講談社様 ThemiStruct-WAM （OpenAM） 導入事例

クラウドサービスと複数の社内システムを対象にSSO連携を実現～シームレスにシステム間を接続し、業務を効率化～
株式会社オージス総研
IT基盤ソリューション第一部
八幡 孝
2012年10月19日

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

オージス総研のご紹介

株式会社オージス総研
本 社：
大阪府大阪市西区千代崎3-南2-37 ICCビル
東京本社： 東京都港区港南2-15-1 品川インターシティA棟
名古屋オフィス： 愛知県名古屋市中区錦1-17-13 名興ビル
代表者：
代表取締役社長 平山 輝
設 立：
1983年6月29日
資本金：4億円 （大阪ガス株式会社100%出資）
事業内容： システム開発、プラットフォームサービス、
コンピュータ機器･ソフトウェアの販売、コンサルティング、研修トレーニング
関連会社： さくら情報システム㈱、㈱宇部情報システム、㈱システムアンサー、
OGIS International, Inc.、上海欧計斯軟件有限公司（中国）
従業員数： 3,068名（連結） 1,264名（単体）売上実績： 535億円（連結） 288億円（単体）
オージス総研グループ 売上構成比 （連結）

取得許可認定Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

2

百年アーキテクチャ ～ 持続可能な企業情報システムの実現を目指して

我々はどこへ行くのか？
しっかりした基本構造モデリング アーキテクチャ
オープンソース・ソフトウェア

変化への適応力
SOA、クラウドインテグレーション
アジャイル開発

持続可能な企業情報システムの実現

百年アーキテクチャ
5

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

3

しっかりした基本構造のためのオープンソースソフトウェア

オープンソース・ソフトウェア
耐久性のある材料

なぜ耐久性があるのか？
ソースコードが公開→ 新環境へ移動可能→ カスタマイズ可能→ 使用継続可能

ソース
コード

ソース
コード

旧環境

新環境

サポート打ち切り

ベンダーロックイン

リスクからの開放

なぜ今オープンソースか？ 高価なライセンス料 バージョンアップ
質・量が飛躍的に向上→ 高機能、高品質→ あらゆるジャンル

業務アプリ
ミドルウェアAppサーバDBMS
WebサーバOS

低コスト→ サポートは必要
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

4

エンタープライズ オープンソース ソフトウェアへの取り組み

ミッション• SIやサービスビジネスなどへのOSS
利用実績、ノウハウの蓄積• オージス総研におけるOSS活用の促進、先端技術の提供• コミュニティ活動を通してのOSS活用推進への貢献取り組み• OSSの動向調査• OSSリファレンススタックの整備• 商用プロダクトとの相互運用性検証• オープンソースコミュニティへの貢献• 次世代ソリューションへのOSS適用
技術開発• OSSライセンスに関する正しい知識の啓蒙
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

5

2009年4月設立

ThemiStructシリーズラインナップ ～ オープンソースソフトウェアを活用したIT基盤ソリューション

 ThemiStruct-IDM
ID管理ソリューション

 ThemiStruct-WAM
Web統合認証管理ソリューション
（シングルサインオンソリューション） ThemiStruct-CM
電子証明書発行ソリューション

 ThemiStruct-OTP
ワンタイムパスワードソリューション

 ThemiStruct-Portal
企業情報ポータルソリューション

 ThemiStruct-WorkFlow
申請承認ワークフローソリューション

 ThemiStruct-MONITOR
システム監視ソリューション

 ThemiStruct-TM
チケット・インシデント管理ソリューション
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

6

アジェンダI. 講談社様導入事例のご紹介
II. 適用したテクノロジー&ノウハウ
III. クラウドサービス活用時代のシングルサインオン基盤
IV. ThemiStructシリーズのご紹介

