Open Source Solution Technology

クラウド時代のSSO(シングル・サイン・オン)

オープンソース・ソリューション・テクノロジ株式会社
2009/11/20
岩片 靖
Copyright © 2009 Open Source Solution Technology

- 1-

目次
 認証と連携
 OpenSSOのご紹介
 デモその１–

SAMLによる認証連携–

エージェントによるアクセス制御

 デモその２–

Windowsドメイン認証との連携–

リバースプロキシ方式によるアクセス制御

Copyright © 2009 Open Source Solution Technology- 2-

講師紹介
 岩片

靖 （IWAKATA Yasushi)

1984年～ 米国の大学にて数学の研究および教育に従事– 1990年～ 日本の電機メーカーにて暗号ライブラリ等の開発– 1997年～ 日本ネットスケープコミュニケーションズ勤務– 1999年～ iPlanet(Sun-Netscape Alliance)参加– 2001年～ サン・マイクロシステムズ勤務– 2008年～ オープンソース・ソリューション・テクノロジ勤務–

 オハイオ州立大学

Ph.D. （専攻：組合せ論）
 認証関連の様々な実証実験に参加
オンライン・バンキング、銀行間取引、クレジットカード決済– 学校間認証連携–

 日本、オーストラリア、韓国において大規模システムの設計、実装、問題解決を担当
Copyright © 2009 Open Source Solution Technology- 3-

認証と連携あなたの会社の従業員を認証するのは誰ですか？

Copyright © 2009 Open Source Solution Technology- 4-企業ユーザの認証
現状では．．．
A社のＸさんのログインを確認しました。
サービスを提供します。

予め登録が必要
ユーザID/Password＋
忘れたときのための情報
サービス
プロバイダ１

アプリケーションサービス①

ユーザID/Password

ログイン

A社

②
サービスの提供

Copyright © 2009 Open Source Solution Technology- 5-企業ユーザの認証
A社
認証サーバ

あるべき姿は．．．

認証
トー②
クン

A社のＸさん向けのサービスを提供します。
サービス
プロバイダ１

アプリケーション
サービス

①
ログ
イン

③
認証トークン
サービスの提供④
Copyright © 2009 Open Source Solution Technology- 6-

さらなるメリット： ＳＳＯ
A社
ン

1回のログインで社内のみならず社外のサービスにもアクセス

グロア
ク

サービス
プロバイダ２

認証サーバ

アクセスセスアプリケーション
サービス１

イサービス
プロバイダ１

ア
クセス
ア
クセス

アプリケーション
サービス２

社内アプリ２
社内アプリ１

Copyright © 2009 Open Source Solution Technology- 7-

ここまでのまとめ
 企業側のメリット–

パスワードや個人情報を社外に出さずに済む–

生体認証等の厳密な認証方式が採用可能になる–「入り口」を一箇所にすることにより監視が容易になる

 ユーザ（従業員）のメリット–

ＩＤやパスワードを多数覚えなくてもすむ–

社内だけでなく社外のシステムにもシームレスにアクセス可能になる

ユーザの認証は各企業で行う、そして連携させる
Copyright © 2009 Open Source Solution Technology- 8-OpenSSOのご紹介

Copyright © 2009 Open Source Solution Technology- 9-OpenSSOの歴史
AOLからの分離

世界各地で独自に開発
AOLによる買収
Netscape

認証連携機能の強化

iPlanetSun Microsystems

Liberty AllianceDirectory Server
Access Management Edition

dsame

オープン
ソース化決定！

Sun ONE

Identity Server

Sun Java System

Sun(Federated)

Access Manager

Copyright © 2009 Open Source Solution Technology

OpenSSO- 10 -

SSO （シングル・サイン・オン）システム

一回ログオンしただけで、様々なサーバ上のコンテンツを利用可能にするシステム

×

利便性のみが強調され過ぎている システムの実際の動作とは異なる

Copyright © 2009 Open Source Solution Technology- 11 -

SSO （シングル・サイン・オン）システム
 一回ログオンするだけ？
–

必要に応じてより厳密な認証方式を組合わせて多要素認証を行う必要がある （認証連鎖）

 様々なサーバ上のコンテンツを利用可能？
–

適切な権限を持つユーザが必要とされる認証方式で認証済みである場合のみアクセスを許可する必要がある （アクセス制御ポリシー）

これらを含むOpenSSOの基本機能について説明します

Copyright © 2009 Open Source Solution Technology- 12 -

OpenSSOの基本機能（その１）認証方式と認証連鎖
 様々な認証方式を組合わせて認証連鎖を設定する
 各認証方式には適用条件（十分、必要、必須、任意）を指定する
 認証成功時には認証方式に応じて認証レベルが設定される

