クラウドサービス・社内アプリもマルっと統合認証できる
HPE IceWall MFA
日本ヒューレット・パッカード合同会社
IceWallビジネス推進部
2022年1月26日

本日ご紹介する内容について
ゼロトラスト時代の認証のトレンドと技術要素

クラウドサービス
社内アプリもマルっと統合認証

HPE IceWall
ユースケースと最新事例のご紹介

FIDO2
FIDO2パスワードレス
認証の活用
IceWall
MFA

Azure AD/ 他IDaaSとの連携© COPYRIGHT 2022 HEWLETT PACKARD ENTERPRISE DEVELOPMENT LP

2

ゼロトラスト時代の認証のトレンドと技術要素
FIDO2

ゼロトラストセキュリティ ”IDENTITY AS A NEW PERIMETER“
すべてのネットワークトラフィックは信頼できないものと考え、検査・検証をする

従来：境界型セキュリティ

これから：ゼロトラストセキュリティ

内部と外部との「境界」にファイアウォール等の物理的な境界を設置。
外部から内部、内部から外部への通信やアクセスを制御することで、安全性を確保。
ただし、侵入済みの脅威に対して脆弱。

アプリケーションやサービスへのアクセス毎に、そのユーザーIDおよびデバイスに対する認証を行い、アクセス権限があるか否かを検証してセキュリティを守る。

社外

海外拠点

自宅

VPN
ここを監視

社内

BYOD

ネットワーク境界

ユーザーやデバイスなどの状態をアクセス毎にチェック
認証済みデバイスで権限を持つユーザーのみ
アプリケーションにアクセス可能

全て検証

社内

社内

SaaS

© COPYRIGHT 2022 HEWLETT PACKARD ENTERPRISE DEVELOPMENT LP

IDがセキュリティ境界44

ゼロトラストフレームワーク
Zero Trust Extended Ecosystem

ネットワークやデータへのアクセス管理＆制御「誰をアクセスさせるか？」
シングルサインオン（SSO）などの機能は最重要
シングル
サインオン
SSO

多要素認証（MFA）が脅威を大幅に低減させる
Password:＋5 sT r 8

D

© COPYRIGHT 2022 HEWLETT PACKARD ENTERPRISE DEVELOPMENT LP

5今までの多要素認証とその課題

多要素認証の例
課題

ICカードなどの鍵デバイスによる認証✓高価ワンタイムパスワード

指紋・静脈などの生体認証✓ マルチデバイスに非対応✓ 運用の手間✓ ベンダーロック✓ 既存アプリへの改修✓ 生体情報を外部で保管© COPYRIGHT 2022 HEWLETT PACKARD ENTERPRISE DEVELOPMENT LP

6

オンライン認証の標準仕様FIDO
公開鍵暗号の仕組みによってユーザー認証を行う標準仕様© COPYRIGHT 2022 HEWLETT PACKARD ENTERPRISE DEVELOPMENT LP

7

FIDOアライアンスとはFast IDentity Online• FIDO仕様を確定している国際標準化団体• 2012年設立、260社以上が加盟• 安全性と利便性の両立を目指している© COPYRIGHT 2022 HEWLETT PACKARD ENTERPRISE DEVELOPMENT LP

8

FIDOは…
“共有の秘密”をサーバーに送らない・サーバーに保管しない

大事な情報は個人の端末のみに保存されるサーバーに送らないサーバーに大事な情報を保管しない

password：●●●●●●●© COPYRIGHT 2022 HEWLETT PACKARD ENTERPRISE DEVELOPMENT LP

9FIDOと生体認証
FIDOは従来の生体認証の欠点をカバーする ＝ 生体認証で特に注目を浴びている
FIDOサーバーはユーザーの認証情報（PIN、トークン情報、生体認証情）を受け取らない・保持しない

