これから企業の認証基盤に求められること～ID連携技術を使ったクラウド、モバイル活用実現に向けて～
株式会社オージス総研
事業開発本部 テミストラクトソリューション部
八幡 孝© 2018 OGIS-RI Co., Ltd.

2018/11/28 「～攻めと守りの認証・ID管理～」 セミナー

1

自己紹介

株式会社オージス総研
統合認証ソリューション担当

OpenAMコンソーシアム
副会長

八幡 孝

© 2018 OGIS-RI Co., Ltd.

OpenIDファウンデーション・ジャパン
Enterprise Identity WG
リーダー

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

2

統合認証ソリューションを15年以上やってきました
ThemiStruct-WAM

シングルサインオン
認証基盤ソリューション

ThemiStruct-IDM

ID管理ソリューション

ThemiStruct-CM

電子証明書発行・管理ソリューション

ワンタイムパスワードソリューション
ThemiStruct-OTP

ThemiStruct-MONITOR

ThemiStruct Identity Platform© 2018 OGIS-RI Co., Ltd.

システム監視ソリューション

APIエコノミー時代の統合認証パッケージ2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

4

認証基盤のユースケースが拡大
ユースケース

狙い・特長

社内システム利用のガバナンス強化

認証処理の一元化、人事システム等と連動したタイムリーなIDメンテナンス。

取引先へのシステム提供

取引先ユーザーの確実な認証。IPアドレスや電子証明書の併用。

クラウドサービス利用時、スマホ・タブレット利用時の認証強化

社外からの利用の制限。社外での利用時の追加の認証の実施。社用端末の識別。
クラウドサービスのIDメンテナンス。

顧客（一般消費者）向けの情報提供、サービス提供

SSOによる顧客への利便性の提供。複数アプリへの展開。収集した属性の活用。他社サービスとの連携。

モバイルアプリ化、オープンAPI活用によるアプリ機能、サービスの高度化• アプリ内にパスワード保存不要な安全な認証方式、SSOに対応できる認証方式への対応。
• 利用者同意に基づく必要最少権限でのデータ連携を実現する認証・認可方式への対応。

© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

5

現在の認証基盤の主要なユースケース

企業/企業グループ内の業務向けの「社内統合認証基盤」を構築する

顧客向けサービスサイトの「共通ID基盤」を構築する

オープンAPIを提供するための「API連携認証システム」を構築する© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

6

ThemiStruct ラインアップ
ThemiStruct-WAM

シングルサインオン
認証基盤ソリューション

ThemiStruct-IDM

ID管理ソリューション

ThemiStruct-CM

電子証明書発行・管理
ソリューション

ワンタイムパスワードソリューション
ThemiStruct-OTP

ThemiStruct-MONITOR

ThemiStruct Identity Platform© 2018 OGIS-RI Co., Ltd.

システム監視ソリューション

APIエコノミー時代の統合認証パッケージ

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー7© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

8

「社内統合認証基盤」の構築イメージ
SaaSアプリA
SaaSアプリB
SaaSアプリC

Amazon VPC

社外利用用

Rev Proxy

社内ネットワーク

IDM

認証サーバーThemiStruct Identity Platform© 2018 OGIS-RI Co., Ltd.

Rev Proxy #1

業務アプリA

Rev Proxy #2

業務アプリB2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

9

「共通ID基盤」の構築イメージ
ネイティブ
アプリ

スマホ向け
サービス

認証・認可

会員登録

サービスA

認証

www.example.jp

共通ID UI
サービスB

会
員
管理
機
能

ユーザーの共通属性利用

サービスC

認証サーバー
会員情報
データベースid.example.jp© 2018 OGIS-RI Co., Ltd.

shop.example.jp

ThemiStruct Identity Platform

共通ID基盤

会
員
利用
状況分
析

機能 C-a
特定属性の利用機能 C-banother-domain.jp

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

10

「API連携認証システム」の構築イメージ

APIアクセスのための認証要求
会員登録

認証

共通ID UI
会員
管理
機能

許可されたAPI
アクセス条件の確認

サードパーティ
API利用アプリ
ユーザーに許可された権限でのAPIアクセス

オープンAPI
API #1
API #2

認証サーバー
会員情報
データベースThemiStruct Identity Platform

API連携認証システム© 2018 OGIS-RI Co., Ltd.

api.example.jp

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

11

「社内統合認証基盤」を考える© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

12

企業におけるID管理・アクセス管理の必要性
 情報セキュリティ対策
 法令対応 認証制度への適合

 内部統制、IT統制の構築© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

13

ID管理・アクセス管理とは何か？

“アイデンティティとアクセス管理（IAM）は、正しい人が適切なタイミングで適切なリソースに適切な理由でアクセスできるようにするセキュリティ規律です。

”

Gartner社「Gartner IT Glossary」より

引用元: https://www.gartner.com/it-glossary/identity-and-access-management-iam/

この講演では以下の表記を使います。
アイデンティティ管理 ➡ ID管理
アクセス管理 ➡ アクセス管理© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー14

セキュリティのための認証基盤
 情報セキュリティの3要素 (CIA) 機密性: Confidentiality
 完全性: Integrity 可用性: Availability➡

本当は最も優先されるべき要素

利用を制限するための認証基盤
クラウド、デバイス、サービスを活用してもらうための認証基盤© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

15

ID管理 と アクセス管理 のフロー

信頼できる源泉データ© 2018 OGIS-RI Co., Ltd.

