企業・大学におけるシングルサインオン・システムの最新技術動向と導入事例
オープンソース・ソリューション・テクノロジ株式会社
代表取締役 チーフアーキテクト 小田切耕司

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-1-

講師紹介
オープンソース・ソリューション・テクノロジ
会社紹介

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-2-

講師紹介






役 職 ： 代表取締役 チーフアーキテクト
氏 名 ： 小田切 耕司 (おだぎり こうじ)
所属団体等
 OpenAMコンソーシアム 副会長
 OSSコンソーシアム 副会長
 日本LDAPユーザ会設立発起人
 日本Sambaユーザ会初代代表幹事
執筆関係
 日経Linux 2011年9月号～2012年２月号 連載中
 『Linux認証のすべて』 （第１回～第６回）
 http://itpro.nikkeibp.co.jp/linux/
 ASCII.technologies 2011年2月号
 『キホンから学ぶLDAP』
 http://tech.ascii.jp/elem/000/000/569/569412/
 技術評論社 Software Design 2010年9月号
 第1特集 クラウド対策もこれでOK！
統合認証システム構築術
OpenAM／SAML／OpenLDAP／Active Directory http://gihyo.jp/magazine/SD/archive/2010/201009
 ＠ＩＴ やってはいけないSambaサーバ構築：2008年版
 2006年5月 技術評論社 LDAP Super Expert
 巻頭企画
 ［新規／移行］LDAPディレクトリサービス導入計画

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-3-

オープンソース・ソリューション・テクノロジ株式会社


OSに依存しないOSSのソリューションを中心に提供
Linuxだけでなく、AIX, Solaris, Windowsなども対応！



OpenAM, OpenLDAP, Sambaによる認証統合/
シングル・サイン・オン、ID管理ソリューションを提供
 製品パッケージ提供
機能証明、定価証明が発行可能
 製品サポート提供
３年～５年以上の長期サポート
コミュニティでサポートが終わった製品のサポート
 OSSの改良、機能追加、バグ修正などコンサルティン
グ提供

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-4-

OSSTechの製品群 Unicorn IDM

ID管理

システム管理者

ID連携
Active Directory

Google Apps
Salesforce
ファイルサーバ

ファイル
サーバー

Web アプリ

LDAP

クラウド

SSO
Windows
ドメインログオン
ログイン

認証基盤をすべて
OSS製品で提供

ユーザー

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-5-

OSSTechの製品群（すべてOSSで提供）
原則Linux/Solaris/AIX共にRPMで提供●Samba for Linux/Solaris/AIX● ADの代替、高性能NASの代替●OpenLDAP for Linux/Solaris/AIX● 認証統合、ディレクトリサービス、シングルサインオンのインフラ●OpenAM for Linux/Windows/Solaris/AIX● Tomcat, OpenLDAP対応で高機能なシングルサインオン機能を提供（旧OpenSSO)●Unicorn ID Manager for Linux/Solaris● Google Apps, Active Directory, LDAPに対応した統合ID管理

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-6-

OSSTechの製品群（すべてOSSで提供）
原則Linux/Solaris/AIX共にRPMで提供●Chimera Search（キメラサーチ） for Linux●

アクセス権の無いファイルは表示されない全文検索システム●LDAP Account Manager for Linux/Solaris●

管理機能の弱いOSSのLDAP/SambaにWebベースのGUIを提供●ThothLink（トートリンク） for Linux
WebブラウザからのWindowsファイルサーバアクセス機能を提供● SSLBridge後継製品●●Mailman for Linux/Solaris
日本語での細かな問題を解決● YahooメールやGoogle Appsのメーリングリスト機能を補完●

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-7-

クラウドと共に普及する
シングルサインオン

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-8-

サービスを利用するには必ず必要な「認証」
ActiveDirectory

企業・組織内クラウド
Google Apps
Salesforce

ファイル
サーバー

LDAP

メールサーバー
Client/Server

Windowsログオン/
LDAP 認証

ログイン

Webアプリログイン

ログイン

システムの数だけ「認証」が必要ユーザー

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-9-

SSO：シングルサインオンとは一度のログイン操作さえ完了すれば、複数のアプリケーションに
認証操作することなくアクセスすることが可能になる。
ActiveDirectory

