企業・大学におけるシングルサインオン・システムの最新技術動向と導入事例
オープンソース・ソリューション・テクノロジ株式会社
代表取締役 チーフアーキテクト 小田切耕司

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-1-

講師紹介
オープンソース・ソリューション・テクノロジ
会社紹介

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-2-

講師紹介





役 職 ： 代表取締役 チーフアーキテクト
氏 名 ： 小田切 耕司 (おだぎり こうじ)
所属団体等
 OpenAMコンソーシアム 副会長
 OSSコンソーシアム 副会長
 日本LDAPユーザ会設立発起人
 日本Sambaユーザ会初代代表幹事
執筆関係
 日経Linux 2011年9月号～2012年２月号 連載中
 『Linux認証のすべて』 （第１回～第６回）
 http://itpro.nikkeibp.co.jp/linux/
 ASCII.technologies 2011年2月号
 『キホンから学ぶLDAP』
 http://tech.ascii.jp/elem/000/000/569/569412/
 技術評論社 Software Design 2010年9月号
 第1特集 クラウド対策もこれでOK！
統合認証システム構築術
OpenAM／SAML／OpenLDAP／Active Directory http://gihyo.jp/magazine/SD/archive/2010/201009
 ＠ＩＴ やってはいけないSambaサーバ構築：2008年版
 2006年5月 技術評論社 LDAP Super Expert
 巻頭企画
 ［新規／移行］LDAPディレクトリサービス導入計画

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-3-

オープンソース・ソリューション・テクノロジ株式会社


OSに依存しないOSSのソリューションを中心に提供
Linuxだけでなく、AIX, Solaris, Windowsなども対応！

OpenAM, OpenLDAP, Sambaによる認証統合/シングル・サイン・オン、ID管理ソリューションを提供
 製品パッケージ提供
機能証明、定価証明が発行可能
 製品サポート提供
３年～５年以上の長期サポート
コミュニティでサポートが終わった製品のサポート
 OSSの改良、機能追加、バグ修正などコンサルティン
グ提供

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-4-

OSSTechの製品群 Unicorn IDM

ID管理
システム管理者

ID連携
Active Directory

Google Apps
Salesforce
ファイル
サーバー

バ

Web アプリ

LDAP

クラウド

SSOWindows
ドメインログオン
ログイン

認証基盤をすべてOSS製品で提供

ユーザー

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-5-

OSSTechの製品群（すべてOSSで提供）
原則Linux/Solaris/AIX共にRPMで提供●Samba for Linux/Solaris/AIX● ADの代替、高性能NASの代替●OpenLDAP for Linux/Solaris/AIX● 認証統合、ディレクトリサービス、シングルサインオンのインフラ●OpenAM for Linux/Windows/Solaris/AIX● Tomcat, OpenLDAP対応で高機能なシングルサインオン機能を提供（旧OpenSSO)●Unicorn ID Manager for Linux/Solaris● Google Apps, Active Directory, LDAPに対応した統合ID管理

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-6-

OSSTechの製品群（すべてOSSで提供）
原則Linux/Solaris/AIX共にRPMで提供●Chimera Search（キメラサーチ） for Linux●

アクセス権の無いファイルは表示されない全文検索システム●LDAP Account Manager for Linux/Solaris●

管理機能の弱いOSSのLDAP/SambaにWebベースのGUIを提供●ThothLink（トートリンク） for Linux
WebブラウザからのWindowsファイルサーバアクセス機能を提供● SSLBridge後継製品●●Mailman for Linux/Solaris
日本語での細かな問題を解決● YahooメールやGoogle Appsのメーリングリスト機能を補完●Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-7-シングルサインオン
技術動向

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-8-

SSO(OpenAM)導入動向
 クラウドの普及により、SSO（シングルサインオン）が急速に普及中 IaaSやPaaSも増えつつあるが、やはりSaaSのGoogle Apps（大学／企業）とSalesforce（企業）をまず導入するケースが多い
 企業ではSalesforceのセキュリティ強化を目的にOpenAM導入するケースが多い 大学ではGoogle AppsとイントラネットやShibbolethを連携させるケースが多い MS Office365を導入してSSOするにはADFSと社内アプリのSSO連携が必要になってきた。
 企業ではM&Aや会社合併のために増えすぎたアプリやIDを統合するためにSSOを導入
 IaaSやPaaSも普及し始め、これらの上で構築された社内向け個別アプリのSSOも普及しだしてきた。

