社外からの社内システムへのアクセス（2段階認証化）について

Question

社外からの社内システムへのアクセス（2段階認証化）について

現在、AWS上で運用している社内のWEBシステムは社内アクセスのみを許可しており、
Active Directory認証でログイン管理を行っております。

テレワーク対応で社外アクセスを可能としたいのですが、セキュリティを高める為、
社外からアクセスした場合のみActive Directory認証＋SMSの2段階認証にする方法を
ご存知でしたらご教授願います。

弊社環境
・AWS上の社内システム

Comments

[yu_1985]

システムがどのようなものかがわからないのと、どのようにアクセスさせたいのかがわからないのでこれだけでは何とも言えません。
その社内システム自体へのアクセスということなら社内システムの認証の仕様によります。（文面を見る限りAWSアカウントへのアクセスではない想定です）
どのようなアクセスを想定していますか？可能な範囲でもう少し詳細を記載したほうが良いかと。

[komatta00]

AWS上のEC2でWEBシステムを運用しています。ユーザ認証はActive Directoryで行っています。
外部アクセスの場合、現在の認証＋SMSの認証を追加したいと考えております。
どのような方法をとれば実現できるのかご存知でしたらご教授願います。

[yu_1985]

Active Directoryは社内のネットワーク内にあるんでしょうか？
そしてActive Directory自体にはどのようにアクセスさせる想定ですか？
認証情報にアクセスできなかったらそもそもActive Directoryどころではありませんが…。

[komatta00]

Active Directoryは社内システムと同様にAWS上に在りますので認証情報にアクセス可能です。

Answer 1

ざっと調べましたが、Active Directoryそのものにそういった機能がどうやらなさそう（※）なので、何らかのツールを使って同様の機能を追加するか、そのWEBシステム側でActive Directoryの認証を行ったユーザが社内以外のIPからの接続の際にMFA認証を行うような処理を挟むか、になりそうな気がします。
※Azure ADの情報が大量に出てくるのですが、これは別物と考えたほうがいいです。

ただ、後者を行うとすると仮に第三者からのアクセスだったとしても、そのことを確認する前にActive Directoryの認証情報自体は渡ってしまうのではないかと思っています。
Active Directoryの認証情報を仮に窃取されるとWEBシステム以外のActive Directoryで認証しているシステムに対する認証にも使えてしまう情報が外部流出してしまう恐れがあるのでさすがにそこを十分検証せずに行うことはおすすめしません。

現実的にはそれよりもVPNを導入したほうがよいと思うのですが、こちらはこちらで性能や費用等別途検討が必要でしょう。

Comments

[komatta00]

調べて頂きありがとうございます。
やはり情報流出などセキュリティに問題が大きいので外部アクセスは止めてVPNやWorkSpacesなどの利用を検討します。