仕組み
組織とアプリケーション
Section titled “組織とアプリケーション”- 組織は、Tenon-Auth の中のあなたの会社です。組織の管理者とヘルプデスクは、それぞれ自分の2段階認証で
admin.glow-kin.comの管理コンソールにログインします。 - アプリケーションは、ユーザーをログインさせるあなたのシステムです（例：ポータル、社内ツール）。それぞれに管理コンソールで作るAPI キー（
tnk_…）があります。 - ユーザーは組織に属するので、組織のすべてのアプリケーションで共通です。ユーザーの2段階目の方法は1つで、どのアプリケーションでも使われます。
Tenon-Auth は各ユーザーを、あなたのアプリケーションでの ID（externalId）で識別します（例：アカウントの ID。パスワードは絶対に使わないでください）。createUser は冪等で、同じ ID で呼ぶと同じユーザーが返ります。beginSecondStep が代わりに呼びます。
Tenon-Auth が保存するのは、2段階目に必要なものだけです：
- 方法とその秘密（暗号化）
- リカバリーコード（ハッシュ）
- 記憶したデバイス
- ログインの要求と監査ログ
パスワードを見ることはありません。退職などのときは deleteUser ですべて削除できます。
ユーザーが一度に持てる方法は1つです。新しい方法は、確定した時点で古い方法と置き換わります。
| 方法 | ユーザーの操作 | 証明するもの | 備考 |
|---|---|---|---|
ログイン承認（PUSH） |
Tenon Authenticator で承認し、画面に表示された番号を選ぶ | スマートフォン（ハードウェアの鍵）と、その PIN や指紋 | 最も強い方法。番号の照合で承認疲れの攻撃を防ぎます |
認証アプリのコード（TOTP） |
認証アプリの6桁のコードを入力 | 秘密を持つスマートフォンやアプリ | オフラインでも使えます。パスワードと同じく、フィッシングされることがあります |
メールのコード（EMAIL） |
メールで届いた6桁のコードを入力 | メールボックスに入れること | 最も弱い方法で、アプリを使えないユーザー向けです。管理者が許可するまでは使えません（組織のドメインに限ることもできます） |
組織で使える方法は getMethods でわかります。
チャレンジは、1回のログインの2段階目です。createChallenge で始まり、beginSecondStep が代わりに呼びます。
- ログイン承認： スマートフォンに通知が届き、画面に番号を表示します。2分で期限切れになります。
- コード： 5分、またはコードを5回間違えると終わります。
制限：
- 10回続けて間違えると、その方法は15分間ロックされます。
- 承認の要求とメールは、ユーザーごとに15分間で5回までです。
- リカバリーコード： 方法を設定したときにユーザーが保管する、1回限りの10個のコード。スマートフォンの代わりにチャレンジを通過できます。
- アクセスパス： 本人確認のあとにヘルプデスクが発行する、1時間有効の1回限りのパス。
- 記憶したデバイス： ユーザーが希望すれば、ログイン後14日間、そのブラウザーは2段階目を省略できます。
復旧を参照してください。
データの場所
Section titled “データの場所”| 項目 | 場所 |
|---|---|
| API | https://api.glow-kin.com |
| 管理コンソール | https://admin.glow-kin.com |
| 通信 | Cloudflare 経由の TLS |
| データ | 東京 |
| 秘密 | データベースとは別に保管した鍵で暗号化 |