今更聞けない認証関連OSSの話～クラウド移行の観点も含めて～
OSS コンソーシアム BA＆教育ソリューション部会
オープンソース・ソリューション・テクノロジ株式会社

Copyright © 2020 Open Source Solution Technology Corporation All Rights Reserved.

-1-

ビジネス＆教育ソリューション部会• OSSビジネスアプリケーションの積極的な普及啓蒙活動を行うことにより、各ビジネスアプリケーションの繁栄を図り、OSSの普及にも貢献する。

現在作成中…

2019年：OSCへの出展
Scratchを利用したドローンプログラミングの紹介

2020年度：部会参加企業の製品紹介コンテンツ動画の作成

Copyright © 2020 Open Source Solution Technology Corporation All Rights Reserved.

-2-

2018年：部会紹介パンフレットとして参加企業の合同紹介チラシの作成

会社紹介• オープンソース・ソリューション・テクノロジとは• 『認証』関連OSSに特化したソフトウェア会社• 認証OSSを商用Linux上で動作するようパッケージとして提供• 認証OSSの保守• システム導入の際の認証・シングルサインオンを支援

独自改良を加えたOSS製品のパッケージ提供

自社製品の自社製品の設計・導入やサポートサービス

認証関連コンサルティング

製品問い合わせ窓口

・シングルサインオン

脆弱性アナウンス

・統合認証

パッチの作成・提供、等

Copyright © 2020 Open Source Solution Technology Corporation All Rights Reserved.

・LDAPデータ移行-3-

OSSTech製品年表
2006

2008

2010

2014

2017

2020

UNIX上でのNTドメイン、Active Directory実現や商用サポートが得られるLDAPサービス

OpenSSO
クラウドの発展に合わせたシングルサインオン需要の加速

本人確認ビジネスの普及
Copyright © 2020 Open Source Solution Technology Corporation All Rights Reserved.

-4-

今更聞けないシングルサインオンの話＋“企業ITのクラウドマイグレーションとOSSの役割”

Copyright © 2020 Open Source Solution Technology Corporation All Rights Reserved.

-5-

シングルサインオンがない環境• 組織内に存在する様々なWebアプリ、クラウドサービスに個別に認証している状態

認証ログイン
アプリ利用

クラウドサービス
利用者• 覚えるID/パスワードが増える• 付箋メモ、簡単なパスワードの使いまわし、紛失等のリスク増
加認証ログイン利用者

アプリ利用

Webアプリ• 個々に認証処理を検討する必要がある• クラウドサービスが増えるほどパスワードを管理する箇所が増える
管理者

Copyright © 2020 Open Source Solution Technology Corporation All Rights Reserved.

-6-

シングルサインオン（SSO）とは• クラウド、オンプレミスを問わずシステムで混在する認証を一元化し、一度の認証ですべてのシステムの利用を可能にする仕組み

アプリ利用

クラウドサービス
利用者

Webアプリ

利用者
認証ログイン

認証連携

管理者• 覚えるID/パスワードは一つだけ！
• 生態認証等を利用することでパスワードレスでの認証も実現可能• 高度な認証方式を採用しやすい• 多要素認証、生態認証• 認証連携の方法によっては、クラウド側にパスワードを持たせずに済むシングルサインオン

Copyright © 2020 Open Source Solution Technology Corporation All Rights Reserved.

-7-主だった認証連携の方法
認証連携方式

セキュリティ

特徴•クラウドサービス

Webアプリ

SAML、OpenIDConnect(フェデレーションプロトコル)

エージェント、リバースプロキシ（HTTPヘッダ）

高•

•

高•

業界標準のフェデレーションプロトコルであるSAML(SecurityAssertion Markup Language)を用いた実装形式(OpenIDConnectやOAuthにも対応可能)
Office365, G suite(旧Google Apps), Salesforce等のSAMLに対応しているクラウドサービスやWebアプリケーションとの連携等
で利用
Policy Agentと呼ばれる認可を行うためのモジュールをSSO対象のサーバに導入する実装形式
SSO対象のサーバにモジュールの導入などが困難な場合、PolicyAgentを導入したリバースプロキシを用いて実装可能

認証連携

シングルサインオン

代理認証

低*••

上記2つの形式での実装が困難な場合に利用する実装形式
OpenAMから得た認証情報をSSO対象のサーバにPOSTすることでSSOを実施(Basic認証、FORM認証に対応)※ 認証情報を保持する箇所が増えるため

Copyright © 2020 Open Source Solution Technology Corporation All Rights Reserved.

-8-

認証連携方式の適用チャート
WebアプリケーションがYes

SAMLに対応しているか

SAMLを採用

No
クラウドサービス

Webアプリケーションの改修が可能かNo

代理認証方式を採用

Yes

Webアプリケーションを

Yes

SAMLに対応できるか
Webアプリ認証連携

No

エージェントがYes

Web/APサーバ
シングルサインオンに対応しているかNo

Copyright © 2020 Open Source Solution Technology Corporation All Rights Reserved.

