VPN認証アプリを紛失：MFAを無効にせず交換する

誰かがスマートフォンを紛失し、チケットは「VPNが壊れた」として届くが、この捉え方は二重に間違っている。アカウントはまだ存在し、ゲートウェイは今もIDプロバイダーを信頼しているので、壊れた部分は本人が持たなくなった一つの要素だけだ。障害ではなく復旧として扱い、要求者を確認し、代替を登録し、失った方式を廃止してから、アカウントが機能することを証明する。そのすべては、通話中に計画をでっち上げることがMFAを全員分まとめて無効にする道だからこそ、紛失前に計画が書かれていたことを前提とする。

ステップ1：登録済みの要素は記憶ではなく記録から読む

最初の問いは、どの端末を失ったかではなく、アカウントが他に何を使えるかだ。アカウントはパスワードとプッシュ、時間ベースのコード、ハードウェアキー、印刷したリカバリーコードを保持でき、その一つを失うのは唯一のものを失うのとはまったく違う出来事だ。利用者に覚えてもらうのではなくIDシステムから方式の一覧を読み、Microsoft Entraテナントならクエリは一行で済む：

Get-MgUserAuthenticationMethod -UserId [email protected]

次に、アカウントがまだ動くうちに、アカウント識別子、登録済みの要素、リカバリーコードの保管場所、要求者を独立に確認できる人、アカウントが到達するシステムを並べた復旧記録を書く。チームがすでに使っている保護された台帳に置き、有効なコードと同じメモには決して置かない。この五つの項目が慌てた通話をチェックリストに変え、NISTの認証要素ライフサイクル指針も復旧を資格情報の例外ではなく一部として扱っている。

ここを飛ばす人が多いので、確認チャネルは独立した項目として記録する。要求者本人が電話を管理しているなら、アカウントに紐づいた電話番号は独立したチャネルではない。

ステップ2：失敗している経路の外で要求者を確認する

本人確認は、VPN、メールボックス、失った端末に依存しないチャネルで行う。人事記録の番号への折り返し電話、またはすでにディレクトリにある管理者との対面確認はどちらも機能するが、復旧中のアカウントから送られたチャットメッセージは機能しない。確認の対象は人であり、アカウントについて質問に答えられる能力ではない、アカウントの詳細は漏れるからだ。誰がいつ要求を確認したかを記録する、次のレビュー担当者は両方を求める。

要求が緊急性と確認を飛ばす圧力とともに届いたときこそ、速度を落とす瞬間だ。復旧の詐欺は、急いでいる親切な同僚とまったく同じに見える。

ステップ3：代替を登録し、その後で古い要素を廃止する

新しい認証アプリは通常の登録フローで登録し、管理者による迂回は決して使わない。そのうえで失った方式を明示的に削除する、代替を登録しただけでは、誰かが廃止するまで以前の認証要素は認可されたままだからだ。古い端末が他人の手にある可能性があるなら、削除を緊急案件として扱い、復旧ではなくインシデントの手順に従う。同じ作業で既存のセッションを取り消す、変更前に作られたセッションは変更より長く生きられるからだ：

Revoke-MgUserSignInSession -UserId [email protected]

他の全員のために要素を外すことや、ゲートウェイの証明書確認を緩めることは、一人の復旧を配備全体に及ぶ障害と引き換えにしている。変更は単一アカウントに限定し、証拠がより広い侵害を示すならエスカレーションする。どの要素を廃止し、どれが置き換えたかをチケットに記す。

ステップ4：アカウントが両方向で機能することを証明する

対応クライアントで新しい要素を使って一度ログインし、紛失前と同じリソースに到達できることを確認する。トンネルが必要なリソースと不要なリソースを一つずつ試し、失敗が正しい層を指すようにする。廃止した要素でログインを試み、プロンプトではなく拒否を期待する、これで削除が効いたと分かる。既存の登録済み端末で失敗するチャレンジはプロンプトの問題であり、すべてを再登録する理由ではない。

次に、利用者に同じログインを助言なしで完了してもらう。こちらの成功した試験は構成を証明し、相手の試行は引き継ぎを証明する。

成功したログインの時刻と現在使っている要素の名前でチケットを閉じる。同じ作業で復旧記録を更新し、次の紛失が古い台帳ではなく正確な台帳から始まるようにする。

ステップ5：これを苦しくした条件を取り除く

復旧の通話はすべて登録設計についての証拠だ。アカウントが要素を一つしか持っていなかったなら、そのグループ全員に二つ目を必須にする。リカバリーコードが失ったノートPCにあったなら、置き場所を変える。確認に休暇中の管理者が必要だったなら、代理を指名する。どの修正も半日で終わり、次のインシデントの最悪の一時間を取り除く。

そして最初のステップの記録を現実と照らして読み直す。実際に存在する要素が並んでいるか、確認チャネルは今も人に届くか。誰も更新しない手順書は、それが書かれた通話の最中に無視される文書へと劣化する。