多要素認証を必須化できるようになりました！ほか

ベースマキナの更新情報をお届けします。今回は、企業アカウントのセキュリティを強化する多要素認証（MFA）の必須化を中心に、ロール管理・データソース接続・ビューの改善をお届けします。

多要素認証（MFA）

多要素認証（MFA）を必須にすると、企業アカウントのすべてのユーザーに対して、ログイン時に認証アプリのワンタイムコード（TOTP）の入力を求められるようにできます。パスワードやGoogleログインなどの認証に加えてワンタイムコードによる確認を挟むことで、認証情報が漏えいした場合でも不正なログインを防ぎやすくなります。

ワンタイムコードの生成にはGoogle Authenticatorなどの認証アプリ（TOTPに対応したもの）を利用します。

多要素認証を必須にする

企業アカウント設定のユーザー管理画面の「ユーザー認証のオプション」にある「多要素認証を必須にする」をオンにします。

オンにすると、企業アカウントのすべてのユーザーは次回ログイン時に認証アプリの登録とワンタイムコードの入力を求められます。

操作した管理者自身が認証アプリを未登録の場合は、登録を案内する画面が表示されます。一度ログアウトして再度ログインすると、認証アプリの登録に進めます。

ユーザーの認証アプリの登録

多要素認証が必須の企業アカウントでは、認証アプリを未登録のユーザーはログイン後に登録画面が表示されます。

認証アプリ（Google Authenticator等）で画面に表示されたQRコードを読み取ります。QRコードを読み取れない場合は、画面に表示されたキーを認証アプリに手動で入力します。
認証アプリに表示された6桁のワンタイムコードを入力して、設定を完了します。

なお、ワンタイムコードは表示されてから5分以内に入力してください。時間を過ぎた場合は、ログインからやり直してください。

ログイン時の認証

認証アプリの登録が済んだユーザーは、以降のログインでパスワードやGoogleログインなどによる認証のあとに、認証アプリに表示されている6桁のワンタイムコードの入力を求められます。コードの確認が完了してはじめてログインが完了します。

ユーザーの登録状態の確認とリセット

多要素認証が必須の企業アカウントでは、ユーザー管理画面のユーザー一覧に「多要素認証」の列が表示され、各ユーザーが認証アプリを登録済みか（登録済み / 未登録）を確認できます。

認証アプリを登録済みのユーザーは、ユーザー行のメニューから「多要素認証をリセット」を実行できます。リセットすると、対象のユーザーは次回ログイン時に認証アプリの再登録が必要になります。端末の紛失や機種変更などで認証アプリが使えなくなったユーザーの登録をやり直す際に利用します。

多要素認証の必須化を解除する

「多要素認証を必須にする」をオフにするには、操作する管理者自身の認証アプリに表示されている6桁のワンタイムコードの入力が必要です。スイッチをオフにすると確認画面が表示されるので、ワンタイムコードを入力して解除します。

なお、多要素認証の必須化や、ユーザーの登録状態の確認・リセットは、企業アカウント管理者のみが行なえます。

詳細はドキュメントの「多要素認証（MFA）」をご参照ください。

インフラ管理者ロールの追加

プロジェクト管理者ロールに、新しく「インフラ管理者」を追加しました。データソース管理・ネットワーク設定・シークレット設定といったインフラ寄りの設定だけを担当できるロールで、アクション管理やビュー管理などの開発系の権限は持ちません。インフラ運用の担当者に必要最小限の権限を渡したい場合にご活用いただけます。

あわせて、これまで1つにまとまっていた「変数・シークレット設定」の権限を「変数設定」と「シークレット設定」に分割しました。シークレット設定はインフラ管理者・開発責任者が、変数設定は開発責任者・開発者が行えるよう、より細かい権限管理ができるようになっています。

詳細はドキュメントの「ユーザーの権限」をご参照ください。

Amazon S3のデータソースをOIDCで接続できるようになりました

Amazon S3のデータソースを、OpenID Connect（OIDC）で接続できるようになりました。OIDCを使用すると、アクセスキーをベースマキナに渡すことなく、IAMロールの権限でAmazon S3を操作できます。ベースマキナが発行するID Tokenを使ってsts:AssumeRoleWithWebIdentityを実行し、一時的な認証情報を取得します。

OIDCを利用する場合は、IAMユーザーの作成およびアクセスキーの登録は不要です（認証方式はいずれか一方を選択します）。長期的に有効なアクセスキーを保持・共有する必要がなくなり、より安全にデータソースを運用できます。

ドキュメントに掲載しているTerraformコードで、OIDCプロバイダー・IAMロール・バケットの権限をまとめて作成できます。セットアップ完了後、データソースの接続設定で認証方式として「OIDC」を選択し、「Audience」と「IAM ロール ARN」を入力すれば接続が完了します。

詳細はドキュメントの「Amazon S3との連携」の「OIDC で接続する」をご参照ください。

軽微な変更点

ビューのコードエディター（@basemachina/view）の Input / Textarea / DatePicker / DateTimePicker コンポーネントで、required を指定したときにラベルへ赤い * を表示するようにしました。入力前にどのフィールドが必須かが分かりやすくなり、アクション実行画面など他の画面の必須マーク表示と挙動が揃いました。