WordPress の管理画面の認証を2要素認証で強化する話です。 最も強いといわれるハードウェアのSecurity Key を利用します。 その設定の手順の記録です。
Google Titan Security Key と Security Key NFC by Yubico の2つの物理セキュリティキーを登録することで、どちらかの鍵が紛失したり壊れても WordPress にログインできる状態を実現しました。
目次
WordPress に “Two-Factor”プラグインを導入する
まずは最も実績があり、WordPress公式チームが開発に関わっている Two-Factor プラグインを導入します。
- WordPress の管理画面にアクセスする
- プラグイン > 新規追加 に進む
- 検索窓から “Two-Factor” を入力し検索する
- “今すぐインストール”からインストールを行い、有効化する。
次は Security Key を利用するために追加のプラグインをもう1つ導入します。
WebAuthn 専用プラグイン（WebAuthn Provider）の導入
Security Key を利用するには追加のプラグインが必要です。
- WordPress の管理画面にアクセスする
- プラグイン > 新規追加 に進む
- 検索窓から “webauthn provider for two factor” を入力し検索する
- “今すぐインストール”からインストールを行い、有効化する。
インストールと有効化が終わったら次にプロフィールから2要素認証の設定に進みます。
ユーザー設定で Security Key を登録する
- 管理画面左メニューの [ユーザー] > [ユーザー一覧]を開きます。
- 2要素認証を設定したいユーザをクリックします。
- ページ下部の [WebAuthn] セクションまでスクロールします。
- [WebAuthn を有効化] のチェックボックスにチェックを入れます。
ここからは実際の画面で紹介します。
[キーの名前]に登録する任意の名前を入力し、[新しいキーの登録]をクリックします。
OSから”Windows セキュリティ”の画面がポップアップ表示されるのでキーの保存先を変更します。
”セキュリティキー”をクリックします。
セキュリティキー（Google Titan Security Key)に物理的にタッチします。
PINを入力します。
再度、物理的にタッチします。
これで Google Titan Security Key が登録できました。
同じ要領で Security Key NFC by Yubico も登録します。
Google Titan と Yubiko のSecurity Keyの2つが登録できました。
動作確認
テストとして再度管理画面にログインします。
以下の画面が表示され、続けて、
以下の画面が表示されるので”セキュリティキー”をクリックします。
あとはPINを入力し、
物理的にキーにタッチすることで認証完了です。
以上