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

7

I. 講談社様導入事例のご紹介

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

1. 講談社様事例の概要

講談社様は「おもしろくて、ためになる」を基本理念とし、創業より100年という長い歴史を重ねてこられた日本を代表する出版社。出版事業を中心に、電子書籍事業、コンテンツを生かした映像化やアニメ化するライツ事業など、様々な事業に取り組まれておられます。
事業の発展と共に複雑化するシステム環境の中で、認証環境の統合管理を実現する為のシングルサインオン環境を構築されるにあたり、当社ThemiStruct-WAMをご採用いただきました。

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

9

2. 統合ポータルの導入の狙いと課題①

 業務システムの入り口が作られて、わかりにくい、使いにくいという現状を改善するために、統合ポータルの導入を検討。
 どこからでも使える情報共有環境としての機能も持たせる。

業務システムごとの入り口、認証機能の存在

業務の効率化
社員の利便性の向上

社員が様々な場所で業務を行なう特性

どこからでも利用できる
情報共有環境の実現

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

10

2. 統合ポータルの導入の狙いと課題②

 業務でシステムを使う時の一元的入り口として、統合ポータルを導入する。
 どこからでも使えるように、パブリッククラウドサービスを活用する。
 システム利用毎に認証をしないで済むよう、シングルサインオンを実現する。
業務システムごとの入り口、認証機能の存在

業務の効率化
社員の利便性の向上

シングルサインオン
機能の実現
統合ポータルの構築（一元的入り口の提供）
パブリッククラウドサービスの活用
社員が様々な場所で業務を行なう特性
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

どこからでも利用できる
情報共有環境の実現
112. 統合ポータルの導入の狙いと課題③

 シームレスなシステム間接続を実現することが、システム化を行なう上での重要ポイントとなる。
業務システムごとの入り口、認証機能の存在

業務の効率化
社員の利便性の向上

シングルサインオン
機能の実現
統合ポータルの構築（一元的入り口の提供）

シームレスなシステム間接続

パブリッククラウドサービスの活用
社員が様々な場所で業務を行なう特性
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

どこからでも利用できる
情報共有環境の実現
12

3. 構築された統合ポータルの全体像

 パブリッククラウドサービス上に、統合ポータルを構築。
 統一された入り口URLでユーザーロールに合わせたポータル画面を表示。
 統合ポータル、既存の業務アプリケーション間でシングルサインオンを実現。
統一された
入口URL

統合ポータル社外ユーザー（社員）

メール・カレンダー

社員用
ポータル

基幹システム流通システム
社内ユーザー（社員）

パートナー用ポータル

ワークフロー

人事システム

社内ユーザー（パートナー）Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

13

4. シングルサインオン基盤への要求事項①

 OpenAMを使ってクラウド-オンプレミス間でのシングルサインオンを実現してほしいというシンプルな要求。
 本質的課題は、認証ポリシーの実現、既存アプリの接続方法の部分にある。

業務の効率化
社員の利便性の向上
シングルサインオン
機能の実現

統合ポータルの構築（一元的入り口の提供）

シームレスなシステム間接続

クラウドサービスとオンプレミス
システムとのシームレスな接続
既存社内システムへの影響を最小にするSSO接続の実現
既存の認証ポリシーを踏襲した
SSO機能の実現

パブリッククラウドサービスの活用
どこからでも利用できる
情報共有環境の実現

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

14

利用を拡大する場合もコスト増を抑えられるSSO環境の実現

4. シングルサインオン基盤への要求事項②

 OpenAMを使ってクラウド-オンプレミス間でのシングルサインオンを実現してほしいというシンプルな要求。
 本質的課題は、認証ポリシーの実現、既存アプリの接続方法の部分にある。
クラウドサービス とオン
プレミスシステムとのシームレスな接続

統合ポータルへのSAMLフェデレーション

既存社内システ ムへの影響を 最小 にす る SSO
接続の実現

エージェント型でのSSOの実現

既存の認証ポリシーを踏襲したSSO機能の実現

利用を拡大する場合もコ
スト増を抑えられるSSO
環境の実現– SSOログインIDと、統合ポータルログインID （メールアドレス）のマッピングへの対応– IIS配下で動作するシステムへのSSOの実現– 改修困難なパッケージアプリケーションの円滑な移行– アプリケーションの修正必要箇所の早期提示と検証

