オープンソースで実現するシングルサインオンとID管理

オープンソース・ソリューション・テクノロジ株式会社
代表取締役 チーフアーキテクト 小田切耕司

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-1-

オープンソース・ソリューション・テクノロジ(株)会社紹介

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-2-

オープンソース・ソリューション・テクノロジ株式会社



OSに依存しないOSSのソリューションを中心に提供
Linuxだけでなく、AIX, Solaris, Windowsなども対応！

OpenAM, OpenLDAP, Sambaによる認証統合/シングル・サイン・オン、ID管理ソリューションを提供
製品パッケージ提供
機能証明、定価証明が発行可能
 製品サポート提供
３年～５年以上の長期サポート
コミュニティでサポートが終わった製品のサポート
 OSSの改良、機能追加、バグ修正などコンサルティング提供
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-3-

OSSTechの製品群 Unicorn IDM

ID管理
システム管理者ID連携Google Apps
Active Directory

Salesforce
Shibboleth
ファイルサーバーバ

Web アプリLDAPクラウド

SSOWindows
ドメインログオン
ログイン

認証基盤をすべてOSS製品で提供

ユーザー

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-4-

OSSTechの製品群（すべてOSSで提供）
原則Linux/Solaris/AIX共にRPMで提供●OpenAM for Linux/Windows●Tomcat, OpenLDAP対応で高機能なシングルサインオン製品（旧OpenSSO, Sun Access Manager)●OpenLDAP for Linux/Solaris/AIX●認証統合、ディレクトリサービス、シングルサインオンのインフラ●Samba for Linux/Solaris/AIX●Active Directoryの代替、高性能NAS(CIFSサーバー)の代替●Unicorn ID Manager for Linux●Google Apps, Active Directory, LDAP, Sambaに対応した
統合ID管理製品

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-5-

OSSTechの製品群（すべてOSSで提供）
原則Linux/Solaris/AIX共にRPMで提供●ThothLink（トートリンク） for Linux
WebブラウザからのWindowsファイルサーバアクセス機能を提供● SSLBridge後継製品●●Chimera Search（キメラサーチ） for Linux●

アクセス権の無いファイルは表示されない全文検索システム●Mailman for Linux
日本語での細かな問題を解決● YahooメールやGoogle Appsのメーリングリスト機能を補完●

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-6-

シングルサインオンとＩＤ管理の市場動向

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-7-

SSOとＩＤ管理の動向
 クラウドの普及
 ＳａａＳの普及
Google Apps, Salesforce, Office365の普及
 IaaSやPaaSの普及
イントラネットとクラウドの混在環境が急増
 SSO（シングルサインオン）が急速に普及中
 クラウドとイントラネットをシームレスに使うために
 M&Aや会社合併のために増えすぎたアプリやIDを統合するためにSSOを導入
 ＳＳＯには認証強化のために多要素認証が要求される
 ＳａａＳとのＳＳＯではＩＤ管理も必要
 OpenID ConnectやSCIM（System for Cross-domain IdentityManagement）が今後注目
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-8-

シングルサインオンとは？

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

-9-

OpenAMで実現する
シングルサインオン・ハブ
オープンソースだから高機能・安価に実現

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 10 -

混在する複数のSSO環境
Shibboleth IdP で SSO を実現(Shibboleth は SAML を利用しているが、仕様上 OpenAM では代替不可能)SAML IdP を導入してSSO を実現
Google Apps
Salesforce

SAML

SAML

Office365 ADFS

クラウドSSOセグメント
リバースプロキシ/エージェント

大幅な改修はした
くないため、エージ
ェント型/リバースプ
ロキシ型で SSO を実現

Shibboleth
SPShibboleth
IdP

学認（Shibboleth）
SSOセグメント

社内SSOセグメント

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 11 -

シングルサインオン・ハブを実現するための機能 高度な認証機能
 ユーザーの本人性を確認する。セキュリティ強化のために、多要素認証が望ましい。
 ユーザー情報保存機能
 認証情報や他システムに連携するユーザー情報を保存する
 外部システムと連携可能なインタフェース
 フェデレーション（SAML, OpenID, OAuthなど）
 REST API SDKCopyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 12 -

OSSで実現するシングルサインオン・ハブ
Shibboleth
SPShibboleth

Google Apps
Salesforce
Office365 ADFS

クラウドSSOセグメント

IdP
OpenAM（認証サーバー）

学認（Shibboleth）
SSOセグメント

リバース
プロキシ/エージェント

社内SSOセグメント

SSO セグメントを結合するハブとして OpenAM を利用
ユーザーは OpenAM へのログインさえ完了していれば、全てのアプリに SSO 可能にできる！
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 13 -

なぜオープンソース製品を使うのか？

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 14 -

ID管理もオープンソースでCopyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 15 -

ID管理もオープンソース
シンプルな機能を低価格で提供

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 16 -

OSSTech製OpenAMはコミュニティ版とは品質・機能が違う！

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 17 -

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 18 -

OSSTech版カスタマイズ●

OpenLDAPと親和性向上＞OSSTech独自拡張➢ OpenAMにOpenLDAP専用の設定を追加➢ OSSTech社製OpenLDAP向け拡張スキーマを用意➢ OSSTech社製OpenLDAPをSHA-2対応にアドオンモジュール開発