FIDO
認証器
① 生体認証PC、スマホ、セキュリティキー• 認証結果だけがサーバーに送られる• FIDOは生体認証情報は端末内で閉じる

challenge/response②「指紋で認証済です。」④サービス提供

FIDO
サーバー
④署名検証

生体認証情報は端末内に閉じる© COPYRIGHT 2022 HEWLETT PACKARD ENTERPRISE DEVELOPMENT LP

10様々なデバイスがFIDO2対応しています

Windows Hello搭載のPC（指紋・顔）Androidデバイス（指紋・顔）iPhone、iPad（指紋・顔）FIDO2対応セキュリティキー（YubiKey等）
パスワードレス・認証強化が可能© COPYRIGHT 2022 HEWLETT PACKARD ENTERPRISE DEVELOPMENT LP

11

FIDO認証導入のメリット
Web認証の標準仕様として認定されている方式

ベンダーロックされないユーザーが持っている認証器を利用可能

簡単・ローコストで認証強化の導入が可能

インターネット上に重要な情報が流れない、サーバーに重要な情報を保管しない高いセキュリティ

FIDOはユーザー利便性を高め認証を強化できる最新のオンライン認証仕様© COPYRIGHT 2022 HEWLETT PACKARD ENTERPRISE DEVELOPMENT LP

12

クラウドサービス・社内アプリもマルっと統合認証
HPE IceWall MFAのご紹介
国内市場シェアNo.1認証ソリューション

クラウドサービス・社内アプリをマルっと統合認証
HPEの認証プラットフォーム IceWall

リバースプロキシ方式・Agent方式
SAML連携・OIDC連携 に対応

IceWall は日本ヒューレット・パッカードが国内で開発した認証ソフトウェアです。
1997年の発売以来、日本国内においてミッションクリティカル用途を含む多数システムへの導入実績を持ち、Webシングルサインオン製品として国内シェアNo.1の実績を誇ります。
IceWall MFAが認証・認可を代行

複数の方式で認証強化
5 sT r 8

Dsalesforce.com

Password:

HOME

アプリ・クラウドの改修は不要

Microsoft 365

IceWall
MFA

メール OTP

クラウドサービス
その他、認証方式
バリエーション（一例）

Office

指紋認証© COPYRIGHT 2022 HEWLETT PACKARDENTERPRISE DEVELOPMENT LP
社内Webアプリケーション

14

様々な認証方式に対応
統合Windows認証

ワンタイムパスワード
OATH準拠トークン・Mail・SMS

FIDO2認証

OpenID Connect

クライアント証明書

マトリクス認証

指静脈認証

SAML認証© COPYRIGHT 2022 HEWLETT PACKARD ENTERPRISE DEVELOPMENT LP15

アクセス元やアクセス先に応じて認証方式を決定
アクセス元に応じて認証方式を出し分け

社内からのアクセスはID/パスワードのみ

IceWallMFA

社内
社外からのアクセスは
ID/パスワード ＋ OTP
Internet

Web
アプリ

＋社外
認証ポリシー設定

アクセス先に応じて認証方式を出し分け

通常のWebアプリはID/パスワード のみ

機密コンテンツはID/パスワード ＋ FIDO2＋・・・・・・・・・・・・・・・・・・・・・・・

Web
アプリ

機密コンテンツ© COPYRIGHT 2022 HEWLETT PACKARD ENTERPRISE DEVELOPMENT LP

16

15年以上 国内Web SSO製品シェア No.1
豊富な実績に基づく安心と信頼2019年度 国内Web SSO製品シェア*1

数百万規模＆ミッションクリティカルの実績

累計5,000万ユーザーライセンス
国内で15年以上にわたってトップシェア*2

HPE IceWall

23.3%

2.8%
3.7%

58.1%

3.9%
4.0%
4.8%

*1 出典：デロイト トーマツ ミック経済研究所株式会社「個人認証・アクセス管理型セキュリティソリューション市場の現状と将来展望 2021年版」（2021年3月刊）を基に日本ヒューレット・パッカードが作成。
*2 デロイト トーマツ ミック経済研究所より2005年以降に発行された当該調査レポートに基づく。

