YubiKey（MFA）

YubiKeyは物理的な多要素認証デバイスとして使用されるセキュリティキーのブランドです。YubiKeyを使用するには、サインイン時にYubiKeyをコンピューターのUSBポートに挿入し、プロンプトが表示されたらYubiKeyのボタンをタップします。YubiKeyは、ユーザーが提示するYubiKeyのタイプに応じてワンタイムパスワード（OTP）の提供、または指紋（生体認証）の検証を行うことができます。

このトピックでは、OTPモードを使用してYubiKeyをセットアップおよび管理する手順について説明します。YubiKeyを生体認証検証として使用する方法については、 FIDO2（WebAuthn）を参照してください。

この多要素認証（MFA）要素を使用するときは、YubiKeyのメーカーであるYubicoのツールを使用して、インポートするYubiKeyのCSVファイルを生成します。次に、YubiKey要素をアクティブ化し、CSVファイルをインポートします。ユーザーは、Oktaへの次回のサインイン時にYubiKeyをアクティブ化します。

開始する前に

YubiKey要素を有効化するには、事前にYubiKey Personalization Toolを使ってYubiKeyを構成し、YubiKey OTP Secretsファイル（YubiKeyとも呼ばれます）を生成する必要があります。YubiKey OTP Secretsファイルは、OktaにアップロードしてYubiKeyをアクティブ化するためのCSVです。Okta Adaptive MFA用にYubiKeyをプログラミングするを参照してください。YubiKey OTP Secretsファイルを生成したら、それを安全な場所に保存します。

YubiKeyを構成し、YubiKey OTP SecretsファイルをOktaにアップロードしたら、YubiKeyをエンドユーザーに配布します。

YubiKey構成ファイルを作成する

YubiKey統合を多要素認証オプションとして有効化する前に、YubiKey Personalization Toolを使って生成したConfiguration Secretsファイルを入手してアップロードします。このファイル（YubiKeyまたはOktaシークレットファイルとも呼ばれます）の生成の詳細については、Okta Adaptive MFA用にYubiKeyをプログラミングするを参照してください。

Configuration Secretsファイルは、承認済みのYubiKeyをorgのエンドユーザーに提供するためのCSVです。Yubicoは求められた数だけ、エンドユーザーに配布できる「クリーン」ハードトークンを送付します。

Oktaアダプティブ多要素認証用にYubiKeyをプログラミングするに記載されている説明を注意深く読んで従ってください。これを完了したら、YubiKey認証の使用（Using Authentication）Okta に記載されているOktaプラットフォームにアップロードするのステップに従ってください。

Configuration Secretsファイルのトラブルシューティング

Configuration Secretsファイルの生成時またはYubiKeyの構成時に問題が発生しときは、次のタスクが完了していることを確認します。

• 構成スロット1を選択（Select Configuration Slot 1）します。デフォルトでは、各YubiKeyはYubiCloud向けに構成スロット1で構成されます。YubiKeyの使用をOkta以外のサービスで計画しているときは、Okta構成用にスロット2を使用できます。ただし、エラーが生じるときは、構成スロット1をOkta専用に使用するのがベストプラクティスです。

• 3つの生成（Generate）ボタンをすべてクリック（Click all three Generate buttons）します。必ず、3つすべての生成（Generate）ボタンをクリックしてください。

YubiKey要素をアクティブ化してYubiKeyを追加する

1. Admin Consoleでセキュリティ（Security） > 多要素 に移動します。

2. YubiKey をクリックします。
3. 参照（Browse）をクリックしてYubiKey Personalization Toolで作成したYubiKey Seed Fileを選択し、開く（Open）をクリックします。
4. 非アクティブ化（Inactive）をクリックし、アクティブ化（Activate）を選択してYubiKey要素を有効にします。

