テミストラクト

ThemiStruct (OpenAM) で実現する端末認証の実際
株式会社オージス総研
八幡 孝© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

自己紹介八幡 孝 （やはた たかし）
 株式会社オージス総研
 ThemiStructソリューション開発 リードアーキテクト
 ThemiStruct関連サービスの東日本エリア責任者

 OpenAMコンソーシアム 活動メンバー
 OpenIDファウンデーション・ジャパン
Enterprise Identity WG 技術TF リーダー

@paoneJP OpenAM, Apache Modules, Python, Android, …

 OpenID Connect, JWT, OAuth, … , 周辺の実験をいろいろと。
 https://paonejp.github.io/© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

1オージス総研です
株式会社オージス総研
代表者：

代表取締役社長 西岡 信也

設 立：

1983年6月29日

資本金：4.４億円 （大阪ガス株式会社100%出資）

事業内容：

システム開発、プラットフォームサービス、コンピュータ機器･ソフトウェアの販売、コンサルティング、研修・トレーニング

主な事業所
本 社：
大阪府 大阪市西区千代崎3-南2-37 ICCビル
東京本社：
東京都 港区港南2-15-1 品川インターシティA棟
千里オフィス： 大阪府 豊中市新千里西町１－２－１
名古屋オフィス： 愛知県 名古屋市中区錦1-17-13 名興ビル

売上実績：

582億円（連結） 308億円（単体）従業員数：

3,126名（連結） 1,279名（単体）関連会社：

さくら情報システム（株）、 （株）宇部情報システム、 （株）システムアンサー、
OGIS International, Inc. 、上海欧計斯軟件有限公司（中国）

オージス総研グループ 売上構成比（連結）© 2015 OGIS-RI Co., Ltd.

2015/7/17(2014年度)

取得許可認定第7回 OpenAMコンソーシアム ビジネスセミナー

2これまでのおさらい© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

3

認証基盤を作る狙いは何か？

© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

4

認証基盤を作るメリット
 ① 利用者が便利になる ② セキュリティレベルのばらつきがなくなる
 ③ システム開発がしやすい

 ④ 認証方式の変更がやりやすい© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

5

① 利用者が便利になる 作業効率の向上
 IT活用の促進© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

6

② セキュリティレベルのばらつきがなくなる
 開発者に依存したばらつき
 ユーザーに依存したばらつき© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

7

③ システム開発がしやすい アプリ毎の認証機能開発は不要
 サブシステムに分割した開発の実現© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

8

④ 認証方式の変更がやりやすい ID/パスワードを使った認証
 多要素認証への対応
 新しい方式への対応© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

9

認証基盤への要求の変化© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

10

企業ITを取り巻く環境の変化
社内にあるシステムをクラウドサービスの利用が拡大

社員用のPCからユーザーが使うデバイスが多様化

社内ネットワークの中で多様なワークスタイルの出現© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

11

これからの認証基盤への要求
クラウドサービスの利用が拡大

クラウドサービスのID管理、利用時の認証強化への対応許可されたデバイスの認証
ユーザーが使うデバイスが多様化

多様なワークスタイルの出現

ユーザーの状態に合わせた適切な認証方式の選択デバイスに特化したアプリアーキテクチャへの対応
外部ネットワークへの安全なシステム開放© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

12

企業の認証基盤ではどう対応すべきか© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

13

企業の認証基盤の目指す方向性
クラウドサービスのID管理、利用時の認証強化への対応① フェデレーション技術、クラウド向けID管理技術への対応許可されたデバイスの認証② ユースケースに合せた端末認証技術への対応

ユーザーの状態に合わせた適切な認証方式の選択③ リスクベース認証への対応

デバイスに特化したアプリアーキテクチャへの対応④ RESTベースの認証技術への対応 （OAuth, OpenID Connect）

外部ネットワークへの安全なシステム開放⑤ リバースプロキシ方式の認証基盤の活用© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

14

認証基盤コアアーキテクチャ 2015年版 r2
クラウドサービス向けのSSO
社内も社外も、B2EもB2B, B2Cも、同じアーキテクチャでBaaS (WebAPI)
SaaS (WebApp)

シングルサインオン基盤

SaaS (WebApp)

SSO (IdP/OP)
多要素
リスクベース

アプリ ①

アプリ ②

アプリ ③

SSO (RevProxy)

HR

IDM

自社アプリ向けSSO© 2015 OGIS-RI Co., Ltd.

