フィッシングや不正なログインに備える！My RedmineのSAML認証活用ガイド

My Redmineへの不正ログインを防ぐために、二要素認証を利用している方も多いのではないでしょうか。さらに対策を強化したいときに役立つのが、会社の認証サービスと連携する「SAML認証」です。
（My RedmineのエンタープライズプランでSAML認証機能をご利用になれます）

SAML認証は、複数のサービスに同じアカウントでログインするためだけの機能ではありません。会社で利用している認証サービスの機能を活かして、My Redmineへのログインをより安全にする使い方を紹介します。

二要素認証だけでは防げないリスクとIdPの活用

Redmine標準の二要素認証では、パスワードに加え、認証アプリに表示されるワンタイムパスワードで認証します（TOTP方式）。パスワードが漏洩した場合でも、第三者による不正ログインを防止するセキュリティ対策です。設定方法は二要素認証のガイドで確認できます。

一方、フィッシングサイトなどにパスワードとワンタイムパスワードを入力してしまうと、攻撃者が本人になりすましてログインできる可能性があります。こうしたフィッシングは二要素認証だけでは防げません。

また、二要素認証だけでは、使っているパソコンの安全性や、ログインの不審さまでは判断できません。これらを補う方法が、IdP（認証サービス）とのSAML連携です。

My Redmineは、SAMLに対応したIdPと連携してログインできます。代表的なIdPには、Microsoft Entra IDやGoogle Workspaceなどがあります。（My RedmineのSAML認証機能）

高度な認証やアクセス制御を担うのは、IdPや連携するセキュリティ製品です。SAML連携に加え、IdP側でMy Redmineへのログインに適用する対策を設定して利用します。

パスキーでフィッシングによる認証情報の盗難を防ぐ

フィッシングサイトへの対策として有効なのが、パスキーです。利用者は指紋・顔認証や端末のPINなどでパスキーの利用を承認し、本人確認を行います。FIDO2セキュリティキーを使う方法もあります。

パスキーは、登録先のサイトに対応した認証にだけ使えます。 ブラウザが認証先を確認するため、見た目が本物そっくりでも、登録先と無関係なドメインの偽サイトでは、そのパスキーを使えません。

パスキーは、Microsoft Entra IDやGoogle Workspaceなどで利用できます。

端末やネットワークの条件に応じてアクセスを制限する

会社の方針などにより、ログイン元の環境を制限したい場合があります。たとえば次のような条件が考えられます。

• 会社が管理するパソコンからのログインだけを許可する。 私物のパソコンからの利用を制限します。
• セキュリティ基準を満たすパソコンからのログインだけを許可する。 OSの更新や、データの暗号化などを条件にします。
• 許可したネットワークからのログインだけを利用する。 接続元のIPアドレスなどを条件にします。

Microsoft Entra IDの「条件付きアクセス」とIntuneなどの端末管理を組み合わせると、端末の状態や接続元を条件にできます。

Google Workspaceの「コンテキストアウェア アクセス」でも、端末の状態やIPアドレスなどを条件にできます。

会社のパソコンでも更新が不足していればログインを制限する、といった使い方ができます。

不審な振る舞いを検知してアクセスを制限する

あらかじめ決めた利用環境の条件に加え、ログインなどに不審な兆候が見つかったときに対応する仕組みもあります。たとえば、次のような場面です。

• ケースA：いつもと違うログイン。 普段と異なる接続元や利用状況などから、不正なログインが疑われる。
• ケースB：トークンの盗用が疑われる。 ログイン状態を示す情報（トークンなど）に、IdPが把握できる不正利用の兆候が見つかる。
• ケースC：パソコンでウイルス感染を検知。 端末のセキュリティ製品が脅威を検知し、その危険度をログインの制限に利用する。

Microsoft Entra IDでは、ログインやトークンの不審な兆候を検知し、リスクに応じた制御ができます。また、Defender for Endpoint・Intuneとの連携により、端末で検知した脅威の危険度に応じてアクセスを制限できます。

Google Workspaceには、Googleアカウントへの不審なログインを検知した場合に追加の本人確認を求め、確認できなければログインを許可しない仕組みがあります。

My RedmineでSAML認証を安全に利用するには

My RedmineでSAML認証を利用するには、エンタープライズプラン（Gen.2）が必要です。また、IdP側でも対応する機能・ライセンスや設定が必要になることがあります。

対象ユーザーのSAML認証を必須にする

SAML連携を設定しても、My Redmineのパスワードで直接ログインできる場合は、IdP側の対策を経由しない入口が残ります。SAMLでログインできることを確認したうえで、対象ユーザーの「SAML認証を強制（パスワード認証無効）」を有効にし、IdP経由のログインを必須にしましょう。設定はSAML認証と二要素認証を併用する設定方法で紹介しています。

ログイン状態の有効期間に上限を設ける

My Redmineのログイン状態（セッション）は、IdP側のログイン状態とは別に維持されます。ログイン状態が続く間はIdP側でアクセス条件を再確認する機会が得られないため、セッションの 「有効期間の最大値」を社内の方針や業務に応じた期間に設定することを推奨します。 （Redmineのセッション設定）

再ログインが発生することで、IdP側でその時点のアクセス条件を再確認することとなり、セキュリティを向上させることができます。

詳しい連携方法は、SAML認証機能のご利用方法をご覧ください。会社のIdPを活かしたセキュリティ強化を、My Redmineでも検討してみませんか。

エンタープライズプランを無料で試す