@IT の Windows Thin PC 連載第3回 〜 PC のトークン認証を無償で実現する方法

色々忙しくてブログに書けないでいましたが、
@IT の Windows Thin PC 連載、最終回が先週公開されました。

Windows Thin PCで本格的なシンクライアントを実現する - @IT
第3回　Windows Thin PCのセキュリティ強化と統合管理
http://www.atmarkit.co.jp/fwin2k/operation/wintpc03/wintpc03_01.html

前回告知 したとおり、一台を完璧に仕上げても「残りの○○台はどうするの？」ってことになりますので、今回は複数の WinTPC の一元管理（統合管理）に注目して、無償ツールと有償ツールの２つを紹介してみました。

無償ツールとして紹介した、リカバリ DVD やリカバリ USB の作成、リモートインストールが可能な MS 純正の大量展開ツール「Microsoft Deployment Toolkit」、先週ちょうど次期バージョン 2012 の RC 版がリリースされたようです。

Microsoft Deployment Toolkit 2012 RC1 Now Available!
http://technet.microsoft.com/en-us/solutionaccelerators/dd407791

PC のトークン認証を OS 標準機能で実現する

私は記事を書く際、周知の内容かどうかを Web で検索しているのですが、
意外に知らない人が多いと感じたのが、Windows 標準機能で実現できるトークン認証（二要素認証）です。企業向け Windows には「あらかじめ指定された USB キーが無いと OS のブートすらできない」ことを実現する機能があります。

セキュリティトークン・二要素認証ソリューションを導入する場合、専用トークンやらソフトウェア・構築費用などで一台あたり通常 2 〜 3 万円掛かるのですが、この方法を使えば無償で利用できます。Windows Thin PC でも OK。

どのような方法かというと、Windows Vista で導入された BitLocker の応用機能です。BitLockerは TPM という専用のチップが必須と誤解されているのですが、実は TPM の代わりに普通の USB メモリをトークンにできます。

設定方法

1. gpedit.msc で次のように辿り「スタートアップ時に追加の認証を要求する」

2. 「互換性のある〜」を有効に設定

3. コントロールパネルの「BitLockerドライブ暗号化」から「BitLockerを有効にする」を実行

4. BitLocker ウィザードを進めていき、
下記の画面で「毎回のスタートアップ時にスタートアップキーを要求する」を選択
（これがトークンとして USB メモリを使う設定になります）

5. キーにしたい市販の USB メモリを選択（1MB の空き容量があればOKです）

6. USB メモリ紛失時の回復キーワードをどこかに保管し、
あとはウィザードのとおりに進めてください。

前述の MDT や SCCM と連携しますので、上記設定は自動化できます。

いかがでしょう？ 普通の USB メモリ（容量不問）で実現できますし、
TPM チップが搭載されていない PC でも OK です。

もちろん、有償ソフトウェアにはそれなりの良さがあると思いますが、無償でできることは無償で解決して、他のことを実現していくのもありかと思います。

１つ１つに最高の製品を導入していたら予算はいくらあっても足りないので...