バッジベースの認証を設定する

本記事は管理対象の Chrome OS デバイスに関する説明です。

管理者は、Chrome Enterprise をサードパーティの ID プロバイダ（IdP）と連携させることで、ユーザーがユーザー名やパスワードを入力せずに、バッジをタップするだけで管理対象の ChromeOS デバイスにログインできるように設定できます。

必要なもの

サードパーティの IdP が ChromeOS デバイスでバッジ認証を使用できるようにするには、次のものが必要です。

Verified rf IDEAS badge readers (non PC/SC readers)

Single frequency 125 kHz.

Models starting with:

  • RDR-60 = IMP-60 = IMP-NV60
  • RDR-62
  • RDR-63
  • RDR-64
  • RDR-67
  • RDR-69
  • RDR-6C
  • RDR-6E
  • RDR-6G
  • RDR-6H
  • RDR-6N
  • RDR-6T
  • RDR-6Z

Single frequency 13.56 MHz.

Models starting with:

  • RDR-70
  • RDR-75 = IMP-75 = IMP-NV75
  • RDR-7F
  • RDR-7L

Dual frequency 125kHz and 13.56MHz.

Models starting with:

  • RDR-805 = IMP-80
  • RDR-800 = IMP-82
  • RDR-305 = IMP-80-BLE
  • RDR-300 = IMP-82-BLE
  • RDR-80M (currently not configurable via the Imprivata Admin Console)

KSI

  • KSI-1700
  • KSI-1900
認定 HID リーダー（PC/SC リーダー）

パソコン、スマートカード リーダーでは、追加の設定手順が必要です。

  • IMP-MFR-75
  • HID OMNIKEY 5022
  • HID OMNIKEY 5023
  • HID OMNIKEY 5025 CL
  • HID OMNIKEY 5427 CK
  • HID OMNIKEY 5422

設定方法

最初に、テストを行う組織部門の少数のデバイスとユーザーに設定を適用することをおすすめします。デバイスが正常に動作していることを確認してから、組織全体に設定を適用します。

注: 特権管理者アカウントによるユーザー セッションへのバッジベース認証はブロックされます。一般に、特権管理者は認証に SAML SSO を使用できません。

ステップ 1: Identity Card Connector 拡張機能をインストールして設定する

  1. 管理者アカウントで Google 管理コンソール にログインします。

    管理者アカウントを使用していない場合は、管理コンソールにアクセスできません。

  2. メニュー アイコン 次に [デバイス] > [Chrome] > [アプリと拡張機能] > [ユーザーとブラウザ] に移動します。

    Chrome ブラウザ クラウド管理に登録済みの場合は、メニュー アイコン 次に [Chrome ブラウザ] > [アプリと拡張機能] > [ユーザーとブラウザ] に移動します。

  3. （省略可）設定を部門やチームに適用するには、横で組織部門を選択します。手順を見る
  4. Identity Card Connector 拡張機能を追加します。
    1. 追加アイコン 質問を追加次へChrome ウェブストアから追加] をクリックします。
    2. 検索ボックスに拡張機能 ID「agicampiiinkgdgceoknnjecpoamgigi」を入力し、Enter キーを押します。
    3. リストで、Identity Card Connector 拡張機能を探してクリックします。
    4. [選択] をクリックします。
  5. セッション中のポリシーを設定します。Identity Card Connector 拡張機能をインストールすると自動的に開くサイドパネルで、次の操作を行います。
    1. [インストール ポリシー] で [自動インストールする] を選択します。
    2. [拡張機能のポリシー] で、有効な JSON 形式を使用して拡張機能ポリシーを追加またはアップロードします。メインバッジ認証フローの拡張機能を設定する方法を示すJSON データの例を次に示します。設定できるポリシーの詳細については、以下の表をご覧ください。
    3. [保存] をクリックします。
  6. ログイン画面のポリシーを設定します。
    1. [ログイン画面] を開いて [アプリと拡張機能] ページを表示します。
    2. （省略可）設定を部門やチームに適用するには、横で組織部門を選択します。手順を見る
    3. リストで、Identity Card Connector 拡張機能を探します。
    4. [インストール ポリシー] で [インストール済み] を選択します。
    5. リストで、Identity Card Connector 拡張機能をクリックします。サイドパネルが開き、詳細情報を確認したり、ポリシーを設定したりできます。
    6. [拡張機能のポリシー] で、有効な JSON 形式を使用して拡張機能ポリシーを追加またはアップロードします。メインバッジ認証フローの拡張機能を設定する方法を示すJSON データの例を次に示します。設定できるポリシーの詳細については、以下の表をご覧ください。
    7. [保存] をクリックします。

