OpenAMで実現するアイデンティティ

連携技術を使った認証基盤
株式会社オージス総研

八幡 孝© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

オージス総研です
株式会社オージス総研
代表者：

代表取締役社長 西岡 信也

設 立：

1983年6月29日

資本金：4.４億円 （大阪ガス株式会社100%出資）

事業内容：

システム開発、プラットフォームサービス、コンピュータ機器･ソフトウェアの販売、コンサルティング、研修・トレーニング

主な事業所
本 社：
大阪府 大阪市西区千代崎3-南2-37 ICCビル
東京本社：
東京都 港区港南2-15-1 品川インターシティA棟
千里オフィス： 大阪府 豊中市新千里西町１－２－１
名古屋オフィス： 愛知県 名古屋市中区錦1-17-13 名興ビル

売上実績：

582億円（連結） 308億円（単体）従業員数：

3,126名（連結） 1,279名（単体）関連会社：

さくら情報システム（株）、 （株）宇部情報システム、 （株）システムアンサー、
OGIS International, Inc. 、上海欧計斯軟件有限公司（中国）

オージス総研グループ 売上構成比（連結）© 2016 OGIS-RI Co., Ltd.

2016/2/23(2014年度)

取得許可認定第8回 OpenAMコンソーシアム 技術セミナー

1

認証基盤をとりまく動向© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

2

企業の認証基盤プロジェクトが変化
 社内システムの認証基盤（SSO、ID管理）
 クラウド利用時の認証強化
 顧客向けサービスの認証基盤© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

3ビジネスのデジタル変容への対応
 モバイル、クラウド、ソーシャルの活用 ビジネスプロセスの自動連携

 ユーザー情報の活用、分析

 多様なデバイスとの連携、活用 ユーザー毎に最適化されたサービスの提供
 業務効率の向上、提供スピードの向上© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

4

認証基盤の技術要求が変わる従来の認証基盤

今後の認証基盤

利用端末統一されたPC

多様な端末の利用

対象システムフロントシステム（Web）の認証

フロントシステムの認証とAPIアクセスの認証
SPA、モバイルアプリ対応

利用形態

社内、VPN経由での利用

社内外からのシステム利用、APIアクセスを想定

その他―

社内外システムとのAPI連携© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

5アイデンティティ連携技術© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

6アイデンティティとは？
 主体 （Entity | Subject）
 人、組織、PC、デバイス、サービス、リソース、…

 アイデンティティ （Identity）
 主体にかかわる属性の集合体
 ひとつの主体に、コンテキストに応じたIdentity© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

7認証とは？
 主体（人）を Identity に紐付けること アクセスをしている主体が、
 サービス・システムが認識している、どの Identity と紐付いているか、
 本人だけが知り得る、所有する情報をもって確認する© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

8アイデンティティ連携とは？
 認証連携 + 属性連携 = ID連携

 複数の組織、ドメインでアイデンティティを利用する© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

9アイデンティティ連携技術の標準© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー10アイデンティティ連携技術を使った認証基盤© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

11アプリケーションへのSSO
ブラウザ

Web SPA

モバイル
アプリ

アプリアクセス
認証
認証要求

認証要求

(OIDC)(OIDC)

外部IdP

組織内アプリ

認証基盤（ソーシャル）認証連携

3rd party
アプリ

認証連携
属性連携(OIDC)(OIDC)

アイデンティティ

属性取得
属性更新(SCIM)© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

12

SPA, モバイルアプリからのAPI利用
ブラウザ

Web SPAAPIアクセス
認可要求(OAuth)トークン発行

認証要求

トークン
情報要求

(OIDC)

認証基盤（ソーシャル）APIアクセス(OAuth)

認証

外部IdP

モバイル
アプリ

認証連携

(OAuth)組織内アプリ

3rd party
アプリ

トークン
情報応答

(OIDC)(OAuth)アイデンティティ

© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー13

3 rd partyアプリへのSSO
ブラウザ

Web SPA

モバイル
アプリ
3rd partyアプリ
APIアクセス

3rd party
アプリ利用

認証
認証要求
(OIDC)

外部IdP

認証基盤

（ソーシャル）

組織内アプリ

3rd party
アプリ

認証連携(OIDC)

アイデンティティ

© 2016 OGIS-RI Co., Ltd.