認証ポリシーの実現– パスワード有効期限の確認、強制変更– アクセス元によるログイン可否の判定– 運用の手間を低減できる、パスワード忘れ時のセルフリセット
への対応

OSSの活用– ユーザー数、接続システム数によらず、一定の費用で構築、利用できる、OSS活用したSSO基盤の実現

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

15

5. Why OpenAM ?

 お引合いをいただいた段階で、お客様自身がOpenAMの導入を検討されていた。

SAML標準技術への対応
多様なエージェントの提供
OSSであることから、ユーザー数、接続システム数によらない費用でのシステム実現が可能。

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

16

6. Why ThemiStruct-WAM ?

 OpenAMをコアとして、当社応用ノウハウや独自モジュールを加えてソリューションパッケージ化をしたThemiStruct-WAMを適用することで、お客様要求に応えるシングルサインオン基盤を実現。

OpenAMをコアとしたソリューションパッケージ
当社ノウハウに基づく、アプリケーション連携方法の具体的なガ
イダンスの提供
多様な認証連鎖モジュールの提供– パスワード有効期限チェック、強制変更モジュール、– アクセス元IPを用いた認証可否チェックモジュール、など

独自修正を施したIISエージェントの提供– 属性情報のCookie連携への対応– 他のISAPIフィルターと組み合わせた利用への対応、など

独自要件に対応できる、モジュールやエージェントの開発力– ユーザー種別に合わせた表示サイト振分け対応用モジュール、など
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

17

7. 構築されたシングルサインオン基盤の全体像

 クラウドとのSSOはSAMLで、社内システムとのSSOはエージェント型で。
 認証ポリシーの適用、ポータル画面の振分け等を認証連鎖モジュールで実現。
 ID管理は既存の仕組みを流用しつつ、パスワード変更機能をSSO側で実現。
クラウドサービス
統合ポータル社外ユーザー（社員）

ＤＭＺ• ポータル• メール• カレンダSSO
基盤

基幹システム
社内ユーザー（社員）

流通システム

ID管理
システム
（既存）

人事システム（マスター）

ワークフロー

人事システム

社内ユーザー（パートナー）

オンプレミスの社内システム
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

18

凡例：
ID管理連携ID/パスワード同期
ユーザーのシステム利用
SSO連携

8. 統合ポータル、シングルサインオンの導入によって得られた効果

 統合ポータルとSSO実現は、利用者からも「判りやすい」との評価を得る。
 同時に認証機能を標準化したことで、今後のシステム導入においても、一層のID管理、アクセス管理の品質が向上することが期待される。

ユーザービリティの向上– 新ポータルにアクセスし、そこでログイン認証を行えば、必要な社内各システムにアクセスができ、個別認証が不要となったことで、「シンプルで判りやすい」と利用者から高い評価をいただいている。

セキュリティの向上– システムのフロントにSSO環境を構築する事で、利用可能なアプリケー
ション制限や、パスワード変更管理などが集中管理できる為、セキュリ
ティ面での統制が容易な環境が実現できた。

認証環境の統合と標準化– 社内の全システムの認証環境のデザインを整理し、標準化したことで、今後、新たなシステムを導入する際も、ID管理、アクセス管理への考慮が単純化される上、管理品質が一層向上することが期待できる。
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

19II. 適用したテクノロジー&ノウハウ

主要要件をどう実現したか？
1. 認証ポリシーの実現
2. 既存アプリケーションのSSO接続（早く、できるだけ変更なく）

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

1. 認証ポリシーの実現

 実現したい認証ポリシーは、どのお客様からもご要望をいただくもの。

実現した認証ポリシー

認証は統一されたユーザーID、パスワードを使って行なう。
パスワードには有効期限を設定し、有効期限が切れている場合は強制的に変更させる。
社外からのシステム利用を想定するが、利用できる人は、事前に許可された人に限定する。

認証後は、ユーザー種別（社員、パートナー）に応じたポータル画面を表示する。
パスワード忘れ時の対応は、自分自身で行なえるようにし、システム担当者の手間を削減する。
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

