CA Risk Authentication Java 開発者ガイド › はじめに › 統合手順の概要

統合手順の概要

RiskMinder SDK では、ユーザが利用可能な統合メソッドおよびリスク ベースの認証フローのタイプを、さまざまな組み合わせで自由に設定できます （サポートされるワークフローの詳細については、「RiskMinder ワークフローについて」を参照）。これにより、組織の要件に最も適した最良の認証ソリューションを設計できます。

RiskMinder フローは、以下で説明する段階でユーザのオンライン アプリケーションに統合できます。

ユーザがアプリケーションにログインする前（単にログイン ページにアクセスした時）

この場合、アプリケーションはログイン ページから RiskMinder の evaluateRisk() 関数を呼び出して、（ユーザがログイン認証情報を指定する前に）受信データに関連付けられたリスクを評価する必要があります。 たとえば、拒否 IP チェックおよび拒否国チェックについて、IP アドレスや国を評価できます。

注： 拒否 IP アドレスは、過去に既知のアノニマイザ プロキシまたは不正行為や悪意のあるトランザクションの発信元となった IP アドレスの集合体です。 同様に拒否国は、過去に不正行為や悪意のあるトランザクションが記録されているすべての国の集合体です。

この場合、ユーザ情報が必要でない他の RiskMinder ルールを評価することもできます。 これらには、実装している Device Velocity Check ルールや任意のカスタム ルールが含まれます。

ユーザが（ユーザ名とパスワードを指定し、アカウントまたは保護されたリソースにアクセスして）オンライン アプリケーションにログインした後

この場合は、以下が行われます。

1. アプリケーションは、ログイン成功後に表示されるアプリケーションのメイン ページから RiskMinder を呼び出す必要があります。 以下のような場合が考えられます。
   • ユーザが RiskMinder に登録されている場合、リスク評価を受ける必要があります。

     この場合、アプリケーションは、リスク評価のために、ユーザ、デバイス シグネチャ（RiskMinder で提供されている DeviceDNA Javascript を使用して収集）、IP アドレス、トランザクションの詳細を渡して、RiskMinder の evaluateRisk() 関数を呼び出す必要があります。

     • ルールの実行後に、受信されたユーザ データに（受信データとこのユーザまたはデバイスの保存データに基づいて）低いスコアが割り当てられた場合、アドバイスとして許可が与えられます。 この場合、アプリケーションは保護されたリソースまたは Web ページへのアクセスをユーザに許可し、トランザクションの続行を許可します。
     • ルールの実行後に、受信されたユーザ データに（受信データとこのユーザまたはデバイスの保存データに基づいて）高いスコアが割り当てられた場合、アドバイスとして否認が与えられます。 この場合、結果は組織のポリシーによって決定されます。 そのトランザクションは拒否することも、セキュリティ アナリスト（RiskMinder ではテクニカル サポート担当者（CSR））に転送して確認と次のアクションを実行することもできます。
     • トランザクションに疑わしいとのフラグが立てられた場合、アドバイスとして INCREASEAUTH が与えられます。 この場合、アプリケーションは 2 次認証を実行する必要があります。それには業界標準のワンタイム パスワード（OTP）や秘密の質問（母親の旧姓や生年月日など）を含めることができます。

     注： CA AuthMinder はこの目的のために使用することもできます。
     詳細については、http://www.ca.com/us/two-factor-authentication.aspx を参照してください。

     アプリケーションが 2 次認証でユーザを認証した場合にのみ、保護されたリソースまたは Web ページへのアクセスをユーザに許可し、トランザクションの続行を許可する必要があります。

   • ユーザが RiskMinder では新規である場合、登録する必要があります。

     この場合、アプリケーションは、RiskMinder データベースにユーザを作成するためにユーザの詳細を渡して、ArcotUserRegistrySvc Web サービス内で RiskMinder の createUserRequest メッセージを呼び出す必要があります。

     重要： RiskMinder の動作はエンド ユーザに「認識されない」ため、この登録によってエンド ユーザ エクスペリエンスを変更しないことをお勧めします。

     RiskMinder がこの登録後にユーザを「認識」したら、アドバイスが ALLOW である場合は、evaluateRisk() 関数を呼び出してユーザにトランザクションの続行を許可する必要があります。

     2 つの異なるユーザ登録方法の詳細については、「登録ワークフロー」を参照してください。

2. アプリケーションは、evaluateRisk() 関数の後に RiskMinder の postEvaluate() 関数を呼び出します。 RiskMinder サーバは、この関数の結果に基づいて、ユーザとデバイスの関連付けを作成して、属性を更新するかどうかを決定します。