FIPS および AAL3 の要件に合わせてハードウェアパスキーを設定する

FIPS または認証保証レベル3 (AAL3) の要件に対応するために Government パスキープロファイルをデプロイする際は、セキュリティ管理者とともにこのガイドを使用してください。対象となる Class D デプロイも含まれます。このガイドは、このプロファイルが利用可能な商用および政府向けエンロールメントに適用されます。認証器を設定する前に、環境の保証レベルと必要な制御を確認してください。

Government は認証器の選択ポリシーです。FIDO Metadata Service (MDS) の認証とハードウェアメタデータを評価します。このポリシーを選択しても、デバイスの設定やデプロイが認証されるわけではありません。セキュリティ管理者は、証明書の適用可否と、その他の認証、セッション、復旧に関する制御を確認する必要があります。

認証器の設定を検証する

認証器を購入または登録する前に、次の確認を行ってください。

1. 正確なモデル、ハードウェアリビジョン、ファームウェアバージョン、動作設定を特定します。同じ製品ファミリーのデバイスでも、検証の適用範囲が異なる場合があります。
2. NIST Cryptographic Module Validation Program の検証済みモジュール一覧 ↗で、該当するエントリを探します。セキュリティ管理者とともに、証明書のステータスとモジュールのセキュリティポリシーを確認します。
3. 証明書が実際の設定を対象としていることと、認証器を必要な承認済みモードで動作させられることを確認します。ベンダーの初期化、ファームウェア、設定に関する手順に従います。
4. 資格情報の秘密鍵がハードウェアに紐付けられていてエクスポートできないこと、および認証器がデプロイで必要とされるユーザー検証をサポートしていることを確認します。ユーザーの存在を確認するためのタッチだけでは、ユーザー検証にはなりません。
5. 現在の Government プロファイルで認証器が受け入れられることを確認します。CMVP 証明書だけでは、プロファイルの対象になることは保証されません。プロファイルでは、適用される FIDO 認証、ハードウェアによる鍵の保護、およびソフトウェア認証器、同期された認証器、侵害された認証器の除外も必要です。

現在の Government の派生条件には、Recommended の要件が含まれています。さらに、同じ FIPS リビジョンについて、FIPS 総合レベル1以上および物理セキュリティレベル3以上であることを示す MDS の証拠が必要です。メタデータエントリは補足的な証拠であり、証明書の適用範囲と設定要件の確認に代わるものではありません。

デバイスが対象にならない場合は、Palantir サポートおよびセキュリティ管理者にお問い合わせください。Custom への追加を、そのデバイスが FIPS または AAL3 の要件を満たす証拠として使用しないでください。

YubiKey 5 FIPS Series の設定例

ベンダーのデプロイガイド ↗には、YubiKey 5 FIPS Series のファームウェア 5.7.4 が、総合セキュリティレベル2および物理セキュリティレベル3で FIPS 140-3 検証済みであることが記載されています。ファームウェアと検証に関するリファレンス ↗を確認してください。購入または登録する前に、該当するモデルの CMVP 証明書と、ディレクトリの現在の Government プロファイルで受け入れられることを確認してください。

パスキーを作成する前に、ベンダーの FIPS 140-3 設定手順 ↗に従って、FIDO2 アプリケーションを承認済みモードで初期化してください。ファームウェア 5.7.4 では、8文字以上の FIDO2 PIN が必要であり、ユーザー検証が強制されます。FIDO2 の要件 ↗に従ったうえで、以下の登録とサインインの確認を完了してください。

ファームウェア 5.4.2 と 5.4.3 では、FIPS 140-2 の検証と初期化手順が異なります。これらのデバイスをすでに使用している場合は、セキュリティ管理者とともに証明書のステータスと継続使用について確認してください。ベンダーのデプロイガイドでは、既存のデプロイと新しいデプロイを区別しています。これらのファームウェアバージョンで検証の適用範囲が同一であると想定しないでください。

管理者アクセスを準備する

ポリシーを厳格化する前に、復旧計画を立ててください。

• 変更の影響を受ける管理者とユーザーを特定します。
• 受け入れられる交換用ハードウェアと、保証レベルに対して承認された復旧方法を用意します。
• 組織のポリシーで許可されている場合は、受け入れられる予備の資格情報を保持し、そのポリシーに従って保護します。
• 通常のサインインと管理者の復旧の両方が、環境の要件を満たしていることを確認します。復旧用メールやワンタイムコードだけでは、AAL3 を満たす証拠にはなりません。

プロファイルの影響のプレビューを確認してください。強制されるプロファイルを変更する前に、操作を行う管理者に対して、受け入れられるハードウェアパスキーを登録してください。その管理者が受け入れられるパスキーを持たない状態になる変更は拒否されます。

