クライアント認証利用ガイド
最終更新日:2024年03月25日
概要
「クライアント認証」オプションをご利用いただくと、スパイラル操作画面にログインできる端末を特定することができます。
１．クライアント認証の仕組み
１－１ SSL クライアント認証とは
WebサーバにSSLで接続する際、クライアント (ブラウザ )に電子証明書を提示させ、接続元を認証する方法を一般に SSL クライアント認証と言います。
通常の SSL 接続の場合、クライアントがサーバーの電子証明書を承認することで SSL 通信を開始します（下記２つの図の上図）が、クライアント認証を行う SSL 接続の場合、クライアントがサーバーの電子証明書を承認するだけでなく、サーバーがクライアントの電子証明書を承認して初めて SSL 通信を開始します（下記２つの図の下図）。
このとき、クライアントが提示する電子証明書は、サーバーが信用する認証局が署名している必要があります。
つまり、一般の SSL 経由の http 接続ではクライアントが一方的にサーバーを認証しますが、SSL クライアント認証ではクライアントとサーバーが相互に認証し合う必要があります。
本ページでは、クライアントが提示する電子証明書を「クライアント証明書」と呼んでいます。
この認証方法を利用することによって、たとえ第三者が不正にログイン ID とパスワードを入手したとしても、クライアント証明書が提示されない限り管理画面を閲覧することはできません。
１－２ クライアント認証で接続端末を特定する
本サービスでクライアント認証機能を利用する最大のメリットは、利用端末を特定することにあります。
なぜ利用端末を特定する必要があるのか
クライアント認証は、SSL の技術を応用して本サービスの利用端末を特定する機能です。
従来の認証方法では
（１）ユーザーを特定する「ID」
（２）ユーザーしか知り得ない「パスワード」
をもとにユーザーの特定を行っていました。
しかしながら、本サービスのような業務支援ソフトウェアの場合、例えば機能を操作するオペレーターの方の異動や、操作の外部委託などによって、本来操作すべきでない方が ID とパスワードを知っている状況が発生する可能性があります。
このような場合に、たとえ ID とパスワードを知っていても、本来操作すべきでない方が操作できないように、また、本来操作すべきでない場所から操作できないような環境を用意すればより安全であると言えるでしょう。
ユーザーの皆様がプライバシーマークを取得する動きが活発になっております。
個人情報保護法の施行後、情報リスクに対する厳格な取り扱いが求められる今、本サービスは、大切な情報を安全に保管する「データベースの銀行」としての役割を担うことになります。
クライアント認証は、（１）ユーザーを特定する「ID」（２）ユーザーしか知り得ない「パスワード」に並ぶ第３の柱として、本サービスの利用環境の安全性の向上に寄与するものと考えています。
クライアント認証機能を有効にご活用ください。
※さらに IP アドレスによるアクセス制限を加えることも可能です。
※アクセス環境の特定は、情報リスクの管理規定を作成する際に必ず含まれる項目です。
※本サービスは、今後もユーザーの皆様の情報管理の基盤を支えるべく改善を進めて参ります。
２．クライアント認証を利用するには
クライアント認証を利用するまでの手続きは下記のとおりです。
２－１ クライアント認証オプションを注文する
クライアント認証はスパイラルのオプション機能のため、アカウント契約とは別にオプション契約が必要です。
操作画面のアカウント情報管理より、オプション契約を行ってください。
２－２ スパイラル株式会社ルート証明書をブラウザにインポートする
クライアント認証を利用するブラウザには、 スパイラル株式会社ルート証明書がインポートされている必要があります。
スパイラル株式会社ルート証明書をインポートしていない場合はこちらより証明書をダウンロードして、ブラウザにインポートするようお願いいたします。
スパイラル株式会社ルート証明書のブラウザへのインポートに関する詳細はこちらを参照ください。
２－３ クライアント証明書をブラウザにインポートする
お手元に届いたクライアント証明書を、お使いのブラウザにインポートします。
証明書のダウンロードページでパスワード入力を求められた場合には、問い合わせ窓口までご連絡ください。
※Internet Explorer 11 の場合（macOSの場合はこちら）
ブラウザの【ツール】メニューの【インターネットオプション】を開き、証明書ボタンをクリックします。
証明書ダイアログのインポートボタンをクリックします。
証明書のインポートウィザードダイアログの次へボタンをクリックします。
お手元のクライアント証明書ファイルを指定します。証明書ファイルは PKCS#12 形式です。拡張子を指定する場合は「.p12」をお選びください。
秘密キーのパスワードを入力します。（後半部分はユーザーズデスクまでお尋ねください）