HPE

実証済みの高品質と迅速・長期のサポート

A社

国内開発＆国内サポート

B社

C社
D社
E社

高性能・高可用性
大規模やミッションクリティカルでも安心の仕組み

その他

BtoC/BtoB/社内イントラ
様々な分野で活用可能© COPYRIGHT 2022 HEWLETT PACKARD ENTERPRISE DEVELOPMENT LP

17

HPE IceWallユースケースと最新事例のご紹介[社内イントラ] FIDO2パスワードレス認証の活用[社内イントラ] Azure AD/ 他IDaaSとの連携

HPE IceWallユースケース
社内イントラネット
Windows
Hello

BtoB企業間認証

BtoCお客様認証
OIDC

Password:

LINE

SAML

HOME

SNS連携

SaaS

OIDC

5sT r 8D

RPサービス

Office
社員・職員

パスワードレス認証

社内Webアプリ✓ 社内外からのアクセスに対応。
✓ 社内の業務システム、クラウドサービスの利用もシームレスにシングルサインオン。
✓ ゼロトラストセキュリティ対応✓ 認証の強化レベルを柔軟に設定可能。

代理店

多要素認証

✓ 取引先の情報を漏洩しないセキュアな仕組み。
✓ 信頼を築く、高信頼性と安定稼働。

パスワードレス認証

コンシューマーサービス事業者

パスワードレス認証✓ 様々なデバイスに対応。
（スマホ、タブレット、PC）✓ SNS連携やFIDOによるパスワードレス認証など、ユーザー利便性を向上。
✓ 変化するニーズに柔軟に対応。
✓ オープンAPI連携© COPYRIGHT 2022 HEWLETT PACKARD ENTERPRISE DEVELOPMENT LP

19

社内イントラ事例①

FIDO2生体認証によるリモートアクセスとシングルサインオン
お客様：
規模：POINT✓ FIDO2認証を導入し顔/指紋でパスワードレス認証✓ シングルサインオンの実現、セキュリティ担保

製造
数千ユーザー

事例概要： 生体認証の導入によりセキュリティを担保。
出先での作業中のパスワード入力を撤廃。
Webアプリ/SaaSを改修せずシングルサインオンを実現。

FIDO2パスワードレス認証iPhone・iPadのTouch ID・Face IDで認証

Internet

IceWall MFA＋FIDO2Option

SAML
認証連携

複数の方式で柔軟に認証強化

クラウドサービス

認証・認可
リバース
プロキシ方式

Webアプリ（オンプレ）

認証DB

シングルサインオン© COPYRIGHT 2022 HEWLETT PACKARD ENTERPRISE DEVELOPMENT LP

20

社内イントラ事例②

Auzre AD等、IDaaSと連携したイントラ統合認証
Azure ADをIdP、IceWallをSPとすることで、Azure ADを認証起点とした統合認証環境を実現可能。
Azure ADで巻き取れなかったオンプレWebアプリも、Azure ADでのシングルサインオン！

ユーザー
Azure AD

MS365

SP

IdP

SAML

SAML

Saas
アプリ

Saas
アプリ

SAML連携オンプレAD
AADC

IceWall（Federation Proxy / Cloud Connection）
IWFP (SAML SP)

WebアプリWebアプリWebアプリ（Basic認証） （Form認証） （Form認証）

Azure ADに全ユーザーが統合されていないケース、
社内Webアプリケーションへのきめ細かいアクセス制御が必要ケース、
Azure AD以外のIDaaS（Okta/HENNGE etc）
© COPYRIGHT 2022 HEWLETT PACKARD ENTERPRISE DEVELOPMENT LP
様々なご要望に柔軟に対応可能…ご相談ください
Hewlett Packard Enterprise Confidential

21Thank you
hpe.com/jp/icewall