クラウド、Web APIの活用とアイデンティティによるアクセス管理
株式会社オージス総研
サービス事業本部 テミストラクトソリューション部

八幡 孝© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

1

自己紹介
八幡 孝 （やはた たかし）
 株式会社オージス総研
 テミストラクト関連サービス 東日本エリア責任者
 テミストラクト商品開発 リードアーキテクト
 OpenAMコンソーシアム 理事
 OpenIDファウンデーション・ジャパン
Enterprise Identity WG リーダー
 twitter.com/paoneJP
 facebook.com/takashi.yahata https://paonejp.github.io
 OpenID, OAuth, SCIM, Python, OpenAM, OpenIDM, …
© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-132

統合認証ソリューション ThemiStruct を提供しています
ThemiStruct-WAM

シングルサインオン
認証基盤ソリューション

ThemiStruct-IDM

ID管理ソリューション

ThemiStruct-CM

電子証明書発行・管理
ソリューション

ワンタイムパスワードソリューション

システム監視ソリューション

ThemiStruct-OTP

ThemiStruct-MONITOR

ThemiStruct Identity Platform AWS対応版© 2017 OGIS-RI Co., Ltd.

クラウド、IoT時代の“All in one”
認証プラットフォーム

2017/6/8 Interop Tokyo 2017 EC-13

4統合認証ソリューションに取り組んで15年
 2001年ごろから基盤部門で

 セキュリティソリューションの一環として
 2005年からはオープンソースソフトウェアをベースに開発をし 2009年からThemiStructブランドを立ち上げて 2013年からは専門部隊として
 気がつけば昨年（2016年）は 15周年 Year でした© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

5なぜ認証基盤を作るのか？

© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

6認証基盤を作るメリット① 利用者が便利になる③ システム開発がしやすい 作業効率の向上
 IT活用の促進 アプリ毎の認証機能開発は不要
 サブシステムに分割した開発の実現② セキュリティレベルのばらつ
きがなくなる 開発者に依存したばらつき
 ユーザーに依存したばらつき④ 認証方式の変更がやりやすい ID/パスワードを使った認証
 多要素認証への対応
 新しい方式への対応

セキュリティのための認証基盤© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

7認証基盤のユースケースが拡大
ユースケース

狙い・特長

社内システム利用のガバナンス強化

認証処理の一元化、人事システム等と連動したタイムリーなIDメンテナンス。

取引先へのシステム提供

取引先ユーザーの確実な認証。IPアドレ
スや電子証明書の併用。

クラウドサービス利用時、スマホ・タブレット利用時の認証強化

社外からの利用の制限。社外での利用時の追加の認証の実施。社用端末の識別。
クラウドサービスのIDメンテナンス。

顧客（一般消費者）向けの情報提供、SSOによる顧客への利便性の提供。複数ア
サービス提供プリへの展開。収集した属性の活用。
他社サービスとの連携。
© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

8

「ビジネスのデジタル変容」が拍車をかける
モバイル、クラウド、ソーシャルの活用

ビジネスプロセスの自動連携

ユーザー情報の活用と分析

多様なデバイスの連携、活用 ユーザー毎に最適化されたサービスの提供
 業務効率の向上、提供スピードの向上© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-139

セキュリティのための認証基盤
 情報セキュリティの3要素 (CIA) 機密性: Confidentiality
 完全性: Integrity 可用性: Availability➡

本当は最も優先されるべき要素

利用を制限するための認証基盤
クラウド、デバイス、サービスを活用してもらうための認証基盤© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

10

“Identity is the new perimeter.” ネットワーク型の境界防御が効かない時代になった
 守るべき情報資産は壁 (Firewall) の外にある アクセスする主体は壁の中にも外にもいる アイデンティティを用いた情報へのアクセス管理が重要に アイデンティティによるアクセスの制御

 アイデンティティによるアクセスの監視© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

11

アイデンティティ？
エンティティ（実体）認証

アイデンティティ

コンテキスト・属性の集合
・コンテキスト毎に複数ひとりの人アシクア
紐イスセ付デテス
けンムするテがる
こィ認実とテ識体＝ィしをて認とい証 る

社員番号: 1234567890
名前: 八幡 孝
所属コード: 7777…
名前: 八幡 孝
所属: オージス総研
担当セッション: AAA…

オージス総研の社員として講演者として家族からみた…

…

© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

12

アイデンティティ＆アクセス管理のフロー

ID登録© 2017 OGIS-RI Co., Ltd.

