Unattended ロボットで EntraID ユーザーと多要素認証 (MFA) を使用する

多要素認証が有効化されている EntraID ユーザーに対して、スマート カードまたは FIDO2 の資格情報を使用して認証するよう Unattended ロボットを設定します。

多要素認証 (MFA) では、ユーザーに以下のような 2 つ以上の要素を使用して ID を検証するよう要求することで、さらにセキュリティのレイヤーが追加されます。

• ユーザーの知識情報: パスワード
• ユーザーの所持情報: モバイル デバイスまたはスマート カード
• ユーザーの生体情報: 指紋または顔のスキャン

MFA を使用することで、ユーザーが侵害されても不正アクセスから保護できます。ただし、無人オートメーションの設定時には複雑さが増加します。

パスワードは 1 つの認証要素としてカウントされます。MFA には 2 つ以上の要素が必要であるため、ロボットはパスワード資格情報だけを使用してユーザー セッションを作成することはできません。

To enable MFA users to authenticate, set the Credential type of the robot account in Orchestrator to Smart Card and enter the PIN in the Password field. This applies to both Windows Hello for Business PINs and virtual smart card PINs.

重要:

スマート カード認証では、[コンソールへログイン] を [はい] に設定する必要があります。これは RDP セッションでは機能しません。つまり、高密度ロボット環境には対応しません。詳細については、「スマート カード認証」をご覧ください。

PIN を使用したWindows Hello for Businessの使用

ロボットは、Windows Hello for Business (WHfB) PIN を使用してユーザーを認証できます。

組織で Windows Hello for Business を有効にするには、 公式ドキュメントをご覧ください。

PIN は Windows の設定で設定できます。PIN を設定する前に、MFA を使用して認証する必要があります。

重要:

WHfB PIN は、コンソール セッションでのみ設定できます。リモート セッション (RDP) は登録ではサポートされていません。

Entra 証明書ベースの認証を使用する

手順 1: 仮想スマート カードを作成する

仮想スマート カードは、複数のマシンに簡単に展開および管理できます。

ロボットが実行されるすべての仮想マシン (VM) 上に仮想スマート カードを作成する必要があります。この作業を、オートメーションを実行する Entra ID ユーザーごとに行います。

仮想スマート カードは物理スマート カードと同じように機能しますが、物理コンテナーを使用する代わりに、マシンのトラステッド プラットフォーム モジュール (TPM) チップを利用して暗号化キーを安全に格納します。

手順 2: Entra の証明書ベースの認証を構成する

仮想スマート カードを作成したら、Entra の証明書ベースの認証を構成して、Entra ID ユーザーが証明書を使用して認証できるようにします。

MFA の要件を満たすために、認証に使用する証明書を多要素として設定する必要があります。