もし、お使いの端末が本サービス以外の目的にも使用されている場合は、「秘密キーの保護を強力にする」にチェックすることをお奨めします。
「このキーをエクスポート可能にする」にはチェックしないようにしてください。
証明書は以下の図のとおり、「個人」ストアに配置します。次へをクリックします。
「正しくインポートされました」というダイアログを確認し OK ボタンをクリックします。
以上で証明書のインポートは完了です。
※macOS の場合（下記はmacOS Venturaの例です）
キーチェーンアクセスアプリを開き、上のメニューからファイル＞読み込むを選択して、クライアント証明書を開きます。
または、Finderでクライアント証明書をダブルクリックなどして開くのでも構いません。
パスワードの入力を求められますので、秘密キーのパスワードを入力します。（後半部分はユーザーズデスクまでお尋ねください）
正しく読み込まれると、キーチェーンアクセスアプリに証明書が表示されます。
２－４ クライアント認証管理画面にログインする
※Windows（Internet Explorer 11）の場合（macOSの場合はこちら）
ブラウザにクライアント証明書がインポートされていることを確認します。
ブラウザの【ツール】メニューの【インターネットオプション】を開き、証明書ボタンをクリックします。
「個人」ストアに「PIPED BITS Primary CA」が署名（発行）した証明書が保存されていることを確認します。
また、有効期限を過ぎていないことを確認します。
※クライアント認証の有効期限は1年間です。有効期限を過ぎた証明書はご利用いただけません。
更新用の証明書がお手元にない場合は、お手数ですが、当社までお問い合わせください。
クライアント証明書をインポートしていることを確認した後に、当社に利用開始のご通知をお願いします。
利用開始のご通知は大切な手続きです。
ユーザーズデスクでは、ご通知を受けてログイン方式の切替を行います。
この切り替えを行ってはじめてクライアント認証用のログイン認証を受けることができます。
※クライアント認証の利用を開始したユーザーは、通常のログインページからログインしていただくことが出来ませんのでご注意ください。
※クライアント認証用のログインページは、通常のログインページと異なります。
クライアント認証用のログインページはクライアント証明書とともにご案内しますのでご確認ください。
クライアント認証用のログインページにアクセスします。
クライアント認証用のログインページにアクセスすると、クライアント認証の提示を求めるダイアログが開きます。
先ほどインポートしたクライアント証明書を選択し、OKボタンをクリックします。
※macOS の場合（下記はmacOS VenturaでSafariブラウザを使用した例です）
２−３の手順を行い、キーチェーンアクセスアプリに証明書が表示されている場合、証明書は正しくインポートされています。
クライアント証明書をインポートしていることを確認した後に、当社に利用開始のご通知をお願いします。
利用開始のご通知は大切な手続きです。
ユーザーズデスクでは、ご通知を受けてログイン方式の切替を行います。
この切り替えを行ってはじめてクライアント認証用のログイン認証を受けることができます。
※クライアント認証の利用を開始したユーザーは、通常のログインページからログインしていただくことが出来ませんのでご注意ください。
※クライアント認証用のログインページは、通常のログインページと異なります。
クライアント認証用のログインページはクライアント証明書とともにご案内しますのでご確認ください。
クライアント認証用のログインページにアクセスします。
クライアント認証用のログインページにアクセスすると、クライアント認証の提示を求めるダイアログが開きます。
先ほどインポートしたクライアント証明書を選択し、「続ける」ボタンをクリックします。
Safariブラウザが、証明書を使用して良いか確認するダイアログが開きます。
macOSで使用しているパスワードを入力して「許可」ボタンを押してください。
（複数回、同じ画面でパスワードを求められる場合には、「常に許可」ボタンを押すことで一度の許可で認証できます）
２－５ マルチアカウントユーザーでクライアント認証を利用する
マルチアカウントユーザーに対してクライアント認証を利用したい場合は、２－２と同様の手順にてお手続き頂くことができます。
※マルチアカウントユーザーがクライアント認証の利用を開始する場合は、担当者IDでマルチアカウントのログイン方式を切替える必要があります。
当社に利用開始のご通知は不要です。
担当者IDでログインした操作画面の アカウント情報管理＞マルチアカウント管理＞利用開始したいマルチアカウントの基本設定より、クライアント認証「する」にチェックを入れ「変更」ボタンをクリックしてください。
※クライアント認証の利用を開始したユーザーは、通常のログインページからログインして頂くことが出来ませんのでご注意ください。
