システム活用法
二要素認証とSSOでアカウントを守る
この記事でわかること
プロジェクトの記録には、契約や顧客の情報が含まれます。パスワードだけで守ると、漏れたときに、そのまま入られてしまいます。本システムには、パスワードに加えて認証アプリの6桁コードを求める「二要素認証」と、GoogleまたはMicrosoftのアカウントでログインできる「SSO」があります。この記事では、設定の手順と、プロジェクトの運用ルール案を紹介します。
二要素認証もSSOも、会員1人ずつのアカウントの設定です。プロフィールの画面で、各自が行います。プロジェクト管理員が、全員に強制する設定は、ありません。ルールとして、周知します。
二要素認証
リカバリーコードは、必ず保管してください。スマートフォンを失くしたり、機種変更で認証アプリが使えなくなったとき、ログインできる手段は、リカバリーコードだけです。コードも失うと、ご自身では二要素認証を解除できず、ログインできなくなります。設定したら、スマートフォンとは別の安全な場所（パスワード管理ツールや印刷した紙など）に、すぐ保管してください。
設定の手順
- プロフィールを開き、「二要素認証」の欄の「二要素認証を設定する」を押します。
- 画面にQRコードが出ます。認証アプリ（Google Authenticator、Microsoft Authenticatorなど）で、読み取ります。読み取れないときは、「設定キー」を、手入力します。
- 認証アプリに出た6桁のコードを入れ、「確認して有効にする」を押します。
- リカバリーコード（8個）が表示されます。この画面を閉じると、もう表示できません。安全な場所に保存します。
ログインのしかた
メールアドレスとパスワードのあとに、6桁のコードを聞かれます。認証アプリが使えないときは、「リカバリーコードを使う」を選び、保存したコードを1つ入れます。リカバリーコードは、1つにつき1回だけ使えます。
管理
| 操作 | 内容 |
|---|---|
| 残りのコードの確認 | プロフィールに、「残りのリカバリーコード：◯個」と出る |
| リカバリーコードの作り直し | パスワードを入れて、「作り直す」。古いコードは使えなくなる |
| 無効にする | パスワードを入れて、「無効にする」 |
SSO（Google・Microsoft）
できること・できないこと
- すでに登録されている会員が、GoogleまたはMicrosoftのアカウントで、ログインできます。ログイン画面に、「Googleでログイン」「Microsoftでログイン」のボタンが出ます（運営の設定で、有効なときだけ）。
- SSOでの新規登録は、できません。まず、会員として登録されている必要があります。
- 二要素認証を設定している会員は、SSOでログインできません。パスワードでのログインになります。
連携の手順
- パスワードなどで、いつもどおりログインします。
- プロフィールの「ほかのアカウントでのログイン」で、使いたいサービスの「連携する」を押します。
- サービス側の画面で、アカウントを選びます。
- 連携が済むと、「連携中」と、連携したメールアドレスが出ます。解除したいときは、「連携を解除」を押します。
初めてSSOでログインするとき、連携が済んでいなくても、条件を満たすと、自動で連携されます。条件は、サービス側が「メールアドレスは確認済み」と保証していること、そして本システムの会員のメールアドレスも、確認済みであることです。満たさない場合は、先に、パスワードでログインして、連携します。
どちらを使うか
| 二要素認証 | SSO | |
|---|---|---|
| 守るもの | パスワードが漏れたときの、不正ログイン | パスワードの使い回し・管理の手間 |
| ログインの手間 | 増える（6桁のコード） | 減る（ボタン1つ） |
| 両方使う | できない（二要素認証がオンの会員は、SSOを使えない） | 同左 |
選び方の目安は次のとおりです。
- 会社のGoogleやMicrosoftのアカウントが、すでに強く守られている（会社側で、多要素認証を要求している）場合は、SSOが向いています。
- 本システムのパスワードで、ログインする場合は、二要素認証を設定します。
運用のルール案
| 対象 | ルール案 |
|---|---|
| プロジェクト管理員・PgM担当 | 二要素認証、または会社の強い認証につながるSSOを、必須にする。管理員は、設定や権限を変えられるため |
| 外部のメンバー（ベンダーなど） | 二要素認証を、推奨またはお願いにする |
| リカバリーコード | パスワード管理ツールなど、本人以外が見られない場所に保存する。端末のメモやチャットには、残さない |
| 機種変更・端末の紛失 | 機種変更の前に、新しい端末で認証アプリを登録する。紛失したときは、リカバリーコードでログインし、二要素認証を作り直す |
| 異動・退職 | 当日中に、会員権限を見直す（記事「権限設計の基本」）。APIトークンの「動作する会員」も確認する |
| 確認の時期 | 四半期に1回、管理員が、設定状況を口頭または自己申告で確認する |
プロジェクトの管理員は、他の会員の二要素認証の設定状況を、画面で確認することはできません。ルールは、お願いと自己申告で運用します。
困ったとき
- 認証アプリを使えず、リカバリーコードもない：本人だけでは、ログインできません。CTO運営の公開ページ（cto.jp）の「お問い合わせ」から連絡すると、運営が本人確認のうえで、二要素認証を解除します。解除のお知らせメールが届いたら、パスワードだけでログインして、二要素認証を設定し直します。
- 6桁のコードが通らない：端末の時刻が、ずれていないか確認します（自動設定にする）。コードは、30秒ほどで切り替わります。一度使ったコードは、再利用できません。
- SSOのボタンが出ない：運営側で、SSOが有効になっていない可能性があります。パスワードで、ログインしてください。
- 「連携していません」と出る：先に、パスワードでログインして、プロフィールから連携します。
まとめ
二要素認証は「パスワードが漏れても入れない」ために、SSOは「パスワードを増やさない」ために使います。まず、管理員とPgM担当から、始めましょう。リカバリーコードを安全に保管することが、運用の要です。