「ThemiStruct(テミストラクト)
Identity Platform」
クックブック株式会社 オージス総研
サービス事業本部 テミストラクトソリューション部
杉野 真士

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

ある日・・・

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,
reserved.
Ltd. All rights reserved.

2

「明日までに認証基盤用意してね」
by 某ボス

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,
reserved.
Ltd. All rights reserved.

3

明日までに認証基盤って・・・
社内のいろんなアプリケーションをシングルサインオンできるようにしないと・・・

認証基盤が停止したらアプリケーションが使えなくなるので、構成考えないと・・・

今後利用したいアプリケーション増えてくるだろうか
ら、追加時の作業が多いと運用きつくなりそう

月末月初とかのアクセスが殺到するピークの時に遅くなったらダメだよね

すぐに社外からもセキュアにアクセスしたいとかの要望がでるだろうな
Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RIrights Co.,
reserved.
Ltd. All rights reserved.

4

そんな無茶な・・・

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,
reserved.
Ltd. All rights reserved.

5そんなときCopyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,
reserved.
Ltd. All rights reserved.

6

某同僚「すぎのさん、すぎのさん。
最近こんなの作ってみたんだけど試してみてよ」

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,
reserved.
Ltd. All rights reserved.

7

ThemiStruct
Identity Platform？

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,
reserved.
Ltd. All rights reserved.

8

ThemiStruct Identity Platformはブラウザからの操作で短時間で構築できる
AWSのサービスを利用した高い可用性を持ち、大量ユーザアクセスも対応できる認証基盤に仕上がる
クラウドサービスや業務アプリケーションにフェデレーション/エージェント/リバースプロキシ方式で接続できる

アプリケーションへの接続は少ない作業で簡単に接続できる
IPアドレスによる制御やOTPなどの多要素認証などで認証強化を行うことができる
Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,
reserved.
Ltd. All rights reserved.という認証基盤です。

9これ使ったら・・・
社内やクラウドサービスなど社内のいろいろな のアプリとも接続できそう
アプリケーションをシングルサインオンできるようにしないと・・・

今後利用したいアプリケーション増えてくるだろうか
ら、追加時の作業が多いと運用きつくなりそう
アプリ接続作業も難しくなさそう

認証基盤が停止したらアプリケーションが使えなくなるので、構成考えないと・・・
AWSのサービスを利用して可用性高い構成みたい
月末月初とかのアクセスが殺到するピークの時に遅くなったらダメだよね
突発的なスパイクアクセスにも対応できそう

すぐに社外からもセキュアにアクセスしたいとかの要望がでるだろうな
OTPなどを組み合わせた多要素認証でできそう
Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,
reserved.
Ltd. All rights reserved.

10これなら明日までにできるかも！

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,
reserved.
Ltd. All rights reserved.

11

Let's get cooking.

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,
reserved.
Ltd. All rights reserved.

12

調理の流れ• 下ごしらえ• 認証基盤調理• マネジメントコンソール作成• Identity Platform作成• 盛り付け• アプリケーション接続• Office 365 も接続

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,
reserved.
Ltd. All rights reserved.

13

調理作業時間目安
1０分

第1 章

下ごしらえ
Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

14

下ごしらえ• AWSのご契約• 構築用ユーザの作成• VPC及びサブネット作成• 認証基盤用ドメイン登録etc
Copyright© 2016 OGIS-RICopyright©
Co., 2016
Ltd. All
OGIS-RIrights Co.,reserved.
Ltd. All rights reserved.

15

AWSのご契約
AWSアカウントの作成

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

16

構築用ユーザの作成
IAM画面からユーザを作成
アクセスキーIDとシークレットアクセスキーを取得

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

17

VPCとサブネット作成
ThemiStruct Identity Platformを構築するVPCを作成

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

18

DNSへのドメイン設定（Route53）
ThemiStruct Identity Platform用ドメインをRoute53に登録

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

19通知用TOPICの作成
各種通知用のSNS TOPICを作成

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

20次工程のために以下を準備＆メモしておきます
アクセスキーID
シークレットアクセスキー
インストール先のVPCのID
インストール先のサブネットのID

Identity Platform用のドメイン名
通知のためのSNS TOPIC名
Identity Platform用サーバ証明書
マネージメントコンソール用サーバ証明書
メンテナンス通信（SSH）用の公開鍵

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

21

下ごしらえ完了

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RIrights Co.,reserved.
Ltd. All rights reserved.

