株式会社サテライトオフィス

シングルサインオン2重化対策について

株式会社サテライトオフィス
2013年4月15日
http://www.sateraito.jp

Copyright(c)2009 BayTech Systems, Inc. All rights reservedサテライトオフィス・シングルサインオン for Google Apps とは？
サテライトオフィス・シングルサインオン for Google Apps について、ご説明いたします。
①ActiveDirectory（LDAP）と連携（アカウント同期＋ADのIDとパスワードでログイン）②既存人事システムとの同期③Google ドキュメントやCSVで管理

サテライトオフィス・
シングルサインオン
for Google Apps

Google App Engine
Google Apps Marketplace
で公開

全体イメージ【ログイン制御】
IP制限、個別端末制限
ログインログ【パスワード強化管理】
パスワード強度
有効期限、自動ログイン禁止、古いパスワード禁止、簡易パスワードの禁止

セールスフォース、ZohoCRM
既存システムとのシングルサインオン

社内環境

非許可

許可ユーザー

許可ユーザー

社外環境

VPN拠点＆ユーザー

http://www.sateraito.jp

非許可

社内パソコン、社外パソコン、スマートフォン、ガラ携帯別にアクセス制御可能

Copyright(c)2009 BayTech Systems, Inc. All rights reserved2シングルサインオンの2重化対策について！
サテライトオフィス・シングルサインオン for Google Apps の2重化対策について、ご説明いたします。

シングルサインオンの2重化対策の必要性！

リカバリー対策

弊社のシングルサインオン機能は、安定性＆スケーラビリティー＆Google Appsとの親和性を考慮し、Google App Engine上で構築＆運用しております。
Google App Engineは、数十万やそれ以上のアカウントでも、1サーバー（インスタンス）で運用でき、スケーラビリティーが確保されているのが優位性でもあります。
しかし、AmazonEC2と違い、Google App Engineのサービスに問題があった場合は、Google App Engine全体が稼働しなくなる可能性がございます。
そこで、サテライトオフィス・シングルサインオン for Google Apps は、通常はGoogle App Engine上で稼働させ、Google App Engineに問題があった場合は、AmazonEC2でリカバリー運用ができるように対策を施しました！

http://www.sateraito.jp

Copyright(c)2009 BayTech Systems, Inc. All rights reservedシングルサインオン リカバリー対策 について！
シングルサインオンのリカバリー対策について、ご説明いたします。
サテライトオフィス・
シングルサインオン
for Google Apps

Google Apps利用企業様①

リカバリー対策②

Google App Engineで稼働！

④①②③
シングルサインオン
バックアップサーバー⑤

通常のシングルサインオン利用遷移③
夜間バッチで、SSOの情報をAmazonEC2にコピーさせます。

④⑤
Google App Engineダウン時のスクランブル運用遷移
http://www.sateraito.jp

AmazonEC2 で運用【ログイン制御】
IP制限、個別端末制限
ログインログ【パスワード強化管理】
パスワード強度
有効期限、自動ログイン禁止、古いパスワード禁止、簡易パスワードの禁止＜概要＞
Google App EngineのSSO情報を夜間バッチで、AmazonEC2にコピーさせ、問題があった場合に、SSOをAmazonEC2にスイッチして頂く事で、緊急退避可能になります。
AmazonEC2版SSO方では、アカウントの追加や削除などはできません！