ID登録

認証器登録（PW, OTP, 等）

ユーザー認証アクセス
認可

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

アプリ機能
提供

16

ID管理 と アクセス管理 のフロー

信頼できる源泉データ

ID登録

認証器登録
（PW, OTP, 等）

ID管理システムで対応

ユーザー
認証

認証システムで対応

認証結果連携属性情報連携

認証利用

アクセス
認可

アプリ機能
提供
個々のアプリで対応© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

17

認証基盤の基本形
認証・シングルサインオン

機能単位のアクセス制御

アプリ単位のアクセス制御

ユーザー属性に基づくアクセス権判定

ゲートウェイ（リバプロ）
ユーザーID
グループID

認証システムアプリケーション

ユーザー属性情報の取得

LDAP
Active Directory

ユーザー情報
ID管理
システム

人事マスタ

承認ワークフロー

信頼できる源泉情報を使ったID管理・配布© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

18

認証基盤の基本形
 良い点

認証システム 認証・アクセス制御の関所化アプリケーション

ユーザー情報 認証方式の統一

ID管理
システム

人事マスタ

承認ワークフロー 退職等での利用停止を1箇所で対応

 個別のID管理なしに最新の情報に基づいた権限を付与
 問題点
 アプリケーション開発ガイドの展開とそれに基づいた開発
 個別にID登録が必要なアプリケーション（パッケージ、SaaS）の接続
 ゲートウェイ（リバプロ）経由アクセスにできないSaaSへの対応© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

19

業務向けIT活用の変化
 クラウド活用の拡大 (SaaS) 自社開発 よりも パッケージ利用、パッケージ利用 よりも SaaS活用
 デバイスが多様化 PC から スマホ/タブレット の活用へ

 利用時間、利用場所の拡大
 オフィス内、移動中、在宅勤務

 クラウド活用したシステム開発への対応 (PaaS) PaaSの認証機能との連携の必要性© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー20

業務向けIT活用の世界観
パブ
リ
ック組織
内SaaS

リモートワーク

パッケージ

PC
ユーザー
タブレット/スマホユーザー© 2018 OGIS-RI Co., Ltd.

クラウド
活用

自社開発

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

21

認証基盤の基本形
SaaS / PaaS

SaaS / PaaS

パッケージアプリ

ゲートウェイ
自社開発アプリ

認証システム(IdP, OP)

ユーザー
情報
© 2018 OGIS-RI Co., Ltd.

ID管理
システム

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

人事マスタ

承認ワークフロー22

認証基盤で対応しておくべきこと、など
 ID連携技術への対応
 状況に応じた認証方式の選択
 認証状態の管理、アプリセッション管理の考え方の見直し プロビジョニング方式の選択© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

23

ID連携技術への対応© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

24

OpenID Connect を使ったID連携の例
1. ユーザーがアプリケーションにアクセス
2. このユーザーは誰？

アプリケーション(Relying Party)

3. ユーザーを認証
4. このアプリにログインしようとしているけど良い？ユーザー名とメールアドレスを求めているけど渡しても良い？
5. いいよ1

2

6

6. このユーザーは、○○さん。メールアドレスは△△。最後に認証したのはこの時刻。認証方法は□□。
ユーザー属性の連携は OpenID Connect
UserInfo End Point による方法のほか、SCIM を併用した方法も採れる。

3

認証基盤(OpenID Provider)

4

ユーザー

5
※ 概念を図示するため、実際のリクエスト・レスポンスの方法、回数等を簡略化しています。

© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー25

状況に応じた認証方式の選択
 パスワード認証
 ワンタイムパスワード（OTP）
 FIDO U2F

 クライアント証明書の利用
 統合Windows認証（デスクトップSSO）

 認証方式を選択して、あるいは組合せて使用する© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

26

認証状態の管理、アプリセッション管理の考え方の見直し
 認証システム と アプリケーション で管理主体が異なる。
 認証システム上の認証状態
 アプリケーションのセッション状態はそれぞれが管理 異動等に伴うシステムの利用停止をどう実現するか？
 セッション管理の考え方で対応
 リスクが高いシステムは、即時プロビジョニングで対応