22

調理の目安2時間00分

第2 章

認証基盤の調理
Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

23

認証基盤の調理の流れ• マネージメントコンソール作成• ThemiStruct
Identity Platform作成

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RIrights Co.,reserved.
Ltd. All rights reserved.

24マネージメントコンソール
作成開始！

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RIrights Co.,
reserved.
Ltd. All rights reserved.

25

Create Stack
CloudFormationからCreate Stackをクリック

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

26

Identity Platformテンプレート選択
ThemiStruct Identity Platform用テンプレートをアップロード

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

27

マネジメントコンソール作成時情報入力
インストールするVPC
インストールするサブネット
MCへアクセス可能なIPアドレス
MCへSSHするためのユーザ名
MCへSSHするためのSSH公開鍵
インストールするドメイン名

通知のためのSNS TOPIC名ThemiStruct Identity Platform用アクセスキー
ThemiStruct Identity Platform用シークレットキー

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

28

マネジメントコンソール作成時情報入力（ここで考える項目）
インストールするVPC
インストールするサブネット
MCへアクセス可能なIPアドレス
MCへSSHするためのユーザ名
MCへSSHするためのSSH公開鍵
インストールするドメイン名

通知のためのSNS TOPIC名
ThemiStruct Identity Platform用アクセスキー
ThemiStruct Identity Platform用シークレットキー

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

29

インストール開始
マネージメントコンソールのインストール開始

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

30

30分蒸らします

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RIrights Co.,
reserved.
Ltd. All rights reserved.

31

マネージメントコンソール完成！

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,
reserved.
Ltd. All rights reserved.

32

Identity Platform
調理開始！

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,
reserved.
Ltd. All rights reserved.

33

15工程で調理していきます（味付け5分、焼き/蒸らし90分）

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,
reserved.
Ltd. All rights reserved.