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-9-

OpenAMで実現する
シングルサインオン・ハブ
オープンソースのOpenAMだから高機能・安価に実現できる

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 10 -

Shibboleth IdP で SSO を実現
混在する複数のSSO環境 (Shibboleth
は SAML を利用しSAML IdP を導入してSSO を実現ているが、仕様上 OpenAM では代替不可能)

Google Apps

Shibboleth
SAML
SP
Shibboleth
IdP

SAML

Salesforce
Office365

学認（Shibboleth）
SSOセグメント
ADFS(SAML)

クラウドSSOセグメント

App改修不可能なため、代理
認証/リバース
プロキシでSSO を実現

リバースプロキシ/
エージェント社内SSOセグメント
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 11 -

OSSで実現するシングルサインオン・ハブ
クラウドSSOセグメント

Shibboleth
SPShibboleth

Google Apps
Salesforce

IdPOpenAM（認証サーバー）

学認（Shibboleth）
SSOセグメント

リバース
プロキシ/エージェント

Office365

社内SSOセグメント

SSO セグメントを結合するハブとして OpenAM を利用。
ユーザーは OpenAM へのログインさえ完了していれば、全てのアプリに SSO 可能
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 12 -

シングルサインオン・ハブを実現するための機能
 認証機能 ユーザーの本人性を確認する。セキュリティ強化のために、多要素認証が望ましい。
 ユーザー情報保存機能
 認証情報や他システムに連携するユーザー情報を保存する
 外部システムと連携可能なインタフェース
 フェデレーション（SAML, OpenID, OAuthなど）
 REST API SDKCopyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 13 -

OpenAMによるシングルサインオン
システム導入事例

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 14 -

某通信会社グループ共通
シングルサインオンシステム

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 15 -

某通信会社グループ共通
シングルサインオンシステム
ユーザー総数 約２５万人● ID/パスワードとユーザー証明書の多要素認証(認証連鎖)● 一部グループ会社ユーザーはSAML 2.0対応IdPによる認証連携● OpenLDAPのパスワードポリシー対応モジュールの開発● 保護対象アプリケーションとの連携はPolicyAgentを用いたリバースプロキシ型●

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 16 -

某通信会社グループ 全体構成図
グループ会社
ユーザーE
OpenAM

グループ会社
ユーザーW

SSO
リバース
プロキシ

グループ共通イントラネット

SAML 2.0による認証連携

グループ会社S社
A社認証基盤IdP

保護対象企業グループ
SSOポータル
アプリケーション
グループ共通システム

グループ会社D社
B社認証基盤IdP

一部グループ会社では各社の認証基盤をIdPとしてOpenAMと連携
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 17 -

某通信会社グループ 構築のポイント
グループ
ユーザー

アクセスSSO
リバース
プロキシ

ユーザー証明書

ポイント1

ログイン

OpenAM

保護対象
グループ会社
SSOポータル
アプリケーション
グループ共通システム

ポイント2
アクセス

SAML2.0認証連携

ポイント3

各社認証基盤IdP
OpenLDAP

グループ会社
認証統合基盤

ログイン

一部のグループ
会社ユーザーCopyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 18 -

多要素認証●

ポイント1➢ ID/パスワードとユーザー証明書を用いた多要素認
証➢ 「認証連携」での接続方法も、同等の認証レベルをセットするカスタム認証モジュールを開発➢ OpenAMリバースプロキシのポリシーでレベルをチェックしアクセス制御

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 19 -

多要素認証時の認証・認可シーケンス●

認証レベル判別シーケンス

ユーザー(ブラウザ)

OpenAM

ID/PW ログイン

Level0

リバース
プロキシ

保護対象
サービス

ID/PW認証
だけではアクセス不可

OpenAMセッション
アクセス
ID/PW ログイン
ユーザー証明書Level3

ID/PWと証明書認証の両方でアクセス可能

認証方式からLevelを付与

OpenAMセッション
アクセス

SSO Level3

Level3 コンテンツ

Levelに基づきアクセス制御認証連携

Level5OpenAMセッション
アクセス

SSO Level5

Level5 コンテンツ

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

Levelに基づきアクセス制御- 20 -

異なるIdP製品との認証連携●ポイント2➢ 一般的にユーザーはOpenAMで認証を行う。
➢ 一部のグループ会社ユーザーは各社認証基盤のIdPで認証を行い、OpenAM保護下のグループ会社
SSOポータルアプリケーションとはSAML認証連携でアクセス可能とする。