 権限に関わる属性変更された時の反映をどう実現するか？
 現在はプロビジョニングによる方式が唯一の選択肢か© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー27

セッション管理の考え方 ①
認証状態

認証システム
認証要求「アクセスしてきている人は誰？」

id = 〇〇 の人
認証した日時は 〇〇
属性は ( a, b, c )アクセスセッションが切れたので、認証状態を再確認して、延長。
アプリセッション

アプリ①

アプリ②

© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー28

セッション管理の考え方 ②
ログアウト
認証状態

認証システム
認証要求「アクセスしてきている人は誰？」

アプリへのアクセスはここで停止

アプリ①

アプリへのアクセスはここで停止

アプリ②© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

29

プロビジョニング方式の選択
 ID連携時の属性連携
 比較的運用がしやすい 対応可能なSaaSが限られる
 事前プロビジョニング

 標準技術 SCIM を使う
 アプリケーション（パッケージ、SaaS）独自のインタフェースを使う

 ID管理システムで連携開発を頑張る© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

30

認証基盤の基本形SaaS / PaaS

SaaS / PaaS

パッケージアプリ

ゲートウェイ
自社開発アプリ

認証システム(IdP, OP)

ユーザー
情報
© 2018 OGIS-RI Co., Ltd.

ID管理システム

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

人事マスタ

承認ワークフロー31

業務向けIT活用の世界観（さらに先へ）
パブリック組
織
内

ビジネス
パートナー

SaaS

クラウ
ド
活用

リモート
ワーク

WebAppon PaaS

PC
ユーザー

パッケージ
タブレット/スマホユーザー© 2018 OGIS-RI Co., Ltd.

自社開発

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

32

当社ソリューションのご紹介© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

33

統合認証ソリューション ThemiStruct を提供しています
ThemiStruct-WAM

シングルサインオン
認証基盤ソリューション

ThemiStruct-IDM

ID管理ソリューション

ThemiStruct-CM

電子証明書発行・管理
ソリューション

ワンタイムパスワードソリューション
ThemiStruct-OTP

ThemiStruct-MONITOR

ThemiStruct Identity Platform© 2018 OGIS-RI Co., Ltd.

システム監視ソリューション

APIエコノミー時代の統合認証パッケージ

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

34

統合認証パッケージ ThemiStruct Identity Platform
ThemiStruct Identity Platform は、ITシステム利用者のアイデンティティ管理と認証の機能を提供します。顧客向けにサービスを展開したり、従業員向けにアプリケーションを展開する際に必要となる、共通ID基盤の構築に活用いただけます。
顧客向けサイト領域に活用

エンタープライズ領域に活用

サービスサイト

認証する

アプリ利用

サービス利用サービスの主機能

サービスの利用者

社内のアプリ従業員
統合認証基盤
クラウドのアプリ
サービスのID・認証機能

サービスサイトのID、認証の共通機能として利用© 2018 OGIS-RI Co., Ltd.

エンタープライズアプリ群のSSOやアクセス制御の基盤として利用

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

35

ThemiStruct Identity Platform を『顧客向けサイト』に活用
ThemiStruct Identity Platform を『顧客向けサイト』環境に適用した場合、サービスの利用者IDの管理と認証の機能を担うバックエンドサービスとして稼働します。これらの機能のUIにあたるアプリ
ケーションの実装を支援し、実際のサービスアプリと接続するためのインタフェースを提供します。
認証基盤
バックエンド

認証基盤
フロントエンド

ネイティブアプリ○○でログイン□□でログインWeb アプリ△△でログイン

利用者

名前
メール
電話番号
住所

ThemiStruct
Identity Platform

IDと認証、アクセス認可の機能をアプリに組み込む

Web APIの認証・アクセス認可に対応

利用者のID情報の管理や認証などの共通機能を、サイトの統一されたデザインで組み込むことができます。

OAuth 2.0 を使ったAPI連携認証システムが実現でき、モバイルアプリ、オープンAPIを安全に公開できます。

© 2018 OGIS-RI Co., Ltd.

Web API

短期間での導入が可能
スモールスタート、突発的ア
クセス集中に対応できる伸縮
可能かつ事業継続性を考慮した認証基盤が、2時間でセットアップできます。

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー36

『顧客向けサイト』に向けた3大特長
 IDとユーザー認証、アクセス認可の機能をアプリに組み込む
 利用者のID情報の管理や認証など利用者IDに関連する共通機能の実装を支援する『フレームワーク』と『Web API』を提供します。これらを活用し、貴社のサービスサイトに認証機能やパスワード変更機能、アプリケーションへのID連携機能などを組み込むことができます。

 Web APIの認証・アクセス認可に対応
 OAuth 2.0 の技術仕様に基づいた認証・アクセス認可機能を提供します。
OAuth 2.0 を使ったAPI連携認証システムが実現でき、モバイルアプリ、オープンAPIを安全に公開できます。