ユーザー
リポジトリ

Workflow
アイデンティティ管理基盤

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

15

認証基盤への要求が変わった今がチャンス
 まず認証基盤を作る
 アプリに仕様を提示し、認証基盤に繋がってもらう アプリを徐々に集める・増やす 先に認証基盤を作ればメリットを最大限享受できる© 2015 OGIS-RI Co., Ltd.

2015/6/12

INTEROP TOKYO 201516

端末認証のユースケース© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

17端末認証のユースケース
取引先端末の識別

企業貸与端末、企業が利用許可した端末の識別「多要素認証」 利用時の信頼できる端末の登録© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

18

端末認証に求められる特性
取引先端末の識別
企業貸与端末、企業が利用許可した端末の識別「多要素認証」 利用時の信頼できる端末の登録© 2015 OGIS-RI Co., Ltd.

2015/7/17

提供者による事前承認
定期的な棚卸
ユーザーによる登録
状態変化への追従
第7回 OpenAMコンソーシアム ビジネスセミナー

19

端末認証の技術･方式© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

20

端末認証の技術･方式
 アクセス元IPによる認証
 電子証明書を用いた認証
 デバイスID認証 for OpenAM [New!] インベントリ認証 for ThemiStruct-WAM© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

21

アクセス元IPによる認証
 サーバーから見たクライアントのIPアドレスを利用
 固定IPが必要
 端末と言うよりは、組織を認証する方式

 実装、運用が簡単
 固定IPが使えるケースでは現在でも有効の方式© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

22電子証明書を用いた認証
 企業が承認する端末向けに電子証明書を発行
 アクセス時に電子証明書を用いて端末を認証
 証明書有効期限を用いた棚卸、再承認運用が可能
 証明書の配布方法によって、証明書インストール端末の妥当性確認が課題となる場合あり© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

23電子証明書を使った端末認証と多要素認証の例「知っている情報（IDとパスワード）」と 「持っている情報（OTP）」を使ってアクセスできる

Office 365
端末認証

ID/パスワード認証

2要素を使った
ユーザー認証
電子証明書認証

Salesforce1

ワンタイム
パスワード認証

利用者

Google Apps
「許可された端末だけ」
を使ってアクセスできる© 2015 OGIS-RI Co., Ltd.

電子証明書
発行

2015/7/17

OTPトークン発行

第7回 OpenAMコンソーシアム ビジネスセミナー

etc.
24

デバイスID認証 for OpenAM OpenAMの認証モジュールとして提供されるもの
 Device Id (Match) と Device Id (Save) を組合せて構成

 ブラウザ上でJavaScriptを実行して判定
 ブラウザ名、フォント、ブラウザに組み込まれたフォント、画面サイズ、色数、タイムゾーン、などの情報を利用 多要素認証の利便性向上が主たるユースケース
 一度目は、多要素認証を用いて認証、端末を登録すれば、2回目以降はID/パスワードだけで認証、という使い方© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

25

デバイスID認証の例
登録済み端末ならシンプルにログイン成功

ID/パスワード認証
未登録端末 or 端末状態が変わったら確実に認証連鎖設定

OTPを要求© 2015 OGIS-RI Co., Ltd.

2015/7/17

端末を登録
第7回 OpenAMコンソーシアム ビジネスセミナー

端末を登録
26

[New!]

インベントリ認証 for ThemiStruct-WAM

 専用エージェントソフトウェアを用いる方式
 端末固有の情報をインベントリトークンとして提示することで端末認証を実現
built on OpenID Connect standard !

© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

27

インベントリ認証の概要
ThemiStruct-WAM

インベントリ認証

ユーザー認証インベントリトークン送信

ID/パスワード入力© 2015 OGIS-RI Co., Ltd.