Google Apps
Salesforce

ファイル
サーバー

LDAP

メールサーバー/
クラサバ

クラウド

Webアプリ

SSO
Windowsログオン/
LDAP 認証

ログイン
ログイン

ユーザー

今日は
この部分のお話

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 10 -

SSO（シングルサインオン）とは

 １回のパスワード入力で複数のシステムやサービスを同時利用
 「ID統合を使った統合認証」ではIDとパスワードの管理を1カ所でできるためユーザの追加も楽、社員が退社した場合に1カ所IDを削除すれば、すべてのシステムが利用不可となる 近年クラウドサービス（SaaS, PaaS, IaaS, HaaSなど）の普及により、（社外にある）サービス毎にID／パスワードを登録しなければならないケースが増えており、「ID連携による統合認証」を使わざるを得ないケースが増えている ところがこのID連携が費用の問題や技術的な問題で完全に実現されていない場合、例えば社員が退社した時に社内システムのIDを削除しても、SaaS側のIDが残っているとクラウド側のシステムは社外から使えてしまう、といった問題が起きてしまう
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 11 -

クラウドで統合認証ができていないと．．．
インターネット

クラウド・サービス SP
Google Apps
Salesforceなど
プライベートクラウド
/ASP

IdP
ユーザー情報認証
IdP

SP

B2B,B2C

IdP

イントラネット
社内向けシステム

ユーザー情報認証

SP
ユーザー情報認証

システム毎にログイン操作が必要
クラウドにID/パスワードとパスワードを置く必要がある（パスワードを社外に置くと不正ログインされる危険性が高い）
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 12 -

クラウドで統合認証とSSOを実現するSP
クラウド・サービス
Google Apps
Salesforceなど

インターネット
SAML認証DMZ

プライベートクラウド/ASP

認証はすべて社内で行う

B2B,B2C
認証チケット／
リバースプロクシ

IdP

（1）

SP

(2)

認証
チケット

（3）

認証チケット／
リバースプロクシ

アクセス
LDAP/AD
ID/Pass

パスワードは社内で管理

ユーザー

イントラネット
社内向けシステムSP

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 13 -

シングルサインオンを実現するソフトウェア
 Webアプリケーションにおけるシングルサインオンを実現するためのプラットフォームとなるソフトウェア
 現在はオープンソースだが、元はSun Microsystems社の商用製品（Access Manager）
 弊社で製品パッケージを提供

 SAMLを扱えるオープンソースのソフトウェア
 Shibboleth1.3以前のバージョンがSAML1.1を実装
 Shibboleth2.0よりSAML2.0を実装
 学認フェデレーションでの主な認証ミドルウェアとして使用
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 14 -

シングルサインオン
技術動向

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 15 -

SSO(OpenAM)導入動向
 クラウドの普及により、SSO（シングルサインオン）が急速に普及中
 IaaSやPaaSも増えつつあるが、やはりSaaSのGoogle
Apps（大学／企業）とSalesforce（企業）をまず導入するケースが多い 企業ではSalesforceのセキュリティ強化を目的にOpenAM
導入するケースが多い 大学ではGoogle AppsとイントラネットやShibbolethを連携させるケースが多い
 企業ではM&Aや会社合併のために増えすぎたアプリやIDを統合するためにSSOを導入
 IaaSやPaaSも普及し始め、これらの上で構築された社内向け個別アプリのSSOも普及しだしてきた。
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 16 -

OpenAMで実現する
シングルサインオン・ハブ
オープンソースのOpenAMだから
高機能・安価に実現できる

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 17 -

混在する複数のSSO環境
Shibboleth IdP で SSO を実現(Shibboleth は SAML を利用しているが、仕様上 OpenAM では代替不可能)SAML IdP を導入してSSO を実現

Google Apps
SAML

SAML

Salesforce

クラウドSSOセグメント
リバースプロキシ/
エージェント

大幅な改修はした
くないため、エージ
ェント型/リバースプ
ロキシ型で SSO を実現

Shibboleth
SP
Shibboleth
IdP

学認（Shibboleth）
SSOセグメント

社内SSOセグメント

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 18 -

OSSで実現するシングルサインオン・ハブ
Shibboleth
SP
Shibboleth

Google Apps

IdP

Salesforce

クラウドSSOセグメント

OpenAM（認証サーバー）

学認（Shibboleth）
SSOセグメント

リバース
プロキシ/
エージェント社内SSOセグメント

SSO セグメントを結合するハブとして OpenAM を利用。
ユーザーは OpenAM へのログインさえ完了していれば、全てのアプリに SSO 可能
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 19 -

