年に一度のコンプライアンス研修のために LMS にログインする人が、パスワードを覚えていることはまずありません。そこで「パスワードを忘れた場合」をクリックし、メールを待ち、また忘れてしまう新しいパスワードを考え出すか、あきらめてチケットを起票します。パスワードレスログインは、パスワードそのものをなくします。このガイドでは、その仕組み、セキュリティ上のトレードオフが実際にどこにあるのか、そして SAML シングルサインオンをさらに追加する価値があるのはどんなときかを説明します。
パスワードが、たまにしか使わない受講者に向かない理由
パスワードは、毎日使うシステムで最も効果を発揮します。研修プラットフォームはその逆であることが多く、受講登録されたとき、リマインダーが届いたとき、修了証が失効しそうなときにだけログインします。
その結果、予想どおりの問題が起こります。
- 忘れたパスワード。 ログインの間隔が数か月あくと、多くの受講者がまずリセットから始めます。しかも、研修の期限日当日であることも少なくありません。
- 使い回し。 また 1 つ別のパスワードを覚えるのが難しい人は、他のサイトのパスワードを使い回します。その別のサイトで漏えいが起きれば、同じメールアドレスとパスワードが LMS に対して試される可能性があります。
- 回避策。 厳しいパスワードルールは、付箋に書かれたパスワードや、毎回数字を足すだけの予測しやすい変形につながります。
- サポートの負担。 ロックアウトやリセットのたびに、ヘルプデスクや L&D チームへのチケットが発生します。
もう 1 つ、あまり語られない点があります。ほとんどのパスワードシステムでは、メールでパスワードをリセットできます。つまり、アカウントを実質的に管理しているのは、すでに受信トレイなのです。人が忘れるのはパスワードであり、守ってくれるのはパスワードではありません。パスワードレスログインは、それを明示するだけのことです。
パスワードレスログインの仕組み
メールのワンタイムコード
- 受講者がメールアドレスを入力します。
- LMS が短いランダムなコードを生成し、メールで送ります。
- 受講者がコードを入力し、LMS が確認します。
よく設計されたコードは 1 回しか使えず、数分で期限切れになり、何度か間違えると無効になります。覚えるものがなく、他のサイトから使い回すものもなく、漏えいするパスワードもありません。
コードの代わりに、ログインリンクをメールで送るシステムもあります。スマートフォンでメールを読みながら業務用パソコンでログインする場合は、コードのほうが便利です。コードを入力するだけで済むからです。
Google、Microsoft、LinkedIn のアカウント
「〜でログイン」ボタンでは、LMS は OAuth 2.0 や OpenID Connect などの標準プロトコルを使って、ログインをプロバイダーに委ねます。プロバイダーは（アカウントに設定された 2 段階認証も含めて）本人確認を行い、本人が誰であるか、および検証済みのメールアドレスを LMS に伝えます。LMS が本人のパスワードを見ることはありません。
すでに毎日 Microsoft 365 や Google Workspace にログインしているスタッフには最適です。ワンクリックで入れます。
セキュリティ上のトレードオフを正直に
パスワードレスは魔法ではありません。信頼を別の場所へ移すものであり、それがどこなのかを理解しておく必要があります。
| 方式 | アカウントを守るもの | 注意点 |
|---|---|---|
| パスワード | 受講者が覚えているもの | 使い回し、弱いパスワード、そして結局メールでリセットされる |
| メールコード | 受講者の受信トレイへのアクセス | メールボックスが侵害されると、LMS アカウントも侵害される |
| Google、Microsoft、LinkedIn | プロバイダーのアカウントとその 2 段階認証 | 個人アカウントは組織の管理外にある |
| SAML シングルサインオン | ID プロバイダーとそのポリシー | 設定の手間と、プロバイダーが利用可能であることへの依存 |
理解しておきたい具体的な点を、いくつか挙げます。
- 最も重要なのはメールアカウント。 受講者のメールを読める人は、その受講者としてログインできます。業務用メールボックスの多要素認証は、どんなパスワードルールよりも LMS のセキュリティに効果があります。
- 有効期限と試行回数の制限が推測を防ぐ。 6 桁のコードには約 100 万通りの値があります。3 回の試行で推測が当たる確率は 100 万分の 3 程度にすぎず、各コードの寿命も数分です。コードを要求できる頻度を制限すれば、さらに攻撃を遅らせられます。
- コードもフィッシングされうる。 偽のログインページがコードを要求し、すぐに使うことが可能です。コードは LMS の本物のアドレスにだけ入力すること、そして、サポート担当者を含め、誰もコードを尋ねることはないことを周知してください。
- 共有メールボックスは記録の信頼性を損なう。 複数の人が 1 つの受信トレイを読める場合、その誰もが所有者としてログインできます。研修記録に意味を持たせるには、受講者一人ひとりが自分のアドレスを持つ必要があります。
