OpenAM最新情報
野村総合研究所
生産革新ソリューション開発二部
OSS推進グループ
和田 広之

株式会社 野村総合研究所 OpenStandiaチーム
Mail ： ossc@nri.co.jp

Web： http://openstandia.jp/

自己紹介

所属部署
生産革新ソリューション開発二部 OSS推進グループ
OSSを使ったシステム構築から運用までワンストップでサポート
対象OSSは50種類以上

私の担当
各種OSSの技術的サポート
OpenAM、OpenIDMの導入支援
OpenAM、OpenIDMの機能拡張、バグ修正も実施

OpenStandiaチームから挙げたバグ・改善要望チケット数: 270件以上

11

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

はじめに

2
株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

シングルサインオン(SSO)について
As-Is（現状運用）
各基幹システム

To-Be（SSO導入後）
SSO認証アクセス権限
販売ｼｽﾃﾑ

GW

ﾌｧｲﾙｻｰﾊﾞ（販売、在庫、人事システムなど）

利用者（販売、在庫、人事システムなど）

ログイン各サービス系システム（ポータル、グループウェ
ア、eLearningなど）

各基幹システム

シングルサイオンオン

各サービス系システム（ポータル、グループウェ
ア、eLearningなど）

利用者
各インフラ系
システム（ファイルサーバ、メールなど）

各インフラ系
システム（ファイルサーバ、メールなど）

各システム個別に、ID/パスワードで認証アクセス権限付与に基づく厳密なアクセス制御
セキュリティポリシに基づいた厳密な認証インタフェース
システムへのアクセスの認証の統合化による利便性向上
アクセスログの一括取得
多様化する認証方式への対応
 対象システム ： Web系システム、C/S系システム、OS…
 認証連携インタフェース ： ID/PWD、生体認証、PKIなど

SSOを実現するソフトウェア=OpenAM
33

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

シングルサインオン・ＩＤ管理が求められる時代の環境変化

時代とともにSSO/IDMの導入目的も変化
個人情報保護法
2000年

2005年

ユーザー利便性向上・IT運用管
理工数削減を目的とした導入

4

J-SOX法

2008年

情報漏洩対策・セ
キュリティ強化・内部統制対応を目的とした導入

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

2010年

企業のグローバル対応、クラウド・モバイル端末の活用を目的とした導入

シングルサインオン・ＩＤ管理が求められる時代の環境変化
近年さまざまな環境変化により、企業内システム利用の在り方、及びそれに基づくＩＤ管理の在り方、認証の仕組みが見直されてきている

社内環境の変化システム、ユーザアカウント、権限の複雑化
内部統制・コンプライアンス・個人情報保護の強化
採用形態の複雑化（グローバル人材、アウトソース、出向等）

ＩＴ環境の変化クラウド時代の到来による「所有」から「利用」への流れ
社内システムのＳａａＳ利用
モバイル端末、スマートフォン、タブレットの利用拡大
今後はIoTの活用

事業環境の変化

グローバル化Ｍ＆Ａ、企業合併によるグループ企業の統廃合
新規サービス事業の開始

5

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

今後、認証基盤に求められる要件

環境変化

6

求められる要件

モバイル端末、タブレッ
トなどの利用拡大

スケーラビリティ

グローバル対応

高度認証

SaaS・クラウドの活用

認可処理

IoTの活用

標準プロトコルによる相互接続性

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

OpenAM

既に国内でも多数の導入実績があり、基本機能は枯れている
環境変化に合わせて継続的にアップデート
IoT時代を見据えた機能の追加・最新の標準仕様にも対応
開発元のForgeRock社は、標準仕様の策定にも深く関わっている最新版で追加された新機能について紹介
7

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

OpenAMの最新情報

8
株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

OpenAMの最新情報

13.0.0が1月26日にリリース !!
リリースノート
https://backstage.forgerock.com/#!/docs/openam/13/releasenotes
非公式ですが、弊社OpenStandiaチームのメンバーによる日本語訳があります。
https://t246osslab.wordpress.com/2016/01/30/openam-13-0-0がリリースされました/

