Ver.3～クラウド時代のID連携を支援する～

オープンソース・ソリューション・テクノロジ株式会社

http://www.osstech.co.jp/
Copyright © 2016 Open Source Solution Technology, Corp.

1

クラウド時代のID管理

1. 管理対象の分散化
オンプレミスとクラウドサービスの混在

システムごとのID管理

2. ID管理工数の増加
システムごとの個別ID管理操作

3. 適切なID管理の不徹底


個別管理による操作漏れ複数システム間のID情報の不整合

ID統合管理の必要性

Copyright © 2016 Open Source Solution Technology, Corp.

2

クラウド時代のID管理 (2)4. 既存ID管理システムとの統合

既存システム に クラウドサービスを追加

5. WebアプリとのID管理統合
Webアプリと親和性の高いID連携方式の必要性

ID連携の必要性

Copyright © 2016 Open Source Solution Technology, Corp.

3

Unicorn ID Manager 概要


統合ID管理 & ID連携製品


複数システムのID管理操作を統合
LDAP、Active Directory(Samba4)

Office365、Google AppsRDBMS(MySQL、MariaDB、PostgreSQL)

メタディレクトリを持たず、ID連携操作のみを連携

連携設定・連携項目の設定のみで利用可能

各連携先をマスターデータとして処理

各連携先で直接操作を行っても問題無し

Copyright © 2016 Open Source Solution Technology, Corp.

4

Unicorn ID Manager 概要図
管理者

e

ユーザー

ユーザーeeクラウドサービス

Office365
ユーザー情報ID管理業務・ユーザー管理・グループ管理パスワード変更操作
セルフメンテナンス操作
パスワードリセット

CSV
ファイル

GoogleApps

管理者用
Webインタフェース

一般ユーザー用
Webインタフェース

ID情報を
連携

Google Apps
ユーザー情報Active Directory
ユーザー情報管理者用
コマンドラインインタフェース

REST API
インタフェース

REST API
ID連携リクエスト

コマンド実行
バッチリクエスト

CSV
ファイル# unicornidm-tool user add <csvfile>

Webアプリケーション

社内システムCopyright © 2016 Open Source Solution Technology, Corp.

OpenLDAP
ユーザー情報データベースユーザー情報5操作インタフェース


管理者用インタフェース
Webインタフェース


CSV一括操作、Webページ上の個別操作

コマンドインタフェース (CSVファイル)

SCIM対応 REST API (JSON)

一般ユーザー用 Webインタフェース
パスワード変更・パスワードリセットページ



セルフメンテナンス
Copyright © 2016 Open Source Solution Technology, Corp.

6製品価格体系
製品
保守

1ノード : 60万円(税抜)* 永続ライセンス

1システム: 24万円 / 年* アップデート版の提供含む

Copyright © 2016 Open Source Solution Technology, Corp.

7

動作環境


対応OS


Red Hat Enterprise Linux 7 / CentOS 7 (x86-64) 以降



ハードウェア要件
Intel Xeon CPU 2core以上



メモリ

4GB以上



ディスク

20GB以上(OS領域含む)

対応Webブラウザ
Microsoft Internet Explorer 11 / Edge



Google ChromeFirefoxSafari
Copyright © 2016 Open Source Solution Technology, Corp.

8

システム構成例
標準的なID管理システム構成

Google Apps

Office365
Azure AD

インターネットLAN
パスワード
変更操作

ユーザー
ID管理業務(CSVファイル)管理者

OpenLDAP

Active Directory

Copyright © 2016 Open Source Solution Technology, Corp.

9

システム構成例2
既存ID管理システムと統合
既存ID管理システム
ID管理業務

ID連携処理管理者

新規ID連携先CSVファイル
追加 ID連携先1

コマンドインタフェース実行

Copyright © 2016 Open Source Solution Technology, Corp.

