2章ユーザ管理

9. TOTP ワンタイムパスワードの設定

WebRelease は、TOTP (Time Based One Time Password, RFC6238準拠) を使うことができます。TOTP を設定しているユーザは、ログイン時には ID とパスワードに加えて、30 秒ごとに変化する数字 6 桁のワンタイムパスワードを入力してログインします。今までのパスワードに加えてワンタイムパスワードを併用することで、不正ログインを強力にブロックすることができるようになります。

万が一のパスワード漏洩、例えば、他のサービスと同じパスワードを共用していた状況で、他のサービスからパスワード漏洩が発生してしまった時などでも、ワンタイムパスワードを併用していれば簡単に不正ログインを受ける可能性は相当に低くなり、アカウントを保護することができるでしょう。

可能な限り、TOTP を併用することをお勧めします。

TOTP ワンタイムパスワードを使用するためには、システム全体で TOTP の利用が ON になっている必要があります。この設定はシステム管理ユーザが行う必要があります。

TOTP 設定

TOTP 設定は下記の手順で行います。設定は各ユーザが自分で行う必要があります。自分のユーザプロファイル設定画面の右上にある「TOTP設定」ボタンをクリックすると TOTP 設定パネルが開きます。

TOTP 設定パネルは以下のような表示内容になっているでしょう。

事前の準備

TOTP を使ったログインを行うためには、各ユーザは自分の TOTP ジェネレータを保有する必要があります。TOTP ジェネレータは、スマートフォンのアプリとして入手することができます。手元のスマートフォンに TOTP ジェネレータ (Authenticator) をインストールしてください。

また、PC のデスクトップアプリとして利用可能な TOTP ジェネレータもあります。それらを PC にインストールし使用することもできます。

Google Authenticator
Microsoft Authenticator
IIJ SmartKey
Salesforce Authenticator
Authy

TOTP の設定を行なったあとは WebRelease にログインする時には常に TOTP ジェネレータが必要になります。TOTP ジェネレータの生成するワンタイムパスワードがないと WebRelease にログインできないためです。リモートワークなどで、いろいろな場所から WebRelease にログインする必要がある場合は TOTP ジェネレータを持ち歩く必要があるでしょう。そのような状況ではスマートフォンアプリを利用するのが便利でしょう。

① QR コードのスキャン

準備した TOTP ジェネレータを使って、画面に表示されている QR コードをスキャンしてください。スマートフォンにインストールして使用する TOTP ジェネレータの多くは QR コードをスキャンする機能が備わっています。

TOTP ジェネレータとしてデスクトップアプリを使用する場合、カメラでの QR コードのスキャンができない場合があります。その場合は、QR コードの下に表示されている文字列（② の部分に表示されている設定コード）を TOTP ジェネレータに入力してください。

ここに表示されている QR コードと設定コードは、ここ以外で二度と表示されることはありません。TOTP が設定されている状況で、その設定の元となった QR コード、設定コード、を後から調べることはできません。もし複数の TOTP ジェネレータを設定したい場合には、この画面に表示されている QR コードを複数の TOTP ジェネレータでスキャンしてください。それらの TOTP ジェネレータは同じタイミングで同じワンタイムパスワードを表示するように設定されます。

③ 認証コードの入力

QR コードをスキャンすると、または、設定コードを入力すると、TOTP ジェネレータは直ぐに動作を開始します。そして、画面に 6 桁の数字のワンタイムパスワードが表示されます。

WebRelease 側の設定と TOTP ジェネレータの設定が正しく同期しているかどうかを確認するために、表示されている 6 桁のコードを ③ のフィールドに入力してください。コードは 30 秒ごとに切り替わりますので、必ずその時に表示されているコードを入力してください。

④ 設定の完了

6 桁のコードを入力したら、画面右上の「設定」ボタンをクリックしてください。TOTP 設定が完了します。

エラーが表示されて設定ができない場合は、再度 6 桁のコードを入力し直してから「設定」ボタンをクリックしなおしてみてください。または、一旦キャンセルし、QR コードのスキャンからやり直してみてください。

TOTP 設定が完了すると、ユーザプロファイル編集画面に、TOTP 設定が完了していることを示す表示が現れます。

TOTP 設定の解除

TOTP の設定は解除することができます。ユーザプロファイル編集画面の右上にある「TOTP 解除」ボタンをクリックすると TOTP 設定を解除することができます。

TOTP 設定を解除すると、ログイン時にワンタイムパスワードを提示することなくログインできるようになります。設定を解除した状態でもログインパネルには TOTP の入力フィールドが表示されますが、設定を行なっていないユーザは TOTP 入力フィールドを空欄のままでログインすることができます。

TOTP ジェネレータを失うなどして WebRelease にログインできなくなった場合、システム管理ユーザに依頼してあなたの TOTP 設定を解除してもらってください。システム管理ユーザは、任意のユーザの TOTP 設定を解除することができます。

TOTP の再設定

TOTP が設定されている状態で、さらに「TOTP 設定」ボタンをクリックすることで、TOTP の設定をやり直すことができます。再設定については、少し注意が必要です。

WebRelease があるユーザに対して保持する TOTP 設定は同時に 1 つだけです。既に TOTP 設定がなされている状況で、再度 TOTP の設定を行うと、以前の設定は無効になります。以前設定した TOTP ジェネレータの生成するワンタイムパスワードでは WebRelease にはログインできなくなります。

逆に言えば、TOTP ジェネレータを紛失するなどしてしまった場合には、WebRelease 側で TOTP を再設定すれば紛失したデバイスを無効化することができます。

TOTP を使用したログイン

まず、ID とパスワードを入力します。

TOTP を設定しているユーザの場合 ID とパスワードの入力の次に TOTP 入力画面が表示されます。ここに、TOTP ジェネレータに表示されている 6 桁の数字を入力して「認証」ボタンをクリックしてログインします。