VMware SD-WAN Orchestratorにログインするときに２要素認証を利用してみた

はじめに

今年も残りわずかとなりました。

日々忙しい日々を過ごされている方も多いかと思います。

長期休暇明けに気をつけたいのがセキュリティ、、ということで（？）

今回はVMware SD-WAN Orchestratorにログインするときに利用できる２要素認証についてご紹介したいと思います。

多要素認証について

最近では、SaaSにログインする時に多要素認証を利用することが多くなりました。VMware SD-WANでもSaaSと同じようにユーザーがOrchestratorにログインするときに２要素認証を利用できます。VMware SD-WANの2要素認証では「SMS」を利用します。

VMware SD-WANのログインに利用する認証モードは、Orchestratorに設定したユーザー名、パスワードを利用する「ネイティブ(NATIVE)」と認証IDプロバイダーと連携する「SSO」の２つのモードが存在します。本ブログでは、Orchestratorにログインする認証モードは「ネイティブ (NATIVE)」の利用を前提としています。

２要素認証の設定

２要素認証の利用には、以下のステップが必要です。

　１. ユーザーアカウントに携帯電話番号を設定

　２. 販売代理店またはVMware サポートに２要素認証機能の有効化を依頼

　３. 販売代理店またはVMware サポートがカスタマーテナントの機能を有効化

　４. ユーザーアカウントで２要素認証が有効化されたことを確認

カスタマーテナントで２要素認証が有効化されているかについては、以下より確認できます。

・Orchestratorの左メニュー「管理」→「システム設定」をクリック

・「全般情報」の「２要素認証の有効化」のチェックボックスを確認

例：２要素認証が有効になっている場合

VMware SD-WANのカスタマー権限（いわゆる利用者）では、上記キャプチャ「２要素認証の有効化」の有効/無効チェックボックスは操作できません。事前にユーザーアカウントにSMSを受信する携帯電話番号を設定してからパートナー権限を持つ販売代理店またはVMware サポートにSRをあげてカスタマーテナントの2要素認証を有効化してもらう必要があります。全てのユーザーで２要素認証の利用を必須にしたい場合は、「２要素認証が必要」も一緒に有効にしてもらいます。「2要素認証が必要」を有効にする場合は、カスタマーテナントに登録されているすべてのユーザーで携帯電話番号の登録が必要です。「２要素認証が必要」が無効な場合は、携帯電話番号が登録されたユーザーのみ２要素認証が利用できるようになります。

ユーザーアカウントには以下のように携帯電話番号を設定します。

・プルダウンより国番号を選択

・SMSを受信する携帯電話番号を090-1234-5678のような形式で記載

・右上の「変更の保存」ボタンをクリックして設定を反映

販売代理店またはVMwareサポートが２要素認証を有効化すると携帯電話番号が登録されているユーザーは２要素認証が利用できるようになります。2要素認証が有効化されると、Orchestratorにログイン時にログインID、パスワードを入力した後、下記のように2要素認証のパスワード入力画面が表示されるようになります。

なお、SMSはUS(+1）から発呼されます。（2022年12月時点）

「２要素認証の有効化」が有効、「２要素認証が必要」が無効な場合は、カスタマーテナントのすべてのユーザーに携帯電話番号を登録しなくてもカスタマーテナントで「２要素認証を有効化」することはできます。

ただし、「２要素認証の有効化」がオンになるとカスタマーテナントに登録されたすべてのユーザーの２要素認証は「有効」になります。そのため、２要素認証が有効化された後でユーザーの携帯電話番号を登録すると自動的に次回ログインより２要素認証が有効になります。この環境において、新規ユーザーを作成する場合は、携帯電話番号の登録が必須となります。

この環境ではカスタマー管理者が個別のユーザーごとに２要素認証利用のオン/オフを設定することもできます。その場合は、Orchestratorの管理者ページから２要素認証を利用するユーザーの設定画面を開きユーザーの携帯電話欄の下にある「２要素が有効」チェックボックスを有効/無効にして設定を保存します。

※ログインで使用しているアカウントの「2要素が有効」チェックボックスは操作できません

例：ログインしているユーザー以外のアカウントで２要素認証が有効になっている場合