Copyright(c)2009 BayTech Systems, Inc. All rights reserved事前テスト方法

本章は、事前テスト方法の説明をします。

http://www.sateraito.jp

Copyright(c)2009 BayTech Systems, Inc. All rights reserved

5

事前テストに関して！
サテライトオフィス・シングルサインオン for Google Apps の2重化対策の事前テストについて説明します。

サテライトオフィス・シングルサインオン for Google Apps 利用企業様は、既に、全企業様、リカバリー対策が施されております。
通常運用の時に、テストを行い、緊急時の予行練習をお願いします！
リカバリー対策の概要は、夜間バッチでGoogle App Engine版SSOの情報をAmazonEC2版SSOにデータ同期してあります。ワンクリックで、Google AppEngine版SSOをAmazonEC2版SSOに切替が可能です。
＜テスト方法＞①通常にログインできる事を確認！
https://mail.google.com/a/御社ドメイン
ログイン後ログオフしておきます。
②Google App Engine版SSO管理画面を開きます。
https://sateraito-apps-sso.appspot.com/a/御社ドメイン/③AmazonEC2版管理画面URLをブックマークします。（緊急時もこれを利用！）④AmazonEC2版SSOを開き、切替ボタンを押します。（通常→緊急モード）⑤再度①と同じログインを行います。
ログイン画面で、 /u/ を確認します。（これが、AmazonEC2版SSOに切替成功）⑥AmazonEC2版SSOを開き、切替ボタンを押し戻します。（緊急→通常モード）
http://www.sateraito.jp

Copyright(c)2009 BayTech Systems, Inc. All rights reserved

事前テスト事前テストに関して！
サテライトオフィス・シングルサインオン for Google Apps の2重化対策の事前テストについて説明します。

①『https://mail.google.com/a/御社ドメイン』からユーザーでログインします。

ユーザーでログインできる事を確認します！
その後、ログアウトしておきます。

http://www.sateraito.jp

Copyright(c)2009 BayTech Systems, Inc. All rights reserved

事前テスト事前テストに関して！
サテライトオフィス・シングルサインオン for Google Apps の2重化対策の事前テストについて説明します。

②『https://sateraito-apps-sso.appspot.com/a/御社ドメイン/』
でログインします。(GAE版SSO管理者画面にログインします。）

管理者で、GAE版SSOログインし、AmazonEC2版SSOのURLを確認します！
http://www.sateraito.jp

Copyright(c)2009 BayTech Systems, Inc. All rights reserved

事前テスト事前テストに関して！
サテライトオフィス・シングルサインオン for Google Apps の2重化対策の事前テストについて説明します。

③AmazonEC2版SSOのログインURLをブックマークします。

事前テスト

AmazonEC2版SSOのURLを選択してドラック＆ドロップでブックマークエリアに移動するとブックマーク作成できます。

http://www.sateraito.jp

Copyright(c)2009 BayTech Systems, Inc. All rights reserved事前テストに関して！
サテライトオフィス・シングルサインオン for Google Apps の2重化対策の事前テストについて説明します。

④AmazonEC2版SSOの管理画面にログインします。
（ブックマークをクリック）

http://www.sateraito.jp

Copyright(c)2009 BayTech Systems, Inc. All rights reserved

事前テスト事前テストに関して！
サテライトオフィス・シングルサインオン for Google Apps の2重化対策の事前テストについて説明します。

④AmazonEC2版SSOの管理画面より『緊急モードに切替える』ボタンをクリックします。→これで、緊急時モードでのAmazonEC2版SSOに切替が行われるので、勤務時間外などにテストお願いします。

http://www.sateraito.jp

Copyright(c)2009 BayTech Systems, Inc. All rights reserved

事前テスト事前テストに関して！
サテライトオフィス・シングルサインオン for Google Apps の2重化対策の事前テストについて説明します。

④『緊急モード』になった事を確認します！

http://www.sateraito.jp

Copyright(c)2009 BayTech Systems, Inc. All rights reserved事前テスト

事前テストに関して！
サテライトオフィス・シングルサインオン for Google Apps の2重化対策の事前テストについて説明します。

⑤『https://mail.google.com/a/御社ドメイン』からユーザーでログインします。

事前テスト

ログイン画面のURLがhttps://sp.sateraito.jp/u/御社ドメイン/・・・・・・・・↑『u』がポイントとなり、その後、ログインできれば、緊急モード（AmazonEC2版SSO）のテスト成功です！
http://www.sateraito.jp