シングルサインオン・ハブを実現するための機能

 認証機能 ユーザーの本人性を確認する。セキュリティ強化のために、多要素認証が望ましい。
 ユーザー情報保存機能
 認証情報や他システムに連携するユーザー情報を保存する 外部システムと連携可能なインタフェース
 フェデレーション（SAML, OpenID, OAuthなど）
 REST API SDKCopyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 20 -

シングルサインオン方式

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 21 -

シングルサインオン方式の詳細（1） フェデレーション：SAMLによるシングルサインオン– Secure Assertion Markup Language– 認証、認可、ユーザ属性情報などをXMLで送受信するためのフレームワーク– 標準化団体OASISにより策定– GoogleApps, Salesforceなどが採用– 今後OpenIDの普及によりOpenAMでOAuth実装予定
 エージェント方式– SSO対象のWebアプリが動作するサーバー上にアクセ
ス制御用のモジュールを配置する方式– サーバーのバージョンに影響を受ける
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 22 -

シングルサインオン方式の詳細（2）

リバースプロキシ方式– リバースプロキシを使用してアクセス制御を行う– ユーザーデータの受け渡しはHTTPヘッダーを利用– SSO対象Webアプリのバージョンや設定変更の影響が少ない– リバースプロキシが性能上のボトルネックになる可能性がある

代理認証方式– SSO対象Webアプリの既存ログイン画面に対して、OpenAMがユーザーの代理でログインID/パスワードを送信する– SSO対象Webアプリの改修が不要– 細かなアクセス制御はできない（ログイン処理の代理実行のみ）

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 23 -

フェデレーション：SAMLによるシングルサインオン

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 24 -

エージェント型

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 25 -

リバースプロキシ型

後方のサーバを仮想的に１台に見せることも可能
認証とサーバへのアクセス制御はプロキシサーバで行う
後方のサーバは認証なしもしくはBasic認証でアクセス可能
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 26 -

代理認証方式
プロキシ
または
代理認証ポータル

認証情報をPOST

認証サーバで認証したら後方のサーバへ認証情報をPOSTして認証する
後方のサーバが独自の認証画面を持っていてもSSO可能
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 27 -

シングルサイオン方式の採用基準
WebアプリケーションがSAMLに対応しているか
No
No

Yes

Webアプリケーションの改修が可能かNo

SAMLを採用

代理認証方式を採用

Yes
WebアプリケーションをSAMLに
SAMLを実装
対応させることができるか
Yes
No
No
Yes
エージェント方式を採用
ポリシーエージェントがWebサーバ/APサーバに対応しているか
リバースプロキシ方式を採用
No
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 28 -

本当はやってはいけない「代理認証」「既存アプリに手を入れられない」という理由で代理認証を採用するユーザーは多いが本当はやってはいけない！
• IDとパスワードを（HTTPSでも）ネットワークに何度も流すのは良くない。（SSO入り口の１カ所に限定すべき）• 代理認証はイントラネットのみに限るべき• クラウドへの代理認証は危険• SAMLに対応しているGoogle AppsやSalesforceに対して、代理認証は絶対にやってはいけない！
（SAMLを使ってIdPを社内に置けばパスワードはクラウドに流れない）

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 29 -

OpenAMの認証方式（多要素認証）Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 30 -

OpenAMの機能 - 認証連鎖
多要素認証の必要性– 複数の認証方式を組合わせて認証を行うことにより個々の認証方式の欠点を補完
 認証連鎖– 複数の認証方式を組み合わせて利用可能– 認証方式にはそれぞれ適用条件を指定する
 必須：失敗したらそこで終了
 十分：成功したらそこで終了
 必要：成功しても失敗しても次に継続 任意：認証結果には関係しない付随的な処理

認証方式１（必須）
ID/PW認証

認証方式２（必須）
ワンタイムパスワード

ログイン完了Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 31 -

多要素認証
複数の認証方式を組合わせて認証を行うことにより個々の認証方式の欠点を補完

厳密なユーザ認証– 異なるタイプの認証方式を組合わせることが重要

使い勝手の向上

いつも同じ認証方式が使えるとは限らない– 状況により要求される認証の精度が異なる–



認証方式間での連携–

組合わせて使うことを前提にしている認証方式もある

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 32 -

認証連鎖
認証方式を組合わせる方法を指定する
 認証方式にはそれぞれ適用条件を指定する– 十分：成功したらそこで終了– 必要：成功しても失敗しても次に継続– 必須：失敗したらそこで終了– 任意：認証結果には関係しない付随的な処理 認証成功時には認証方式に応じて認証レベルが設定される
認証方式１（十分）認証方式２（必要）評価