2015/7/17

アプリ利用

第7回 OpenAMコンソーシアム ビジネスセミナー

28企業向け端末認証構成例© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

29電子証明書を用いた端末認証
ID + パスワード + 証明書
アプリケーション

ThemiStruct-WAM（シングルサインオン）

証明書ダウンロード（PKCS#12形式）
ID + DLパスワード

ThemiStruct-CM（電子証明書発行）

ユーザーの登録証明書発行通知© 2015 OGIS-RI Co., Ltd.

ThemiStruct-IDM（ID管理）

2015/7/17

第7回 OpenAMコンソーシアビジネスセミナー30

電子証明書を用いた端末認証構成例
ID + パスワード + 証明書
アプリケーション

ThemiStruct-WAM（シングルサインオン）

証明書コピー利用されるリスクにどう対応するか？

証明書ダウンロード（PKCS#12形式）
ID + DLパスワード

ThemiStruct-CM（電子証明書発行）

ユーザーの登録証明書発行通知© 2015 OGIS-RI Co., Ltd.

ThemiStruct-IDM（ID管理）

2015/7/17

第7回 OpenAMコンソーシアビジネスセミナー

31

より厳密な電子証明書を用いた端末認証
インベントリトークン+ ID + パスワード + 証明書

アプリケーション

ThemiStruct-WAM（シングルサインオン）
証明書とインベントリ
トークンの紐付け確認

証明書ダウンロード（PKCS#12形式）
インベントリトークン+ ID + DLパスワード

ThemiStruct-CM（電子証明書発行）

ThemiStruct-IDM（ID管理）

証明書とインベントリトークンの紐付け記録

ユーザーの登録証明書発行通知© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアビジネスセミナー

32

より厳密な電子証明書を用いた端末認証
インベントリトークン+ ID + パスワード + 証明書

アプリケーション

ThemiStruct-WAM（シングルサインオン）
証明書とインベントリトークンの紐付け確認

証明書ダウンロード（PKCS#12形式）
インベントリトークン+ ID + DLパスワード

端末と証明書を紐付けた厳密な証明書認証を実現
ThemiStruct-CM（電子証明書発行）

ThemiStruct-IDM（ID管理）

証明書とインベントリトークンの紐付け記録

ユーザーの登録証明書発行通知© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアビジネスセミナー

33

当社ソリューションの紹介© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

34

テミス

トラク

ト

ThemiStruct は統合認証ソリューション
ThemiStruct（テミストラクト）は統合認証ソリューション
統合認証

ID管理
ライフサイクル管理
認証基盤
多要素認証
シングルサインオン
人の属性・存在を管理
不正IDを残さない
ハード・ソフトの違いを超え安全なアクセスを提供© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

35

多要素認証やシングルサインオンなどアクセスマネジメント
認証基盤ソリューション
クラウド+スマートデバイスを多要素認証でセキュリティ強化しシングルサインオンで利便性を向上します
多要素認証
OTP
One Time Password
ワンタイムパスワード

シングルサインオン
WAM

Web Access Management

CM
Certified Management
証明書発行・管理© 2015 OGIS-RI Co., Ltd.

クラウドサービス
オンプレミスアプリ群

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

36

IDのライフサイクル管理
ID管理ソリューション
ID情報を申請フローを用いて収集し対象システム群へ反映
有効期限による管理および人事異動などにスマートに対応可能ですID利用の申請
IDWF
WorkFlow

ID Management

ライフサイクル管理

ID情報
起票 承認① 承認② 完了
ID情報の反映© 2015 OGIS-RI Co., Ltd.

クラウドサービス
オンプレミスアプリ群

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

37

5つのソリューションを提供
ThemiStruct-WAM

シングルサインオン
認証基盤ソリューション

ThemiStruct-IDM

ID管理ソリューション

ThemiStruct-CM

電子証明書発行・管理
ソリューション

ワンタイムパスワードソリューション

システム監視ソリューション

ThemiStruct-OTP

ThemiStruct-MONITOR© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

38

ThemiStruct-WAM

 OpenAM (trunk) がベース
 専用のインストーラー
 当社オリジナルの日本語マニュアル スマートデバイスに対応するレスポンシブUI

 パスワード管理強化のためのアドオンモジュール群
 高度なリスクベース認証を実現するインベントリ認証オプション

 …
© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

39

ThemiStruct-IDM

 OpenIDM (trunk) がベース
 専用のインストーラー
 当社オリジナルの日本語マニュアル
 権限委譲に対応した専用のWebUI (SSI)
 組織、グループ、ロールの管理 プロビジョニングのスケジューリング、予約への対応
 ...
© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