34

Identity Platformインストール時入力項目
アクセスキーID

複数のアベイラビリティゾーンでのレプリケーション

シークレットアクセスキー

RDSのインスタンスクラス

Availability-Zone-1aのサブネットID

データベースの名称

Availability-Zone-1cのサブネットID

データベースのユーザー

Identity Platformのホスト名

ユーザーのパスワード

DNSのHosted Zone

バックアップの保存期間

セットアップするステージ

Identity Platformのサーバ証明書

管理者のパスワード

Identity Platformの証明書の秘密鍵踏み台として作成するEC2のAMIのID

Identity Platformの中間証明書

踏み台のホスト名

CloudFrontのログを格納するS3のバケット名

踏み台のログインユーザ名

各種コンテンツを格納するS3のバケット名

SSH接続を行う公開鍵Management Consoleのサーバ証明書

接続を許可するCIDR IPアドレス

Management Consoleの証明書の秘密鍵
Management Consoleの中間証明書

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

35

Identity Platformインストール時入力項目（ここで考える項目）
アクセスキーID

複数のアベイラビリティゾーンでのレプリケーション

シークレットアクセスキー

RDSのインスタンスクラス

Availability-Zone-1aのサブネットID

データベースの名称

Availability-Zone-1cのサブネットID

データベースのユーザー

Identity Platformのホスト名

ユーザーのパスワード

DNSのHosted Zone

バックアップの保存期間セットアップするステージ

Identity Platformのサーバ証明書

管理者のパスワード

Identity Platformの証明書の秘密鍵踏み台として作成するEC2のAMIのID

Identity Platformの中間証明書

踏み台のホスト名

CloudFrontのログを格納するS3のバケット名

踏み台のログインユーザ名

各種コンテンツを格納するS3のバケット名

SSH接続を行う公開鍵Management Consoleのサーバ証明書

接続を許可するCIDR IPアドレス

Management Consoleの証明書の秘密鍵
Management Consoleの中間証明書

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

36

１．AWS情報設定
入力項目
・アクセスキーID・シークレットアクセスキー

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

37

２．共通設定
入力項目
・サブネットID情報
・Identity Platformホスト名
・ドメイン名・ステージ名・管理者のパスワード

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

38

３．踏み台構築
入力項目
・踏み台サーバのホスト名
・踏み台サーバのユーザ名
・踏み台サーバのSSH接続公開鍵
・踏み台サーバへのアクセス許可IP

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

39

４．DB構築
入力項目
・データベースのレプリケーション有無
・データベースのインスタンスサイズ
・データベースの名前
・データベースのユーザー名
・データベースのユーザパスワード
・バックアップの保存期間

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

40

５．DB設定「Next」をクリックするだけ

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

41

６．環境構築「Next」をクリックするだけ

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

42

７．デプロイ設定「Next」をクリックするだけ

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

43

８．デプロイ実行「Next」をクリックするだけ

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

44

９．Identity Platform用サーバ証明書設定
入力項目
・Identity Platform用のサーバ証明書
秘密鍵
中間証明書

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

45

１０．コンテンツ設定
入力項目
・ログの格納先バケット名・コンテンツ格納先バケット名

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

46

１１．コンテンツ配置「Next」をクリックするだけ

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

47

１２．CDN構築「Next」をクリックするだけ

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

48

１３．管理機能証明書設定
入力項目
・マネジメントコンソール用のサーバ証明書
秘密鍵
中間証明書

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

49

１４．管理機能設定「Next」をクリックするだけ

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

50

１５．管理コンソールの再起動「再起動」をクリックするだけ

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

51

セットアップ完了

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

52

まず認証基盤できた！

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RIrights Co.,
reserved.
Ltd. All rights reserved.

53

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RIrights Co.,
reserved.
Ltd. All rights reserved.

54

Architecture
ThemiStruct
Identity Platform

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

55

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,
reserved.
Ltd. All rights reserved.

56

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,
reserved.
Ltd. All rights reserved.

57

第 ３ 章

盛り付け～アプリケーション接続～
Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

58

本日盛り付けるアプリケーション
オンプレミスのデータセンターに配置されたアプリケーション

クラウドサービス

Office 365
Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

59

盛り付け方｜接続

盛り付け方は３パターンをご用意 エージェントによる接続

 リバースプロキシによる接続

 フェデレーションによる接続

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

60

盛り付け例

フェデレーション

AgentCopyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

Office 365

61

参考｜リバースプロキシでの接続①
リバースプロキシでアプリケーションに接続する場合
1. ThemiStruct Identity Platformへのアプリ登録

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

62

参考｜リバースプロキシでの接続②
リバースプロキシでアプリケーションに接続する場合
2. フェデレーションプロキシ構築キットでアプリ接続
1.フェデレーションプロキシのインストールを実行# /opt/federationproxy/install.sh

2.addappコマンドを実行# /opt/federationproxy/addapp.sh ¥-p openpne ¥-v https://openpne.example.com:443 ¥-d https://dest.example.com:443 ¥-o https://op.example.com:443/prod ¥-c /etc/pki/tls/certs/openpne.crt ¥-k /etc/pki/tls/private/openpne.key ¥-I openpne.jNuaTZ3B ¥-s sX79zi3Y
Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

63

参考｜Office 365 の接続①
Office 365 と接続する場合は、ThemiStruct Identity Platform側
は管理画面で以下の設定し、Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

64

参考｜Office 365 の接続②完了画面に表示されるとおりに、PowerShellを実行することでOffice 365 との接続は完了します。

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

65

できた！

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,
reserved.
Ltd. All rights reserved.

66

Office 365

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,
reserved.
Ltd. All rights reserved.

67

第 ４ 章

認証基盤の味見
Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

68

味見

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,reserved.
Ltd. All rights reserved.

69

味見１
アプリケーションのSSO
味見２
Office 365 利用

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. AllOGIS-RI
rights Co.,
reserved.
Ltd. All rights reserved.

