OpenAM最新動向と導入事例紹介

オープンソース・ソリューション・テクノロジ株式会社
代表取締役 チーフアーキテクト 小田切耕司

Copyright © 2012 Open Source Solution Technology Corporation All Rights Reserved.

-1-

Part 1
講師紹介
オープンソース・ソリューション・テクノロジ
会社紹介

Copyright © 2012 Open Source Solution Technology Corporation All Rights Reserved.

-2-

講師紹介





役 職 ： 代表取締役 チーフアーキテクト
氏 名 ： 小田切 耕司 (おだぎり こうじ)
所属団体等
 OpenSSO&OpenAMコンソーシアム 副会長
 OSSコンソーシアム 副会長
 日本LDAPユーザ会設立発起人
 日本Sambaユーザ会初代代表幹事
執筆関係
 日経Linux 2011年9月号～2012年２月号 連載中
 『Linux認証のすべて』 （第１回～第６回）
 http://itpro.nikkeibp.co.jp/linux/
 ASCII.technologies 2011年2月号
 『キホンから学ぶLDAP』
 http://tech.ascii.jp/elem/000/000/569/569412/
 技術評論社 Software Design 2010年9月号
 第1特集 クラウド対策もこれでOK！
統合認証システム構築術
OpenAM／SAML／OpenLDAP／Active Directory http://gihyo.jp/magazine/SD/archive/2010/201009
 ＠ＩＴ やってはいけないSambaサーバ構築：2008年版
 2006年5月 技術評論社 LDAP Super Expert
 巻頭企画
 ［新規／移行］LDAPディレクトリサービス導入計画

Copyright © 2012 Open Source Solution Technology Corporation All Rights Reserved.

-3-

オープンソース・ソリューション・テクノロジ株式会社
 OSに依存しないOSSのソリューションを中心に提供– Linuxだけでなく、Windows/Solaris/AIXへも対応– Windows/UNIX から Linux への移行も支援！
 OSSを利用した認証基盤構築が得意分野– LDAP認証、Windowsドメイン認証、Webアプリケーショ

ン認証、クラウド認証
 Samba,OpenLDAP,OpenAM,IDMなどによる認証統合/シングルサインオン、ID管理ソリューションを提供– OSSの製品パッケージ・製品サポートを提供– OSSの改良、バグ修正などコンサルティングにも対応

Copyright © 2012 Open Source Solution Technology Corporation All Rights Reserved.

-4-会社概要
会社名

オープンソース・ソリューション・テクノロジ株式会社

英語表記

Open Source Solution Technology Corporation

社名略称

OSSTech（ｵｰｴｽｴｽﾃｯｸ）または OSSテクノロジ

業務内容

・OSS（オープンソース）を中心とするソフトウエアの企画、開発、販売およびサポート・システムの導入に関するコンサルティング
・ソフトウエアに関する教育、研修役 員

代表取締役
技術取締役

オフィス

東京都品川区西五反田1-29-1 コイズミビル 8F
Tel.03-6417-0753 Fax.03-6417-0754

Web

http://www.osstech.co.jp/

設立

２００６年９月

資本金１５００万円

小田切 耕司
武田 保真

所属
団体等

取引先
およびﾊﾟｰﾄﾅｰ様

OpenSSO&OpenAMコンソーシアム理事 副会長
OSSコンソーシアム理事 副会長
OSCA(Open Standard Cloud Association)理事
LPI-Japanビジネスパートナー
デルISVアリーナ パートナー
NEC CLUSTERPRO WORKSパートナー
レッドハット レディ・ビジネス・パートナー・株式会社野村総合研究所
・デル株式会社
・株式会社バッファロー
・日本電気株式会社
・株式会社 大塚商会
・キヤノンITソリューションズ株式会社
・伊藤忠テクノソリューションズ株式会社
・新日鉄ソリューションズ株式会社
・株式会社ＰＦＵ
・株式会社 日立ソリューションズ
・三菱電機インフォメーションシステムズ株式会社
・ソフトバンク・テクノロジー株式会社
・ニフティ株式会社
・三井情報株式会社・ダイワボウ情報システム株式会社
・ＮＴＴデータ先端技術株式会社

Copyright © 2012 Open Source Solution Technology Corporation All Rights Reserved.