過去バージョンで非推奨となっていたいくつかの機能が削除されているので注意
https://backstage.forgerock.com/#!/docs/openam/13/releasenotes#removed-functionality/identity/attributes などのREST APIが削除に

9

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

OpenAMの最新情報

本日紹介するアップデート内容
1. UI
管理コンソールの刷新
2. スケーラビリティ
Stateless Session 機能の追加
3. 認証
モバイルデバイスを使った2段階認証機能の強化
4. 認可
標準プロトコル UMA(User-Managed Access) に対応

5. 開発者向け
スクリプティングサービス

10

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

管理コンソールの刷新

デザインが今風のおしゃれな感じにレルムを中心としたUIに最初にレルムを選択し、そのレルム内の設定を行うUIに

11

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

管理コンソールの刷新

認証連鎖の設定はグラフィカルに失敗すると即認証エラーとなること視覚的に表示

12

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

管理コンソールの刷新

ただし、まだレガシーUIの箇所も・・・
今後のさらなる改善に期待13

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

Stateless Session 機能の追加

セッションタイプにStatelessが選択可能に
従来は、Stateful モードのみ

Cookieの中にセッション情報を保存し、OpenAMサーバのメモリ上には持たないスケールアウトが必要な大規模構成で有効
セッション情報はJWT(JSON Web Token)で格納されており、デジタル署名(改ざん防止)、暗号化も可能

CookieにJWT形式でセッション情報を保存
14

出所: http://openam.forgerock.org/doc/bootstrap/admin-guide/index.html#session-state-cookies
株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

従来のセッション管理方式

OpenAMが内蔵している組み込みLDAP(OpenDJ)にセッション情報を保存してレプリケーション

OpenAMが2～4台くらいの規模であればスケールする

ロードバランサ

OpenAM

OpenAM
セッション情報をレプリケーション

OpenDJ
15

OpenDJ

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

従来のセッション管理方式

大規模になると…
レプリケーション処理の増大によりスケールしなくなる
レプリケーション接続数を減らすために、レプリケーション用のOpenDJを別で立てるといった対応が必要

16

出所: https://backstage.forgerock.com/#!/docs/openam/12.0.0/install-guide/chap-session-failover
株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

新しいStateless Sessionの方式

サーバ側でセッション情報を一切共有しないため、大規模構成でも容易にスケールする

ロードバランサセッション情報はクライ
アントのCookieにデジタル署名して保存OpenAM

OpenAM
セッション情報のレプリケーション
不要

OpenDJ
17

OpenDJ

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

認証機能の強化

OpenAMの2段階認証
通常のユーザID/パスワード認証に加え、ワンタイムパスワード(OTP)を利用した2段階認証
OTPの方式は標準仕様のOATHに準拠
HOTP、TOTPに対応
Android/iOSアプリのGoogle AuthenticatorなどをOTP発行機として利用可
能OpenAM13での強化ポイント

OPT発行のデバイス登録・管理のUIが標準で追加

18

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

利用イメージ

19

デバイス登録画面を標準で用意
株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

認可機能の強化

UMA Authorization Server 機能の追加

UMAとは、Kantara Initiativeのワーキンググループで仕様策定されたWebベースのアクセス管理プロトコル
現在Webで一般的に使われる認可プロトコルのOAuth2を拡張したもの
Facebookの例

出所: http://blog.unfindable.net/archives/1891

OAuth2との大きな違い

20

OAuth2はユーザーが外部のアプリケーションから自分のデータにアクセスするユースケースを想定
UMAは自分のデータを他人が見れるように権限を設定するといった、他人とデータを共有するユースケースも想定
株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