70

味見１
アプリケーションのSSO

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RIrights Co.,reserved.
Ltd. All rights reserved.

71

味見２

Office 365 利用

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,reserved.
Ltd. All rights reserved.

72

お召し上がりください

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RI
rights Co.,reserved.
Ltd. All rights reserved.

73

ThemiStruct Identity Platformご紹介

AWSネイティブなアイデンティティ連携基盤
≠OpenAM≠OpenIDM
オージス総研自社商品
Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

74

これからの認証プラットフォームに求められること膨大なトラフィック量への対応


認証基盤の役割増加



事業者が提供するサービスの増加



ユーザ数・デバイス数の増加

API利用の増加

スパイクアクセスへの対応


キャンペーンやニュースサイト掲載などにより定常的なアクセスと比較し、予想不可な大量のアクセスが発生する

システム停止回避への対応


認証基盤役割の増加に伴い、システム停止や遅延による機会損失が大きくなり、事業継続性や機会損失回避など可用性要求のレベルが格段にUPしたスピードスタート・スモールスタートへの対応


短期間でビジネスをスタートさせたり、事業規模に応じてスタート、柔軟にスケールできる必要がある

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

75ネイティブなアーキテクチャで高い可用性、成長と共に変化する拡張性を確保

仮想サーバーを極力使用しないアーキテクチャで実装

AmazonAPI
Gateway

AWS
LambdaAmazonRDSfor Aurora

AWSネイティブなアーキテクチャにより下記の恩恵を享受

リクエストに応じた伸縮が可能
一定の可用性確保と自動復旧の実現
プロジェクトの短期間化Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

76ArchitectureServerlessArchitecture

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

77

ThemiStruct Identity Platformの特徴
認証システムの短期導入が可能
ThemiStruct Identity Platformはクラウド上に設置され、短期間で従業員、カスタマー、ビジネスパートナーに認証サービスを提供できます。また、APIを利用し既設サイトへの組み込みも容易です。

ログインを1回に、認証方法も組合せ自由
ThemiStruct Identity Platformに一度ログインを行うことで、ユーザが利用したい各サイトへシングルサインオンすることができます。その際のログインではIDとパスワードによる認証だけでなく、ワンタイムパスワード・電子証明書、指紋・指静脈情報やインベントリー認証などを利用することができます。また利用システムごとの設定により、各サイトやコンテンツのセキュリティ、ユーザビリティ要件に応じた認証を行うことができます。

ユーザ登録のハードルを下げ、新規ユーザ登録率をアップ
FacebookやGoogleなどのユーザが普段使っているSNSやWebサービスのアカウントを利用して、気軽にユーザ登録が可能です。サイトへの新規ユーザ登録率、ユーザビリティ、コンバージョン率を向上させます。ユーザ自身による登録や、管理者による一括登録も可能です。

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RIrights Co.,
reserved.
Ltd. All rights reserved.

78

ThemiStruct Identity Platformの特徴
各システムへ必要なときに、必要な情報を連携できます
ThemiStruct Identity Platformから各システムへ必要なタイミングで、必要なユーザ情報を連携することができます。各システムでユーザ情報の管理が不要になります。

事業成長に合わせたスケーリング、突発的アクセス集中への対応
サーバレスアーキテクチャにより、事業環境の変化や突発的アクセス集中に合わせて、自由にかつ自動でコンピュータリソースの拡張・縮小を行えます。

Copyright© 2016 OGIS-RI
Copyright©
Co., 2016
Ltd. All
OGIS-RIrights Co.,
reserved.
Ltd. All rights reserved.

79本日のまとめ
1. 「ThemiStruct Identity Platform」なら認証プラットフォームはすぐ建てられる
2. 「ThemiStruct Identity Platform」ならアプリケーションもすぐにつながる

Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

80

ご清聴ありがとうございました

ASK US【お問い合わせ先】
株式会社オージス総研
TEL: 03-6712-1201 / 06-6871-7998
mail: info@ogis-ri.co.jp

本資料に掲載されている会社名、製品名は各社の登録商標または商標です。
Copyright© 2016 OGIS-RI Co., Ltd. All rights reserved.

81