21

1. 認証ポリシーの実現

 実現したい認証ポリシーは、どのお客様からもご要望をいただくもの。
 OpenAMの標準機能で実現できることは限定的。
 積極的に認証連鎖モジュールを開発することで、要求を実現。
実現した認証ポリシー

実現の方針

認証は統一されたユーザーID、パスワードを使って行なう。

OpenAM標準の機能で実現

パスワードには有効期限を設定し、有効期限が切れている場合は強制的に変更させる。

当社オリジナルの認証連鎖モジュールを適用して実現

社外からのシステム利用を想定するが、利用できる人は、事前に許可された人に限定する。

• パスワード有効期限チェックモジュール• パスワード強制変更モジュール• アクセス元IPを用いた認証可否チェック
モジュール、等

認証後は、ユーザー種別（社員、パートナー）に応じたポータル画面を表示する。
パスワード忘れ時の対応は、自分自身で行なえるようにし、システム担当者の手間を削減する。
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

22

お客様専用の認証連鎖モジュール類を開発して実現• セカンダリーメールアドレスを用いたパスワード再発行アプリケーション• パスワード変更画面へのセカンダリー
メールアドレスメンテナンス機能の統合• 表示サイト振分け対応用モジュール、等

1.1 実現された認証フロー 認証連鎖モジュールを開発、組合せることで要求通りの認証ポリシーを実現。
 特にポータル画面振分けの機能は、ユーザーへ知らせるURLの単一化と、簡略化（サーバー名だけでよい）に大きく役立った。

社外アクセス
可否チェック

社外ユーザー

UIDパスワード
有効期限チェック

OpenAM標準機能以外で追加
ログイン画面

無効
アカウント
社内ユーザー

アカウント無効
エラー画面

パスワード
有効期限
チェック機能社外アクセス
制御機能

社外アクセス不可

パスワード
強制変更画面

認証エラー画面

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

有効期限
切れ

23

社員用
ポータル

表示ポータル画面
振分け処理

パスワード
変更完了

パートナー用ポータル

1.2 パスワード忘れ時のセルフリセット

 セカンダリーメールアドレスを使用する方式をお客様にご提案。
 お客様と具体的な処理フローを検討し、専用のセルフリセットの仕組みを実現。

・セカンダリーメールアドレス登録のチェック・パスワードの初期化処理

ユーザー
ログイン画面

パスワード
再発行画面

初期化されたパスワードの通知

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

24

パスワード
再発行
通知機能

パスワード
再発行
完了画面

1.3 パスワード変更・セカンダリーメールアドレス登録・変更

 セカンダリーメールアドレスの登録、最新化を意識づけられるように、パス
ワード変更画面と統合した画面として実装。

ユーザー• セカンダリーメールアドレスの登録・変更• パスワード変更

クラウドサービス
統合ポータルユーザー
プロファイル
変更画面

パスワード変更
完了画面

基幹システム
メールアドレス
変更
完了画面• パスワード変更機能
へのリンクを表示

変更情報確認の通知
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

25

2. 既存アプリケーションのSSO接続（早く、できるだけ変更なく）

 シングルサインオン基盤は、アプリケーションへのSSOができるようになって初めて完成する。そのための対応をお客様は要望される。
既存アプリケーションのSSO接続に関するお客様のご要望

統合ポータルとのSAML連携の実現に関する具体的な方式を提示すること。

既存アプリケーションへのSSO接続実現に関する具体的な方式を提示すること。

プロジェクト開始後、早い段階で、アプリ
ケーション担当者への技術的説明、役割分担の実施し、アプリケーションの対応を早期に開始させられること。
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

26

2. 既存アプリケーションのSSO接続（早く、できるだけ変更なく）

 シングルサインオン基盤は、アプリケーションへのSSOができるようになって初めて完成する。そのための対応をお客様は要望される。
 10年以上認証基盤構築を行なってきた当社ノウハウで、ご要望に応える。
既存アプリケーションのSSO接続に関するお客様のご要望