ディレクトリに Government を適用するには、Control Panel でユーザーディレクトリの管理を開き、ディレクトリを選択して、そのパスキーポリシー設定を開きます。

1. プロファイルとして Government を選択します。
2. 影響を確認を選択し、影響を受けるユーザーを確認します。続行する前に、受け入れられる交換用デバイスを用意し、影響を再度確認します。
3. 強制を選択して、確認ダイアログを開きます。プレビューで、操作を行う管理者自身のアカウントが受け入れられるパスキーを持たない状態になることが示されている場合、この操作は利用できません。
4. すべてのポリシー変更で必須となる変更理由を入力します。
5. 影響を確認してから、強制またはそれでも強制を選択して確定します。変更は、プロファイル変更の監査イベントに記録されます。

ハードウェアパスキーを登録して検証する

ユーザーごとに、次の順序で進めてください。

1. 承認済みの設定を使用して認証器を初期化し、必要な PIN またはサポートされているその他のユーザー検証の仕組みを設定します。
2. ディレクトリのパスキー追加ワークフローを使用して、ユーザーに登録の招待を送信します。
3. 使用するハードウェア認証器で登録を完了します。サポートされているブラウザーとプラットフォームのフローで要求された場合は、製造元のアテステーションを許可します。
4. Government プロファイルで登録が成功することを確認します。MDS に掲載された認証器の登録では、信頼できるアテステーションを確立する必要があります。AAGUID の一致やデバイス名だけでは不十分です。
5. サインアウトしてから、新しい資格情報と必要なユーザー検証を使用して、新たにサインインできることを確認します。想定されるプロファイルが引き続き強制されていることを確認します。
6. 組織の評価プロセスで必要な証明書、デバイス設定、登録の証拠を保持します。交換後の資格情報でアクセスできることを確認し、保持ポリシーに従ったうえで、置き換えられた資格情報を削除します。

デプロイの制御を確認する

セキュリティ管理者と協力して、保証要件全体を満たしていることを確認してください。認証器の選択に加えて、ユーザー検証、検証者の設定、保護された通信、セッションの有効期間、再認証、アカウントの復旧、認証器の交換手順を確認してください。お使いの認定に適用される要件と、NIST SP 800-63B の認証器保証レベル ↗、より広範な NIST デジタル ID ガイドライン ↗、FedRAMP IA-05 認証器管理 ↗を使用してください。

MDS の更新により、プロファイルの対象となる認証器が変わる場合があります。デバイスの交換、ファームウェアのアップグレード、または新たな登録失敗の調査を行う際は、現在有効なポリシーを確認してください。デプロイ済みのモデルと設定が、引き続き必要な証明書の対象であることをご自身で継続的に確認してください。

紛失または拒否された認証器を交換する

受け入れ済みの予備の認証器が利用可能な場合は、それを使ってサインインし、検証済みの代替認証器を登録します。それ以外の場合は、権限を持つ管理者とともに、お使いの環境で承認されている復旧プロセスを利用します。パスキー管理の手順に沿って、紛失した資格情報を削除するか、再登録の手続きを行ってください。

拒否された場合は、正確な AAGUID、モデルとファームウェア、プロファイルへの所属、MDS のセキュリティステータス、およびアテステーションの結果を確認します。ソフトウェア資格情報や自己アテステーションによる資格情報は、表示名を変更したり、その AAGUID を Custom に追加したりしても、検証済みハードウェアにはできません。

利用可能なメタデータスナップショットを読み込めない場合は、サービスの復旧後に再試行するか、Palantir サポートにお問い合わせください。検証の失敗を回避することだけを目的に、プロファイルの制限を緩めないでください。

FedRAMP の例外を申請する

FedRAMP 管理者は、プロファイルの例外なしで Recommended または Government を選択できます。Standard、Permissive、または Custom を選択するには、必要な FedRAMP の変更レビューとセキュリティコンプライアンス承認のプロセスについて、Palantir サポートにお問い合わせください。

承認では、次の2つのケースを区別します。

• MDS、Standard、および Recommended の認証器を合わせた集合内でのプロファイルの例外
• その集合外の認証器に対する別の例外。この場合は、最初の承認も必要です

このチェックは、Custom のベースから継承された認証器も含め、実効プロファイル内のすべての認証器を対象とします。そのため、対象範囲の広い組み込みプロファイルでは、両方の承認が必要になることがあります。承認はエンロールメントに固有であり、追加の選択肢を使用する前に適用する必要があります。承認だけでは、ディレクトリに保存されたプロファイルは変更されません。

どちらの承認も、アテステーション、セキュリティ上の除外、管理者権限、または自身のロックアウトを防止する保護を免除するものではありません。Standard に属しているだけでは AAL2 を満たしません。必須のユーザー検証と、お使いのデプロイに適用されるその他の制御は引き続き必要です。