本日（2026年10月27日）、YubiOn FIDO Logonのアップデートをリリースいたしました。と、言っても、既存のWindows版クライアントソフトをアップデートしたわけではありません。今回は、macOS版のクライアントソフトをリリースさせていただきました。
今までもYubiOnではmacOSに対応した製品として、YubiOn Portal・YubiOn MacLogin Standaloneのソフトウェアを提供していました。それらはどちらもYubiKeyのChallenge-Response機能を使ったソフトウェアでしたが、今回、FIDO LogonのmacOS版クライアントソフトをリリースする事で、Mac利用者に対してもFIDO認証を用いた最新のセキュリティ体験を提供する事が出来るようになりました。Macと言いますと、いささか勝手な思い込みではありますが、おしゃれなカフェなどでさっと開いて作業する、といったイメージがあります。そういった出先での作業時のセキュリティ確保にも大変お勧めできる製品になったのではないかと思います。
この記事では、今回リリースされたmacOS版のクライアントをインストールし、実際に利用するまでの流れをご紹介しようと思います。macOSのバージョンは先月リリースされたばかりのGoldenGateを用います。また、セキュリティキーについては主にYubiKey5C NFCを用いています。
■インストール・初期設定
まずは、インストールを行っていきましょう。今回は説明を省略しますが、まだFIDO Logonサービスに登録されていないという方は、まずはサービスの登録を行っておいてください。
Macでは一般的なpkg形式のインストーラーを提供していますので、FIDO LogonのWEBサイトからダウンロードします。macOSの端末でアクセスした場合、自動でmacOS版のインストーラーが表示されていますので、ダウンロードしましょう。
ダウンロードしたpkgファイルを開くと、おそらくMacを使っている方は一度は見た事があるような一般的なインストーラーの画面が開きます。
素直に進んでいくと、インストール処理が進んでいきます。途中、位置情報の取得許可を求められたら許可してください（※操作ログへの位置情報記録に使用します）。
また、MacBookシリーズ（ノート型Mac）の場合、以下のようなダイアログが表示されます。MacBookシリーズの場合、デフォルト設定では有線デバイス（USBなど）を初めて接続した際に許可を求められる設定になっています。ですが、ログオン前の画面の場合、許可を行う事が出来ない場合があります(※)。そのため、システム設定の「プライバシーとセキュリティ」-「アクセサリ」の「アクセサリの接続を許可」の項目を「常に許可」にする事をお勧めしています。ダイアログの「システム設定を開く」ボタンで設定画面を開いて設定を行ってください。
(※)厳密には、FIDOセキュリティキー自体はこれらの許可を必要とせず、挿入したらすぐに利用可能です。ただ、USBハブなどがこの制限に抵触する事があり、結果としてセキュリティキーのUSB形状とUSBポートの形状が合わなくてログオンできない、といった可能性があるため、設定をしておく事をお勧めします。
インストールが終わったら、LaunchPadの中に「YubiOn FIDO Logon 設定ツール」が追加されていますので起動しましょう。
Windows版と同様に、まずは登録コードの入力画面が表示されますので、指示に従ってダウンロード画面に表示されている登録コードを入力してください。コピーしたコードをそのまま貼り付ける事をお勧めします。
設定ツールのメイン画面が表示されたら、次は認証器の登録に進んでいきましょう。
■アカウントに認証器を登録する
設定ツールはほぼWindows版と同様の画面構成になっています。左メニュー部分、「認証設定」をクリックする事で認証器の登録や削除が出来る画面が表示されます。
ログオンに使用するセキュリティキーを準備して、「セキュリティキーを登録」ボタンをクリックすると、セキュリティキーの登録が開始されます。
準備したセキュリティキーをMacに挿すと、PIN認証器であればPIN入力画面が開きますので、PINを入力して進みます。
セキュリティキーのタッチを求められるので、指示に従ってタッチしていきます。
これでセキュリティキーの登録は完了しました。
大体Windows版と同じように使えるようにしておりますので、完全に初期状態のPINを設定していないセキュリティキーの場合はPINの登録を最初に求められます。
また、ポリシー設定で「認証器未登録アカウントへのログオン」を「初回のみパスワードでログオンし、認証器の登録を強制する」にしていれば、Windows版と同様にログオンする場面で認証器を登録する事も可能です。
なお、現在はまだスマートフォンを用いたログオンと企業向け認証器機能には対応しておりません。今後のアップデートで実装していく予定です。
■ログオンしてみる
それでは、登録したセキュリティキーを用いてログオン出来る事を確認していきましょう。設定ツールを終了してログアウトをすると、macOS標準のログオン画面からFIDO Logonのログオン画面に変わっている事が確認できるかと思います。
ちなみに、macOSの場合、端末のアカウント認証を行って利用できるようにする、あるいは利用を終了する事は通常「ログイン」「ログアウト」と言いますが、YubiOn FIDO Logonでは製品全体で「ログオン」「ログオフ」表記で統一させていただいています。
ログオン画面についてもデザインは多少異なりますが、Windows版と同じ流れになります。セキュリティキーを挿入するとPIN入力画面が表示されます。
PINを入力したらタッチ要求があり、指示に従ってタッチするとFIDO認証が完了します。
なお、登録したセキュリティキーで初めてFIDO Logonでログオンする際は、これもWindows版と同様ですが、アカウントのパスワードを入力する必要があります。ここで入力したパスワードは、FIDO認証を行わないと取り出せない鍵（hmac-secret）を用いて暗号化して保存されます。二回目以降はその暗号化したパスワードを用いてログオンしますので、パスワードの入力は不要になります。
■新機能「オフラインリカバリ」について