OAuth2の場合

リソースオーナー ＝ 利用者

出所: http://image.slidesharecdn.com/uma-for-ace-150114044632-conversion-gate02/95/uma-for-ace-10-638.jpg?cb=1421210822

21

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

UMAの場合

リソースオーナー ≠ 利用者 (でも良い)

出所: https://forgerock.org/app/uploads/2014/10/uma-info-highres.png

22

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

UMAの概要

UMAの処理は大きく３つに分かれる
1: リソースの登録リソースオーナ/リソースサーバ/認可サーバでのやりとり

2: 認可処理リソースサーバ/認可サーバ/クライアント/Requesting Partyでのやりとり

3: リソースアクセス

Requesting Party/リソースサーバ/認可サーバでのやりとり

最終的には、リソースサーバにて、クライアントから渡されたトークン(RPT)から権限情報を取りアクセス制御する{"active": true,"exp": 1447051542,"iss": "http://openam.example.org:8080/openam/oauth2","token_type": "requesting_party_token","permissions": [{"resource_set_id": "592e20b8-8f43-48a0-90cf-eae722ced36b0","scopes": ["http://photoz.example.com/dev/scopes/view","http://photoz.example.com/dev/scopes/all"
]
}

23]
}

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

UMAのユースケース (B2C)

写真を知り合いに共有、といった個人データの共有
よくあるのは、自動生成されたURLをメール等で送信して共有するなど
これだと、URLが他人に渡ると見れてしまう
写真管理サービ

UMAを使うと…

ス(例: Flickr)

ユーザーは共有したい写真に対する参照権限を認可サーバに登録
認可サーバにて、参照権限のポリシーを設定(公開範囲を友人、など)
友人は認可サーバにて許可を得ること
で、クライアントアプリは写真管理サー
ビスからデータを取得可能になる

写真管理サービスに対応したモ
バイルアプリ

出所: https://forgerock.org/app/uploads/2014/10/uma-info-highres.png

24

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

認可サーバ(例: Facebook)

UMAのユースケース (B2E)

企業内のリソースに対するアクセス制
御に利用
従来型の認証基盤だと、リバプロ/エージェントの導入が必要
社内シ
URLベースでの制御しかできない
ステム・
モバイルアプリや外部サービス等、リバプロ/ SaaS
エージェントが導入できない環境では使えな
い

社内認可
サーバ

UMAを使うと…
リソースオーナーは企業であり、リソースサーバ(社内システム・SaaSなど)に対するアクセ
ス権限を認可サーバに設定する
認可サーバにて権限のポリシーを設定(○○部は見れる、部長以上は承認できる、など)
社員は認可サーバにて許可を得ることでア25クセス可能になる
株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

社内システム、モバイルアプ
リなど
出所:
https://forgerock.org/app/uploads/2014/10/uma-infohighres.png

スクリプティングサービス

従来
Java言語で認証モジュールなどのカスタマイズが可能

OpenAM13での強化ポイント
下記をスクリプト(JavaScriptまたはGroovy)にてカスタマイズ可能に認証ロジック認可ポリシー条件
OpenID Connectクレーム

26

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

例) 認証ロジックのカスタマイズ

OpenAM管理コンソールよりスクリプトを定義
AM9時～PM5時の間しか認証できないようにするサンプルソースが付いている

27

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

まとめ

28
株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

まとめ

環境変化により、企業内の認証基盤に求められる要件も変化
近年のキーワードとしては、SaaS/グローバル/モバイル/IoT

オープンソース認証基盤であるOpenAMは変化にいち早く対応

29

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

本資料に掲載されている会社名、製品名、サービス名は各社の登録商標、又は商標です。

 OpenStandiaは、「攻めのIT」を支援します。
 オープンソースのことなら、なんでもご相談ください！

お問い合わせは、NRI OpenStandiaチームへ
ossc@nri.co.jp
30

株式会社野村総合研究所 Copyright© Nomura Research Institute, Ltd. All rights reserved.

http://openstandia.jp/