対応の方針

統合ポータルとのSAML連携の実現に関する具体的な方式を提示すること。

OpenAM標準の機能での実現方式を提示。

既存アプリケーションへのSSO接続実現に関する具体的な方式を提示すること。

当社のノウハウをベースとしたSSO
接続方式の具体的な説明の実施。
• どの方法が一番うまく動くか？
• どの方法が一番費用がかからないか？
• どの方法が一番早くできるか？

プロジェクト開始後、早い段階で、アプリ
ケーション担当者への技術的説明、役割分担の実施し、アプリケーションの対応を早期に開始させられること。
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

アプリケーション担当者向け開発ガ
イドのテンプレートを用いた、プロ
ジェクト初期段階での説明会の実施。

27

2.1 選択したSSO接続方式

 SSO側は標準的な連携方式とする方針で、接続方式を選択した。
 アプリケーション側でのいくらかの改修をしていただけたため、シンプルな方式でSSO接続ができた。
アプリケーション名

サーバー

SSO接続方式

選択のポイント

統合ポータルクラウド

SAML連携クラウドサービスを利用するため、標準であるSAML連携を使用。

基幹システムIIS

エージェント型
スクラッチ開発されたアプリ。保
HTTP Header連携 守ベンダーがアプリ改修で対応。

流通システムIIS

エージェント型
Cookie連携

ワークフロー

IIS

エージェント型
Cookie連携

人事システムIIS

エージェント型
パッケージを利用したアプリ。ベ
HTTP Header連携 ンダーにてカスタマイズをして対応。

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

28

既存のパッケージアプリケーショ
ン。仕様上アプリ改修不要で対応ができそうであったため、Cookie連携方式を選択。

2.2 パッケージアプリケーションへのCookie連携例

 パッケージ固有のSSO連携仕様との互換性の実現が課題。

統合ポータルの効果を最大化するためには、このパッケージアプリケーションへのSSO実現が必須。
しかし、プロジェクトの期間・コストの観点から、アプリケーションの改修が要らない方式の方が望ましい。

アプリの円滑な移行のための検討事項

IISでの構成に対応が行なえること。
既存アプリが使用しているIIS用フィル
ターと共存ができること。
• これができない場合、Agent型での構成ができず、サーバー構成を大きく見直す必要がある。

パッケージのSSO連携仕様と同等の情報をCookieで渡すことができること。
• SSO連携仕様との互換性の実現により、アプリを修正することなく接続することを狙う。
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

29

2.2 パッケージアプリケーションへのCookie連携例

 パッケージ固有のSSO連携仕様との互換性の実現が課題。
 当社にてカスタマイズ済みのIISエージェントを提供することで機能実現。
 統合ポータル導入効果の向上を実現するとともに、コスト削減にも貢献。
統合ポータルの効果を最大化するためには、このパッケージアプリケーションへのSSO実現が必須。
しかし、プロジェクトの期間・コストの観点から、アプリケーションの改修が要らない方式の方が望ましい。

アプリの円滑な移行のための検討事項

対応の方針

IISでの構成に対応が行なえること。

OpenAM標準エージェントで対応可能

既存アプリが使用しているIIS用フィル
ターと共存ができること。

当社カスタマイズ済みのIISエージェント
を提供して実現。

• これができない場合、Agent型での構成ができず、サーバー構成を大きく見直す必要がある。

• 既存のフィルターと共存してエージェント導入ができたため、サーバー構成を変更せず対応ができた。

パッケージのSSO連携仕様と同等の情報をCookieで渡すことができること。

当社カスタマイズ済みのIISエージェント
を提供して実現。

• SSO連携仕様との互換性の実現により、アプリを修正することなく接続することを狙う。

• アプリケーションが要求するSSO連携仕様を調査・確認し、同等の機能を実現した。

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

30

2.3 使用した当社カスタマイズ済みIISエージェントの特徴

 当社にてIIS向けエージェントをISAPIフィルター型で実装したもの。
 Apache用エージェントに近い実装としている。
 Cookie連携、入力パスワードの連携などの機能に修正を加えている。
機能

