した後に、SMTPサーバーの情報(ホスト名やポート、認証情報等)を入力し、「Save」をクリックします。

メールによる認証では各ユーザーのメールアドレスにパスコードが記載されたメールが送信されるため、適切なメールアドレスが設定されているか事前に確認します。[Settings]→[Access Management]を選択し、[Users & Groups]タブを表示します。認証を行うユーザーを選択して、「Edit」をクリックすることでメールアドレスの確認や設定が可能です。

メールによる認証を追加するため、[Settings]→[Access Management]を選択し、[MFA]タブを表示します。「Email」にチェックを追加し、「Save」をクリックして設定を保存します。

確認メッセージが表示されますので、「Enable」をクリックして有効化します。

以上でメールによる認証が有効になります。メールによる認証を確認するため、右上のアカウントメニューから「Log out」をクリックしてログアウトします。

ユーザー名とパスワードを入力し、「Sign In」をクリックします。

「Email my Security Code」をクリックしてセキュリティコードが記載されたメールを送信します。

メールソフト起動し、[Verification code for Cohesity Cluster]という件名のメールに記載されたコードを確認します。
※送信元(From)と送信先(To)のメールアドレスは各ユーザーのメールアドレスになります。

メールに記載されているコードを「Secret Key」に入力し、「Verify」をクリックします。
※メールのパスコードの有効期間は2分になります。メール送信から2分以上経過した場合は、再度メールを送信する必要があります。

「Security code verified successfully 」と表示され、セキュリティコードの検証が成功したことを確認し、「Complete」をクリックします。

Cohesityコンソールにログインできます。

尚、認証方式としてアプリケーションとメールの両方が有効になっている場合、2回目以降のログインではユーザー名/パスワード入力後の最初の画面ではアプリケーションによるコードの入力画面が表示されますが、「Use Alternative Verification Method」をクリックすることでメールによる認証画面に切り替えることが可能になります。

ユーザー単位のMFA有効無効化の設定

MFAはユーザーアカウント毎に有効無効を設定することも可能です。前述の手順でクラスタ全体でMFAを有効にした後、[Settings]→[Access Management]の[Users & Group]タブで「MFA」列のトグルを有効/無効に設定することにより、特定のユーザーのみMFAを使用させることが可能です。