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 19 -

OSSTech版カスタマイズ●●

Tomcatとの親和性向上＞環境の統一化➢ OpenAM向けにパラメータを調整したTomcatをOpenAMとセットで提供
パッケージング＞セットアップ容易化➢ RPMパッケージとして提供➢ Windowsインストーラー提供

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 20 -

OSSTech版カスタマイズ
OpenAM10からのバックポート➢ 重要な修正、必要な機能をバックポート➢ 多重構成でのセッション数の共有➢ ポリシーの設定方法の改善➢ メモリリークの修正● プラットフォーム毎にエージェントを提供➢ RHEL5でも動作可能なApache2.2エージェントの提供● 日本語化➢ 画面の文字化け対策●

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 21 -

nginx用PolicyAgent
Apacheより早いリバースプロキシを構築したい●●

Apacheによるリバースプロキシよりスケーラビリティが欲しい●

nginx※用 Policy Agentの開発※nginxとはスケーラビリティ、パフォーマンスに優れる第三のhttpサーバー
netcraftの2011年資料第３位にnginxが伸びてきている
apacheほど多機能ではないが、リバースプロキシ利用では十分の機能を持たせられる
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 22 -

OpenAMの認証方式
多要素認証による認証強化

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 23 -

多要素認証
複数の認証方式を組合わせて認証を行うことによりシングルサインオンの認証を強化する


厳密なユーザ認証– 異なるタイプの認証方式を組合わせることが重要

使い勝手の向上
いつも同じ認証方式が使えるとは限らない– 状況により要求される認証の精度が異なる–



認証方式間での連携–組合わせて使うことを前提にしている認証方式もある

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 24 -

認証連鎖
多要素認証の必要性– 複数の認証方式を組合わせて認証を行うことにより個々の認証方式の欠点を補完
 認証連鎖– 複数の認証方式を組み合わせて利用可能– 認証方式にはそれぞれ適用条件を指定する
 必須：失敗したらそこで終了
 十分：成功したらそこで終了
 必要：成功しても失敗しても次に継続 任意：認証結果には関係しない付随的な処理

認証方式１（必須）
ID/PW認証

認証方式２（必須）
ワンタイムパスワード

ログイン完了Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 25 -

例１．Windows Desktop SSO
Windows Server
2000/2003/2008
ActiveDirectory
チケット発行

ドメインログオン①

自動チケット送付②

OpenAM③

認証、認可、属性情報利用④
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 26 -

例２．携帯電話を使ったワンタイム・パスワード
通常のユーザＩＤ・パスワードによる認証

ユーザＩＤ・パスワード
認証成功

ワンタイム・パスワード要求
ユーザの携帯電話

ワンタイム
パスワードの入力画面+HMAC
ワンタイム・パスワード+HMAC返送
認証成功

OpenAM
同時に携帯電話へワンタイム・パスワードを送付

ワンタイム・
パスワード認証

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 27 -

マトリックス型認証モジュール（Passlogic連携）●

認証モジュールの開発

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 28 -

アダプティブ・リスク
認証モジュール
リスク評価に基づく認証強度の選択

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 29 -

アダプティブ・リスクの考え方


認証時にリスクを評価することによりリスクに見合った認証方式を動的に追加
 Risk Based 認証とも呼ばれる
 リスクの評価
 予め各リスクについて重み付けを行う
 認証時にすべてのリスクについてそれらを合算する
 既定の閾値を超えた場合は認証失敗とする


認証連鎖への組み込み
 多要素認証のなかのひとつの認証方式
 認証連鎖の定義

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 30 -

リスクの例●

リスクが高いと評価される例



パスワードを間違えたユーザからのアクセス 最終的に正しいパスワードを入力したとしてもリスクは高い アカウント・ロックとの併用/代用
長期間アクセスがなかったユーザからのアクセス
特定のIPアドレスの範囲からのアクセス 例：社外からのアクセス
特定の地域からのアクセス 例：日本国外
いつもとは異なる端末からのアクセス（複数可）
いつもとは異なるIPアドレスからのアクセス（複数可）
特定の属性を持つユーザからのアクセス
 例：所属部署が営業とか？

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 31 -

アダプティブ・リスク認証モジュールの設定

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 32 -

認証連鎖と組み合わせたソリューション例

でも毎回だと少し面倒！

複数の認証方式を組み合わせ高いセキュリティを実現
閾値を超えた
ためリスクが高いと判定された

通常の認証方式
認証方式１（必要） OK
ID/PW
認証

強固だが少し面倒な認証方式

認証方式２（十分） NG 認証方式３（必要）アダプティブ・リスク
ワンタイム・パスワード
認証
認証OKOK閾値を超えずリスクが低いと判定された

ログイン完了Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 33 -

OpenAMによるシングルサインオン
システム導入事例

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 34 -

某通信会社グループ共通
シングルサインオンシステム
ユーザー総数 約２５万人● ID/パスワードとユーザー証明書の多要素認証(認証連鎖)● 一部グループ会社ユーザーはSAML 2.0対応IdPによる認証連携● OpenLDAPのパスワードポリシー対応モジュールの開発● 保護対象アプリケーションとの連携はPolicyAgentを用いたリバースプロキシ型●Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 35 -

