11章 システムの運用管理

8. TOTP 認証の有効化

TOTP 認証の有効化

TOTP とは Time-based One Time Password のことで、時刻をベースにしたワンタイムパスワードによる認証を指しています。TOTP 認証では、ユーザはログイン時に、アカウントとパスワード以外に、ワンタイムパスワードを提示してログインするようになります。

WebRelease が採用している TOTP は RFC 6238 に準拠しています。Google をはじめとする多くのシステムやサービスがこの方式の TOTP を採用しています。

システム管理ユーザは、システムとして TOTP 認証を使用するかどうかを設定することができます。TOTP によるアカウント保護（不正アクセス防止）は強力です。なるべく TOTP を利用することをお勧めします。

設定は「システム管理」画面の「設定」タブで行ないます。

「TOTP 認証機能は使わない」を設定すると、TOTP に関する全機能が停止します。ユーザはログイン時に TOTP を使うことができなくなり、また、ユーザは、個別の TOTP 設定を行うこともできなくなります。この設定では WebRelease には TOTP 認証の機能がないかのようなシステムの振る舞いになります。

「TOTP 認証機能を使う」を設定すると TOTP 認証機能が有効化されます。ログインパネルには ID とパスワードの他に TOTP を入力する欄が表示されるようになります。また、各ユーザは、各自の TOTP 設定を行うことができるようになります。

TOTP 認証機能は、ここで「TOTP 認証機能を使う」の設定を行なった上で、各ユーザが個別に自分の TOTP 設定を行なった場合に、そのユーザに対して有効化されます。設定を行なったユーザは、ログイン時には ID とパスワードの他に 30 秒ごとに切り替わるワンタイムパスワード（6 桁の数字) を提示してログインすることになります。このコードを生成するために、TOTP を利用するユーザはスマートフォンアプリの GoogleAuthenticator などのパスワードジェネレータを持っている必要があります。

システムレベルで TOTP を有効化していても TOTP 設定を行なっていないユーザは ID とパスワードだけで認証されログインできます。

デフォルトでは、この設定は「TOTP 認証機能は使わない」になっています。有効化するためには設定を変更する必要があります。