認証方式３（任意）評価

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 33 -

例１．Windows Desktop SSO
Windows Server
2000/2003/2008
ActiveDirectory

①

ンド
メ
イ
ン
ロ
グ
オ

チ
ケ
ッ
ト
発
行

自動チケット送付②

OpenAM③

認証、認可、
属性情報

利用④
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 34 -

例１．Windows Desktop SSO
WindowsドメインログオンするだけでＷｅｂアプリケーシ
ョンにもＳＳＯが可能になる便利な方式
 いつも、全てのユーザがドメインログオン可能であるとは限らない– リモート・アクセスの場合– 非常勤社員の場合
 通常のユーザＩＤ・パスワードによる認証と組み合わせて以下のように認証連鎖構成する– Windows Desktop SSO: 十分– ユーザＩＤ・パスワードによる認証：必須
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 35 -

例２．携帯電話を使ったワンタイム・パスワード
通常のユーザＩＤ・パスワード
による認証

ユーザＩＤ・パスワード
認証成功

ワンタイム・パスワード要求
ユーザの
携帯電話

ワンタイム
パスワードの入力画面+HMAC
ワンタイム・パスワード+HMAC返送
認証成功

OpenAM
同時に携帯電話へ
ワンタイム・
パスワードを送付

ワンタイム・
パスワード認証

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 36 -

例２．携帯電話を使ったワンタイム・パスワード



所持物認証と知識認証の組合わせによる厳密なユーザ認証が可能

携帯電話を使うことによる利点

–

導入コストの低減–

所持品の軽減フィッシングへの対応–

HMAC（RFC2104:Keyed-Hashing for Message Authentication）を利用–

両方のパスワードが盗まれた場合は問題–

参考：RSAセキュリティ（株）による月例記者会見

http://internet.watch.impress.co.jp/docs/news/20100728_383861.html

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 37 -

応用例
 Windows Desktop SSOによる認証は便利なのでぜひ使いたいが全てのユーザがドメインログオン可能とは限らない ワンタイム・パスワードは厳密な認証が出来る点は良いが、いつも携帯電話を開いてパスワードを確認するのは面倒だ ２つを組合わせることにより便利かつ厳密な認証を行うことが可能– Windows Desktop SSO: 十分– ユーザＩＤ・パスワードによる認証：

必須– ワンタイム・パスワードによる認証： 必須
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 38 -

OpenAMによるシングルサインオン
システム導入事例

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 39 -

某通信会社グループ共通
シングルサインオンシステム

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 40 -

某通信会社グループ共通
シングルサインオンシステム
ユーザー総数 約２５万人● ID/パスワードとユーザー証明書の多要素認証(認証連
鎖)● 一部グループ会社ユーザーはSAML 2.0対応IdPによる認証連携● OpenLDAPのパスワードポリシー対応モジュールの開発● 保護対象アプリケーションとの連携はPolicyAgentを用いたリバースプロキシ型●

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 41 -

某通信会社グループ 全体構成図
グループ会社
ユーザーE
OpenAM

グループ会社
ユーザーW

SSO
リバース
プロキシ

グループ共通イントラネット

SAML 2.0による認証連携

グループ会社S社
A社認証基盤IdP

保護対象
企業グループ
SSOポータル
アプリケーション
グループ共通システム

グループ会社D社
B社認証基盤IdP

一部グループ会社では各社の認証基盤をIdPとしてOpenAMと連携
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 42 -

某通信会社グループ 構築のポイント
グループ
ユーザー

アクセス

SSO
リバース
プロキシ

ユーザー証明書

ポイント1

ログイン

OpenAM

保護対象
グループ会社
SSOポータル
アプリケーション
グループ共通
システム

ポイント2
アクセス

SAML2.0認証連携

ポイント3

各社認証基盤IdP
OpenLDAP

グループ会社
認証統合基盤

ログイン

一部のグループ
会社ユーザーCopyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 43 -

多要素認証●

ポイント1➢ ID/パスワードとユーザー証明書を用いた多要素認
証➢ 「認証連携」での接続方法も、同等の認証レベルをセットするカスタム認証モジュールを開発➢ OpenAMリバースプロキシのポリシーでレベルをチェックしアクセス制御

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 44 -

多要素認証時の認証・認可シーケンス●

認証レベル判別シーケンス

ユーザー(ブラウザ)