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 21 -

異なるIdP製品との認証連携シーケンス
一部グループ会社ユーザー自動リダイレクト

各社認証基盤

OpenAM

リバース
プロキシ

ログイン

保護対象
サービス

OpenAMセッションを確認
ポータルリンクからログインぺージへリダイレクト
SAML SPによる認証連携

初回アクセスのみ認証連携を行う

OpenAMセッション

OpenAM
セッション
開始

アクセス
２回目以降の
アクセス
シーケンス

OpenAMセッションを確認
SSO

コンテンツ

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 22 -

OpenLDAPポリシーへの対応●

ポイント3➢ OpenAM 9系では対応していないOpenLDAP(RFC標準)のアカウントポリシーエラー対応のため
OpenAMの拡張開発を行った。
➢ 拡張を行ったOpenAMは、パスワード有効期限切れなどOpenLDAPからの戻り値を判定し、任意のURLへ遷移する。

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 23 -

OpenLDAPポリシーへの対応●

OpenLDAPエラー情報判定シーケンス

ユーザー(ブラウザ)

OpenAM

ログイン
LDAP バインド

OpenLDAP
アカウントロックパスワード有効期限などポリシーのチェック

LDAP 応答

ポリシー対応のエラー画面表示

LDAP応答の内容をハンドリングし適切な画面を応答

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 24 -

某総合電機メーカー
シングルサインオンシステム

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 25 -

某総合電機メーカー
シングルサインオンシステム
 規模：グループ企業７社、約５０００人、海外22拠点
今後拡大予定 海外ディーラー向けの技術情報やマーケティング情報のCMSおよびECサイトへのシングルサインオン
 CMS, ECサイトとの連携はOpenAM PolicyAgentとお客様開発の連携モジュール
 SAML認証と代理認証を利用 対象ユーザー、保護対象アプリケーションはインターネット上に点在

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 26 -

某総合電機メーカー 構成図
パートナーLoginInternetCMS
マーケティングサイト
SSOOpenAMLoginパートナー

SSO

CMS
マーケティングサイト

Login
SSO
パートナー
Login

認証は一カ所
全てのシステムへSSO
SAMLや代理認証

SSOCMS
テクニカルサイト

ECサイト

パートナー

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 27 -

国立大学法人
名古屋工業大学

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 28 -

名古屋工業大学様 事例のポイント

規模 学生数 約5,800人 教職員数 約510人
旧Sun製品の置き換え
 旧Sun製品（Sun Java System Access Manager）からの移行を実現
 旧Sun製品のOracle後継製品を導入する場合はコスト高
 Sun Java System Access Managerの後継であり、OSSのOpenAMを採用
 他にもLDAPにOpenLDAP, ID管理にUnicorn IDMと積極的にOSSを採用
 ICカードによる認証とID/パスワードによる認証の使い分け アクセスリソースに対しての認証レベルの使いわけ 「ICカードによる証明書認証」と「ID/パスワードによる認証」の二つの認証方式を用意
 重要なリソースへのアクセスの際にはより安全なICカードで認証したユーザーのみをアクセス可能とした
 日立製作所とオープンソース・ソリューション・テクノロジで実現

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 29 -

名古屋工業大学 構成図
ユーザー
アクセス

SSO
リバース
プロキシ

ユーザー証明書

ポイント1

ログイン

保護対象
学内ポータルアプリケーションSSO
OpenAM

ポイント2
Active Directory
ID連携

OpenLDAP

ID連携
保護対象
Unicorn IDM

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 30 -

名古屋工業大学 認証の使い分け●

ポイント1➢ ICカードを使った証明書認証を基本とする➢ 証明書認証に失敗した場合（証明書の提示が無い）にログイン画面を表示しID/パスワードを用いた認証➢ 証明書認証とID/パスワード認証では異なる認証レベルをセット➢ OpenAMリバースプロキシのポリシーでレベルをチェックしアクセス制御

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 31 -

名古屋工業大学 認証シーケンス
証明書提示
有り

ユーザー(ブラウザ)

