手をかざすだけでゲート入場！手のひらベースの認証サービスを提供する Amazon One Enterprise がプレビューリリースされました #AWSreInvent

入館証を持つ必要がなく、手のひらをかざすだけでゲート入場。そんな未来の実現が一歩近づきました。

AWS re:Invent 2023

#AWS

千葉幸宏（チバユキ）

2023.11.29

コンバンハ、千葉（幸）です。

生体認識識別デバイスを通じて高精度なアクセス制御を提供する Amazon One Enterprise がプレビューリリースされました。

従業員が手のひらをかざすだけでロックが解除され、建物への入場、物理機器へのアクセス、デジタルリソースへのアクセスが可能になる、という未来が実現されそうです。

3行まとめ

従来から Amazon で提供されていた Amazon One とほぼ同等の内容を企業向けに展開するサービス
米国でプレビュー版として利用可能。利用には申請が必要
料金は現時点で不明（要問い合わせ）

Amazon One とは

Amazon One Enterprise の説明に入る前に、まずは Amazon One について押さえておきましょう。以下の動画の冒頭を見るとイメージがつきやすいと思います。

生体認証デバイスに手をかざすことで、支払いが完了したりゲートが通過可能になっている様子が分かります。このように手をかざすスタイルのことを palm-based（手のひらベース）と呼んでいるようです。

Amazon One は 2020年9月に登場し、99.9999% の精度ですでに 300 万回以上使用されており、その高精度を支える裏には生成 AI を用いた手のひら+血管の合成データを用いたトレーニングがあるとのことです。

Amazon One で取り扱われるデータは AWS クラウドに保存され、高いセキュリティレベルを保っています。

Amazon One についてさらに詳細を知りたい方は以下をご参考ください。

Amazon One Enterprise とは

Amazon One Enterprise は、Amazon One と同じコンセプトのエクスペリエンスを企業向けに提供するサービスです。

以下のページの冒頭に動画があるため、そちらをご覧いただくとイメージしやすいかと思います。

Amazon One Enterprise — Amazon Web Services

従業員がゲート上の生体認識デバイスに手をかざすことで認証され、スムーズに施設に入場している様子が表現されています。

一点、Amazon One においては手のひらベース認証が「支払い」にも対応していましたが、Amazon One Enterprise においてはそこは未対応のようです。高精度かつ安全なエンタープライズアクセス制御を提供するフルマネージドサービスである、と表現されています。

Amazon One Enterprise の利点

セキュリティの強化

従業員のデータは AWS のすべてのセキュリティおよび分離機能で暗号化されます。

手のひら認証に使用する署名は画像から生成された固有の数値ベクトルであり、複製したりなりすましに使用することはできません。

運用上のオーバーヘッドの削減

クラウドベースの管理を行うことによって、手動でのセキュリティチェックといったアクセス監視にかかる時間を削減し運用を合理化します。

管理者は AWS マネジメントコンソール上でデバイスのアクティブ化、ステータス監視、ソフトウェア更新の管理、使用状況のモニタリングを実施できます。

従業員のアクセスを簡素化

ユーザー自身が物理的なカードやバッジを身につけたり、PIN やパスコードを入力する必要がなくなりアクセス制御が簡素化されます。

手のひらの情報と組織の ID（上述の、カードやPINなど）を紐付けることで非接触のアクセスを実現します。

Amazon One Enterprise のコンポーネントを深掘りしてみる

すでに Amazon One Enterprise の AWS ドキュメントが公開されています。こちらを見てみましょう。

What is Amazon One Enterprise? - Amazon One Enterprise

なお、現段階でプレビューのため、一般公開時にはドキュメントの記載内容も変わっている可能性があります。

Amazon One Enterprise デバイスと管理コンソール

Amazon One Enterprise の利用には、まずデバイスを購入する必要があります。デバイスは以下の外観であり、各種仕様も公開されています。

one enterprise devices

（画像はドキュメントより引用）

また、管理者は Amazon One Enterprise コンソールを利用して以下のようなタスクを実行します。

サイト（ここでは物理的な場所のこと）を管理するリソース作成する
デバイスインスタンスを作成する
デバイスインスタンスに適用する構成テンプレートを作成する
ユーザー登録を行う
デバイスをアクティベーションする

なお、デバイスの購入および料金については問い合わせが必要です。利用申請とセットになるのではないかと思います。

Amazon One Enterprise のワークフローと概念

ワークフローとして、先述の Amazon One Enterprise コンソールで実施する内容が紹介されています。

one-enterprise flow

（画像はドキュメントより引用）

Amazon One Enterprise デバイスの購入
サイトとデバイスインスタンスを作成し、インストールためのデバイスの初期設定を実施
デバイスインスタンスのインストールと QR コードを用いたアクティベーションを実施
従業員の手のひら情報を登録
デバイスやユーザー情報の管理と監視を実施

画面のデザインから見て AWS マネジメントコンソールで実施するように見えます。

ここまで出てきた用語の概念を改めて取り上げます。

サイト：Amazon One Enterprise デバイスを設置する物理的な建物を管理
デバイス：Amazon One Enterprise デバイス
デバイスインスタンス：構成を含むデバイスの論理的表現。以下の状態を持つ
- 設定が必要
- アクティベーション待ち
- アクティブ
構成テンプレート：デバイスインスタンスに適用される構成セット

Amazon One Enterprise のリソースとアクション

Amazon One Enterprise の名前空間（あるいはサービスプレフィックス）はoneです。

これが何を言っているかというと、例えば IAM ポリシーを定義するときにアクション名の前にはoneが入る、ということです。

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "InstallerAccessStatementID",
			"Effect": "Allow",
			"Action": [
				"one:CreateDeviceActivationQrCode",
				"one:GetDeviceInstance",
				"one:GetSite",
				"one:GetSiteAddress",
				"one:ListDeviceInstances",
				"one:ListSites"
			],
			"Resource": "*"
		}
	]
}

定義されているアクションやリソースタイプは以下にまとまっています。