ID
身元確認

認証器登録
（IDへ紐付け）ユーザー
認証

2017/6/8 Interop Tokyo 2017 EC-13

アクセス
認可

アプリ利用
情報アクセス13

アイデンティティ＆アクセス管理のフロー

ID登録

ID
身元確認

認証器登録
（IDへ紐付け）

認証基盤

ユーザー
認証

認証結果連携属性情報連携アプリケーション

認証

利用© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

アクセス
認可

アプリ利用
情報アクセス14

アプリケーションは何の情報を必要としているか？
 ① ユーザーの認証状態の確認

 ④ 関連する情報の参照と利用

 識別子、認証方法、認証時刻、...

 他ユーザーの属性、組織の属性、...

 ② ユーザーが誰であるかの把握

 ⑤ データ処理のためのマスタデー
タとしての利用 名前、所属、役職、メール、...
 名前、住所、電話、メール、...
 その人向けのサービス・機能を提供

 社員マスタ、組織マスタ、権限マスタ、...

 ③ ユーザーの権限の判定
 社員番号、組織番号、権限番号、...
 契約中のサービスコード、
 その人がやれることを正確に確認© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

15

アプリケーションに必要な情報を提供する方法
①
ユー
ザーの認
証
状
態の確
認

アイデンティティ
連携の技術が必要③
ユー
ザーの権限の判
定

④
関連
する
情報の参
照と利用

⑤
デマー
スタ
タ処デ理ーのタたとめしのての利用

属性連携
認証連携© 2017 OGIS-RI Co., Ltd.

②
ユー
ザーが誰であるかの把
握定期プロビジョニング orマスタリポジトリの参照

2017/6/8 Interop Tokyo 2017 EC-13

16

認証基盤を作る・サービスを展開する

認証・属性要求

認証
属性管理
属性連携

アプリケー
アプリケー
アプリケー
ション
ション
ション
認証・属性連携

ユーザーの認証アプリが必要とする属性の管理、提供、記録© 2017 OGIS-RI Co., Ltd.

ユーザーごとに最適化されたサービスを提供

2017/6/8 Interop Tokyo 2017 EC-13

17

外部IdP活用で、より使いやすく、より管理しやすく認証・属性要求

認証要求

属性管理
属性連携

認証
認証連携

外部の信頼できる認証システム(IdP)を利用

認証・属性連携

アプリが必要とする属性の管理、提供、記録

アプリケー
アプリケー
アプリケー
ション
ション
ション

ユーザーごとに最適化されたサービスを提供

ドメインログオン、
Google, Facebook, ...

© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

18

認証基盤 にとどまらずアイデンティティプラットフォーム が必要になっている© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

19

Web API のアクセス管理への展開© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

20

Web API の利用が広がっている
増加を続ける Web API（公開型）「API管理市場売上金額推移および予測」

ProgrammableWebの情報を基に当社で加筆・グラフ化

ITR社プレスリリースより

引用元: https://www.programmableweb.com/api-research© 2017 OGIS-RI Co., Ltd.

引用元: https://www.itr.co.jp/company/press/161213PR.html

2017/6/8 Interop Tokyo 2017 EC-13

21

Web API はデジタルビジネスの中核技術と言われている“ションを実現するコア技術のひとつとして導入が進む

デジタルイノベーションやデジタルトランスフォーメー”

ITR社「ITRがAPI管理市場規模推移および予測を発表」より
引用元: https://www.itr.co.jp/company/press/161213PR.html“まさしく、ハイブリッドクラウド環境におけるAPIエコノ”
ミーが、DXを実現しているのである。

IDC Japan社「～ デジタルトランスフォーメーション・エコノミーの萌芽 ～2017年 国内IT市場の主要10項目を発表」より
引用元: http://www.idcjapan.co.jp/Press/Current/20161213Apr.html© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

22

Web API をどう保護するか？
 Web API 利活用が広がる
 内部での Web API 技術の利用
 外部の Web API の活用
 Closed Network での提供
 Open Network での提供

 外部への Web API の公開 ネットワーク型の境界防御だけでは保護できないWeb API でもアイデンティティを用いたアクセス管理が必要© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

23

Web API アクセス管理を考える切り口 クライアント（Web APIへのアクセス元）の認証
 ネットワーク、電子証明書、ベーシック認証、APIキー、...
OAuth の Client Authentication 適切なアクセス権限の提供
 アクセスできる情報の範囲、行なえる操作の内容
OAuth の SCOPE へマッピング

 情報の所有者によるアクセスの許可
OAuth による認可（と OpenID Connect による認証）© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1324

外部の Web API を活用するには？
 Web API でアクセスするリソースが企業に帰属するなら クライアント認証をしてアクセス 個人（従業員など）に帰属するなら
 企業がアクセスを許可すればよい場合
 クライアント認証をしてアクセス

 個人がアクセスを許可するべきものの場合
 OAuthによる認可、個人の認証への対応が必要
 個人の認証は、自社の認証基盤からのSSOに対応することも検討© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1325