OpenAM

ID/PW ログイン

Level0

リバース
プロキシ

保護対象
サービス

ID/PW認証
だけではアクセス不可OpenAMセッション
アクセス
ID/PW ログイン
ユーザー証明書Level3

ID/PWと証明書認証の両方でアクセス可能認証方式からLevelを付与

OpenAMセッション

アクセス

SSO Level3

Level3 コンテンツ

Levelに基づきアクセス制御認証連携

Level5OpenAMセッション

アクセス

SSO Level5

Level5 コンテンツ

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

Levelに基づきアクセス制御- 45 -

異なるIdP製品との認証連携●

ポイント2➢ 一般的にユーザーはOpenAMで認証を行う。
➢ 一部のグループ会社ユーザーは各社認証基盤のIdPで認証を行い、OpenAM保護下のグループ会社
SSOポータルアプリケーションとはSAML認証連携でアクセス可能とする。

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 46 -

異なるIdP製品との認証連携シーケンス
一部グループ
会社ユーザー自動
リダイレクト

各社認証基盤

OpenAM

リバース
プロキシ

ログイン

保護対象
サービス

OpenAMセッションを確認
ポータルリンクからログインぺージへリダイレクト
SAML SPによる認証連携

初回アクセスのみ認証連携を行う

OpenAMセッション

OpenAM
セッション
開始

アクセス
２回目以降の
アクセス
シーケンス

OpenAMセッションを確認
SSO

コンテンツ

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 47 -

OpenLDAPポリシーへの対応●

ポイント3➢ OpenAM 9系では対応していないOpenLDAP(RFC標準)のアカウントポリシーエラー対応のため
OpenAMの拡張開発を行った。
➢ 拡張を行ったOpenAMは、パスワード有効期限切れなどOpenLDAPからの戻り値を判定し、任意のURLへ遷移する。

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 48 -

OpenLDAPポリシーへの対応●

OpenLDAPエラー情報判定シーケンス

ユーザー(ブラウザ)

OpenAM

ログイン
LDAP バインド

OpenLDAP
アカウントロックパスワード有効期限など
ポリシーのチェック

LDAP 応答

ポリシー対応のエラー画面表示

LDAP応答の内容をハンドリングし適切な画面を応答

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 49 -

某総合電機メーカー
シングルサインオンシステム

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 50 -

某総合電機メーカー
シングルサインオンシステム
 規模：グループ企業７社、約５０００人、海外22拠点
今後拡大予定 海外ディーラー向けの技術情報やマーケティング情報のCMSおよびECサイトへのシングルサインオン
 CMS, ECサイトとの連携はOpenAM PolicyAgentとお客様開発の連携モジュール
 SAML認証と代理認証を利用 対象ユーザー、保護対象アプリケーションはインター
ネット上に点在

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 51 -

某総合電機メーカー 構成図
パートナー

Login

Internet

CMS
マーケティングサイト
SSO

OpenAM
Login
パートナー

SSO

CMS
マーケティングサイト

Login
SSO
パートナー
Login

認証は一カ所
全てのシステムへSSO
SAMLや代理認証

SSO

CMS
テクニカルサイト

ECサイト

パートナー

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 52 -

国立大学法人
名古屋工業大学

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 53 -

名古屋工業大学様 事例のポイント

規模 学生数 約5,800人 教職員数 約510人
旧Sun製品の置き換え
 旧Sun製品（Sun Java System Access Manager）からの移行を実現
 旧Sun製品のOracle後継製品を導入する場合はコスト高
 Sun Java System Access Managerの後継であり、OSSのOpenAMを採用
 他にもLDAPにOpenLDAP, ID管理にUnicorn IDMと積極的にOSSを採用
 ICカードによる認証とID/パスワードによる認証の使い分け アクセスリソースに対しての認証レベルの使いわけ 「ICカードによる証明書認証」と「ID/パスワードによる認証」の二つの認証方式を用意
 重要なリソースへのアクセスの際にはより安全なICカードで認証したユーザー
のみをアクセス可能とした
 日立製作所とオープンソース・ソリューション・テクノロジで実現

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 54 -

名古屋工業大学 構成図
ユーザー
アクセス

SSO
リバース
プロキシ

ユーザー証明書

ポイント1

ログイン

保護対象
学内ポータルアプリケーションSSO
OpenAM

ポイント2
Active Directory
ID連携

OpenLDAP

ID連携
保護対象
Unicorn IDM

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 55 -

名古屋工業大学 認証の使い分け●

ポイント1➢ ICカードを使った証明書認証を基本とする➢ 証明書認証に失敗した場合（証明書の提示が無い）にログイン画面を表示しID/パスワードを用いた認証➢ 証明書認証とID/パスワード認証では異なる認証レ
ベルをセット➢ OpenAMリバースプロキシのポリシーでレベルをチェックしアクセス制御