- 退職者はあらゆる場所から削除する必要がある。 個人の Google や LinkedIn のアカウントは、退職しても消えません。ディレクトリだけでなく、退職手続きの一環として LMS でも停止またはアーカイブしてください。
- メールの配信もシステムの一部。 コードが迷惑メールに入ったり、遅れて届いたりすると、ログインの失敗につながります。LMS のメールがメールフィルターを通過できるよう、IT 部門に依頼してください。
必要になる前にリカバリーを計画する
パスワードレスログインでは、「パスワードを忘れた」というチケットはほぼなくなります。よくあるサポートの質問は「コードが届かない」に変わり、答えはほぼ決まって、迷惑メールフォルダを確認し、アドレスを確認し、新しいコードを要求する、です。
管理者には、より慎重な検討が必要です。シングルサインオンに頼っていて ID プロバイダーが障害を起こしたり、設定が誤って変更されたりした場合、壊れたものに依存しない入り口が必要です。望ましい運用は次のとおりです。
- 1 人がアクセスを失っても組織全体がロックアウトされないよう、管理者を少なくとも 2 人置く。
- 管理者が、ID プロバイダーに依存しないリカバリー経路を確保しておく。
- 困った日にあわてないよう、事前にそのリカバリー経路を落ち着いて一度試しておく。
- 管理者をオフィスの IP 範囲に限定している場合は、リモートの管理者がどうやってログインするかを確認する。
SAML シングルサインオンを追加すべきとき
メールコードとソーシャルログインは、ほとんどの受講者に適しています。SAML シングルサインオンを追加する価値があるのは、次のような場合です。
- スタッフがすでに Microsoft Entra ID、Okta、Google Workspace で管理されている。
- ID プロバイダーの多要素認証とアクセスポリシーを、研修にも適用したい。
- ディレクトリで無効化された時点で、アクセス権を失わせたい。
- セキュリティレビューや顧客からの質問票で、シングルサインオンが求められている。
請負業者、ボランティア、顧客、他組織のスタッフなど、多くの受講者がディレクトリの外にいる場合は、それだけでは解決になりません。その場合は、自社スタッフには SSO を使い、それ以外の全員にはメールコードを残してください。設定については、LMS のシングルサインオンで詳しく説明しています。
Acadenix の場合
Acadenix にはパスワードが一切ありません。ログイン方法は次のとおりです。
- メールコード。 メールアドレスを入力すると、6 桁のコードが届きます。コードは 5 分間、1 回だけ有効で、3 回間違えると無効になります。コードを頻繁に要求しすぎると、しばらく待つよう求められます。
- Google、Microsoft、LinkedIn。 各方式は Settings → Authentication（設定 → 認証）でオンまたはオフにでき、特定の検証済みメールドメインに限定することもできます。変更を保存する前に、何人のユーザーとセッションに影響するかが表示されます。
- 独自のログインアプリ。 組織は、独自の Google、Microsoft、LinkedIn アプリを使えます。独自の Microsoft アプリでは、自社テナントのアカウントだけが使えます。
- Gold での SAML シングルサインオン。 Microsoft Entra ID、Okta、Google Workspace を接続します。受講者アカウントは初回ログイン時に作成できますが、対象は組織のメールドメインのアドレスに限られます。SAML で初めてログインするときは、連携を確認するためのコードがメールで届きます（1 人につき 1 回）。有効にしたほかの方法は、フォールバックとして残ります。プランと料金をご覧ください。
管理者向けには、追加の保護があります。管理者を自社の IP 範囲に限定しても、受講者には影響しません。アイドル状態のセッションは、自動でログアウトされます。通常のログインが機能しなくなった場合でも、管理者はメールで届くリカバリーコードでログインでき、この経路は無効にできません。アカウントを停止すると、その人はただちにログインできなくなります。Email History（メール履歴）には、過去 30 日間に送信または失敗したメールが表示されます。メッセージの内容やコードは保持されません。詳しくはセキュリティのページをご覧ください。
重要なポイント
- たまにしか使わない受講者にとって、パスワードは大した保護にならないまま、リセット、使い回し、チケットを生みます。
- メールコードと勤務先アカウントでのログインは、パスワードをなくします。受信トレイやプロバイダーのアカウントが鍵になるため、多要素認証で保護してください。
- 1 回限りで、すぐに期限が切れ、試行回数が限られたコードは、推測を現実的でなくします。ただし、コードを絶対に共有しないよう周知する必要があります。
- 方式を有効にする前に、管理者のリカバリーと退職手続きを計画してください。
- スタッフが中央の ID プロバイダーに集約されているなら SAML シングルサインオンを追加し、それ以外の全員にはメールコードを残します。
パスワードが研修サポートチケットの最大の原因であるなら、パスワードレスログインが自社のメンバーでどう機能するかをご確認ください。トライアルを申し込み、組織に合ったログイン方法を設定してみてください。
