OpenAM案件の傾向と対策
Out-of-the-box OpenAM
アプリケーションの特性ごとにOSSTech製OpenAMで対応したユースケースのご紹介

オープンソース・ソリューション・テクノロジ株式会社
代表取締役 チーフアーキテクト 小田切耕司

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

-1-

オープンソース・ソリューション・テクノロジ株式会社



OSに依存しないOSSのソリューションを中心に提供
Linuxだけでなく、AIX, Solaris, Windowsなども対応！

OpenAM, OpenLDAP, Sambaによる認証統合/シングル・サイン・オン、ID管理ソリューションを提供
製品パッケージ提供
機能証明、定価証明が発行可能
 製品サポート提供
５年以上の長期サポート
コミュニティでサポートが終わった製品のサポート
 OSSの改良、機能追加、バグ修正などコンサルティング提供
Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

-2-

OSSTechの製品群 Unicorn IDM

ID管理
システム管理者

ID連携Google Apps
Active Directory

Salesforce
ShibbolethファイルサーバーバWeb アプリ

LDAP

クラウド

SSO
Windows
ドメインログオン
ログイン

認証基盤をすべてOSS製品で提供

ユーザー

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

-3-

OSSTechの製品群（すべてOSSで提供）
Linux/AIX/Solaris版すべてRPMで提供●OpenAM● Tomcat, OpenLDAP対応で高機能なシングルサインオン製品●OpenLDAP● 認証統合、ディレクトリサービス、シングルサインオンのインフラ●Samba● Active Directoryの代替、高性能NAS(CIFSサーバー)の代替●Unicorn ID Manager● Google Apps, Active Directory, LDAP, Sambaに対応した統合ID管理製品●ThothLink● WebブラウザからのWindowsファイルサーバアクセス機能を提供
Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

-4-

OpenAMユースケース①仮想フェデレーション②AWS連携③スマートデバイス利用、REST API利用④学認連携⑤アクセス環境別認証⑥拠点間認証連携⑦Office365連携
Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

-5-

OpenAMユースケース①
仮想フェデレーション

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

-6-

外部パートナーのサービス利用要件
利用会員

？
ID

ID

アプリケーション

アプリケーション

事業主体

外部パートナーCopyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

-7-

OpenAMを仲介して接続
利用会員

SAE

SAE

SAML2.0

ID

ID
アプリケーション

事業主体

OpenAM(IdP)

OpenAM(SP)アプリケーション

外部パートナーCopyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

-8-

☆このユースケースでのポイント
OpenAMのSAE認証モジュールとSAML2.0フェデレー
ション機能を利用● IdP、SPはアプリケーションとSAEでセキュアな接続（公開鍵Iもしくは共通鍵で暗号化）● アプリケーションにはSAEの接続コンポーネントを配置● アプリケーションの特性によりSAEを使用せず、OSSTech開発認証モジュールにて接続したケースもある●Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

-9-

OpenAMユースケース②AWS連携

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 10 -AWS上で構築したPHPアプリケーション連携
？

利用会員

ID
アプリケーション

AWS

リバースプロキシ

オンプレミスアプリケーションID
OpenAM

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 11 -AWSで構築したPHPアプリケーション連携

PHP
フェデレーション
Shibboleth SP

SAML2.0

ApacheID

OpenAM

オンプレミスID

アプリケーションAWS

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 12 -

☆このユースケースでのポイント
OpenAMのSAML2.0フェデレーション機能を利用● アプリケーション側にはShibboleth SPを導入して、SAML実装のコストを大幅に削減● アプリケーションはShibboleth SPを通して認証情報を取得する● クラウドとオンプレミスのSSO連携を実現●

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 13 -

OpenAMユースケース③
スマートデバイス利用
REST API利用

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 14 -

スマートデバイスから各サービスへの認可
利用会員

？

ID
アプリケーション

各事業部BtoCサービス
ID
OpenAMID

全社統一認証基盤

アプリケーション

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 15 -OAuth2.0でシームレスなサービス連携
トークン

利用会員

OAuth 2.0

認証

トークン

ID
アプリケーション

トークン

各事業部BtoCサービス
ID
OpenAMID

全社統一認証基盤

アプリケーション

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 16 -REST APIを活用してレガシーなエージェン
ト接続から脱却
認証基盤管理者
管理ID
接続

アプリケーション

各事業部BtoCサービス
REST API
2.0IDOpenAMID

全社統一認証基盤

アプリケーション

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 17 -

☆このユースケースでのポイント
OpenAMのOAuth2.0機能を利用● OpenAMのREST APIを積極的に利用して、柔軟で短時間の接続を実現● 各事業部が個別に展開していたサービスをシームレスに接続● スマートデバイスのサービス利用をセキュアでオープンな仕様を選択※今後のOpenAM機能拡張もREST APIによる実装の強化を目指している●Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 18 -