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 56 -

名古屋工業大学 認証シーケンス
ユーザー(ブラウザ)

有証
り明
書
提
示

OpenAM(1) ログイン画面表示
ユーザー証明書
ユーザー証明書

保護対象
サービス

証明書の提示有り
証明書による認証が成功証明書で認証を行って入ればアクセス可能(2) セッション発行(3) アクセス(1) ログイン画面表示

無証
し明
書
提
示

リバース
プロキシ

(2) ログイン画面応答

証明書の提示が無い
ため、証明書認証失敗
ログイン画面応答(3) ID/パスワード送信(4) セッション発行

ID/PW認証
だけではアクセス不可(5) アクセス(6) 拒否画面応答

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 57 -

名古屋工業大学 ID管理●

ポイント2
➢ Unicorn IDMによるID連携を実施
Active Directory と OpenLDAPのアカウントを同期➢ OpenAMとのシングルサインオンを実現
ユーザーはOpenAMにログイン済みであれば、再度の認証無しでパスワードの変更が可能
UnicronIDMの管理者アカウントもシングルサイン
オンを実現

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 58 -

名古屋工業大学 パスワード変更
リバース
ユーザー(ブラウザ) プロキシ
OpenAMへログイン

Unicorn
IDM

OpenAM認証済みでHTTPヘッダーに
ユーザー名をセット
HTTPヘッダーのユーザー名で認証(1) パスワード変更
新パスワードActiveOpenLDAP Directory

ユーザー名(2) パスワード変更

新パスワード(3) 変更完了(4) パスワード変更(6) 変更完了(5) 変更完了

 ユーザーはOpenAMログイン済みなので新パスワードのみでパスワード変更可能
 Unicorn IDMによりOpenLDAPとActive Directoryのパスワードが同時変更

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 59 -

名古屋工業大学 管理者シーケンス
ユーザー(ブラウザ)

OpenAM(1) ログイン画面表示
ユーザー証明書(2) セッション発行

リバース
プロキシ

Unicorn
IDM

証明書の提示有り
証明書による認証が成功
特定の条件を満たしたアカウントであればアクセス可能(3) アクセス(4) 代理認証(5) 管理者ログイン成功

特定の条件を満たしたアカウントはOpenAMにログインすることで、Unicorn IDMの管理者としてログインすることができる。

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 60 -

大学法人 福岡大学 様

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 61 -

福岡大学様 システムの特徴
規模

9つの学部、2つの病院、22の付置施設で構成される総合大学
学生数 約21,000人
教職員数 約3,000人
ミッション

高い拡張性と柔軟性を持つ先進的SSO基盤の構築

日立製作所とオープンソース・ソリューション・テクノロジで実現


OpenAMとShibbolethによるハイブリッド型SSO基盤

システムのシングルサインオンを実現する認証基盤をOpenAMとShibbolethを使って実現様々なアプリケーションとのシングルサインオンを実現する基盤
ユーザーは1度の認証で学認と学内のアプリケーションを利用可能

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 62 -

学認

Shibboleth SP
Shibboleth SP

Shibboleth DS
SAML

SAML

福岡大学様
Apache(リバースプロキシ)

学内アプリ

SAML

ID/PW
認証

HTTP
Header

SAML

OpenAM(学内認証
サーバー)

Shibboleth SP

SAML
認証

認証連携

アクセス制御
ポリシー

学内SSO

学認連携

ユーザー

LDAP

Shibbolethの
外部認証機能を利用

Shibboleth IdP(Shibboleth
認証サーバー)
Shibboleth SSO

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 63 -

国立大学法人 北見工業大学 様

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 64 -

北見工業大学様 システムの特徴
 ユーザー（学生や教職員）はOpenAMに一度ログインすると、複数のWebアプリケーションをログイン操作なしで利用できます。
 ログインするとポータルメニューが表示されますが、ユーザ
ー権限やログイン場所(学内/学外)によって表示されるメニューが変化します。
 ログインしたユーザーが利用できないアプリケーションは表示されず、インターネットからログインするとイントラネット
専用アプリケーションも表示されません。
 システム全体設計やプロジェクトとりまとめは、兼松エレクトロニクス株式会社
が行いました。
 シングルサインオン システム構築は、 オープンソース・ソリューション・テクノロジ株式会社が行いました。
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 65 -