-5-

認証基盤

システム管理者

ID管理

ID管理

ID管理

Active Directory

Google Apps
Salesforce
ファイル
サーバー

バ

LDAP

Windows
ドメインログオン

クラウド

Web アプリ

ログイン

ログイン

ユーザー
Copyright © 2012 Open Source Solution Technology Corporation All Rights Reserved.

-6-

OSSTechの製品群
Unicorn IDM

ID管理
システム管理者

ID連携
Active DirectoryGoogle Apps
Salesforce
ファイルサーバー

バWeb アプリ

LDAP

クラウド

SSO
Windows
ドメインログオン

認証基盤をすべてOSS製品で提供

ログイン

ユーザー

Copyright © 2012 Open Source Solution Technology Corporation All Rights Reserved.

-7-

OSSTechの製品群（すべてOSSで提供）
原則Linux/Solaris/AIX共にRPMで提供① Samba for Linux/Solaris/AIX ADの代替、高性能NASの代替② OpenLDAP for Linux/Solaris/AIX
 認証統合、ディレクトリサービス、シングルサインオンのインフラ③ OpenAM for Linux/Windows/Solaris Tomcat,OpenLDAP対応で高機能なシングルサインオン機能を提供④ Unicorn ID Manager for Linux/Solaris Google Apps,ActiveDirectory,LDAP, Yahoo!メール Academic
Editionに対応した統合ID管理
Copyright © 2012 Open Source Solution Technology Corporation All Rights Reserved.

-8-

OSSTechの製品群（すべてOSSで提供）原則Linux/Solaris/AIX共にRPMで提供⑤ Chimera Search for Linux アクセス権の無いファイルは表示されない全文検索システム⑥ LDAP Account Manager for Linux/Solaris 管理機能の弱いOSSのLDAP/SambaにWebベースのGUIを提供⑦ ThothLink for Linux リモートからのWindowsファイルサーバアクセス機能を提供⑧ Mailman for Linux/Solaris Google Appsのメーリングリスト機能を補完⑨ Netatalk for Linux/Solaris UTF-8に対応したMac OS対応のAFPファイルサーバー
Copyright © 2012 Open Source Solution Technology Corporation All Rights Reserved.

-9-現在開発中 Nginxのポリシーエージェント開発中
 開発が終了した従来のSun Web Proxy Serverの代替用途として Apacheよりも軽量で高速、高セキュリティ
 Windows版の製品化も検討

Copyright © 2012 Open Source Solution Technology Corporation All Rights Reserved.

- 10 -

Part 2.
OpenAM導入事例
国立大学法人 北見工業大学 様
http://www.kitami-it.ac.jp/

Copyright © 2012 Open Source Solution Technology Corporation All Rights Reserved.

- 11 -

OpenAM導入動向
 クラウドの普及により、SSO（シングルサインオン）が急速に普及中 IaaSやPaaSも増えつつあるが、やはりSaaSのGoogleApps（大学／企業）とSalesforce（企業）をまず導入するケースが多い
 企業ではSalesforceのセキュリティ強化を目的にOpenAM導入するケースが多い 大学ではGoogle AppsとイントラネットやShibbolethを連携させるケースが多い
 企業ではM&Aや会社合併のために増えすぎたアプリやIDを統合するためにSSOを導入
 今後は、 IaaSやPaaSがさらに普及し、これらの上で構築された社内向け個別アプリのSSOが普及しそう
Copyright © 2012 Open Source Solution Technology Corporation All Rights Reserved.