OpenAM(1) ログイン画面表示
ユーザー証明書
ユーザー証明書

リバース
プロキシ

保護対象
サービス

証明書の提示有り
証明書による認証が成功証明書で認証を行って入ればアクセス可能(2) セッション発行(3) アクセス

証明書提示無し(1) ログイン画面表示(2) ログイン画面応答

証明書の提示が無い
ため、証明書認証失敗
ログイン画面応答(3) ID/パスワード送信(4) セッション発行

ID/PW認証だけではアクセス不可(5) アクセス(6) 拒否画面応答
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 32 -

名古屋工業大学 ID管理
●ポイント2➢ Unicorn IDMによるID連携を実施
 Active Directory と OpenLDAPのアカウントを同期➢ OpenAMとのシングルサインオンを実現 ユーザーはOpenAMにログイン済みであれば、再度の認証無しでパスワードの変更が可能
 UnicronIDMの管理者アカウントもシングルサインオンを実現

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 33 -

名古屋工業大学 パスワード変更
リバース
ユーザー(ブラウザ) プロキシ
OpenAMへログイン

Unicorn
IDM

OpenAM認証済みでHTTPヘッダーにユーザー名をセット
HTTPヘッダーのユーザー名で認証(1) パスワード変更
新パスワードActiveOpenLDAP Directory

ユーザー名(2) パスワード変更

新パスワード(3) 変更完了(4) パスワード変更(6) 変更完了(5) 変更完了

 ユーザーはOpenAMログイン済みなので新パスワードのみでパスワード変更可能
 Unicorn IDMによりOpenLDAPとActive Directoryのパスワードが同時変更

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 34 -

名古屋工業大学 管理者シーケンス
ユーザー(ブラウザ)

OpenAM(1) ログイン画面表示
ユーザー証明書(2) セッション発行

リバース
プロキシUnicornIDM

証明書の提示有り
証明書による認証が成功
特定の条件を満たしたアカウントであればアクセス可能(3) アクセス(4) 代理認証(5) 管理者ログイン成功

特定の条件を満たしたアカウントはOpenAMにログインすることで、Unicorn IDMの管理者としてログインすることができる。

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 35 -

大学法人 福岡大学 様

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 36 -

福岡大学様 システムの特徴
規模

9つの学部、2つの病院、22の付置施設で構成される総合大学
学生数 約21,000人
教職員数 約3,000人
ミッション

高い拡張性と柔軟性を持つ先進的SSO基盤の構築

日立製作所とオープンソース・ソリューション・テクノロジで実現


OpenAMとShibbolethによるハイブリッド型SSO基盤


システムのシングルサインオンを実現する認証基盤をOpenAMとShibbolethを使って実現様々なアプリケーションとのシングルサインオンを実現する基盤
ユーザーは1度の認証で学認と学内のアプリケーションを利用可能

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 37 -

学認

Shibboleth SP
Shibboleth SP

Shibboleth DS
SAMLSAML

福岡大学様Apache(リバースプロキシ)

学内アプリ

SAML

ID/PW
認証

HTTP
Header

SAML

OpenAM(学内認証サーバー)

Shibboleth SP

SAML
認証

認証連携

アクセス制御
ポリシー

学内SSO

学認連携

ユーザー

LDAP

Shibbolethの外部認証機能を利用

Shibboleth IdP(Shibboleth認証サーバー)
Shibboleth SSO

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 38 -

国立大学法人 北見工業大学 様

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 39 -

北見工業大学様 システムの特徴
 ユーザー（学生や教職員）はOpenAMに一度ログインすると、複数のWebアプリケーションをログイン操作なしで利用できます。
 ログインするとポータルメニューが表示されますが、ユーザー権限やログイン場所(学内/学外)によって表示されるメニューが変化します。
 ログインしたユーザーが利用できないアプリケーションは表示されず、インターネットからログインするとイントラネット専用アプリケーションも表示されません。
 システム全体設計やプロジェクトとりまとめは、兼松エレクトロニクス株式会社が行いました。
 シングルサインオン システム構築は、 オープンソース・ソリューション・テクノロジ株式会社が行いました。
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 40 -

北見工業大学様Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 41 -

オープンソース・ソリューション・テクノロジ株式会社
http://www.osstech.co.jp/
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 42 -