40

ThemiStruct-CM

 EJBCA (Enterprise版) がベース
 当社オリジナルの日本語マニュアル
 証明書の一括登録、一括ダウンロード
 秘密鍵がエクスポートできない証明書発行への対応
 デバイスアクセスコントロールへの対応
 ...
当社は PrimeKeySolutions AB 社のパートナー です。
© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

41

OSSを活用するメリット
 技術標準の早期実装
 公開されている仕様
 ソースコードを使った問題調査、修正© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

42

テミス

トラク

ト

ThemiStructで提供する3つのサービス
テクニカルサポート

プロフェッショナル

システムインテグ

サービス

サービス

レーションサービス• 利用方法などの問合せへの回答• 要件実現方法の相談、回答• お客様の要望に応じたシステムを構築• 障害時の調査、回避策や代替案の提示、復旧の技術支援• 技術検証の支援© 2015 OGIS-RI Co., Ltd.

• 自社で実施する開発、構築の技術支援

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

43

OSSを安心して活用いただくための取り組み
テスト実行

コミット
開発者

ソースコード管理基盤

テスト実行
コミット
「ユニット」「インスペクション」「コンパイル」
ソースコード管理基盤
モジュール単位での可読性やコーディング開発・修正を行った
テスト
ルール等を数値化し、測定
開発者
ソースをコンパイル「コンパイル」 開発・修正を行ったソースをコンパイル「ユニット」 モジュール単位でのテスト「インスペクション」 可読性やコーディングルール等を数値化し、測定「インテグレーション」「ロングランパフォーマンス」「デプロイ」「デプロイ」 実行環境でデプロイ工程をテスト
実行環境上で各機能の動作
実行環境上で長期稼働、実行環境でデプロイ工程「インテグレーション」
実行環境上で各機能の動作を確認
を確認
過負荷稼働を確認
をテスト「ロングラン パフォーマンス」 実行環境上で長期稼動、過負荷稼動を確認「アベイラビリティ」 障害を発生させた状態での稼動確認、復旧テスト「バルネラビリティ」 既知の脆弱性を含んでいないことを確認「バルネラビリティ」「ライセンスリスク」「アベイラビリティ」「ライセンスリスク」 ソースコードのライセンスリスクを確認
既知の脆弱性を含んでソースコードのライセンス障害を発生させた状態での統合認証ソリューション ThemiStruct テミストラクト リリース
いないことを確認

稼働確認、復旧テスト

統合認証ソリューション
© 2015 OGIS-RI Co., Ltd.

2015/7/17

リスクを確認リリース

第7回 OpenAMコンソーシアム ビジネスセミナー

44

AWS上に展開されたテスト基盤
 テストターゲットの自動デプロイによるクリーンなテスト環境の構築
 自動化インテグレーションテスト
 自動化率向上のための取り組みを継続

 スポットインスタンスを活用したパフォーマンステスト
 etc…

当社は APN (AWS Partner Network)
コンサルティングパートナー です。
© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

45

ライセンスリスクの確認
 使用しているOSS、著作権者、ライセンス条件を正しく把握
 権利の瑕疵の発生を予防

 OSS自動検出ツール「Palamida™」 を使用
当社は 米国PALAMIDA社のパートナー です。
© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

46

サポート力向上のための更なる挑戦 ソースコード静的解析ツール「コベリティ®」を使った、不具合発見と修正へトライ中。
 クラッシュ リソースリーク 脆弱性
当社は 米国シノプシス社（旧：コベリティ社）の販売代理店 です。

…
© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

47本日紹介した当社ソリューション

© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー

48

ご清聴ありがとうございました。
【お問合せ先】
株式会社オージス総研
TEL: 03-6712-1201 / 06-6871-7998
E-mail: info@ogis-ri.co.jp© 2015 OGIS-RI Co., Ltd.

2015/7/17

第7回 OpenAMコンソーシアム ビジネスセミナー