外部へ Web API を公開するには？
 Web API で提供するリソースが誰に帰属するかを分析する
 リソース毎に付与する権限を整理する

 リソース x 権限 を SCOPE にマッピングする
 OAuth による認可を実装する

 ユーザーを認証する機能を実装する
 ユーザーが使用している認証基盤とのSSOに対応する© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1326

アイデンティティ技術の標準化動向© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1327

アイデンティティ連携を実現する標準技術たち

これらの技術は標準化が進み、製品・サービスへの実装も浸透している。
© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1328

アイデンティティ連携を実現する標準技術たち
標準技術概要OpenID Connect認証されたユーザーの情報（認証状態）を、サイト間、アプリケーション間で安全に伝達する仕組み。

SCIM

ユーザーに関する各種属性情報へのアクセス・操作をする仕組み。（属性情報の閲覧、検索、登録、更新、削除など）

OAuth

ユーザーの情報への特定のアクセス・操作を、情報を所有するユーザーの同意に基づき、アプリケーションに対して許可する仕組み。

© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1329

OpenID Connect を使った認証連携（SSO）1. ユーザーがアプリケーションにアクセス
2. このユーザーは誰？

アプリケーション(Relying Party)

3. ユーザーを認証
4. このアプリにログインしようとしている
けど良い？ユーザー名とメールアドレスを求めているけど渡しても良い？
5. いいよ1

2

6

6. このユーザーは、○○さん。メールアド
レスは△△。最後に認証したのはこの時刻。認証方法は□□。
ユーザー属性の連携は OpenID Connect
UserInfo End Point による方法のほか、SCIM を併用した方法も採れる。

3

認証基盤(OpenID Provider)

4

ユーザー

5
※ 概念を図示するため、実際のリクエスト・レスポンスの方法、回数等を簡略化しています。

© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

30

OAuth を使ったアプリケーション間API連携の許可 ①
1. ユーザーがアプリAにアクセス

アプリケーションA(OAuth Client)1

2. アプリBのユーザー情報のAPIにアクセスしたい

3. ユーザーを認証
4. アプリAが、アプリBのあなたの情報にアクセスしようとしているけどいい？（あなたの代わりにアプリBでこんな操作しようとしているけどいい？）
5. いいよ2

6

7

6. このトークンでAPIにアクセスして
7. APIにアクセス

3

アプリケーションB(OAuth Server)

4

ユーザー

5
※ 概念を図示するため、実際のリクエスト・レスポンスの方法、回数等を簡略化しています。

© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

31

OAuth を使ったアプリケーション間API連携の許可 ②
1. ユーザーがアプリAにアクセス
2. アプリBのユーザー情報のAPIにアクセスしたい

アプリケーションA(OAuth Client)

3. ユーザーを認証
4. アプリAが、アプリBのあなたの情報にアクセスしようとしているけどいい？（あなたの代わりにアプリBでこんな操作しようとしているけどいい？）1

5. いいよ2

6

6. このトークンでAPIにアクセスして

7

7. APIにアクセス
8. このトークンは何を許可したもの？
3認可サーバー(AuthZ Server)

4ユーザー

589API(ResourceServer)

アプリケーションB© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

9. ○○さんが、アプリAがアプリBで△△することを許可したもの。

※ 概念を図示するため、実際のリクエスト・レスポンスの方法、回数等を簡略化しています。

32

認証基盤と連動したAPI連携の認可
1. アプリAにアクセス

アプリケーションA(OAuth Client)

2. APIへのアクセス許可を要求
3. ユーザーの認証を要求
4.～7. 認証結果を連携

1

8.～10. アクセストークンを応答
2

108

認可サーバー

129(AuthZ Server)

13

ユーザー
411

3

7

11. APIへアクセス
12.～13. アクセストークンを確認してAPIを実行

API(ResourceServer)

アプリケーションB

56

認証基盤(OpenID Provider)※ 概念を図示するため、実際のリクエスト・レスポンスの方法、回数等を簡略化しています。

© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1333

ThemiStruct ソリューションでの対応© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1334

認証基盤 からアイデンティティプラットフォーム へ© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1335

広がるユースケース
増えるアクセス
高まる重要性© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1336

おのずと「非機能要求」のレベルもアップ
膨大なトラフィック
 認証基盤の役割増加
 提供するサービス・システムの増加
 ユーザー数・デバイス数の増加

 API利用の増加

スパイクアクセス キャンペーンやニュースサイト掲載などにより定常的なアクセスと比較し、予想不可な大量のアクセスが発生する

システム停止を回避
 認証基盤役割の増加に伴い、システム停止や遅延による機会損失が大きくなり、事業継続性や機会損失回避など可用性要求のレベルが格段にUPしたスピードスタート・スモールスタート
 短期間でビジネスをスタートさせたり、事業規模に応じてスタート、柔軟にスケールできる必要がある© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1337

