リモートワーク促進の足掛かりに

リモートワークの需要が高まっている今日。
AWS WorkSpacesを条件付きで最大50人のユーザーが無料で利用できるようになりました。WorkSpaceを使えば、場所を選ばずにログイン可能な仮想環境を提供することができます。

デフォルトではIDとパスワードでの認証となっていますが、ログインに多要素認証をプラスすることでよりセキュアに利用することが出来ます。

概要

WorkSpacesを利用開始して、Radiusサーバを用意し、Miceosoft ADとAD connectorを利用して
ログイン時にGoogle Authentication (OTP) で認証できるように設定していきます。
設定後はログイン画面にMFA codeが表示されます。

参考にしたサイト

• AWS WorkspacesでGoogle Authenticationを使う
  https://qiita.com/HishiM/items/f82da6b5fa95e9543bf1
• RADIUSサーバーを構築して、WorkSpacesを多要素認証で運用する
  http://blog.serverworks.co.jp/tech/2020/01/21/workspaces-use-radius-mfa/

構築手順

• Workspacesを構築する
  • ここから作成できます。
    https://console.aws.amazon.com/workspaces
  • デフォルトで作成するとsimple ADが選択されるので、AD connectorと連携可能なMicrosoft ADを選択してください。
  • Microsoft ADは２つ以上のサブネットに跨って作成されるので、使えるサブネットを２つ以上用意してください。
  • Microsoft AD、AD connectorと同じVPCで作成してください。
• RADIUSサーバーを構築する
  • EC2でAmazon Linux 2インスタンスを作成します。workspaces数台程度の環境でしたらt2.microで問題なく稼働します。
  • RADIUSサーバに必要なパッケージをインストールします。
    

$ sudo yum install freeradius freeradius-utils git gcc pam-devel qrencode qrencode-libs qrencode-devel autoconf automake libtool

• gitからgoogle-authenticatorをクローンします。 ./bootstrap.sh以下のコマンドでgoogle-authenticatorのコンパイル、インストールを行います。

$ git clone https://github.com/google/google-authenticator-libpam.git
$ cd /home/ec2-user/google-authenticator-libpam/
$ ./bootstrap.sh
$ ./configure
$ make
$ sudo make install

• RADIUSを有効にするユーザ用のグループを作成します。

$ sudo groupadd radius-enabled

• 各種設定ファイルを修正します。
  /etc/raddb/radiusd.confと/etc/raddb/usersと/etc/raddb/sites-available/defaultです。
  今回のRADIUSサーバではLinuxのPAM (Pluggable Authentication Modules) を利用し、workspacesからのRADIUSサーバに対するワンタイムパスワードはPAM側の仕組みで Google AuthenticatorのPAMモジュールに連携し、認証します。

# /etc/raddb/radiusd.confのradiusdをrootに変更
user = root
group = root

# /etc/raddb/usersファイル内に追加
DEFAULT    Group != "radius-enabled", Auth-Type := Reject
           Reply-Message = "Your account has been disabled."
DEFAULT    Auth-Type := PAM

# /etc/raddb/sites-available/default
~省略~
#  Pluggable Authentication Modules.
pam　← コメントを外す

• PAM側の設定ファイル/etc/pam.d/radiusdを以下の通りに修正し、GoogleAuthenticatorのPAMモジュールに連携させます。

#%PAM-1.0
#auth       include     password-auth
#account    required    pam_nologin.so
#account    include     password-auth
#password   include     password-auth
#session    include     password-auth
auth requisite pam_google_authenticator.so
account required pam_permit.so
session required pam_permit.so

• RADIUSサーバのクライアント設定として/etc/raddb/clients.confに対して、workspacesやMicrosoft ADが所属するVPCからのアクセスを許可します。

client from-vpc {
    ipaddr     = 172.16.0.0
    netmask    = 16
    secret     = 複雑なパスワードを作成して記述します。後ほどAD connecto側に登録します。
    shortname  = workspaces-vpc

• PAMモジュールのリンクを登録します。

$ sudo ln -s /etc/raddb/mods-available/pam /etc/raddb/mods-enabled/pam
$ sudo cp /usr/local/lib/security/pam_google_authenticator.so /usr/lib64/security

• RADIUSを起動します。

$ systemctl enable radiusd
$ sudo systemctl start radiusd

• WorkSpacesに実際にログインするユーザを追加します。

$ useradd -g radius-enabled workspaces-user
$ sudo -u user001 /usr/local/bin/google-authenticator

追加すると、認証に関して対話型で設定をするので、内容を確認して問題なければyを指定してください。

QRコードが表示されるので、ユーザのスマホでGoogle Authenticatorをインストールし、画面をスキャンして登録して下さい。

• AD connectorを構築する
  WorkSpacesのMiceosoft ADと連携する形で構築します。ドメイン名はMiceosoft ADと同じものを指定し、DNSアドレスはMiceosoft ADのプライベートIPアドレスを指定します。

設定時に[Multi-Factor Authentication]の項目を以下のように設定します。

• RADIUSとAD connectorを接続する [RADISU Status] が [Complete] になっている事を確認します。
  この状態になるとログイン画面にMFA codeが表示されます。

導入時

Workspacesは作成時にユーザにログイン通知メールが配信されるので、
事前にユーザに対してスマホに対するGoogle Authenticationのインストールとログイン方法の説明を忘れないようにしましょう。