Okta_LT_20260909_simpleform

OKT A C OM M UNITY DAY / ユーザー企業LT Okta Desktop MFA で 「PCを紛失しても大丈夫」 な状態を作った話 紛失・盗難というインシデントを「精神論」ではなく「仕組み」で無力化するまでの設計と 、Windows / Mac 運用の泥臭い話 SimpleForm株式会社 コーポレートエンジニア 宇野 元記事：Zenn「Okta Desktop MFA で『PCを紛失しても大丈夫』な状態を作った話」

はじめに PCの紛失・盗難は、最も身近なセキュリティ事故 企業の情報セキュリティ事故の中でも、最も日常に潜んでいるのが「PCの紛失・盗難」です。 カフェでの置き忘れ 公共交通機関での紛失（バス・電 車・新幹線） 出張先での盗難 しかし本質的なリスクは、「PCを失うこと」そのものではありません。 本当に怖いのは「第三者にPCへログインされてしまうこと」——次のスライドで言い換えます。 Okta Community Day 2

PCにログインできなければ、 ただの板（アルミの塊）と 同じではないか？ 本質的なリスクは「PCを失うこと」ではなく、 「第三者にログインされてしまうこと」にある。 Okta Community Day 3

結論から 「失くしても大丈夫」の説得力は、 仮想環境を作るより安い 仮想環境（VDI）を構築しなくても、 「PC単体では絶対にログインできない」 状態は作れる。 ※ 求められるセキュリティレベルによりますが、費用対効果の面では非常に有効な選択肢でした。 Okta Community Day 4

アプローチ比較 「UXを損なわない」を前提に3案を比較 ① VDI（仮想デスクトップ） ② 秘密分散セキュアFAT ③ Okta Desktop MFA メリット データを端末に持たせない スマホが近くにないと データが復元されない 費用対効果・運用容易性・ 堅牢性のバランスが高い 課題 インフラ・運用コストが 膨大／UX低下 Windowsのみ対応 （Macに非対応） Macのスリープ復帰対応が 別途必要（後述） 判定 費用対効果が見合わず断念 マルチOS要件のため断念 ★ 採用 Okta Community Day 6

セキュリティモデル 目指したのは「3要素認証」 PCログインに、以下の3つがすべて揃わなければならない状態を定義しました。 ログイン許可 PC本体 スマートフォン 生体認証 所有 所有（Okta Verify） 継承（指紋 / FaceID） この3つが揃わない限り、たとえPCとスマホが同時に盗まれても、生体認証（本人の身体）がなければログインできませ ん。 Okta Community Day 5

採用技術 Okta Desktop MFA のログインフロー PCログイン時に、Okta Verifyによるプッシュ通知の応答を必須にするソリューションです。 PCログイン試行 Okta Desktop MFA Verify Push 通知 スマホ側で生体認証 ログイン成功 費用対効果・運用容易性・堅牢性のバランスが非常に高く、導入を決定しました。 Okta Community Day 7

導入の壁 Mac特有の「画面ロック」問題 「スリープからの復帰（ロック解除）」では MFAが走らない Okta Desktop MFAが介入できるのは、あくまで「ログイン」のタイミングのみ。 このままでは、スリープ状態で盗まれた際にパスワードのみで突破されるリスクが残ります。 → 「MFAが走らないなら、走る場所（ログイン画面）まで戻せばいい」という力技で解決 Okta Community Day 8

解決策 強制ログアウト・スクリプトの運用 一定時間スリープしたら強制的にログアウトさせ、必ずMFAが要求される状態に戻します。 Macスリープ 一定時間経過 Macを開く 強制ログアウト実行 再ログイン画面 Desktop MFA要求 これにより「スリープ復帰時でも必ずMFAが要求される状態」を担保し、当初のセキュリティモデルを実現。 Okta Community Day 9

デプロイ体制 MDMを使ったマルチOS一括配布 Windows Mac Microsoft Intune Jamf Pro プラットフォームスクリプトでレジストリを操作 強制ログアウトの仕組みを .pkg 化し、postinstall + し、Okta以外の認証プロバイダーを無効化 LaunchDaemon で常駐配布 Okta Community Day 10