- 12 -

北見工業大学様 システムの特徴
 ユーザー（学生や教職員）はOpenAMに一度ログインすると、複数のWebアプリケーションをログイン操作なしで利用できます。
 ログインするとポータルメニューが表示されますが、ユーザー権限やログイン場所(学内/学外)によって表示されるメニューが変化します。
 ログインしたユーザーが利用できないアプリケーションは表示されず、インターネットからログインするとイントラネット専用アプリケーションも表示されません。
 システム全体設計やプロジェクトとりまとめは、兼松エレクトロニクス株式会社が行いました。
 シングルサインオン システム構築は、 オープンソース・ソリューション・テクノロジ株式会社が行いました。
Copyright © 2012 Open Source Solution Technology Corporation All Rights Reserved.

- 13 -

北見工業大学様Copyright © 2012 Open Source Solution Technology Corporation All Rights Reserved.

- 14 -

第2回OpenSSO＆OpenAM
コンソーシアムセミナー
OpenAM 10の新機能紹介

2012年4月5日
オープンソース・ソリューション・テクノロジ株式会社
岩片 靖
http://www.osstech.co.jp/Copyright © 2012 Open Source Solution Technology, Corp.

1

目次
●

ForgeRockの近況
企業としての評価– OpenAM関連製品– OpenAM ロードマップ–●

便利な新機能開発に便利な新機能– 運用・管理に便利な新機能–●

アダプティブ・リスク認証モジュール
アダプティブ・リスクの考え方
– 設定例
–

●

Oauth 2.0を使ったFacebookとの連携
Oauth 2.0に基づくユーザ情報の取得– 様々なシナリオ–

Copyright © 2012 Open Source Solution Technology, Corp.

22

最近のForgeRock
とっても元気！

Copyright © 2012 Open Source Solution Technology, Corp.

3最近のForgeRock●

Gartnerによる評価“Cool Vendors in Identity and Access Management, 2011”– 先進的な技術を持ち今後の成長が注目されるベンダー–●Accel Partnersからの資金調達$7M規模のシリーズAファンド– Accel Partnersの成功事例：–

2005年にFacebookへ$12MのシリーズAファンド– その他Groupon、LinkedInなど多数–●OSSTechとの協業–

Nginxのポリシーエージェント開発–

現在はソースコードレビュー中–テスター募集中！
Copyright © 2012 Open Source Solution Technology, Corp.

44

OpenAM関連製品●OpenDJ (LDAPサーバ）–

ユーザ事例：Ziggo（オランダの通信大手）– 250万ユーザエントリ– Sun DSEEからの移行– OpenAMによる認証とアクセス制御●

OpenIG (Identity Gateway)
旧Apex Identity社の製品– リバース・プロキシ方式によるアクセス制御機能– パスワード・リプレイ機能、SAMLゲートウェイ機能–●

OpenIDM（ID管理）
ForgeRock社で開発中– OpenAMとの連携機能強化–

Copyright © 2012 Open Source Solution Technology, Corp.

55

OpenAM ロードマップ●OpenAM 10 アーリーアクセス–●OpenAM 10 正式リリース–●

現在ダウンロード可能
4月16日にリリース予定

OpenAM 10.1
Oauth 2.0 Provider– UIの改良（認証画面、セルフサービス画面）– セッション冗長化の改良– クラウド対応強化–●

OpenAM 11.0
様々な機能強化– スケーラビリティの向上–

Copyright © 2012 Open Source Solution Technology, Corp.

66便利な新機能リリースノートから面白そうなものを抽出しました

Copyright © 2012 Open Source Solution Technology, Corp.

7

開発に便利な新機能●

大きな変更は無いが開発者の負担を軽減するような改良が追加されている–認証モジュールを単一JARファイルとしてインストール–

SAML2.0 IdPアダプタープラグイン–

セッション数の上限に達した際の動作のカスタマイズ

–

REST

APIによるセッションのリフレッシュおよび残り時間の取得–

セッション・アップグレード時に引き継ぐ属性を明示的に指定–.Net Fedletで暗号化されたアサーションに対応

Copyright © 2012 Open Source Solution Technology, Corp.

88

運用・管理に便利な新機能●

より細かな管理と監視
LDAP接続プールの監視– ADとの連携強化– ユーザ毎のタイムゾーンに基づいたポリシー評価– デバックファイルのローテーション–●

新規認証モジュール（後述）
アダプティブ・リスク認証モジュール– Oauth 2.0 認証モジュール–

9

Copyright © 2012 Open Source Solution Technology, Corp.

