FortiGateのワンタイムパスワードの設定について

FortiGateのワンタイムパスワード（OTP: One-Time Password）機能は、二要素認証（2FA）を実現するための強力なセキュリティ機能です。

ユーザー名・パスワードに加え、一定時間内にのみ有効なパスワードを入力させることで、認証の安全性を高めます。

以下に、FortiGateでOTP（FortiToken）を使った認証を設定する手順を、管理画面およびCLIを併せて詳細に解説します。

FortiGateのOTP機能の基本概要

FortiGateでは、以下の種類のOTPをサポートしています。

• FortiToken Mobile：スマホアプリ（iOS/Android）で生成されるTOTP（時間ベース）トークン。
• FortiTokenハードウェアトークン：物理的なデバイスでOTPを生成。
• Email OTP / SMS OTP：メールやSMSで一時コードを送信（別途設定やSMSサービスが必要）。

FortiGate OTPの設定手順（FortiToken Mobileを使用）

前提条件

• FortiGate本体のバージョンがFortiOS 5.6以降（推奨：6.x または 7.x）。
• FortiTokenがFortiGateにライセンス登録されている（2個まで無償利用可能）。
• ユーザーがスマートフォンにFortiToken Mobileアプリをインストール済み。

FortiTokenの登録

1. GUI（Web管理画面）にログイン
   管理者権限でログインします。
2. [User & Authentication] > [FortiTokens] を開く
   デフォルトで2つの無償トークンがあることを確認できます。
3. 新しいトークンの登録（必要に応じて）
   FortiTokenのシリアル番号を登録して、割り当て準備を行います。

ユーザーへのFortiToken割り当て

1. [User & Authentication] > [User Definition] を開きます。
2. [Create New] でユーザー作成
   LDAP/Radius連携していない場合は、ローカルユーザーを作成可能です。
3. ユーザー設定画面で以下を設定：
   • Two-factor Authentication: Enable
   • FortiToken: 登録済みのトークンを選択
   • Email: OTPの初期登録時の通知先（登録後にQRコードが送られます）

FortiToken Mobileアプリとの連携

ユーザーにQRコードが自動的に送付されるか、GUIで手動表示することで、スマホのFortiTokenアプリで読み取って登録します。

認証ポリシーへの組み込み

SSL-VPNやAdminアクセスにOTPを利用するには、ユーザーグループに割り当てる必要があります。

SSL VPNでのOTP設定例

1. [User & Authentication] > [User Groups] でグループを作成し、OTPユーザーを追加。
2. [VPN] > [SSL-VPN Settings] で、対象グループに対してアクセスを許可。
3. 実際のアクセス時、次のような流れでログインが行われます： Username: user1 Password: パスワード+OTP（連結する方式。例：password123456） もしくはパスワード入力後にOTPを別画面で要求されるケースもあります（設定による）。

CLIでのOTP設定（高度な管理向け）

config user local
    edit user1
        set type password
        set passwd <your-password>
        set two-factor enable
        set fortitoken <token-serial-number>
    next
end

ユーザーグループ作成

config user group
    edit vpn-users
        set member user1
    next
end

補足：FortiTokenのライセンスと制限

• 無償で2つまでのトークンが利用可能（FortiGate本体に付属）。
• 追加のトークンを使用するには別途ライセンス購入が必要。
• FortiToken MobileアプリはApp Store / Google Playで配布。

TIPS

• OTPの同期ズレが起きた場合は、FortiGate側で再同期を行えます。
• セキュリティ向上のため、OTPコードの長さや有効時間の変更は不可（TOTP標準に準拠）。
• FortiAuthenticatorとの連携で、より大規模なOTP管理が可能になります（LDAP/SAML等も併用可）。

まとめ

以上、FortiGateのワンタイムパスワードの設定についてでした。

最後までお読みいただき、ありがとうございました。