WINDOWS / INTUNE レジストリ操作で Okta認証を強制 $path = 'HKLM:¥SOFTWARE¥Policies¥Okta¥Okta Device Access' PIN・指紋・顔などのローカル認証手段を除 外し、必ずOktaを経由させる ## MFA登録までのログイン上限（猶予回数） New-ItemProperty -Name 'MaxLoginsWithoutEnrolledFactors' Value 30 ## 画面ロック解除時のMFA要求までの猶予（分数） New-ItemProperty -Name 'MFAGracePeriodInMinutes' -Value 30 ## 既存のCredential Providerの除外（Okta認証の強制） New-ItemProperty -Name 'CredProvidersToExclude' -Value @( 'PIN', 'Fingerprint', 'Face' ) -Force MaxLoginsWithoutEnrolledFactors で移行期 間の猶予回数を制御 MFAGracePeriodInMinutes でロック解除時の 再認証頻度を調整 ※ 実際の配布スクリプトは自己責任にてご利用ください Okta Community Day 11

MAC / JAMF PRO postinstall + LaunchDaemon で常駐監視 インストール時に監視スクリプトを配置し、LaunchDaemonでバックグラウンド常駐させます。 ① postinstall #!/bin/bash # 監視スクリプトに実行権限を付与 chmod +x /usr/local/bin/force_logout.sh # LaunchDaemonをロードして常駐開始 launchctl load -w /Library/.../forcelogout.plist ② LaunchDaemon（plist抜粋） <key>ProgramArguments</key> <array> <string>/usr/local/bin/force_logout.sh</string> </array> <key>StartInterval</key> <integer>300</integer> <!-- 5分ごとに実行 --> ポイント： ・LaunchDaemon の StartInterval（300秒）ごとに監視スクリプトを定期実行 ・Windowsのレジストリ制御に相当する仕組みを、Mac側では「.pkg配布」で再現 Okta Community Day 12

MAC / 実装 force_logout.sh：しきい値超で強制ログアウト # スリープを許容する秒数（10分） SLEEP_THRESHOLD=600 # 最後にスリープした時刻をログから取得 last_sleep_time=$(pmset -g log | grep "Entering Sleep" | tail 1) # 現在時刻との差分を計算し、しきい値を超えたら… if [ $sleep_duration -gt $SLEEP_THRESHOLD ]; then current_user=$(stat -f "%Su" /dev/console) # loginwindowを終了 → 強制的にログイン画面へ pkill -u "$current_user" loginwindow fi 運用上のクセ ログアウトが走る前にユーザーが素早くロ グインすると、デスクトップ表示後に画面 がブラックアウトしてログアウトされる— —UXとしては少し微妙。 ※ 当記事のスクリプト類はすべて自己責任にてご利用ください Okta Community Day 13

まとめ 「安心してPCを持ち歩ける」を仕組みで作る 管理者側 ユーザー側 「最悪、ログインできないから大丈夫」 ログイン時にスマホをポチッとするだけ という安心感 の最小限の手間 「セキュリティをガチガチにして利便性を下げる」のではなく、 仕組みで安全を担保して、安心してPCを持ち歩けるようにする。 Okta Community Day 14

会社紹介 全ての法人が、フェアにつながれる世界へ シンプルフォーム株式会社は、法人審査プロセスを デジタル化するSaaS「SimpleCheck」 を金融機関などに提供しています。 法人の実在性・事業内容を素早く確認できる仕組みを通じて、対面によらない取引でも安心できる社会をつくり、金融業界の審 査業務の「平準化」「高度化」「効率化」を進めています。 ミッション Okta Community Day 全ての法人がフェアにつながれる世界を目指して。 15

一緒に働きませんか 裁量を持って、情シスから会社を支える 今日紹介したOkta Desktop MFAの導入も、コーポレートエンジニアが構想・設計・実装・運用まで一気通貫で担った取り組み のひとつです。 裁量 スピード感 距離の近さ 課題設定から技術選定・意思決定まで、 任される範囲が広い 決めたことをすぐ形にできる、少人数だ からこそのスピード 経営・事業側との距離が近く、会社全体 を支える実感がある 採用情報 https://www.simpleform.co.jp/careers Okta Community Day 16

• https://www.simpleform.co.jp/careers

ご清聴ありがとうございました SimpleForm株式会社 コーポレートエンジニア 宇野 参考記事 公式：Okta Blog — Secure your devices with Okta's Desktop MFA https://www.okta.com/ja-jp/blog/product-innovation/secure-your-devices-with-oktas-desktop-mfa/ Intuneでの配布について https://blog.cloudnative.co.jp/21239/ Jamfでの配布について https://blog.magichat.jp/n/n3ba79e641ad2 元記事（Zenn）もあわせてご覧ください。ご意見・ご質問はお気軽にどうぞ。

• https://www.okta.com/ja-jp/blog/product-innovation/secure-your-devices-with-oktas-desktop-mfa/
• https://blog.cloudnative.co.jp/21239/
• https://blog.magichat.jp/n/n3ba79e641ad2