北見工業大学様Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 66 -

OpenAM 10
OAuth 2.0の機能

Facebook認証のアプリを簡単開発！

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 67 -

自社のサービスにFacebookなどのアカウントでログインしてもらうOAuth クライアント機能
OAuthサーバ
Facebook

OAuthクライアント
アクセス
ユーザ情報
の登録
アクセス
トークン

通販等の
会員登録制
サイト

Googleユーザのプロファイル
情報

MSN, 他

認可サーバ

アクセス
許可

登録時のオプションとして以下が可能
ログイン

登録申請フォームの自動記入● パスワードの新規登録● メール送付による本人性のチェック●

ユーザ

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 68 -OAuth クライアントとしてOpenAMを使う
OAuthクライアント
OpenLDAPOAuthサーバ

通販等の
会員登録制
サイト

Facebook
GoogleMSN, 他

アクセス

ユーザ情報
の登録

ユーザの
プロファイル
情報

OpenAM
通販等の
会員登録制
サイト

認可サーバ

アクセス
トークン
アクセス
許可
ログイン

ユーザー側のアプリはOAuthを知らなくてもFacebookなどで認証することが可能
ユーザ

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 69 -OAuth 2.0 のクライアントとして使う設定
管理コンソールで
簡単設定

詳細手順は弊社ホームページで紹介中

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 70 -

認可サーバとしての OpenAMと“tokeninfo” RESTサービス
OAuthクライアント

OAuthサーバ
Tokeninfo
RESTサービス
OpenLDAP
アクセス
トークン

ユーザの
プロファイル
情報

アクセス
トークン

Tokeninfo REST サービスの応答内容
トークンのタイプ、有効期間など● スコープで許可されたユーザ
情報

OpenAM
認可サーバ
アクセス
許可
ログイン

●

ユーザ

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 71 -

OpenAMのREST API●●

RFCで規定されたもの●

access_toke エンドポイント●

authorize エンドポイント

OpenAM独自●●

tokeninfoエンドポイント●

トークンの検証●

属性の設定

トークン管理用エンドポイント

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 72 -OAuth 2.0の認可サーバとして使う
設定
管理者用ＧＵＩを使って簡単に設
定可能

スコープをカスタマイズしたクラス

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 73 -

OpenID Connect
は対応中！
●OAuth 2.0 の土台の上にOpenIDを構築●

OpenAM 10.2 (2013, Q2)で対応予定●

Facebook相当のOpenIDの認証サーバーをOpenAMを使って自社（オンプレミスやプライベー
トクラウド）で構築可能になる
Copyright © 2012 Open Source Solution

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.
Technology, Corp.- 74 -

自社のサービスにFacebookなどのアカウントでログインしてもらうOAuth クライアント機能
OAuthサーバ
OAuthクライアント
アクセス
ユーザ情報
の登録
アクセス
トークン

通販等の
会員登録制
サイト

ユーザの
プロファイル
情報
OpenAM
認可サーバ

アクセス
許可

ログイン

ユーザ

FacebookやGoogleなどに依頼していた認証サーバー機能を自社で構築可能●セキュリティ対策●プライベートクラウドの構築

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 75 -

コアトークン・サービス（様々な認証トークンに柔軟に対応）
コアトークンサービスの概
念図

トークンの要求

SAML トークン

トークンの払出し
OAuth トークン

トークンの交換要求（※）
OpenAM トークン

異なる種類のトークン

XML
ンコ
ア
ト
JSON
ー
ク
Cookieその他のトークン(※）token exchange はOpenAM 10.9で予定されている機能で現在は使用できません。

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 76 -

OSSTechのOpenAMへの取り組み

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 77 -

オープンソースであること●

ソース修正はオープンソースだからこそ

実戦投入

新規課題

改良

追加

OpenAM
ソースコード問題点の改良、要件に合わせた機能追加
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 78 -

オープンソースであること●

ソース改修力は課題解決力

案件

新たなる
課題

要件

OSSTech
ノウハウ
技術
改修

実戦投入

OpenAM
全てのサイクルをサポートできる
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 79 -