ステップ 2: Smart Card Connector アプリまたは WebHID ポリシーを設定する

PC/SC リーダー: Smart Card Connector アプリを設定する

HID リーダーなどの PC スマートカード（PC/SC）リーダーの場合は、Smart Card Connector アプリをインストールして設定する必要があります。

  1. メニュー アイコン 次に [デバイス] > [Chrome] > [アプリと拡張機能] > [ユーザーとブラウザ] に移動します。

    Chrome ブラウザ クラウド管理に登録済みの場合は、メニュー アイコン 次に [Chrome ブラウザ] > [アプリと拡張機能] > [ユーザーとブラウザ] に移動します。

  2. （省略可）設定を部門やチームに適用するには、横で組織部門を選択します。手順を見る
  3. Smart Card Connector アプリを追加します。
    1. 追加アイコン 質問を追加次へChrome ウェブストアから追加] をクリックします。
    2. 検索ボックスにアプリ ID「khpfeaanjngmcnplbdlpegiifgpfgdco」を入力し、Enter キーを押します。
    3. Smart Card Connector アプリを探してクリックします。
    4. [選択] をクリックします。
  4. セッション中のポリシーを設定します。Smart Card Connector アプリをインストールすると自動的に開くサイドパネルで、次の操作を行います。
    1. [インストール ポリシー] で [自動インストールする] を選択します。
    2. [拡張機能のポリシー] で、有効な JSON 形式を使用して拡張機能ポリシーを追加またはアップロードします。Smart Card Connector アプリへのアクセスを Identity Card Connector 拡張機能に許可する JSON データの例を次に示します。
    3. [保存] をクリックします。
  5. ログイン画面のポリシーを設定します。
    1. [ログイン画面] を開いて [アプリと拡張機能] ページを表示します。
    2. （省略可）設定を部門やチームに適用するには、横で組織部門を選択します。手順を見る
    3. リストで、Smart Card Connector アプリを探します。
    4. [インストール ポリシー] で [インストール済み] をクリックします。
    5. リストで、Smart Card Connector アプリをクリックします。サイドパネルが開き、詳細情報を確認したり、ポリシーを設定したりできます。
    6. [拡張機能のポリシー] で、有効な JSON 形式を使用して拡張機能ポリシーを追加またはアップロードします。Smart Card Connector アプリへのアクセスを Identity Card Connector 拡張機能に許可する JSON データの例を次に示します。
    7. [保存] をクリックします。

PC/SC 以外のリーダー: WebHID ポリシーを設定する

PC/SC 以外のリーダーでは、Smart Card Connector アプリは必要ありません。代わりに、WebHID ポリシーを設定する必要があります。

https://www.my-idp.local/sso/login などの IdP の URL を使用してポリシーを設定すると、0c27:3b1e などの特定のベンダー ID と製品 ID を持つ HID デバイスへのアクセス権が自動的に付与されます。

  1. ​メニュー アイコン 次に [デバイス] > [Chrome] > [設定] に移動します。デフォルトでは、[ユーザーとブラウザの設定] ページが開きます。

    この操作にはモバイル デバイス管理の管理者権限が必要です。

    Chrome ブラウザ クラウド管理に登録済みの場合は、メニュー アイコン 次に [Chrome ブラウザ] > [設定] に移動します。

  2. （省略可）設定を部門やチームに適用するには、横で組織部門を選択します。手順を見る
  3. [ハードウェア] に移動します。
  4. [WebHID API 対応デバイス] をクリックします。
  5. WebHID API 経由で自動的にアクセスできる HID デバイスを追加します。設定について詳しくは、ユーザーまたはブラウザに Chrome のポリシーを設定するをご覧ください。
  6. [保存] をクリックします。
  7. メニュー アイコン 次に  [デバイス] > [Chrome] > [設定] > [デバイスの設定] に移動します。