macOS版では、一つだけWindows版に無かった機能を実装しています。それが「オフラインリカバリ」機能です。この機能は、管理画面で発行したオフラインリカバリコードを入力する事で一時的にパスワードによるログオンを可能にする機能です。これだけだと「緊急ログオン」機能と何が違うのか、という話になりますね。緊急ログオン機能の場合は「サーバーと通信して緊急ログオン状態になっていたら」パスワードログオンが可能なのに対して、オフラインリカバリ機能の場合は、Macが通信できない状態でも利用可能な点が緊急ログオンと異なる点になります。
macOSは、ログオン画面でのネットワーク接続設定の変更が行えず、また、本体に有線LANコネクタなどが備わっていない場合が多いです。Windowsの場合、ログオン画面で無線LANなどが繋がらない場合でも最悪有線LANを接続してサーバーと通信し、緊急ログオンシグナルを受け取ってパスワードログオンする、といった方法が使えましたが、Macの場合だと環境が変わって無線LANが繋がらない場合などに「詰んでしまう」場合があります。YubiOn PortalのmacOS版などでもそういった問い合わせがあり、現実に則したリカバリー手段の提供が必要だと判断して新たに実装した機能になります。
実際に使用する際は、まず、管理WEBサイトのアカウント画面からオフラインリカバリログオンしたいアカウントの「オフラインリカバリ」列の記号をクリックし、オフラインリカバリコード管理画面を開きます。
有効期限（デフォルト1日、最大3日まで）を指定し、「発行」ボタンをクリックします。なお、ADアカウントの場合はどの端末からログオンするかを指定する必要があります。
すると以下のようなオフラインリカバリコードの発行画面が表示されます。オフラインリカバリコードはここでしか確認できませんので、この画面が開いている状態でメモしたりテキストを保存したりしておいてください。
このオフラインリカバリコードを実際にログオンしたい利用者に伝えてください。利用者は、ログオン画面で「オフラインリカバリコードでログオン」をクリックし、オフラインリカバリコード入力画面を開きます。
 |  |
伝えてもらったオフラインリカバリコードを入力し、「OK」をクリックすると、オフラインリカバリコードの検証が行われます。正しい事が確認できると、アカウントパスワード入力画面が開きます。総当たり攻撃を防ぐため、一定回数間違えるとしばらくオフラインリカバリコードの入力が出来なくなりますのでお気をつけください。
 |  |
あとは緊急ログオンの時と同様に、アカウントのパスワードを使ってログオンが出来ます。
こういったシステムを導入する際、出来ればトラブルは無いに越した事はないですが、現実的な話としては起きてしまったトラブルに対応出来る事も重要な事だと思います。弊社のmacOS対応アプリケーション提供で得られた知見を元に、社内システムエンジニアの皆様のトラブル対応が楽になる仕組みを今後も提供していきたいと考えています。
■技術的な話 - FileVaultについて
macOSには、FileVaultと呼ばれるディスク暗号化の仕組みがあります。Macの電源を入れた際、あるいは再起動した際に、ID・パスワードを要求されます。見た目は通常のログイン画面とほぼ同じなのですが、内部的には「FileVaultの認証」を確認後にディスクの暗号化を解除し、その後「ログイン認証」によってログインが完了する、という流れになっています。これらのID・パスワードは共通なのですが、今回提供するmacOS版FIDO Logonは、2つの認証のうち「ログイン認証」の部分のみ対応しています。macOS標準の状態では、「FileVaultの認証が通った場合、ログイン認証も完了した事にする」という仕組みが裏で働いているのですが、macOS版FIDO Logonを導入した場合はその仕組みを解除していますので、最初にFileVaultの認証（ID・パスワード入力）が行われ、その後FIDO Logonによるログオン認証が行われる、という流れになります。
なお、FileVaultの認証とFIDO Logon認証を両方やらなければならないのはMacの電源を入れた際・再起動した際だけで、日々の作業中のスリープ解除や画面ロック解除時はFIDO Logonの認証を行うだけで復帰します。
■macOSでのセキュリティキー設定について
WindowsではOSの設定画面からセキュリティキーのPIN登録や指紋登録、キーのリセットなどが出来るのですが、macOSは標準でそういったセキュリティキーの管理機能を備えておりません。ですので、今回提供したmacOS版クライアントの設定ツールにはセキュリティキー管理機能を追加しています。WindowsのOS設定画面などでは管理できない指紋一つ一つの個別管理なども出来るようにしていますので、ご利用いただければと思います。
また、今回のmacOS版の動作試験を担当してくれた同僚が、セキュリティキーのPINや指紋、更に細かい設定（例えばセキュリティキーの最少PIN文字数など）も行える「YubiOn SecurityKey Manager」というツール（Windows/macOS両対応）を作っており、こちらは今回のリリースと同時にフリーソフトとして公開しております。おそらく当人から後日別途ブログで紹介があると思いますが、こちらも非常に便利ですので、ぜひご利用いただければと思います。
https://yubion.com/yubion-securitykey-manager/
■まとめ
今回、YubiOn FIDO Logonで新たに追加されたmacOS版について説明をさせていただきました。私自身プライベートでもMacを使っており、個人的にもYubiOn FIDO LogonのmacOS版があれば良いなと思っていたので、自分自身で使いたくなるようなアプリケーションとして提供できて嬉しく思います。Macを使われている皆様が、場所を選ばずいつでも安心・安全にMacを開ける、そんな快適なセキュリティ体験をお届けできれば嬉しく思います。
無料トライアルとして、有料版と同等の機能を3ヶ月間お試し頂けますので、まずは是非試して頂ければと思います。
■関連リンク
[YubiOn FIDO Logon]
https://fl.yubion.com
[YubiOn FIDO Logon概要ページ]
https://www.yubion.com/fidologon