1. © 2014 VMware Inc. All rights reserved.
VMware Horizon 6 と RSA SecurID の連携
二要素認証によるセキュリティ強化

2.  「パスワード」を知っているということだけでは十分ではありません
 異なる性質を持つ要素を組み合わせで確認することで、より確実性の高い認証
になります
二要素認証 (多要素認証)による認証強化
Something you know:
PIN, パスワード, 秘密の質問等
Something you have:
トークン、スマートカード等
Something you are:
バイオメトリクス (指紋、静脈認証等)
ユーザ名:
パスコード:
ログオン
**** ******
yamada
1234
RSA SecurIDは二要素認証です
・PIN（暗証番号）
・トークンコード
2

3. RSA Authentication Manager
• VMware ESXi上で稼働するOpen
Virtualization Formatの仮想アプ
ライアンス
RSA SecurID Appliance
• RSA Authentication Managerを搭
載した物理アプライアンス
 システムは、3つの要素（認証サーバー、エージェント、トークン）で構成さ
れています
RSA SecurIDシステム
RSA Authentication Agent ソ
フトウェア
• OSやWebサーバー上にインストー
ルして、SecurID認証を有効に
SecurID Ready パートナー製品
• SecurID連携が確認済みの350種以
上の連携製品
RSA Authentication Agent API
• カスタムアプリケーションに
SecurID認証を実装するSDK
（* RADIUS対応も可）
ハードウェア・トークン
• ライフタイム・ワランティも付帯し
た個耐久性の高い定番トークン
ソフトウェア・トークン
• 各種スマートデバイスやPC/Mac等
にインストールして利用する手軽な
トークン
オン・デマンド・トークン
• EメールまたはSMSでその都度受信
するトークン
トークン 認証エージェント 認証サーバー
VMware View および
VMware Workspace
Portal は
SecurID Ready です
3

4. VMware View と RSA SecurID の連携
4
Connection Server
RSA SecurID 認証サーバ
View Client
仮想デスクトップ
Connection Server と通信可能な認
証サーバーを構築。仮想アプライア
ンス版は簡単に展開が可能。
RSA SecurID 認証を
要求するように設定
• ワンタイムパスワードを使用した認証で仮想デスクトップのセキュリティを強化
• 「RSA SecurID トークンによって生成される認証コード」と「ユーザの記憶
(PIN)」を要求することで二要素認証を提供
トークン

5. 仮想デスクトップへのアクセス経路に応じた認証要求
5
外部NW経由(自宅や社外
からのアクセス等)でアク
セスするユーザのみ二要
素認証を要求。
社内からのアクセスは
ドメインパスワードの
みの認証。
• RSA SecurID を使用するように Connection Server を設定
• Connection Server を分離することで、ユーザのアクセス経路に応じて
認証方式を変えることが可能

6. 二要素認証を使用した仮想デスクトップのログイン
6
①PIN + 認証コード ②ドメインパスワード
③ログイン完了
1分ごとに認証コー
ドを生成

7. 7
二要素認証を使用した仮想デスクトップのログイン
(iPad)
1分ごとに認証コー
ドを生成
①PIN + 認証コード ②ドメインパスワード
③ログイン完了

8. VMware Workspace Portal と RSA SecurID の
連携
8
• ワンタイムパスワードによる認証で Workspace ポータルのセキュリティを強化
• アクセス元のネットワーク範囲によって認証方法を変更することが可能
社外からのアクセスは
RSA SecurID で認証
社内からのアクセス
はドメインパスワー
ドで認証