これまで： 高度な基盤設計。入念な可用性、性能のテスト。プロジェクトの巨大化。

© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1338

当社のアプローチ

 AWSのPaaS上で動く
アイデンティティ連携基盤
 ≠OpenAM、OpenIDM

≠IDaaS オージス総研自社商品© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1339

これから： 基盤の設計、テストは不要。プロジェクトの迅速なスタートアップ。

© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1340

ThemiStruct
Identity Platform© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1341

OpenID Certified になりました。

オージス総研の ThemiStruct Identity Platform はOpenID Connect™ プロトコルの OP Basic, OP
Implicit, OP Config の3つのプロファイルに適合した OpenID Certified™ 実装です。
http://openid.net/certification/© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1342

そして...

© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1343

ビジネスの「デジタル変容」が必要な時代
認証基盤エンジニアは「Identity Professional」への変容が求められています

オージス総研ではIdentity Professional の育成の取り組みを始めています© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1344

まとめ© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1345

まとめ 認証基盤のユースケースが広がってきた。デジタルビジネスに対応できる認証基盤構築のニーズが高まる。
 認証だけではなく、利用者のアイデンティティを管理、提供するプラットフォームが必要となる。
 アイデンティティ連携技術の標準化、製品･サービスへの実装は急速に進行中。標準に適合して、相互接続性を高める。
 ThemiStructソリューションは ThemiStruct Identity Platformをラインアップに加え、皆さまのビジネスをサポート。

© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1346

ご清聴ありがとうございました【お問い合わせ先】
株式会社オージス総研
TEL: 03-6712-1201 / 06-6871-7998
mail: info@ogis-ri.co.jp© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1347

参考資料© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

48

統合認証ソリューション ThemiStruct
ThemiStruct-WAM

シングルサインオン
認証基盤ソリューション

ThemiStruct-IDM

ID管理ソリューション

ThemiStruct-CM

電子証明書発行・管理
ソリューション

ワンタイムパスワードソリューション

システム監視ソリューション

ThemiStruct-OTP

ThemiStruct-MONITOR

ThemiStruct Identity Platform AWS対応版© 2017 OGIS-RI Co., Ltd.

クラウド、IoT時代の“All in one”
認証プラットフォーム

2017/6/8 Interop Tokyo 2017 EC-13

49

ThemiStruct Identity Platform AWSのPaaS上で動く
アイデンティティ連携基盤
 ≠OpenAM、OpenIDM

≠IDaaS オージス総研自社商品© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

50

ID
あなたの Identity Platform がすぐ構築可能

アイデンティティ連携

事業成長や突発的アクセスに合わせたスケーリング

アクセスセキュリティ強化© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-1351

ThemiStruct Identity Platform の特徴 (1)
認証システムの短期導入が可能
ThemiStruct Identity Platform はクラウド上に設置され、短期間で従業員、カスタマー、ビジネスパートナーに認証サービスを提供できます。また、APIを利用し既設サイトへの組み込みも容易です。
ログインを1回に、認証方法も組合せ自由
ThemiStruct Identity Platform に一度ログインを行うことで、ユーザーが利用したい各サイトへシングルサインオンすることができます。 その際のログインではIDとパスワードによる認証だけでなく、ワンタイムパスワード・電子証明書、指紋・指静脈情報やインベントリー認証などを利用することができます。また利用システムごとの設定により、各サイトやコンテンツのセキュリティ、ユーザビリティ要件に応じた認証を行うことができます。
ユーザー登録のハードルを下げ、新規ユーザー登録率をアップ
FacebookやGoogleなどのユーザーが普段使っているSNSやWebサービスのアカウントを利用して、気軽にユーザー登録が可能です。サイトへの新規ユー
ザー登録率、ユーザビリティ、コンバージョン率を向上させます。ユーザー自身による登録や、管理者による一括登録も可能です。
© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

52

ThemiStruct Identity Platform の特徴 (2)各システムへ必要なときに、必要な情報を連携できます
ThemiStruct Identity Platform から各システムへ必要なタイミングで、必要なユーザー情報を連携することができます。各システムでユーザー情報の管理が不要になります。

事業成長に合わせたスケーリング、突発的アクセス集中への対応
サーバレスアーキテクチャにより、事業環境の変化や突発的アクセス集中に合わせて、自由にかつ自動でコンピュータリソースの拡張・縮小を行えます。

© 2017 OGIS-RI Co., Ltd.

2017/6/8 Interop Tokyo 2017 EC-13

53