SAMLを実装
エージェント方式を採用
リバースプロキシ
方式を採用

-9-

クラウド移行すると…？
• IaaS, PaaS等で移行する場合

WebアプリWebアプリ• SaaSに移行する場合

Webアプリクラウドサービス

Copyright © 2020 Open Source Solution Technology Corporation All Rights Reserved.

- 10 -

IaaS, PaaSの場合• IaaS, PaaS等で移行する場合

WebアプリWebアプリ

現行の認証連携方式を踏襲
or
フェデレーションプロトコル対応

Copyright © 2020 Open Source Solution Technology Corporation All Rights Reserved.

- 11 -

SaaSの場合• SaaSの類似サービスへ移行する場合
代理認証の流れWebアプリクラウドサービス
Webアプリ連携方式の再検討が必須＋

代理認証はしない！

クラウドサービスのログインUIが突然変わるかもしれない• Webアプリのログイン画面を検知• ログインしていない場合、認証に必要な情報（ID/パスワード）を応答
通信が暗号化されていてもパスワードをNWに何度も流さない方がいい

Copyright © 2020 Open Source Solution Technology Corporation All Rights Reserved.

- 12 -

ハイブリッドクラウドへの対応

10年以上の歴史を持つ商用製品が元となったシングルサインオン製品

高品質なオープンソース

商用製品がベースで実績のあるオープンソースソフトウェアを採用し、独自機能追加など拡張に対するサポートも万全

多彩なSSO連携機能

フェデレーション機能、エージェント方式、リバースプロキシ方式、代理認証方式によるSSOに対応

複数の認証方式に対応

通常のIDとパスワードによる認証に加え、ワンタイムパスワードや統合Windows認証等、任意の組み合わせによる多要素認証が可能
アクセスURLを分けることにより、複数の認証方式を利用可能

Copyright © 2020 Open Source Solution Technology Corporation All Rights Reserved.

- 13 -

ところで…

OpenAMってクローズドソースになりましたよね？

Copyright © 2020 Open Source Solution Technology Corporation All Rights Reserved.

- 14 -

OpenAMの歴史
2006

2008

2010

2014

2017

2019

OpenSSO
クラウドの発展に合わせたシングルサインオン需要の加速

OSSとしてのOpenAM/OpenSSOの開発主体
Sun Microsystems

Oracleの買収に伴い、OSSとしての先行きが不透明に

ForgeRockOpenAMコンソーシアム

最新版ソースコードのクローズ＋ForgerockAMとして発売

Copyright © 2020 Open Source Solution Technology Corporation All Rights Reserved.

- 15 -

OpenAMコンソーシアム• OpenAMコンソーシアムとしてソースコードを公開中
https://github.com/openam-jp

OpenAMの普及・促進を目的としたビジネスコンソーシアム• OpenAMを取り扱う加盟企業でセミナー・技術記事寄稿• OSSTech、オージス総研様が中心となって開発の実施

https://www.openam.jp/• ソースコード公開に至る経緯はインタビュー記事として公開中です！
• オープンソースソフトウェアのシングルサインオン製品が求められる理由• https://www.atmarkit.co.jp/ait/articles/1811/05/news006.html

Copyright © 2020 Open Source Solution Technology Corporation All Rights Reserved.

- 16 -

OpenAMコンソーシアム
最新バージョンの公開• OSSTech版、OpenAMコンソーシアム版共に、2019年12月に最新バージョン『OpenAM14』を公開• WebAuthn対応• FIDO2に規定されている最新の認証規格に対応• Java11(openjdk11)対応• 現行のJava 8は公式アップデートの終了が近い• Java 9はリリースモデルが変更となっている• 最新かつ長期間のサポートが可能なJava 11をサポート！

Copyright © 2020 Open Source Solution Technology Corporation All Rights Reserved.

- 17 -FIDO2とは• FIDO2（Fast IDentity Online 2）• FIDOアライアンスが策定したパスワードを必要としない新しい認証方式• 公開鍵暗号方式をベースとしており、下記の特徴がある• パスワードを利用しない• 認証するサービスごとに鍵の情報を変更• ネットワークに機微な情報を流さない

Copyright © 2020 Open Source Solution Technology Corporation All Rights Reserved.

- 18 -

WebAuthnとは• FIDOアライアンスでFIDO2での認証に必要な登場人物及びプロトコルを定義しており、サーバ側の実装はWebAuthnで定義されている• Authenticator（TPM内蔵PCの指紋リーダー、USBやBluetoothデバイスなど)• ブラウザ（Firefox、Edge、Chromeなど)• RPサーバー（FIDO2/WebAuthn 認証サーバー、サービスなど)
iPhoneでTouchID /FaceIDをAuthenticatorとして利用可
能になりました！

Copyright © 2020 Open Source Solution Technology Corporation All Rights Reserved.

- 19 -お問い合わせ：sales@osstech.co.jp

Copyright © 2020 Open Source Solution Technology Corporation All Rights Reserved.

- 20 -