追加 ID連携先210

システム構成例3
ID管理APIの共通化に利用


連携先が追加されても同じAPIでID管理の連携が可能

ID連携先1REST API

アプリケーション
ID連携先2

連携先追加

ID連携先3Copyright © 2016 Open Source Solution Technology, Corp.

11

システム構成例4
ID連携プロトコル変換コネクタ


Webアプリケーション開発者になじみ深いREST APIでLDAPやActive Directoryサーバーのユーザー連携処理の実装を支援

REST API

LDAP

アプリケーション

OpenLDAP

Active Directory

Copyright © 2016 Open Source Solution Technology, Corp.

12

機能概要 - 管理者 組織選択画面 

複数の連携先の組み合わせ


連携先の組み合わせ(ターゲット)を複数設定可能「ターゲット1」

LDAP、Active Directory、Google Apps

「ターゲット2」
LDAP、Office365

Copyright © 2016 Open Source Solution Technology, Corp.

13

機能概要 - ユーザー管理機能 

パスワード管理関連機能

任意のユーザーのパスワードリセット

パスワードポリシーの適用

ランダムパスワード生成

スキーマ拡張対応


LDAP、Active Directoryのスキーマ拡張対応

連携スクリプトアカウント操作時にシェルスクリプト実行
Copyright © 2016 Open Source Solution Technology, Corp.

14

機能概要 - 管理者 操作画面 

管理者によるID管理操作


ユーザー管理操作

登録、更新、削除、有効化、無効化、パスワード変更



ランダムパスワードの自動生成



操作時に連携対象の選択可能

ユーザー一覧表示・取得

グループ管理

グループ登録・削除・メンバー管理

Copyright © 2016 Open Source Solution Technology, Corp.

15

機能概要 - 一般ユーザー向け 

一般ユーザー向け機能
パスワード変更

パスワードリセット

セルフメンテナンス

Copyright © 2016 Open Source Solution Technology, Corp.

16

機能詳細 - パスワード変更画面 ユーザー向けパスワード変更画面


連携先のパスワードを一括変更



パスワードの複雑性による制約


パスワードの強度判定

文字数、複雑性、禁止文字など

ステータスバーで入力した新しいパスワードの強度を判定

パスワード変更の注意書きの文面を設定可能
デフォルトでは複雑性の条件を表示。代わりに利用者向けの注意事項の文章を表示設定が可能

Copyright © 2016 Open Source Solution Technology, Corp.

17パスワード変更画面


パスワードポリシーの強制・強度判定



任意の説明文の設定可能

Copyright © 2016 Open Source Solution Technology, Corp.

18

ユーザー情報 セルフメンテナンス

ユーザー自身で自分の情報の変更が可能

変更可能な項目は初期設定で設定

Copyright © 2016 Open Source Solution Technology, Corp.

19

ユーザーパスワードリセット

ユーザー自身でパスワードのリセット

メールによるパスワード変更リンクの通知

事前登録済みメールアドレスのみ有効

パスワード変更リンクは一定期間のみ有効

Copyright © 2016 Open Source Solution Technology, Corp.

20

管理画面

- ターゲット選択 -

1台のUIDMサーバに 複数のターゲットの設定



1つのターゲットに複数のID連携先を登録

ターゲットごとに連携項目を定義

Copyright © 2016 Open Source Solution Technology, Corp.

21

管理画面
構成例

- ターゲット構成例 ターゲット1

LDAP

ActiveDirectory

RDBMS

Office365

GoogleApps

ターゲット2
ターゲット選択管理者

LDAP

ActiveDirectory(ドメインA)

ActiveDirectory(ドメインB)

Copyright © 2016 Open Source Solution Technology, Corp.

22

管理画面
- 連携項目のマッピング -項目マッピングを設定

入力項目
userName: yamada
姓: 山田
名: 太郎
氏名: 山田 太郎
mail: yamada@example.com
UID番号: 2001
GID番号: 3000
UNIXホーム: /home/yamada
Winホーム: ¥¥server¥home¥yamada

LDAP登録内容
uid: yamada
sn: 山田givenName: 太郎
mail: yamada@example.com
uidNumber: 2001
gidNumber: 3000
homeDirectory: /home/yamada

Active Directory登録内容
uid: yamada
sn: 山田givenName: 太郎
mail: yamada@example.com
homeDirectory: ¥¥server¥home¥yamada

Copyright © 2016 Open Source Solution Technology, Corp.