Copyright(c)2009 BayTech Systems, Inc. All rights reserved事前テストに関して！
サテライトオフィス・シングルサインオン for Google Apps の2重化対策の事前テストについて説明します。

⑥AmazonEC2版SSOの管理画面より『通常モードに切替える』ボタンをクリックします。

http://www.sateraito.jp

Copyright(c)2009 BayTech Systems, Inc. All rights reserved

事前テスト事前テストに関して！
サテライトオフィス・シングルサインオン for Google Apps の2重化対策の事前テストについて説明します。

④『通常モード』になった事を確認します！

これでテスト終了です。

http://www.sateraito.jp

Copyright(c)2009 BayTech Systems, Inc. All rights reserved

事前テスト事前テストに関して！
サテライトオフィス・シングルサインオン for Google Apps の2重化対策の事前テストについて説明します。

実際の緊急時の対応は！！

事前テスト

GAE版SSOがエラーし、ログイン画面が表示されない場合は、④の作業を行い緊急モードに切替ください！→ユーザーとしてログインできるかも確認

戻すタイミングは、サテライト障害情報 ( http://goo.gl/BUO6J ）でGAE版SSOの復旧の確認をする。または、サポートチーム http://goo.gl/CFN6g )に確認ください！

http://www.sateraito.jp

Copyright(c)2009 BayTech Systems, Inc. All rights reserved事前テストに関して！
サテライトオフィス・シングルサインオン for Google Apps の2重化対策の事前テストについて説明します。

諸注意
緊急モードにした場合の制限事項は、下記になります。
・パスワード変更不可
・ガラ携帯アプリ連携不可
・メールプロキシ連携不可
・SSOアプリ、Nexus7、外部連携関連対応不可
・アクセス制御…端末制御
・ログイン履歴やログイン回数などの更新はなし
・連続ログイン失敗でのログインロック機能はなし
・多言語連動なし（日本語固定）
緊急時（AmazonEC2版SSO）で実現ポイント・Appsログイン、社員IDログイン、Appsパスワード、SSOパスワード、全ての認証に対応
・IPアドレス制御（社内、社外、スマホ、ガラ携帯の判定）
・アクセス制御…ユーザエージェントの制御は実施
・自動ログイン対応
・アカウント停止、ログインロックのチェック
・背景画像、フォントカラーなどのカスタマイズ設定の引継ぎ
・プロファイルによる自動遷移先URLやGmail、Calendarアイコン表示などの対応
・SSO切替機能（緊急モードと通常モードをWEB上で切替）

http://www.sateraito.jp

Copyright(c)2009 BayTech Systems, Inc. All rights reserved

事前テスト事前テストに関して！
サテライトオフィス・シングルサインオン for Google Apps の2重化対策の事前テストについて説明します。

諸注意緊急モードにした場合、下記の問題が発生する場合があります。

事前テスト

本来、ユーザー様のブックマークに入れておいてもらいたいURLは、http://mail.google.com/a/御社ドメイン/
または、ポータルURLになります。
Googleの仕様上、SSOサーバーを切替えても、上記のURLが、ブックマークに入っていれば、問題なく切替が可能です！
しかし、・Google App Engine版SSOのログイン画面をブックマークしている・パスワードはブラウザに覚えさせており、覚えていない！などありますと、切替時にログインできない！という事になります。
日頃から
http://mail.google.com/a/御社ドメイン/
または、ポータルURLをブックマークしてもらうように、メンバー様に周知徹底お願いします！

http://www.sateraito.jp

Copyright(c)2009 BayTech Systems, Inc. All rights reservedSateraito ~ for your best solution

株式会社サテライトオフィス〒135-0016
東京都江東区東陽2-2-4
マニュライフプレイス東陽町7Ｆ
TEL : 050-5835-0396（代表）
FAX : 050-6861-2893
E-Mail :contact-info@sateraito.co.jp

http://www.sateraito.jp

Copyright(c)2009 BayTech Systems, Inc. All rights reserved

19