9アダプティブ・リスク
認証モジュール
リスク評価に基づく認証強度の選択

Copyright © 2012 Open Source Solution Technology, Corp.

10アダプティブ・リスクの考え方●

認証時にリスクを評価することによりリスクに見合った認証方式を動的に追加–

Risk Based 認証とも呼ばれる–

リスクの評価– 予め各リスクについて重み付けを行う– 認証時にすべてのリスクについてそれらを合算する– 既定の閾値を超えた場合は認証失敗とする–

認証連鎖への組み込み– 多要素認証のなかのひとつの認証方式– 認証連鎖の定義

11●

Copyright © 2012 Open Source Solution Technology, Corp.

11リスクの例●

リスクが高いと評価される例●

パスワードを間違えたユーザからのアクセス–

最終的に正しいパスワードを入力したとしてもリスクは高い–

アカウント・ロックとの併用/代用●

長期間アクセスがなかったユーザからのアクセス●

特定のIPアドレスの範囲からのアクセス– 例：社外からのアクセス●

特定の地域からのアクセス– 例：日本国外●

いつもとは異なる端末からのアクセス（複数可）●

いつもとは異なるIPアドレスからのアクセス（複数可）●

特定の属性を持つユーザからのアクセス

12– 例：所属部署が営業とか？

Copyright © 2012 Open Source Solution Technology, Corp.

12アダプティブ・リスク認証モジュールの設定

13

Copyright © 2012 Open Source Solution Technology, Corp.

13

認証連鎖と組み合わせたソリューション例

認証連鎖➢

でも毎回だと少し面倒！

複数の認証方式を組み合わせ高いセキュリティを実現
閾値を超えたためリスクが高いと判定された

通常の
認証方式

認証方式１（必要）
ID/PW
認証OK

認証方式２（十分）アダプティブ・リスク
認証NG

強固だが少し面倒な認証方式
認証方式３（必要）
ワンタイム・パスワード
認証

OK
閾値を超えずリスクが低いと判定された

ログイン完了Copyright © 2012 Open Source Solution Technology, Corp.

OK

14

14

Oauth 2.0を使ったFacebookとの連携
連携に基づく様々なシナリオ

Copyright © 2012 Open Source Solution Technology, Corp.

15

Oauth 2.0を使ったやりとり
ユーザ（ブラウザ）

Facebook

OpenAM

未認証ユーザのアクセス

Facebookのログインページへのリダイレクト
認証とユーザ承認の取得
認可コード
OpenAMへのリダイレクト
認可コード
アクセストークン

この先が重要アクセストークン
ユーザ情報（許可されたもの）

Copyright © 2012 Open Source Solution Technology, Corp.

1616取得したユーザ情報の取り扱い
●

●

●

●

セッション情報としてメモリ上にのみ保存●

必要に応じてセッションオブジェクトからユーザ情報を取得●

一時的な利用に限られ、Facebook経由でのアクセス時のみ有効DB等に永続的に保存●取得したユーザ情報をLDAPやRDBに保存●

必要に応じてユーザIDやパスワードを追加●

登録されたメールアドレスに確認コードを送ることも可能●

次回からは直接アクセスすることも可能

ユーザ情報を元にDB上の既存ユーザにマップ●

メールアドレス等をキーにして対応付けを行う●

勝手に対応付けると問題になるかも？

上記を組み合わせることにより様々なシナリオが考えられる

Copyright © 2012 Open Source Solution Technology, Corp.

17

17

Oauth 2.0 認証モジュールの設定（その１）18

Copyright © 2012 Open Source Solution Technology, Corp.

18

Oauth 2.0 認証モジュールの設定（その２）19

Copyright © 2012 Open Source Solution Technology, Corp.

19

オープンソース・ソリューション・テクノロジ株式会社
http://www.osstech.co.jp/
Copyright © 2012 Open Source Solution Technology, Corp.

20