23

機能概要 - 管理者 ユーザー一覧 

各連携先のユーザー一覧情報を統合出力

CSV形式の一覧ファイルダウンロード

ユーザー検索機能 (一覧に含まれる項目で検索可能)

Copyright © 2016 Open Source Solution Technology, Corp.

24

機能詳細 - 管理者 1ユーザー登録 

入力項目は初期設定にて設定



登録先を管理者がユーザーごとに選択可能

Copyright © 2016 Open Source Solution Technology, Corp.

25

機能詳細 - 管理者 1ユーザー変更操作 

更新・無効化・有効化・削除・リネーム・パスワード変更



操作先を、チェックボックスで選択可能

Copyright © 2016 Open Source Solution Technology, Corp.

26

機能詳細 - 管理者 CSV一括操作 

操作種別

一括登録・更新・削除・有効化・無効化、パスワー
ド変更・リネーム

連携対象を選択可能

Copyright © 2016 Open Source Solution Technology, Corp.

27

機能詳細 - CSVフォーマット CSVフォーマット


CSVの1行目はヘッダー(各項目名)



画面表示の項目名がCSVのヘッダー(userName以外)

UTF-8 / シフトJIS の CSVファイルに対応

登録用CSV、更新用CSV、削除用CSVなどを利用
userName

姓

名

メールアドレス

yamada山田太郎

yamada@example.com

suzuki鈴木一郎

suzuki@example.com

Copyright © 2016 Open Source Solution Technology, Corp.

…

28

機能詳細 - 管理者 操作結果画面 

操作時間、操作種別、操作結果、対象名、実行者、接続元など

一般ユーザーのパスワード変更操作も記録

検索条件による表示内容の絞り込み

Copyright © 2016 Open Source Solution Technology, Corp.

29

機能詳細 - 管理者 ロールによる権限移譲 

UIDMに登録した管理者ごとにロールによる操作権限の設定が可能


ロールは操作種別、操作対象ターゲットによる制限

利用例


特定のターゲットのみ操作できる管理者の作成

パスワードのみを更新できる管理者の作成

Copyright © 2016 Open Source Solution Technology, Corp.

30

機能詳細 - コマンドラインインタフェース 

Linux上のコマンドでユーザー管理等の操作/opt/osstech/sbin/unicornidm-tool

操作種別

ユーザー一括操作(登録・更新・削除・有効化など)

グループ一括操作(登録・削除・メンバー登録など)



ユーザー一覧、グループ一覧の取得



操作結果情報の一覧取得



ロール管理(登録、削除、変更など)



管理者登録・パスワード変更など

バックアップ・リストアなど

Copyright © 2016 Open Source Solution Technology, Corp.

31

機能詳細 - SCIMインタフェース SCIM

ID連携のために策定されたID連携用Web API(REST)

UnicornIDMサーバーに対するSCIMプロトコルによるID連携操作


WebアプリケーションからのID連携操作の実装



操作種別


ユーザー登録・更新・削除

グループ登録・削除・メンバー管理

Copyright © 2016 Open Source Solution Technology, Corp.

32

Ver2からのその他の機能強化点


一般ユーザー向け画面のスマートフォン対応

キャッシュ管理機能の改善による操作レスポンス向上



属性のマルチバリュー対応

LDAP、Active Directoryなどで利用可能

コマンド連携機能改善

コマンドへのJSON形式によるデータ連携

Copyright © 2016 Open Source Solution Technology, Corp.

33

オープンソース・ソリューション・テクノロジ株式会社
http://www.osstech.co.jp/
Copyright © 2016 Open Source Solution Technology, Corp.

34