OpenAM 10.20
Snapshot版
新機能紹介

2013年4月12日
オープンソース・ソリューション・テクノロジ株式会社
http://www.osstech.co.jp/
Copyright © 2013 Open Source Solution Technology, Corp.

1

今回注目の機能●●●

セッション・フェイルオーバーの改良–

設定が飛躍的に容易になった–

OpenDJのレプリケーション機能を使用

OATH準拠した認証方式の追加–

Googleの２段階認証と同じ仕組み–

強固な認証を安価に実現可能

OAuthプロバイダのサポート–

OpenID Connectに向けた基盤の準備
2

Copyright © 2013 Open Source Solution Technology, Corp.

2

セッション・フェイル・オーバー(SFO)の改良

Copyright © 2013 Open Source Solution Technology, Corp.

3

OpenAMの冗長化構成
OpenAM

シングルサーバ構成

User
Data
Store

セッション
フェールオーバー構成

サイト構成

Load Balancer

Load Balancer
OpenAM
OpenAM

OpenAM
BDB

セッション
フォワーディング
User
DataStore

OpenAM

レプリケーション/マルチマスタ

User
Data
Store

セッション
情報

セッション
フォワーディング
JMQ

セッションフェールオーバー

User
Data
Store

Copyright © 2013 Open Source Solution Technology, Corp.

BDB
セッション
情報

4 User
Data
Store
4

新しいセッション・フェイルオーバーの仕組み
OpenAM
サイト構成

ロード・バランサ

内部API
を使った
書込み

サーバ１

サーバ２

OpenAM

OpenAM

セッションの生成と更新
OpenDS
内蔵
OpenDJ

マルチ・マスター
レプリケーション
による同期

内部API
を使った書込み

セッションの生成と更新
OpenDS
内蔵
OpenDJ

Copyright © 2013 Open Source Solution Technology, Corp.

55

OpenDJを使ったセッションの永続化●

内蔵OpenDJへのセッション情報の書込み–

サイト構成の場合に設定オプションとして利用可能–

メモリ上のセッションテーブルも引き続き利用（自分で発行したもののみ）–再起動した場合には、OpenDJからセッション情報を読込み再構成する●

マルチ・マスタ・レプリケーションによるセッションの冗長化–

他のサーバが停止した場合は、そのサーバのセッション6
情報をOpenDJからメモリ上に再構成しサービスを引き継ぐ
Copyright © 2013 Open Source Solution Technology, Corp.

6構成が単純でスケールする●

難しいことはOpenDJに任せよう！
複数台のサーバにわたるセッションの同期はDirectory
サーバのマルチマスタ・レプリケーション機能で解決– メッセージキュー、Berkeley DBは必要無し！
– OpenAMは必要なセッション情報は全てローカルにあるものとして動作（個人毎のセッション数の上限値など未実装もあり）–●

OpenDJの高い更新性能を利用
内蔵OpenDJ（同じJVM上で動作）へは内部APIを使ってアクセス（ディフォルト設定ではログに出ないので注意！）– マルチマスタ・レプリケーション処理の効率化–

7

Copyright © 2013 Open Source Solution Technology, Corp.

7

設定も簡単●インストール時に指定

ここにチェックするだけ
8

Copyright © 2013 Open Source Solution Technology, Corp.

8

OpenDJの更新性能●

Benchmark proves OpenDJ fastest directory server !
（Ludoのブログから引用）–

第三者による評価(M-Vault)
http://www.isode.com/whitepapers/m-vault-benchmarks.html–●

内部APIを使った場合はもっと速い（と思われる）

ところで検索性能は？
–

M-Vaultが最速–本当に必要かな？？
9Copyright © 2013 Open Source Solution Technology, Corp.

9

OATHとyubikey
への対応

Copyright © 2013 Open Source Solution Technology, Corp.

10

OATHとはオープンな認証仕様(Open AuTHentication)
２種類のワンタイム・パスワード方式●●

TOTP－ 時刻ベース✔

一定間隔（default: 30 sec) で新しいパスワードを生成✔

カウンタ：時刻HOTP－イベント（カウンタ）・ベース✔

ログインの度に新しいパスワードを生成✔

カウンタ：生成回数

Copyright © 2013 Open Source Solution Technology, Corp.