某通信会社グループ 全体構成図
グループ会社
ユーザーE
OpenAM

グループ会社
ユーザーW

SSOリバース
プロキシ

グループ共通イントラネット

SAML 2.0による認証連携

グループ会社S社
A社認証基盤IdP

保護対象
企業グループ
SSOポータル
アプリケーション
グループ共通システム

グループ会社D社
B社認証基盤IdP

一部グループ会社では各社の認証基盤をIdPとしてOpenAMと連携
Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 36 -

某通信会社グループ 構築のポイント
グループユーザー

アクセス

SSO
リバース
プロキシ

ユーザー証明書

ポイント1

ログイン

OpenAM

保護対象
グループ会社
SSOポータル
アプリケーション
グループ共通システム

ポイント2
アクセス

SAML2.0認証連携

ポイント3

各社認証基盤IdP
OpenLDAP

グループ会社
認証統合基盤

ログイン

一部のグループ会社ユーザー

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 37 -

某総合電機メーカー
シングルサインオンシステム
 規模：グループ企業７社、約５０００人、海外22拠点
今後拡大予定 海外ディーラー向けの技術情報やマーケティング情報のCMSおよびECサイトへのシングルサインオン
 CMS, ECサイトとの連携はOpenAM PolicyAgentとお客様開発の連携モジュール
 SAML認証と代理認証を利用 対象ユーザー、保護対象アプリケーションはインターネット上に点在

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 38 -

某総合電機メーカー 構成図
パートナー

Login

Internet

CMS
マーケティングサイト
SSO

OpenAM
Login
パートナー

SSO

CMS
マーケティングサイト

Login
SSO
パートナー
Login

認証は一カ所
全てのシステムへSSO
SAMLや代理認証

SSO

CMS
テクニカルサイト

ECサイト

パートナー

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 39 -

福岡大学様 システムの特徴
規模

9つの学部、2つの病院、22の付置施設で構成される総合大学
学生数 約21,000人
教職員数 約3,000人
ミッション

高い拡張性と柔軟性を持つ先進的SSO基盤の構築

日立製作所とオープンソース・ソリューション・テクノロジで実現
OpenAMとShibbolethによるハイブリッド型SSO基盤


システムのシングルサインオンを実現する認証基盤をOpenAMとShibbolethを使って実現様々なアプリケーションとのシングルサインオンを実現する基盤
ユーザーは1度の認証で学認と学内のアプリケーションを利用可能

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 40 -学認

Shibboleth SP
Shibboleth SP

Shibboleth DS
SAML

SAML

福岡大学様
Apache(リバースプロキシ)

学内アプリ

SAML

ID/PW
認証

HTTP
Header

SAML

OpenAM(学内認証サーバー)

Shibboleth SP

SAML
認証

認証連携

アクセス制御
ポリシー

学内SSO

学認連携

ユーザー

LDAP

Shibbolethの外部認証機能を利用

Shibboleth IdP(Shibboleth認証サーバー)
Shibboleth SSO

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 41 -

北見工業大学様Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 42 -

進化し続けるOpenAM
新機能と製品ロードマップ

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 43 -

自社のサービスにFacebookなどのアカウントでログインしてもらうOAuth クライアント機能
OAuthサーバ
Facebook

OAuthクライアント
アクセス
ユーザ情報の登録
アクセス
トークン

通販等の会員登録制
サイト

Googleユーザのプロファイル
情報

MSN, 他

認可サーバ

アクセス
許可

登録時のオプションとして以下が可能
ログイン

登録申請フォームの自動記入● パスワードの新規登録● メール送付による本人性のチェック●

ユーザ

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 44 -OAuth クライアントとしてOpenAMを使う
OAuthクライアント
OpenLDAPOAuthサーバ

通販等の会員登録制
サイト

Facebook
GoogleMSN, 他

アクセス

ユーザ情報の登録

ユーザのプロファイル
情報

OpenAM
通販等の会員登録制
サイト

認可サーバ

アクセス
トークン
アクセス
許可
ログインユーザー側のアプリはOAuthを知らなくてもFacebookなどで認証することが可能
ユーザ

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 45 -OAuth 2.0 のクライアントとして使う設定
管理コンソールで簡単設定

詳細手順は弊社ホームページで紹介中

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 46 -

Oauth/OpenID Connectサーバ機能：
Facebookなどの認証サーバーを独自に構築可能
OAuthサーバ
OAuthクライアント
アクセス
ユーザ情報の登録
アクセス
トークン

通販等の会員登録制
サイト

ユーザのプロファイル
情報
OpenAM
認可サーバ

アクセス
許可

ログイン

ユーザ

FacebookやGoogleなどに依頼していた認証サーバー機能を自社で構築可能●セキュリティ対策●プライベートクラウドの構築

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 47 -

Copyright © 2013 Open Source Solution Technology Corporation All Rights Reserved.

- 48 -