オープンソースで実現する認証基盤とID管理
オープンソース・ソリューション・テクノロジ株式会社

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

-1-

アジェンダ• OpenAM製品紹介• OpenAM 13 新機能• OSSTech版 OpenAMのサポート• パートナー支援プログラム• シングルサインオン構成例• Unicorn ID Manager v3 製品紹介
• 機能紹介• Unicorn ID Manager システム構成例

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

-2-

OpenAM 13 新機能
••
•
•
•
•

SAML2 Authentication Module
Stateles Sessions
UMA Authorization ServerContextual Authorization
OpenID Certifiedetc,etc…

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

-3-

SAML2 Authentication Module• SAML-SPの機能を認証連鎖に組み入れられるようになりました。
• (例えば) 外部IdPで認証後、さらにワンタイムパスワードを入力するなどの用途に使えます。
外部IdP

SAMLでSSOOpenAM

ID/PWでログイン
さらにOTP認証を利用してセキュアな処理
Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

-4-

Stateless Sessions• OpenAM内部にセッションを保持しなくても良い• アクティブユーザー数が多いBtoCの世界へ

A=SessionA
A=SessionA
A=SessionA
A=SessionA
A=SessionA
A=SessionA

Cookie=A

メモリー又はストアにセッションいっぱい！

使用前
使用後

Cookie=SessionA
Cookie=SessionA

セッション情報はCookieで送られて来るサーバーサイドのセッション管理不要

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

-5-

UMA Authorization Server• UMA (User Managed Access)
ユーザーによる認可管理機能• OpenAMにおいてユーザー(リソースオーナー)自身がリソースへのアクセス認可を行うインターフェースが実装された。

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

-6-

Contextual Authorization• 認可ポリシーをスクリプト等で動的に判断できるようにする• スクリプトエディタまで内蔵

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

-7-

OpenID Certified• OpenID Foundationのサーティファイ• http://openid.net/certification/

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

-8-その他の機能• コアトークンサービスのリファクタリングで高速化• 認可ログの汎用性向上• Oauth 2.0 デバイスフローへの対応

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

-9-

OpenAM セキュリティアップデート• 塩漬けで運用していませんか?
• セキュリティアップデートリリース回数
バージョン

2012

2013

2014

2015

2016

OpenAM 9.5.x

302

33

OpenAM 11.x--253OpenAM 13.x

----

(4)

本来は脆弱性が無いのが良いのでしょうが…
安全に長くご利用いただくためには、不可避なサービスです。

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 10 -

OpenAM11 2016年対応Fix• 今年に限定したOpenAMの脆弱性のリストです。
OSSTech版は対応済みです。
• もしコミュニティ版11.0.0をお使いならこれらは全て未対応です。
セキュリティIssue番号

セキュリティIssue番号

Issue #201605-01: Credential Forgery

Issue #201604-04: Insufficient Authorization

Issue #201605-02: Insufficient Authorization

Issue #201604-05: Information Leakage via Account Lockout

Issue #201605-03: Authentication Bypass

Issue #201604-06: Information Leakage

Issue #201605-04: Cross-Site Request Forgery

Issue #201601-01: Open Redirect

Issue #201605-05: Cross Site Scripting (XSS)

Issue #201601-02: Potential Denial of Service attack in multi-site deployments

Issue #201605-06: Credentials appear in CTS access log

Issue #201601-03: Cross Site Scripting

Issue #201605-07: Content Spoofing Vulnerability

Issue #201601-04: Open Redirect

Issue #201604-01: User Impersonation via OAuth2 access tokensIssue #201601-05: Business Logic Vulnerability

Issue #201604-02: Open Redirect
Issue #201604-03: Cross Site Scripting
Issue #201604-04: Insufficient Authorization

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 11 -

OSSTech版OpenAMパッケージ• RPMパッケージの採用

弊社メンバーの15年を超えるOSS経験から導き出されたお客様への回答！

• ソフトウェアサポートセキュリティアップデート作
業まで運用チームへ渡せますか?
• ものすごく長い手順書じゃないですか？
• OSSTech版ならrpmコマンドが使えます。
[root@openam01] # service osstech-tomcat7 stop[root@openam01] # rpm -Uvh osstech-openam11-11.0.0xxxx.noarch.rpm[root@openam01] # service osstech-tomcat7 start
Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 12 -

パートナー支援•••••

無償ハンズオン
構築手順書
ドキュメントテンプレート
設計支援
営業支援

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 13 -

パートナー支援 : 無償ハンズオン• OpenAMパッケージのインストールから、SAML、エージェント、代理認証までを1日のカリキュラムで実機にてレクチャーします。

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 14 -

パートナー支援 : 構築手順書提供• ハンズオンのカリキュラムでは網羅できない、2重化やパスワードポリシー、代理認証のバリエーションなど、詳細な手順書とマニュアルをお渡ししています。QAも可能です。
手順書マニュアル例• ノウハウの出し惜しみ無し!
OpenAM ハンズオンテキスト（ノートつき）
OpenAM インストールガイド
OpenAM 初期設定ガイド
OpenAM インストールガイド
OpenAM 初期設定ガイド
OpenAM リリースノート
OpenAM コマンドライン利用手順書
OpenAM 画面カスタマイズガイド
OpenLDAP 認証モジュール利用手順書
OpenAM SAML 設定ガイド
Apache Policy Agent リファレンスマニュアル
Apache Policy Agent パッケージ インストールガイド
etc...