使用例

認証方式１（十分）評価

認証方式２（必要）
認証方式３（任意）

Windowsドメインにログオンしていないユーザにのみログイン画面を表示する
指静脈認証などの生体認証で認証済みのユーザには高い認証レベルを付与する

Copyright © 2009 Open Source Solution Technology- 13 -

OpenSSOの基本機能（その２）
アクセス制御ポリシー
誰が＋• 所属組織、グループ• ロール• 認証方式（認証レベル）• 個人• アクセス方法

何に対してURLを正規表現で指定＋

どのような操作ができるか
POST & GET…を定めたルールの集まり

Copyright © 2009 Open Source Solution Technology- 14 -

OpenSSOの基本機能（その３）
レルムとユーザリポジトリ
この機能はDirectory Server
レルム：設定を管理するための単位
Access Management Editionでの反省に基づいています。
– ユーザリポジトリ– アクセス制御ポリシー– 認証方式 ユーザは複数のレルムの所属することが可能
 ひとつのレルムに複数のリポジトリを設定可能

OpenSSO
LDAPで認証するレルム

ADで認証するレルム

同一ユーザのエントリも可OpenDS

OpenLDAP

Active Directory

Copyright © 2009 Open Source Solution Technology- 15 -

OpenSSOの基本機能（その４）
エージェント方式とリバースプロキシ方式
 エージェント方式– 保護対象のアプリが動作するサーバ上にアクセス制御用のモジュールを配置する方式– APIレベルでの細かな連携が可能– 保護対象のアプリやサーバのバージョンや設定変更に影響されやすい リバースプロキシ方式– リバースプロキシを使ってアクセス制御を行う方式– データの受け渡し方法がHTTPヘッダに限定– 保護対象のバージョンや設定変更の影響が少ない– 性能のボトルネックになる可能性も

Copyright © 2009 Open Source Solution Technology- 16 -

デモ その１
SAMLによる認証連携とエージェントによるアクセス制御

Copyright © 2009 Open Source Solution Technology- 17 -

システム構成 - SSO構成（エージェント方式）
Agent：アプリケーション上で動作し、アクセス制御を行うモジュール

インターネット
認証
チケット

（1）
OpenSSO

セ
アクス

ログイン

アクセス

Tomcat6.0x
認証
チケット

（２）

認証
チケット

アクセス

認証
チケット

（3）

Google Apps
Agent
Liferay
Tomcat6.0x
Agent
Alfresco
Tomcat6.0x

Copyright © 2009 Open Source Solution Technology- 18 -

デモシステム構成

インターネット

CentOS 5.3

Google Apps

OpenSSO

認証
チケット

Tomcat6.0x

ログイン

（1）

認証
チケット

（２）

アクセアAgentス
認証
チケットス
セク

Liferay
Tomcat6.0x
Agent

認証

アクセス チケット（3）

Alfresco
Tomcat6.0x

１つのOSの中で３つのAPサーバを起動
Copyright © 2009 Open Source Solution Technology- 19 -

デモ その２
Windowsドメイン認証との連携＆リバースプロキシ方式によるアクセス制御

Copyright © 2009 Open Source Solution Technology- 20 -

リバース・プロキシ方式
注： ユーザのアプリ
ケーションへのアクセ
スを前段に置かれたプロキシでフェッチすることによりアクセス制御を行う方式

OpenSSO

ユーザ
リポジトリ

認証システム

認証、認可、ユーザ属性情報
Apache
リバース
プロキシ

ユーザ
属性情報
代理認証

MosP
勤怠管理
システム

アプリケーション
Copyright © 2009 Open Source Solution Technology- 21 -

デモの概要ActiveDirectory

①

ドメ
イン
ログ
オン

チケット
発行

自動チケット送付②OpenSSO③

認証、認可、属性情報利用④
Copyright © 2009 Open Source Solution Technology- 22 -

本日のまとめ

認証は社内で行い、認証連携によりクラウドサービスを利用する方法をお勧めします。



様々なプロトコルに対応したOpenSSOを利用することにより容易に連携を行うことができます。

OpenSSOは様々なアプリケーションに対応しているため社内システムのSSO化にも効果があります。

シングル・サイン・オンは利便性の向上だけでなく、社内システムのセキュリティ向上にも効果があります。

Copyright © 2009 Open Source Solution Technology- 23 -