標準エージェント

当社エージェント

バージョン

3.0.4

―

実装アーキテクチャモジュール型

ISAPIフィルター型

IIS6/IIS7のサポート○○

HTTPヘッダでの属性連携○○

Cookieでの属性連携△○
同一キーの変数のオーバーライドができない制限あり。

他のISAPIフィルターと組み合わせた利用×○

入力パスワードの連携（パスワードリプレイ）

×○

長いパスワード長への対応―○

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

31

III. クラウドサービス活用時代のシングルサインオン基盤

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

1. クラウドサービスを活用するうえでの課題

 クラウド上のサービスは、誰でもどこからでも利用できるのが最大の特徴。

クラウド上のサービスの特性

クラウドサービス

アカウントがあれば誰でもGoogle Apps

各サービス毎に管理された
IDとパスワードでSalesforce

組織内のネットワークからでもOffice365

組織外のネットワークからでも組織で管理された端末でもApp1

個人の端末でも利用できる
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

33

1. クラウドサービスを活用するうえでの課題

 クラウド上のサービスは、誰でもどこからでも利用できるのが最大の特徴。
 各組織で要求される認証ポリシーをクラウド上のサービス側で実現できないケースもしばしばある。
クラウド上のサービスの特性

組織での認証ポリシー例

クラウドサービス

アカウントがあれば誰でもアカウントは全員分作成しGoogle Apps

各サービス毎に管理された
IDとパスワードで組織内のネットワークからでも組織外のネットワークからでも組織で管理された端末でも個人の端末でもパスワードは定期的に変更してN回認証失敗の場合はアカウントをロックして組織内からはIDとパスワードでSalesforce

Office365

組織外からのアクセスの場合はワンタイムパスワードを併用して組織から貸与した端末を使って個人の端末の使用は禁止して利用できる
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

利用させる
34

App1

2. シングルサインオン基盤による課題解決 認証ポリシーの実現はシングルサインオン基盤で、アプリケーションの機能
はクラウドサービスで、という役割分担で課題を解決する。
組織での認証ポリシー例

アカウントは全員分作成しパスワードは定期的に変更してN回認証失敗の場合はアカウントをロックして組織内からはIDとパスワードで組織外からのアクセスの場合はワンタイムパスワードを併用して組織から貸与した端末を使って個人の端末の使用は禁止して利用させる
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

OTP認証
35

電子証明書

Google Apps

Salesforce

Office365

App1

シングルサインオン基盤（ID管理機能）

シングルサインオン基盤（認証機能）

クラウドサービス

2. シングルサインオン基盤による課題解決 認証ポリシーの実現はシングルサインオン基盤で、アプリケーションの機能
はクラウドサービスで、という役割分担で課題を解決する。
 認証機能を提供するシングルサインオンソリューションを中心として構成。
組織での認証ポリシー例

アカウントは全員分作成しシングルサインオン基盤（ID管理機能）

 ThemiStruct-IDM

パスワードは定期的に変更してN回認証失敗の場合はアカウントをロックしてシングルサインオン基盤（認証機能）

 ThemiStruct-WAM（OpenAM）

組織内からはIDとパスワードでワンタイムパスワード認証

組織外からのアクセスの場合はワンタイムパスワードを併用して

 ThemiStruct-OTP

組織から貸与した端末を使って電子証明書発行

個人の端末の使用は禁止して

 ThemiStruct-CM

利用させる
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

36

3. クラウドサービスのワンタイムパスワード認証対応 x ThemiStruct ThemiStruct-OTPを使うことで、携帯電話、スマートフォンをトークン生
成器として利用可能。

カメラを利用してQRコードからユーザー個別のキーをセットすることができる。

アプリケーションのインス
トール、QRコードの取込
みだけで、携帯電話、ス
マートフォンがワンタイム
パスワードのトークンに。
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