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 15 -

パートナー支援 : ドキュメントテンプレート• 設計時、納品時に必要なドキュメントのテンプレートを提供しています。
一から作ると大変ですから是非活用してください。
ドキュメントテンプレートの一例
OpenAM基本設計書(方式設計)
OpenAM詳細設計書(パラメーターシート)
OpenAMテスト結果報告書
OpenAM運用手順書
リバースプロキシ詳細設計書
リバースプロキシテスト結果報告書
リバースプロキシ運用手順書
OpenLDAP関連 etc...
Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 16 -

パートナー支援• 設計支援• パートナー様のご要望に合わせて、各工程での支援をお受けしています。

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 17 -

パートナー支援• 営業支援• もちろん営業同行します。

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 18 -

シングルサインオン構成例••••

リバースプロキシ型 代理認証
クラウドアプリケーション
学認
WebサービスのSSO化

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 19 -

シングルサインオン構成例• リバースプロキシ型 代理認証
• アプリケーションを改修せずにSSO化• Form認証方式のログイン画面にリバースプロキ
シ上のモジュールが代理でID/PWを入力(代理認証)
OpenAM
ログインは一度だけログインせずに利用可能

アクセス

代理認証
代理認証

リバース
プロキシ

AppA
AppB

代理認証

AppC

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 20 -シングルサインオン構成例• クラウドアプリケーション• 認証をOpenAMへ移管することによるアクセスの一元管理• クラウドサービスの認証を多要素認証にOpenAM
ログインは一度だけSSOプロトコルによる連携

アクセス

GoogleApps
Office365
Salesforce

クラウド個別の多要素認証ではなくOpenAMで一元管理された多要素認証が可能
Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 21 -

シングルサインオン構成例• 学認連携• 学内アプリと学認両方へのアクセスを一元管理• 学内をリバースプロキシ型、学認をShibboleth連携

学外学内OpenAM
リバース
プロキシ

AppA
代理認証

Shibboleth
連携

連携

学認
サービス

ログインは一度だけAppB
アクセス

アクセス

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 22 -

シングルサインオン構成例• サービスのSSO化• フェデレーションプロトコルに関する部分をOpenAMへ移管し開発コスト、セキュリティリスクを低減
自社サービス
顧客A IdP

顧客B IdP

顧客A User

アクセス
顧客B UserOpenAM

アクセス

SSOプロトコルによる連携

認可情報

自社アプリケーション+ OpenAM Agent

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 23 -製品紹介

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 24 -

Unicorn ID Manager とは?
• ID管理 / ID連携 を 実現する製品• WebブラウザでID管理• クラウドサービス & オンプレミスのIDを対象• 特長• Linux(RHEL7/CentOS7)で稼働• メタディレクトリを持たない
はじめてID管理製品を導入する方へ

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 25 -

Unicorn ID Manager v3 概要図

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 26 -

WebブラウザでID管理

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 27 -

パスワード変更

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 28 -

ターゲットと連携先

Office365
ActiveDirectory

ActiveDirectory

OpenLDAP

Office365

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 29 -

入力項目と属性マッピング
OpenLDAP

sn: 山崎ActiveDirectory

sn: 山崎Office365

sn: 山崎Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 30 -

新機能• セルフメンテナンス• パスワードリセット

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 31 -

運用管理機能の拡充• 管理者ロール機能• 管理者権限の委譲と制限• 設定情報のテキストファイル化• 構成管理ツールによる導入・設定の自動化
User = {"objectClass": ["top","person","organizationalPerson","inetOrgPerson","posixAccount",],"uid": userName,"cn": userName,"uidNumber": default(uidNumber),"gidNumber": default(gidNumber, 100),"loginShell": default(loginShell, "/bin/bash"),"homeDirectory": default(unixHomeDirectory, "/home/%(userName)s"),"sn": familyName,"givenName": givenName,"userPassword": password,

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 32 -連携用APIの拡充• コマンドラインインタフェース• Linux上でコマンドによるCSVファイル一括操作# unicornidm-tool user add <csvfile>• REST API(SCIM)• HTTP経由によるID連携操作

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 33 -

Unicorn ID Manager構成例
標準的なID管理システム構成

Google Apps

Office365
Azure AD

インターネット
パスワード
変更操作

LAN

ユーザー
ID管理業務(CSVファイル)管理者

OpenLDAP

Active Directory

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 34 -

Unicorn ID Manager構成例2
既存ID管理システムと統合
ID管理業務

既存ID管理システム
ID連携処理管理者

新規ID連携先CSVファイル
追加 ID連携先1

コマンドインタフェース実行

追加 ID連携先2

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 35 -

Unicorn ID Manager構成例3
ID管理APIの共通化に利用


連携先が追加されても同じAPIでID管理の連携が可能

ID連携先1REST API

アプリケーション
ID連携先2

連携先追加

ID連携先3Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 36 -

Unicorn ID Manager 製品情報
• 製品情報http://www.osstech.co.jp/product/unicornidm/• 管理者ドキュメント

https://www.osstech.co.jp/download/updates/docs/unicornidm3/• 製品価格• パッケージ : 60万円/1ノード• 年間サポート: 24万円/年

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 37 -

Copyright © 2016 Open Source Solution Technology Corporation All Rights Reserved.

- 38 -