    この操作にはモバイル デバイス管理の管理者権限が必要です。

  8. （省略可）設定を部門やチームに適用するには、横で組織部門を選択します。手順を見る
  9. [ログイン設定] にアクセスします。
  10. ログイン画面に表示された WebHID API 対応デバイスをクリックします。
  11. デバイスのログイン画面で WebHID API を介して自動的にアクセスできる HID デバイスを追加します。この設定について詳しくは、ChromeOS デバイスのポリシーを設定するをご覧ください。
  12. [保存] をクリックします。

ステップ 3: デバイスに SAML SSO を設定する

手順については、ChromeOS デバイスに SAML シングル サインオンを設定するをご覧ください。バッジベースの認証では、この記事に記載されているすべての手順を完了する必要はありません。

ステップ 4: （推奨）デバイスの設定を行う

オンライン ログイン画面およびロック画面が自動的に更新されるまでの時間を設定します。これにより、認証ページのタイムアウトを回避し、バッジ認証のサポートを中断することなく行うことができます。

  1. メニュー アイコン 次に  [デバイス] > [Chrome] > [設定] > [デバイスの設定] に移動します。

    この操作にはモバイル デバイス管理の管理者権限が必要です。

  2. （省略可）設定を部門やチームに適用するには、横で組織部門を選択します。手順を見る
  3. [ログインの設定] にアクセスします。
  4. [オンライン ログイン / ロック画面の自動更新] をクリックします。
  5. ログインページで認証フローが自動的に再読み込みされる間隔を設定します。
    [オンライン ログイン / ロック画面の自動更新] の設定について詳しくは、ChromeOS デバイスのポリシーを設定するをご覧ください。
  6. [保存] をクリックします。

ステップ 5: （省略可能であるが推奨）デバイス トラスト コネクタを設定する

ChromeOS デバイスから IdP サーバーに送信されるバッジベースの認証リクエストでは、正しいドメイン内の管理対象デバイスから送信されたものであることを証明する必要があります。

新しいコネクタを設定するには、選択した IdP から次の情報を取得する必要があります。

  • 利用可能な IdP プロバイダの中から選択するプロバイダ
  • 許可する URL パターン
  • IdP サービス アカウントのメールアドレス

ChromeOS デバイス トラスト コネクタをサポートするサードパーティ IdP のリストと、デバイス トラスト コネクタの設定方法について詳しくは、Chrome Enterprise デバイス トラスト コネクタを管理するをご覧ください。

トラブルシューティング

ChromeOS デバイスでセッション内のログを表示する

  1. ChromeOS デバイスで Chrome ブラウザを開き、chrome://inspect/#pages にアクセスします。
  2. 目的のページを見つけて [Inspect] をクリックします。
    • chrome-extension://agicampiiinkgdgceoknnjecpoamgigi/offscreen/idp_document.html
  3. [Console] タブで、IdP のログを探します。これらのログは、拡張機能のログと混在しています。ファイル名でフィルタすると、探しているログが簡単に見つかります。

Identity Card Connector 拡張機能

Identity Card Connector 拡張機能により、IdP からバッジにアクセスできます。また、バックグラウンド ページで IdP をセッション内で永続的に実行して、バッジベースのロックとログアウトを許可することもできます。

Identity Card Connector 拡張機能のポリシー

ポリシー名

説明

例

smartCardConnectorExtensionId

Identity Card Connector 拡張機能が PC/SC リーダーとのやり取りに使用する Smart Card Connector アプリの ID。

デフォルト値: Smart Card Connector アプリの製品版の ID（khpfeaanjngmcnplbdlpegiifgpfgdco）。

"smartCardConnectorExtensionId": {

    "Value": "khpfeaanjngmcnplbdlpegiifgpfgdco"