 短期間での導入が可能
 AWSマネージドサービスのコンポーネントを活用し、導入時におけるキャパシティやアベイラビリティプラニングから解放します。スモールスター
ト、突発的アクセス集中に対応できる伸縮可能かつ事業継続性を考慮した認証基盤が、2時間でセットアップできます。

© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

High-Availability
Scalability

37

ThemiStruct Identity Platform を『エンタープライズ』に活用
ThemiStruct Identity Platform を『エンタープライズ』環境に適用した場合、社内外のアプリケーションにシングルサインオン可能な認証基盤を提供できます。また、企業のポリシーにあった認証機能の設定や既存のIDとの統合をすることができます。
認証基盤

従業員

社用のネイティブアプリ

社用のWeb アプリ

社内のID基盤

ADorHRorIdM

ThemiStruct
Identity Platform

社用のクラウドサービス

既存のID基盤と統合

企業ポリシーの適用

シングルサインオン

社内で既に展開されたIDに関連する仕組みとの統合を実現できます。

多要素、多段階認証に対応し多様なセキュリティ要件に応じた認証機能を提供します。

社内、社外問わず、様々なアプリケーションにシングルサインオンできます。

© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー38

『エンタープライズ』に向けた3大特長
 シングルサインオン
 OpenID Connect などの標準技術仕様を用いたシングルサインオンに対応しています。社内、社外問わず、様々なアプリケーションにシングルサインオンできます。

SSO

 企業ポリシーの適用
 ユーザーの属性や状態、利用するアプリケーションに応じて、柔軟な認証ポリシーをデザインすることができます。例えば、社内ネットワークからのアクセスの場合、IDとパスワードの認証を提供し、外出先からのアクセスの場合、追加でワンタイムパスワード認証を提供するといったポリシーを展開することができます。

OTP
*****

Vein

CERT

 既存のID基盤と統合
 既存のID基盤と統合に向けたアカウント管理APIを提供しています。これにより、社内で既に展開されたIDに関連する仕組みとの統合を実現できます。

© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

ADHRIdM39サーバーレスアーキテクチャを採用
ThemiStruct Identity Platform は Amazon Web Services のマネージドサービス上で稼働するため、一定のアベイラビリティ、スケーラビリティを実現することができます。また、以下の構成のセットアップを約2時間で完了できるインストーラを提供しています。

認証基盤の利用

DNS

CDN

WAF

API定義

APIロジック
ログ保管、監視利用者

AmazonRoute 53

AmazonCloudFront

AWS
WAF

AmazonAPI Gateway

AWS
LambdaAWS
CloudWatch

AmazonRDS

暗号鍵保管

利用者向け画面AmazonS3

管理者用のコンソール

AmazonEC2

Amazon
RDS

AWS
KMS

ID、セッション、設定ストア

短時間でのセットアップ

認証基盤の管理
新バージョンやパッチの配信

構築者© 2018 OGIS-RI Co., Ltd.

ThemiStruct
Identity Platform
インストーラ

管理者

AWS
CodeCommit

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー40

オージス総研のAPIソリューション APIの技術調査・検討から運用までのフルカバー
 API利用者のニーズを捉えたビジネスの継続的な進化を実現
お客様API取組状況

課題

企画・計画

• デジタルビジネスを企画したいが、技術面を担当できる要員がいない• APIの取り組みが初めてで、方法論や技術がわからない

API公開支援ソリューション(構築)開発• 「APIの設計、実装」など技術面でのサポートが欲しい• API公開を迅速に進めたい

API公開支援ソリューション(運用)運用• 「APIの運用」の技術面でのサポートが欲しい• 公開するAPIに脆弱性がないか確
認したい

活用

• 作成したAPIを使って、モバイルやAIスピーカーなどクライアントを構築したい© 2018 OGIS-RI Co., Ltd.

ご提供ソリューション
API導入コンサルティング

API管理製品

API脆弱性診断サービス

API活用アプリケーション開発

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

41

まとめ

© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

42

まとめ
 企業の業務のためのIT活用方法は、時代とともに変化している。
 IT活用に合わせて企業内の認証基盤も新しい方式、技術への対応が求められている。
 企業のデジタルトランスフォーメーション実現のため、自社の顧客向けサービス、API提供のための認証基盤の検討・構築も必要である。
 当社では ThemiStruct シリーズを提供。それらを組み合わせて社内統合認証基盤、共通ID基盤、API連携認証システム の構築ニーズに対応する。

© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー43

ご清聴ありがとうございました【お問い合わせ先】
株式会社オージス総研
TEL: 03-6712-1201 / 06-6871-8054
mail: info@ogis-ri.co.jp© 2018 OGIS-RI Co., Ltd.

2018/11/28 『～攻めと守りの認証・ID管理～』 セミナー

44