37

3. クラウドサービスのワンタイムパスワード認証対応 x ThemiStruct ThemiStruct-OTPを使うことで、携帯電話、スマートフォンをトークン生
成器として利用可能。
 ThemiStruct-OTP連携用認証連鎖モジュールを組み込めばOTP認証対応に。
カメラを利用してQRコードからユーザー個別のキーをセットすることができる。

IDとパスワードでの認証
ワンタイム
パスワード
の入力

アプリケーションのインス
トール、QRコードの取込
みだけで、携帯電話、ス
マートフォンがワンタイム
パスワードのトークンに。
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

SSO環境でアプリ
ケーションの利用

38

4. クラウドサービスの電子証明書認証対応 x ThemiStruct ThemiStruct-CMで、PCのブラウザやスマートフォンへ電子証明書を発行。

OSSベースの電子証明書発
行ソリューションで、低ラ
ンニングコストでPCブラ
ウザやスマートフォン向けに電子証明書を発行。

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

39

4. クラウドサービスの電子証明書認証対応 x ThemiStruct ThemiStruct-CMで、PCのブラウザやスマートフォンへ電子証明書を発行。
 ThemiStruct-WAMへのSSLアクセスで、証明書がある端末だけをアクセス許可することで、認証された端末を使うユーザーのみを認証可能。
SSLアクセラレータやHTTP
サーバーを使って、電子証明書を評価・認証

OSSベースの電子証明書発
行ソリューションで、低ラ
ンニングコストでPCブラ
ウザやスマートフォン向けに電子証明書を発行。

IDとパスワードでの認証

CRL
CRL（証明書失効リスト）の運用で、より安全なアクセスを実現
SSO環境でアプリ
ケーションの利用

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

40

IV. ThemiStructシリーズのご紹介

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

1. ThemiStructシリーズとは

オージス総研が提供する、OSS （オープンソースソフトウェア） を活用した
IT基盤ソリューション全体を指すブランド名です。
Themis– テミス。ギリシャ神話上の法・掟の女神。「不変なる掟」との意味も。

Struct– ストラクチャ。構造。（IT）基盤の意味。

合わせてIT基盤上の掟（=ガバナンス、セキュリティ）を守るものという意味を込めています。
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

42

2. 認証基盤実現のねらい・メリット

セキュリティリスクの軽減– ID管理、認証処理の一元管理– システム単位でのアクセス制御の一元管理– アカウントポリシー、パスワードポリシーの一元管理– システムへのアクセス記録の一元管理開発のコスト削減– 認証機能、アクセス制御機能の個別実装が不要• 特にID管理、認証処理– セキュリティポリシー変更時の個別開発が不要• 認証方式の変更

ユーザーの利便性向上– ユーザーID/パスワードが統一される– 一度のログインで複数アプリケーションをシームレスに利用可能– ユーザーサポートコストの低減

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

43

3. 認証基盤を活用する
ねらい
メリット

セキュリティリスクの軽減
開発コストの削減
ユーザーの利便性の向上

 システム活用が進む、動線の提供
 スマートデバイスなどの新しい技術、UIへの対応 ロケーションを問わないシステム利用環境の提供広げる・永く使い続ける 共通基盤としての利用ルール整備
 接続方式のパターン化・標準化
 開発担当向けガイドの提供 レビュー等による標準外構成の除外

アプリケーションを集める

 接続方式の決定・設定
 アプリケーションの修正
 認証基盤側でのカスタマイズ対応

アプリケーションをつなぐ

認証基盤を作る

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

 SSO製品の導入
 IDM製品の導入
44

4. なぜOSS活用なのか？

コスト削減– ユーザー数増加によるライセンス費用、保守費用の増加が抑制できる。

コンシューマー向けサイト運用においても費用負担を大幅軽減

構成の柔軟性– オープンソースソフトウェアの活用により、特定のソフトウェア、ハードウェアへの依存度が減り、構成の柔軟性が確保される。

商用UNIXサーバーからLinuxサーバーへの変更、集約へ道筋

長期間サポート– オープンソースであるため、徹底的な原因究明が可能。
– ソースコードを使った長期間サポートが可能。

長い目で見た信頼性向上の実現

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

45

5. ThemiStructシリーズラインナップ

 ThemiStruct-IDM
ID管理ソリューション

 ThemiStruct-WAM
Web統合認証管理ソリューション
（シングルサインオンソリューション） ThemiStruct-CM
電子証明書発行ソリューション