割り当て済みと未割り当てのYubiKeyのリストを表示する

YubiKeyを追加したら、YubiKeyレポートをチェックしてYubiKeyが正しく追加されたことを確認し、各YubiKeyのステータスを表示します。

1. Admin Consoleで、セキュリティ（Security） > Authenticatorに移動します。

2. Admin Consoleでセキュリティ（Security） > 多要素 に移動します。

3. 要素タイプ（Factor Types）タブを選択します。
4. YubiKey を選択します。
5. レポートの表示（View Report）をクリックします。
6. フィルター（Filters）ペインにある条件を使用して、検索をカスタマイズします。
7. ステータス（Status）列で各YubiKeyのステータスを確認します。
   • エンドユーザーがYubiKeyを登録するまで、ステータスは未割り当て（UNASSIGNED）と表示されます。
   • エンドユーザーがYubiKeyを登録すると、ステータスはアクティブ（ACTIVE）に変わります。
   • YubiKeyを取り消すと、ステータスは取り消し済み（REVOKED）に変わります。

YubiKeyを取り消します。

紛失や盗難の報告があった場合などにYubiKeyを取り消すと、単一のYubiKeyを廃止できます。また、YubiKeyを取り消すと、それに割り当てられているユーザーとの関連付けも削除されます。

1. Admin Consoleでセキュリティ（Security） > 多要素 に移動します。

2. 要素タイプ（Factor Types）タブを選択します。
3. YubiKey を選択します。
4. YubiKeyフィールドにシリアル番号を貼り付け、YubiKey をクリックします。YubiKeyに関する情報が表示されます。
5. 取り消す（Revoke）をクリックします。確認メッセージが表示されます。
6. 完了（Done）をクリックします。

YubiKeyのOTP要素を削除する

1. Admin Consoleでセキュリティ（Security） > 多要素 に移動します。

2. YubiKey を選択します。
3. アクティブ化（Active）をクリックした後で、非アクティブ化（Deactivate）をクリックします。
4. YubiKey要素を削除プロンプトが表示されます。
5. 削除（Delete）をクリックします。

エンドユーザーエクスペリエンス

YubiKeyをデスクトップブラウザーに初めて登録する

新しくプロビジョニングされたYubiKeyを受け取ったエンドユーザーは、次の手順を実行して自分でそれをアクティブ化できます。

1. Oktaにサインインします。
2. Sign-In Widget の要素のセットアップ（Set up factors）ページで、 YubiKey の下のセットアップ（Set up）をクリックします。セットアップ（Set up）YubiKey ページが表示されます。
3. YubiKeyを挿入し、プロンプトが表示されたらボタンをタップします。
4. 確認（Verify）をクリックします。セキュリティ方式のセットアップ（Set up security methods）ページが表示されます。
5. 終了（Finish）をクリックします。

以後のデスクトップブラウザーサインオン時にYubiKeyをOTPモードで使用する

エンドユーザーは、YubiKeyをワンタイムパスワード用にアクティブ化すると、以後のサインオン時にそれを多要素認証に使用できます。

1. Oktaにサインインします。
2. YubiKey ページが表示されたらYubiKeyを挿入し、プロンプトに応じてボタンをタップします。

登録の失敗

エンドユーザーがYubiKeyを登録できないときは、トークンがOkta Platformにアップロードされていることを確認してください。YubiKeyレポートを確認して、登録を試みているエンドユーザーのYubiKeyのシリアル番号を検索します。

• YubiKeyレポートにYubiKeyが表示され、ステータスが未割り当て（Unassigned）であれば、エンドユーザーがYubiKeyを再プログラミングしてYubiKeyに関連付けられていたシークレットを上書きした可能性があります。管理者は別のYubiKey Configuration Secretsファイルを作成し、Oktaにアップロードする必要があります。
• YubiKeyレポートにYubiKeyが表示されなければ、YubiKeyのシークレット値が正しくアップロードされていません。Oktaに再アップロードしてください。

Okta構成に適したYubiKeyスロットを構成し、エンドユーザーがOktaへの登録に同じスロットを使用していることを確認します。

YubiKeyでは、Oktaはセッションカウンターを使用します。以前のすべてのOTPは、最新のOTPによって無効化されます。ただし、他のWebサイトでの使用であれば、これらのOTPはまだ有効である可能性があります。

サポートされるプロトコルと通信チャネル

Oktaは次のトークンモードをサポートします。

• TOTP
• WebAuthn（FIDO2）