1111

クラウド・サービスと認証方式の強化
様々なサービスが認証強化のためにワンタイム・パスワードを採用–

Google ：２段階認証●–

facebook：ログイン承認●–

メール、アプリYahoo! Japan：ワンタイム・パスワード●–

メール、アプリ、電話、予備用のパスワード発行

メール、アプリApple ：日本ではこれから導入予定
12

Copyright © 2013 Open Source Solution Technology, Corp.

12安価で安全、しかも簡単！
●●●

標準化されたトークン・アプリの利用–

スマートフォン上で動作、新たに購入する必要無し–

OATH準拠のものなら何でもＯＫ●

Google Authenticator (Google認証システム）●

Android Tokenなど

２段階認証を簡単に実現–

落としても大丈夫–

OpenAMの認証連鎖を使って簡単に構築

yubikey等のハードウェアトークンもサポート
13
Copyright © 2013 Open Source Solution Technology, Corp.

13

OpenAMの２段階認証●

第１段階：ユーザIDとパスワードで認証●

第２段階：ワンタイム・パスワードで認証

14

Copyright © 2013 Open Source Solution Technology, Corp.

14

OpenAMで出来ること●●●

TOTP, HOTPの両方に対応–

メールおよびOATH準拠のデバイスをサポート–

電話、予備用パスワードの発行は出来ない

他の認証方式との組合せが可能–

アタプティブ・リスク認証との組合せ–

認証レベルによるアクセス制御

初期データの同期は別途必要–

共通シークレットをデバイスとサーバのそれぞれに配布、設定する必要あり

15–

ＱＲコードを生成してスキャンさせる方法がお勧め
Copyright © 2013 Open Source Solution Technology, Corp.

15

OpenAMの設定●●●

OATH認証モジュールの設定–

秘密鍵の属性名–使用する OATH アルゴリズム : HOTPまたはTOTPを選択–

カウンタ属性名（HOTPのみ）–

最終ログイン時刻属性名（TOTPのみ）

認証連鎖の設定–

第１段階：Datastore認証(ユーザID/パスワード)–

第２段階：OATH認証

メールを使う場合は従来と同様(HOTP認証）を使う–

16
メールを使うHOTP認証は別モジュールになっているため注意！

Copyright © 2013 Open Source Solution Technology, Corp.

16

OpenAM：OATH認証モジュールの設定

どちらかのアルゴ
リズムを選択※HOTPの場合はこちらを設定

TOTPの場合はこちらを設定

17※デモ用に既存の属性を利用※しています。

Copyright © 2013 Open Source Solution Technology, Corp.

17ユーザデータの設定●●

共通シークレットの設定–

ランダムに生成されたバイナリデータ–「秘密鍵の属性」に１６進数表示で設定–

長さは２０バイト（５の倍数）がお勧め（Googleは１０バイト）

カウンタ/時刻の初期値–“1”を設定（空だとダメ）18

Copyright © 2013 Open Source Solution Technology, Corp.

18

デバイスの設定●●

共通シークレット–20 バイトのバイナリデータ：１６進数表示–

例：6162636465616263646561626364656162636465

Base32に変換
例：MFRGGZDFMFRGGZDFMFRGGZDFMFRGGZDF●

以下のURI形式にフォーマット
otpauth://totp/<ラベル>?secret=<Base32の値>
例：otpauth://totp/r1user1?secret=MFRGGZDFMFRGGZDFMFRGGZDFMFRGGZDF●

QRコードに変換●

認証アプリでスキャン
19

Copyright © 2013 Open Source Solution Technology, Corp.

19

yubikeyの紹介●

Yubicoにより開発–●●

本社：スウェーデン

USBインターフェイス–

キーボード・ディバイスとして認識される–

パスワードを手で入力する必要がない

時計は内蔵していない
単独でTOTPは不可– 安価で長持ち–●関連モジュールをオープンソースで提供–

OpenAMとの相性が良い
20

Copyright © 2013 Open Source Solution Technology, Corp.

20

ダウンロードのお勧め●

OpenAMはユーザのニーズを取り込むことにより着実に進化しています。

●

今回、紹介した機能は、簡単に試してみることが可能です。

●

是非、ダウンロードして使ってみて下さい。
21

Copyright © 2013 Open Source Solution Technology, Corp.

21

オープンソース・ソリューション・テクノロジ株式会社
http://www.osstech.co.jp/
Copyright © 2013 Open Source Solution Technology, Corp.

22