  }

inSessionOffscreenWebpageUrl

拡張機能とやり取りして WebHID API を使用するために、オフスクリーン ドキュメントで開くウェブページの URL。

設定しなかった場合、オフスクリーン ドキュメントは開かれません。

"inSessionOffscreenWebpageUrl": {

  "Value": "https://www.my-idp.local/sso/login"

}

loginScreenConnectUrlAllowlist

ログイン画面で Identity Card Connector 拡張機能との接続を確立して通信することが許可されている URL のリスト。

 

URL の末尾にワイルドカード記号 * を使用できます。

一度にアクティブにできる接続は 1 つのみです。

Smart Card Connector アプリの接続は smartCardConnectorExtensionId ポリシーを使用して定義されるため、許可リストに登録する必要はありません。

"loginScreenConnectUrlAllowlist": {

  "Value": [

    "https://www.my-idp.local/sso/v1/login",

    "https://www.my-idp.local/sso/v2/login?*"

  ]

}

inSessionConnectUrlAllowlist

オフスクリーン ドキュメントの外部で、セッション中に Identity Card Connector 拡張機能との接続を確立して通信することが許可されている URL のリスト。

 

ウェブページと拡張機能の接続は許可されています。

 

URL の末尾にワイルドカード記号 * を使用できます。

 

一度にアクティブにできる接続は 1 つのみです。

 

inSessionOffscreenWebpageUrl ポリシーが設定されている場合、オフスクリーン ドキュメントのウェブページとのアクティブな接続が確立され、このポリシーは無視されます。

 

Smart Card Connector アプリの接続は smartCardConnectorExtensionId ポリシーで定義されているため、許可リストに登録する必要はありません。

"inSessionConnectUrlAllowlist": {

  "Value": [

    "https://www.my-idp.local/sso/login",

   "chrome-extension://imkicgecimgmikfilpaffhjkefncgabi/*"

  ]

}

inSessionOffscreenRefreshMinutes

オフスクリーン ドキュメントのウェブページが読み込まれてから更新が必要になるまでの時間（分）。

 

Identity Card Connector とウェブページが 5 秒以上通信しなかった場合、更新間隔の終了時に自動的に更新が行われます。

 

デフォルト値: 0 分（ポリシーは無効）

"inSessionOffscreenRefreshMinutes": {

  "Value": 20

}

Identity Card Connector の JSON の例

メインバッジ認証フローの拡張機能を設定する方法を示す JSON ファイルの例を次に示します。

{
   "inSessionOffscreenWebpageUrl":{
      "Value":"https://www.my-idp.local/sso/login"
   },
   "loginScreenConnectUrlAllowlist":{
      "Value":[
         "https://www.my-idp.local/sso/v1/login",
         "https://www.my-idp.local/sso/v2/login?*"
      ]
   },
   "smartCardConnectorExtensionId":{
      "Value":"khpfeaanjngmcnplbdlpegiifgpfgdco"
   }
}

Identity Card Connector 拡張機能から Smart Card Connector アプリへのアクセスを許可リストに登録する JSON ファイルの例を次に示します。

{
   "force_allowed_client_app_ids":{
      "Value":[
         "agicampiiinkgdgceoknnjecpoamgigi"
      ]
   },
   "scard_disconnect_fallback_client_app_ids":{
      "Value":[
         "agicampiiinkgdgceoknnjecpoamgigi"
      ]
   }
}

Google および関連するマークとロゴは Google LLC の商標です。その他すべての企業名および商品名は関連各社の商標です。

このページには、AI 技術を使用して翻訳されたコンテンツが含まれている場合があります。AI 翻訳には誤りが含まれている可能性があります。

この情報は役に立ちましたか？

改善できる点がありましたらお聞かせください。

さらにサポートが必要な場合

次の手順をお試しください。

ヘルプ コミュニティに投稿する コミュニティ メンバーから回答を得る
true
検索
検索をクリア
検索を終了
Google アプリ
メインメニュー
9975939619518516712
true
ヘルプセンターを検索
false
true
true
true
true
true
410864
false
false
false
false
false