パスキー
パスキーを登録したデバイスでは、システムの生体認証やデバイスのロック解除を使ってログインできます。利用できるのは TOTP ログインモード だけで、既存の TOTP 認証情報へ紐付けられます。復旧手段として、TOTP も引き続き利用できる状態にしておいてください。
前提条件
- HTTPS と、実際にアクセスする最終的なドメインを使用していること。ブラウザにはセキュアコンテキストが必要です。
- 利用可能な TOTP 認証情報を作成済みであること。
- 認証 Host、Cookie ドメイン、パスキーの RP 設定がドメイン構成と一致していること。
- ブラウザまたはシステムが WebAuthn に対応していること。
サブドメイン構成では、パスキーを認証 Host へ紐付けるか、製品の設定に従って親ドメインを使用できます。RP 設定を変更すると、既存のパスキーが利用できなくなる場合があります。切り替える前に、利用可能な TOTP を残しておいてください。
登録とログイン
TOTP でログインした後、ステータスページの案内に従ってパスキーを登録します。デバイス上で、指紋認証、顔認証、またはシステムのロック解除を求められます。システム設定 → 機能 → ログイン後にパスキーの登録を案内 で変更できるのは、ステータスページに案内を表示するかどうかだけです。無効にしても既存のパスキーは削除されず、ログインページのパスキーログインも無効にはなりません。
ログイン後のステータスページでは、現在のブラウザでこのアカウントのパスキーを使用または記録したことがあるかを判定します。
- 現在のブラウザに既知のパスキーがなく、アカウントにもまだ登録されていない場合は、
パスキーログインを有効化と表示されます。 - アカウントにはパスキーがあるものの、現在のブラウザに既知の認証情報がない場合は、
別のパスキーを追加と表示されます。新しいデバイスや、同期されていないパスワードマネージャーへ認証情報を追加できます。 - 現在のブラウザに既知のパスキーがある場合、登録項目は繰り返し表示されません。
ここでいう「現在のブラウザで既知」という状態は、登録案内の表示制御にだけ使用されます。ページは認証情報 ID の SHA-256 ダイジェストをブラウザのローカルストレージへ保存しますが、パスキーの秘密鍵は保存しません。このサイトのブラウザデータを消去した場合、ローカルストレージを無効にした場合、別のブラウザへ切り替えた場合は、登録案内が再び表示されることがあります。これはサーバー側の認証情報が失われたという意味ではありません。そのままパスキーでログインするか、必要に応じて別のパスキーを追加できます。
TOTP 一覧の クイックログインを管理 では、パスキー ID、デバイス名、登録日時を確認し、個別のパスキーを削除できます。この画面から新しいパスキーを作成することはできません。また、同じ画面で外部アカウントの紐付けも管理します。QQ を紐付ける場合は、QQ クイックログインの連携を参照してください。
パスキーは、紐付け先 TOTP のサービススコープとセッションポリシーを継承します。個別のパスキーを削除しても、その認証情報だけが取り消され、TOTP、他のパスキー、外部アカウントの紐付けは削除されません。一方、親となる TOTP を削除すると、関連するクイックログインもすべて削除されます。
ドメインと RP
WebAuthn は、パスキーを Relying Party（RP）のドメインへ紐付けます。認証 Host、ルートドメイン、パスキー RP は、変更の少ない安定した構成にしてください。
- 認証ドメインを 1 つだけ使用する場合は、RP を認証 Host に合わせられます。
- 同じ親ドメイン配下の複数の Host で共有する場合は、バックエンドが対応する親ドメイン方式で RP を設定します。
- 認証ドメインの変更、IP アドレスからドメインへの移行、親ドメインの変更を行うと、既存のパスキーを利用できなくなる場合があります。
移行前に利用可能な TOTP を残し、最初に新しいドメインでテスト用のパスキーを 1 つ登録してください。リバースプロキシでは、最終的な外部 Host と HTTPS プロトコルの情報を維持する必要があります。
トラブルシューティング
項目が表示されない：TOTP ログインモードのままであること、HTTPS でページへアクセスしていること、ブラウザが WebAuthn に対応していることを確認します。
登録後にログインできない：認証ドメインと RP 設定が一致しているか確認し、TOTP でログインして復旧します。
ブラウザやデバイスを変更した：パスキーを利用できるかどうかは、システムで同期されているかによって異なります。自動的に移行されるとは限りません。
作成がキャンセルされたかタイムアウトしたと表示される：登録をもう一度開始し、システムに表示される生体認証またはロック解除を完了します。
システムで作成できないと表示される：デバイスに画面ロックが設定され、ブラウザでパスキーが許可され、パスワードマネージャーまたはシステムの認証情報サービスが利用できることを確認します。
現在のデバイスにこのパスキーがあると表示される：再登録は不要です。ログインページでそのままパスキーを使用してください。新しいデバイスに同期されていない場合は、ステータスページから別のパスキーを追加できます。