OpenAMユースケース④
学認連携

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 19 -

学認連携
学認DS

大学教員・学生
SAML

学認参加SP
学認参加SP？
キャンパス内IdP

キャンパス学認参加SP

フェデレーション

学認参加SP
学認参加SP

学認

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 20 -

キャンパス内IdPの構築

ログイン画面
（多言語化）FPSP
uApprove.jp

認証モジュール（多様素認証）フェデレーション
エージェント

パスワードポリシー
OpenAMエージェント

アカウントロック

Shibboleth
OpenLDAP

IdP

OpenAM

認証

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 21 -

☆このユースケースでのポイント
フェデレーション機能にはShibbolethを利用● 認証機能にはOpenAMを利用したハイブリッド構成● 学認フェデレーションのきめ細かい要件に弊社のノウハウで対応● OpenAMを利用することにより学内アプリケーション
SSOも対応可能※Shibboleｔhはバージョン3.0以降がリリースされている。
現行多く利用されている2.xからの移行に向けて弊社ではいち早く準備中である。
●Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 22 -

OpenAMユースケース⑤
アクセス環境別認証

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 23 -

アクセス環境が異なる場合の認証

インターネット？
アプリケーション

イントラネット
Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 24 -

アクセス環境が異なる場合の認証

ID/パスワード認証

インターネット

OTP認証

デスクトップSSO認証
ID/パスワード認証
ID
OpenAM

アプリケーション

イントラネット
Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 25 -

☆このユースケースでのポイント
OpenAMのアダプティブリスク認証、認証連鎖機能、認可条件を利用● アクセス元により、認証方法を変更したり、認証要素を追加することでセキュリティの強度を変更する●Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 26 -

OpenAMユースケース⑥
拠点間認証連携

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 27 -

遠隔地の拠点間での認証連携要件
ユーザ

①

ID
認証サーバ

拠点A

②？

ID
認証サーバ

拠点B

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 28 -

遠隔地の拠点間での認証連携要件
ユーザ

①

③ 拠点B
cookie②
拠点A
cookieID
OpenAM

拠点A

REST API
2.0

ID
OpenAM

拠点B

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 29 -

☆このユースケースでのポイント
OpenAMの認証モジュール機能を利用する● 他拠点のOpenAMの認証情報にREST APIでアクセスする● 拠点ごとに異なるクッキー名を使用する● 仮想セッションフォワーディングで拠点間の認証連携を実現する●Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 30 -

OpenAMユースケース⑦
Office365連携

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 31 -

Office365利用での認証連携要件
Office365

？
アカウント

ID
認証サーバ

ユーザ
ローカルネットワーク
Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 32 -

Office365利用での認証連携要件
Office365

サインイン
アカウント

ID
OpenAM

ユーザ
ローカルネットワーク
Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 33 -

☆このユースケースでのポイント
Office365とOpenAMはSAML2.0で接続する● Office365のサインイン画面とOpenAMのログイン画面での認証をおこなう※ブラウザからのOffice365アクセスはこの方法で利用できます。デスクトップアプリケーションは今後のロードマップでSAML2.0によるパッシブ認証を予定しています。
●Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 34 -

Office365利用での認証連携要件
Office365
Azure AD

Authentication

ID
アカウント連携
SAML2.0

UnicornID Maneger

サインイン
アカウント

OpenLDAPOpenAM

ユーザ
ローカルネットワーク
Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 35 -

ダウジャパン株式会社との連携ソリューション紹介

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 36 -

OpenAM＆ワンタイムパスワード
連携イメージ

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 37 -

GrippinTower概要
ワンタイムパスワードをはじめとするセキュリティプロダクトベンダーであるダウジャパンが販売● 韓国の金融機関及び企業で800万個のトークンを供給し、シェア80％以上● 物理トークンでパスワードを自動生成● ネットワークから盗聴できないセキュアな認証●Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 38 -

GrippinTowerラインナップ

携帯に便利なカードタイプトークン● Android/iOS対応のソフトウェアタイプトークン● NFC連動タイプトークン●

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 39 -Windows10 標準ブラウザ
Microsoft Edgeの検証
データストア認証 ○● Windows統合認証 ○※IEでセキュリティゾーンの設定が必要● エージェント ○※IEでセキュリティゾーンの設定が必要● SAML ○●Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 40 -

Copyright © 2015 Open Source Solution Technology Corporation All Rights Reserved.

- 41 -