 ThemiStruct-OTP
ワンタイムパスワードソリューション

 ThemiStruct-Portal
企業情報ポータルソリューション

 ThemiStruct-WorkFlow
申請承認ワークフローソリューション

 ThemiStruct-MONITOR
システム監視ソリューション

 ThemiStruct-TM
チケット・インシデント管理ソリューション
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

46

6. ThemiStructシリーズラインナップ一覧
ソリューション
ThemiStruct-WAM（Web統合認証管理ソリューション）

セ
キ
ュ
リ
テ
ィ

ThemiStruct-IDM（ID管理ソリューション）

ThemiStruct-CM（電子証明書発行ソリューション）

ThemiStruct-OTP（ワンタイムパスワードソリューション）

グ
ル
ー
プ
ウ
ェ
ア

ThemiStruct-Portal（企業情報ポータルソリューション）

ThemiStruct-WorkFlow（申請承認ワークフローソリューション）

シ ThemiStruct-TM
マ ス （チケット・インシデント管理ソリューショ
ネ テ ン）
ジム
メ
ThemiStruct-MONITOR
ン（システム監視ソリューション）
ト

コア
OSS

概要

OpenAM• Webアプリケーションの統合認証ソリューション
• リバースプロキシ型とエージェント型の両方式に対応可能• SalesforceやGoogle Appsへのシングルサインオンにも対応

Mule ESB• ユーザーのアカウント情報を一元管理し、アカウントの作成、更新、削除を自動化（プロビジョニング）するID管理ソリューション
• SalesforceやGoogle Appsへのプロビジョニングにも対応

EJBCA• 電子証明書を利用したプライベート端末認証ソリューション
• 外部認証局方式と比較して安価で必要十分なセキュリティ• スマホなど外部アクセス端末の増加に対応可能

GoogleAuthenticator• 端末IDから生成するワンタイムパスワード発行ソリューション
• スマートフォンを利用するため、専用ハードウェアの購入・維持管理
費用が不要

Liferay• 各種ポートレットを利用し企業内情報ポータルソリューション
• 既存のIT資産を最大限活用するプラットフォームとして活用• Web統合認証を利用しポータルとしての連携対応可能

jBPM• 必要かつ十分な機能を備えたワークフローソリューション
• 申請書（フォーム）と経路（フロー）がユーザーで自由にデザインできるエディタを標準装備

OTRS• 様々な「問い合わせ」業務の管理の効率化や知識の共通化を支援• コールセンターでの対応の記録から、ITILを活用した業務最適化コン
サルティングまで対応可能

ZABBIX• システムの稼働監視（サーバー、プロセス、サービスなど）、パフォー
マンス監視、ログ監視をする機能を提供。
• クラウドサービスの安定稼働を実現するSOA基盤監視に対応予定

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

47

まとめ

クラウドサービスと社内システムとの間をシームレスに接続した、講談社様のSSO導入事例を紹介。
クラウドサービスとのSSO実現の際には、SAML等の認証連携方式に対応しているか、ということに目が行きがち。
お客様の要求は、①自組織の認証ポリシーをいかに実現するか、②既存アプリケーションへの影響を最小限にSSOを実現するか、の2点にあった。
当社の約10年にわたる認証基盤の構築、運用の経験とノウハ
ウ、OpenAM向けのオリジナルモジュール類を適用して、お客様の要求にお応えするシングルサインオン基盤を構築した。
こうした経験とノウハウをThemiStructシリーズとして提供しています。
Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

48

ご清聴ありがとうございました【お問合せ先】

株式会社オージス総研
東日本営業部

TEL 03-6712-1201
E-mail info@ogis-ri.co.jp

Copyright© 2012 OGIS-RI Co., Ltd. All rights reserved.

49