ログインページの URL は担当者IDでログインした操作画面の アカウント情報管理＞マルチアカウント管理よりご確認ください。
２－６ 注意事項
クライアント認証のご利用にあたり、以下の点にご注意ください。
１）クライアント認証を利用する場合は、 ご契約のID１つにつき、１件以上のお申込が必要です。
２）マルチアカウントのIDにクライアント認証を利用する場合は、マルチアカウントのID１つにつき、１件以上のお申込が必要です 。
３）１つのクライアント証明書を複数のIDに使用することはできません 。
４）クライアント証明書の有効期間は１年間です。 有効期限を過ぎた証明書はご利用頂けません。
更新用の証明書がお手元に無い場合は、 お手数ですが当社までお問合せください 。
５）クライアント認証用のログインページのURLは、クライアント認証を使用しない場合の通常のログインページURLとは異なります。
クライアント認証用のログインページはクライアント証明書とともにご案内いたします。
６）クライアント認証の利用を開始したユーザーは、 通常のログインページからはログイン出来ません 。
３．クライアント認証を停止するには
クライアント認証を停止するまでの手続きは下記のとおりです。
３－１ クライアント認証を停止する
通常、クライアント認証を停止する理由は以下のいずれかであると考えられます。
Case1）クライアント認証の必要が無くなったので、クライアント認証を完全に停止したい。
Case2）１つの ID に対して複数のクライアント証明書を使用していたが、一部の証明書だけを無効にしたい。
クライアント証明書を無効にしたい場合
クライアント証明書の有効期間は通常１年間です。有効期限を経過した証明書を用いて認証を受けることはできません。
したがって、有効期限を経過した証明書を敢えて無効にする手続は必要ありません。
一方で、以下のような場合は、いずれも本来使用すべきでない第三者がクライアント証明書を使用し得る可能性がありますので、セキュリティを維持する為に有効期間内であっても利用していた証明書を無効にする必要があります。
例１）クライアント証明書を管理していたディスクを紛失した。
例２）クライアント証明書をインポートし、使用していた端末を紛失した。
例３）操作を委託していた業者用にクライアント証明書を発行していたが、当該委託契約が終了した。
クライアント認証を停止する又は一部の証明書を無効にするには
クライアント認証を停止する又は一部の証明書を無効にしたい場合、操作画面のアカウント情報管理より、オプション解約を行ってください。
弊社から停止の確認をさせて頂いた後に、停止の手続きを行います。
停止手続き完了後、弊社から停止手続きの完了をご案内致しますので、しばらくお待ちください。
４．クライアント証明書の管理
本サービスのクライアント認証機能で使用するクライアント証明書を保管する際にご注意頂く事項について案内します。
４－１ クライアント証明書の保管について
クライアント証明書は厳重に取り扱う必要があります。
第三者がクライアント証明書を手にすると、クライアント認証は端末を特定するという大切な役割を果たせなくなります。
クライアント証明書は以下の点に注意して保管するようご注意願います。
１）証明書を記録した媒体は施錠可能な保管庫に保管し、インポートが必要な時以外には触れないこと。
２）証明書を管理する管理者を特定し、当該管理者以外の者が証明書を取り扱わないこと。
３）ブラウザにインポートする際に入力する秘密キーのパスワードは、証明書の管理者以外が知ることの無いよう管理すること。
４）ブラウザにインポートする際に「このキーをエクスポート可能にする」オプションを無効にすること。
５）証明書の管理者が証明書の取り扱いの重要性を深く認識し、必要な場面以外の目的で証明書を使用しないよう指導、監督すること。
６）その他、証明書の管理者以外が取り扱う又は管理者が目的に外れた取り扱いを行わないよう必要な措置を講じること。
４－２ クライアント証明書の有効期限
クライアント証明書の有効期限は、基本的に証明書の発行後１年間です。
有効期限を経過した証明書はクライアント認証に用いることができません。クライアント認証を用いるには、更新作業が必要です。
４－３ クライアント証明書を更新する
一度クライアント認証の利用を開始すると、停止の申請を行わない限り、クライアント証明書の有効期限を経過する前に自動的に更新手続きを行います。
更新時に新しいクライアント証明書を発行しますので、先に示したインポート手順に従って証明のインポートを行ってください。
※クライアント証明書の更新を行わない場合は、 クライアント認証停止の手順に従って手続きをお願いします。
サポートについて
ご不明な点等ございましたら、お気軽に下記までお問い合わせください。
お問い合わせ先
緊急時の連絡先について
システム不具合等、緊急を要する場合は、以下のフォームよりご登録ください。
緊急時連絡登録フォーム：https://www.spiral-platform.co.jp/sp/trouble/