多要素認証のサービスの多くは、インターネット接続が前提です。しかし現場には、ネットワークに繋がっていないPCが少なからず残っています。
この記事では、こうした環境でOSログインの認証を強化するとき、どの方式なら成立し得るのかと、導入前に確認すべき前提条件を整理します。
クラウド前提の認証が使えない環境は実際にある
まず、どんな端末が対象になるかを整理します。
- 工場の制御系端末 — 外部接続を意図的に遮断している
- 閉域網の業務端末 — 社内ネットワークのみで、インターネットへは出られない
- スタンドアロンPC — 特定の用途のために単独で設置されている
- 災害時・障害時 — 回線やクラウド側の障害で一時的にネットワークが使えない
最後の項目は見落とされがちです。普段はオンラインの端末でも、回線が落ちたときにログインできなければ業務が止まります。基本の考え方は多要素認証の基本にまとめています。
外部と繋がっていないから安全とは言い切れない
「繋がっていないから後回し」でよいのかを確かめます。
侵入経路は、外部からの直接アクセスだけではありません。
- 作業者が持ち込んだノートPCやUSBメモリ
- 保守作業のための一時的な外部接続
- 社内ネットワーク側で侵害された端末を経由した到達
ポイント
特権的な権限を持つ端末は、サーバーの特権アカウント管理の観点も併せて確認してください。
オフラインでも成立する認証方式の考え方
判断の軸は1つです。
認証の照合が、通信を伴わずPC本体側で完結するかどうか。認証のたびに外部サーバーへ問い合わせる設計なら、ネットワークがない環境では動きません。PC側の登録情報と照合して完結する方式なら、ネットワークの有無に依存しない構成になり得ます。
使えるデバイスはハードウェアセキュリティキーの解説、スマホを持ち込めない現場の選択肢はスマートフォンなしで多要素認証を行う方法で扱っています。
オフラインでは成立しにくい方式
検討の初めに除外しておくと、検証の手戻りが減ります。
| 方式 | 成立しにくい理由 |
|---|---|
| 認証のたびに外部サーバーへ問い合わせる | 認証基盤に到達できなければ照合できない |
| メール・SMSでコードを受け取る | 受信そのものに通信が必要 |
| 時刻の同期を外部に依存する | 端末の時刻がずれると照合が失敗する可能性がある（ワンタイムパスワード） |
導入前に確認すべき前提条件
成否を分けるのは、方式そのものより運用が回るかどうかです。製品比較の前に次の5点を確かめます。
- 認証がPC単体で完結するか — 通信が要るのはログイン時か、初回設定時だけか
- 登録と解除をどこで行うか — 端末の手元でできるか、管理サーバー側だけか
- ネットワーク断のときに管理操作ができるか — 障害中にデバイスを紛失した人が出た場合
- 保守ベンダーのアクセス手順 — 誰のアカウントで、どう認証するか
- 復旧手段 — 故障・紛失時に業務を止めずに戻せる代わりの手段があるか
端末がドメインに参加しているかどうかでも前提が変わります（ローカルアカウント・ドメイン・Entra IDの違い）。
ネットワーク断でも業務を止めないための備え
最後に、障害時にログインできなくなる設計になっていないかを確かめます。
認証の強化は業務を守るためのものです。それが原因で復旧作業に着手できない、という事態は避けなければなりません。
決めておくこと
Windows環境全体での導入手順はWindows OSログインの2要素認証で解説しています。
普段の管理が楽になると何が変わるか
閉域網の端末がある会社でも、事務所のPCやサーバーの多くはインターネットにつながっています。そちらの管理に手がかからなくなれば、担当者は閉域網の端末に時間を回せます。インターネットにつながっているPC・サーバーなら、台数・OS・空き容量・利用者を1画面で見られ、1台ずつ見て回らずに棚卸しが済みます。7日以上連絡のないPCも一覧で出るので、「いつの間にかネットから外れていた端末」にも気づけます（アプリップリキー。インターネットにつながっていないPCは対象外です）。
なお、アプリップリキーのログインそのもの（2要素認証）は、通信環境がない場所でも6桁の数字で認証できます。インターネットにつながっていないPCが対象外になるのは、全PC・サーバーを1か所で管理する機能のほうです。
いまの運用を棚卸ししてみる
閉域網やオフラインの端末がどれだけあり、どう認証されているかは、社内でも把握が分かれやすい領域です。
applippliの無料棚卸しでは、10問・約3分で、認証・アカウント管理の状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。