9. 二要素認証を使用した Workspace ポータルへの
ログイン
9
1分ごとに認証コー
ドを生成
①PIN + 認証コード
②ログイン完了

10. RSA Authentication Managerの設定
 RSA Security Console
– ユーザーやトークンの管理等に使用する管理コンソール
– https://hostnameFQDN/sc
 RSA Operations Console
– 初期セットアップ、システムメンテナンスに使用する管理コンソール
– https://hostnameFQDN/oc
1. サーバー
のセットアッ
プ
• 物理アプライアン
スと仮想アプライ
アンスでの提供
• ライセンスファイ
ルおよびネット
ワーク情報が必
要
2. トークンレ
コードイン
ポート
• ハードウェア、ソフ
トウェアトークン共、
トークンシードファ
イル（XML）が必
要
3. 認証エー
ジェントの登
録
• 認証要求の送信
元を登録
• （登録のないホス
トからの認証要求
はドロップされる）
4. ユーザー
の登録
• 認証サーバーに
手動登録、もしく
は、AD連携の
セットアップ
(Operations
Console)
5. ユーザー
へのトークン
の割り当て
• ユーザーとトーク
ンシリアル番号の
紐付登録
RSA Security Console
Quick Setup
RSA Operations
Console
← 一旦システムが組みあがった後の
運用管理はほとんどこちらで行います。
1

11.  [Access]-[Authentication Agents]-[Manage Existing]/[Add New]
 認証要求の送信元の登録が必要です
3. 認証エージェントの登録
MEMO
 View Connection Server のホスト名、IPアド
レスを登録します。
 その他の欄はデフォルトでOK。
 DNS名正逆一致してひけるよう、DNSまた
はhostsを記載してください。
1

12.  [Access]-[Authentication Agents]-[Generation Configuration File]
 認証サーバーの情報を認証エージェントに提供するために配布します
3. 認証エージェントの管理
MEMO
 AM_Config.zipファイルを解凍し、
“sdconf.rec”ファイルを取り出します。この
ファイルは、後で認証エージェント（View
Connection Server等）にアップロードします。
 サーバーの編成が変わらない限り（再インス
トール、IP変更等がない限り）、同じファイル
を使用可能です。
sdconf.recの取出し
1

13.  [Identity]-[Users]-[Manage Existing]/[Add New]
 認証サーバーのデータベースを利用して手動で登録するか、または、ADと連携します
4. ユーザーの登録、管理
MEMO
 Active Directoryのユーザー情報と連携する
には、RSA Operations Consoleにて、
Identity Source設定が必要です。
 このイメージでは、“AD”という名前で連携定
義が作成されているため、左ペインで“AD”
を選択しています。
1

14.  [Identity]-[Users]-[Manage Existing]
 （ユーザーID）▼-[SecurID Token]の下の[Assign More]
5. ユーザーへのトークンの割り当て
MEMO
 ユーザーIDの右の▼から表示される[Assign
Token]ページにて、トークンのシリアルNoを
選択して割り当てます。
 右下は割り当て状況の表示画面です。
1

15.  [Reporting]-[Real-time Activity Monitors]-[Authentication Activity
Monitor]
 認証ログをリアルタイムで表示するモニタです
+α. 認証ログ確認
1

16. View Connection Server の設定
16
• RSA SecurID の二要素認証を使用するように Connection Server を設
定するのみ

17. Workspace Portal の設定
17
• Connector の仮想アプライアンスで SecurID を有効化
• Connector の仮想アプライアンスの IP アドレスを指定して保存

18. Workspace Portal の設定
18
• RSA SecurID の二要素認証を要求するアクセス元のネットワーク範囲を
作成

19. Workspace Portal の設定
19
 Configurator アプライアンスの管理
画面から「認証方法」を設定。認証方
法の一覧から「SecurID」を選択して、
必要に応じて認証スコアを変更。
 「IDプロバイダ」を選択し、認証方
法とネットワーク範囲を指定。認証
方法として「SecurID」を選択し、
前の手順で作成したネットワーク範
囲を選択。

20. Workspace Portal の設定
20
 アクセスポリシーを設定
 ネットワーク範囲と最低認証スコアを設定。この
例では、「Internal」というネットワーク範囲以
外からのアクセスについては最低認証スコア3の認
証(=RSA SecurID)を要求する。