OpenAM
ソースコードへの貢献

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 80 -

コミッター数
社内開発者6名● コミット権限のある社内開発者4名● OpenAM コミッター総数37名●

ForgeRock社

OSSTech社
commit４名

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 81 -

コミット件数
社内コミッターによるコミット件数111件● ForgeRockツリーのコミット総数は3346件●

ForgeRock社

OSSTech社
111件

４名

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 82 -

問題修正件数
社内コミッターによる修正件数66件● 現在のチケット数1739(重複等含む)●

ForgeRock社

OSSTech社
111件

４名
66件

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 83 -

コミット例
nginexエージェント開発● ユーザーデータストアの修正➢ JDBCの設定が共有されてしまう問題➢ ログ出力の改善● コマンドツール(ssoadm など)の修正➢ エージェントの設定に不正な値が登録される問題➢ Windows 用ツールが動作しない問題● ファイルアップロードの修正➢ Safari・Chromeでファイルアップロードが動作しな
い問題●

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 84 -

コミット例
メモリリーク関連の修正➢ エージェントのメモリリーク➢ HTTPコネクションのリーク➢ DBコネクションのリーク● マルチバイト文字➢ マルチバイト文字の表示の問題● 日本語化➢ 日本語表示の追加➢ 誤訳の修正●Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 85 -

OSSTech版カスタマイズ

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 86 -

OSSTech版カスタマイズ●

OpenLDAPと親和性向上＞自社ソリューション
➢ OpenAMにOpenLDAP専用の設定を追加➢ OSSTech社製OpenLDAP向け拡張スキーマを用意➢ OSSTech社製OpenLDAPをSHA-2対応にアドオ
ンモジュール開発

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 87 -

OSSTech版カスタマイズ●●

Tomcatとの親和性向上＞環境の統一化➢ OpenAM向けにパラメータを調整したTomcatをOpenAMとセットで提供
パッケージング＞セットアップ容易化➢ RPMパッケージとして提供➢ Windowsインストーラー提供

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 88 -

OSSTech版カスタマイズ
OpenAM10からのバックポート➢ 重要な修正、必要な機能をバックポート➢ 多重構成でのセッション数の共有➢ ポリシーの設定方法の改善➢ メモリリークの修正● プラットフォーム毎にエージェントを提供➢ RHEL5でも動作可能なApache2.2エージェントの提供● 日本語化➢ 画面の文字化け対策●

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 89 -

案件個別カスタマイズ

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 90 -

カスタマイズ事例●

OpenLDAP パスワードポリシー対応

ppolicyの対応をOSSTechの対応
LDAP認証モジュール修正Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 91 -

カスタマイズ事例●

OpenLDAP パスワードポリシー対応
OpenAM-9.5系ではLDAP標準のアカウントポリシー※に未対応● 全て同一の認証エラーとなるという課題●●

LDAP認証モジュールにLDAPのアカウントポリシー(パスワード有効
期限、ロック等)エラーをハンドリングし、個別のエラー遷移するよう改修※アカウントポリシーとはパスワード有効期限、アカウントロックアウト等
SunJavaDSやOpenDSを利用する場合は独自実装で対応されていた。
OpenAM-10から対応開始
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 92 -

カスタマイズ事例●

認証パラメータの追加

追加認証
パラメータ
OSSTechの対応
LDAP認証モジュール修正Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 93 -

カスタマイズ事例●

認証パラメータの追加●●

LDAP認証時に入力するユーザー名、パスワード以外に別パラメーターをドロップダウンリストとして表示し入力したい

LDAP認証モジュールを別パラメーター取得、表示可能なよう改修した

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 94 -

カスタマイズ事例●

認証モジュールの開発

特別な
認証方式を
OSSTechの対応
新規認証モジュール開発
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 95 -

カスタマイズ事例●

認証モジュールの開発●●

既存認証モジュールでは対応できない認証方式(リクエストヘッダ)で認証したい

要件に合った認証モジュールを開発し、既存モジュールとの認証連鎖とした。

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 96 -

開発事例●

Apacheより早いリバースプロキシを構築したい

リバース
プロキシに
パフォーマンスを！
OSSTechの対応
nginx用PolicyAgent開発
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 97 -

開発事例●

Apacheより早いリバースプロキシを構築したい●

Apacheによるリバースプロキシよりスケーラビリティが欲しい●

nginx※用 Policy Agentの開発※nginxとはスケーラビリティ、
パフォーマンスに優れる第三のhttpサーバー
netcraftの2011年資料第３位にnginxが伸びてきている
apacheほど多機能ではないが、リバースプロキシ利用では十分の機能を持たせられる
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 98 -

オープンソース・ソリューション・テクノロジ株式会社
http://www.osstech.co.jp/
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 99 -