2016/2/23

認証要求 (OIDC)
認証連携・属性連携 (OIDC)
第8回 OpenAMコンソーシアム 技術セミナー14

3 rd partyアプリへのデータ提供
ブラウザ

Web SPA

モバイル
アプリ
3rd partyアプリ利用

認証
認証要求

トークン
情報要求(OIDC)

外部IdP

認証基盤

（ソーシャル）
認証連携(OAuth)

トークン
情報応答

組織内
アプリ

データ
アクセス
(API)

3rd party
アプリ(OAuth)(OIDC)

アイデンティティ

APIアクセス認可要求 (OAuth)
トークン発行 (OAuth)

データアクセス(API)

属性取得© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー(SCIM)

15

顧客向けサービスへの適用例© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー16顧客向けサービスの全体構成
ブラウザ

Web SPA

モバイル
アプリ

ユーザー
ソーシャルIDの活用

ソーシャルID

顧客向けサービス基盤

認証基盤

業務提携先/関連サイト

顧客向け
サービス

提携先
サービス

アイデンティティ

© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

17

ソーシャルIDを使ったユーザー登録
ブラウザ

Web SPA

モバイル
アプリ

ユーザー
初期登録

認証要求
(OIDC)

ソーシャルID

認証基盤

顧客向け
サービス

提携先
サービス

認証連携
属性連携
(OIDC)

アイデンティティ

© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

18

ソーシャルIDを使ったサービスへのサインオン
ブラウザ

Web SPA

モバイル
アプリ

サービスへの
アクセス

認証要求

認証要求

(OIDC)(OIDC)

ソーシャルID

顧客向け
サービス

認証基盤
認証連携
属性連携

認証連携
属性連携

(OIDC)(OIDC)

アイデンティティ

提携先
サービス

属性取得
属性更新
(SCIM)© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー19ローカルIDを使ったサインオンにも対応
ブラウザ

Web SPA

モバイル
アプリ

サービスへのアクセス
認証認証要求(OIDC)

ソーシャルID

顧客向け
サービス

認証基盤

提携先
サービス

認証連携
属性連携
(OIDC)

アイデンティティ

属性取得
属性更新(SCIM)© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

20

SPA, モバイルアプリを使ったサービスへ展開
ブラウザ

Web SPAAPIアクセス
認可要求(OAuth)トークン発行

APIアクセス(OAuth)

認証
認証要求

トークン
情報要求

(OIDC)

ソーシャルID

モバイル
アプリ

認証基盤
認証連携

(OAuth)

顧客向け
サービス

提携先
サービス

トークン
情報応答

(OIDC)(OAuth)アイデンティティ

© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

21

提携先サービスへのシームレスなアクセス
ブラウザ

Web SPA

モバイル
アプリ

提携先サービス
へのアクセス

認証

提携先サービス
APIアクセス

認証要求(OIDC)

ソーシャルID

認証基盤

顧客向けサービス

提携先
サービス

認証連携
(OIDC)

アイデンティティ

© 2016 OGIS-RI Co., Ltd.

2016/2/23

認証要求 (OIDC)
認証連携・属性連携 (OIDC)
第8回 OpenAMコンソーシアム 技術セミナー22提携先と連携した新しいサービスの提供
ブラウザ

Web SPA

モバイル
アプリ
提携先サービス機能の利用

認証
認証要求

トークン
情報要求(OIDC)

外部IdP

認証基盤

（ソーシャル）
認証連携(OAuth)

トークン
情報応答

顧客向け
サービス

データ
アクセス
(API)

提携先サービス(OAuth)(OIDC)

アイデンティティ

APIアクセス認可要求 (OAuth)
トークン発行 (OAuth)

データアクセス(API)

属性取得© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー(SCIM)

23

社内システムの認証基盤への応用© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

24

ユーザー
情報

シングルサインオン
システム

ログイン

アプリ
アクセス

アプリ
アクセス

パスワード
変更は1ヶ所でアプリ ①

ユーザー
情報

アプリ ②

ユーザー情報ユーザー情報

ユーザー
情報

アプリ ③

HRシステムワークフローシステム

ユーザー情報ユーザー
リポジトリ© 2016 OGIS-RI Co., Ltd.

ユーザー
情報

ID管理システム

社内システムの認証基盤の一般形

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー25

アプリへの属性連携はSSOから? IDMから?
 企業でのアイデンティティは、異動により変化する スケジューラ、コラボレーションアプリでは、全ユーザー、全組織の情報が事前に登録されている

IDMを使った一括反映で対応
 アプリとIDMの接続は個別設計が必要。費用、期間が課題となる

IDMだけの対応ではアプリの認証基盤活用が進まない© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

26

属性の特性に合わせて対応
 ログイン可/不可 は認証基盤（SSO）で対応
 ログインしたユーザーに関連する属性はSSOから
 表示用属性、属性ベースのアクセス制御、など
 そのユーザーが属する組織の情報も アプリデータとしての特性を持つ属性はIDMを使って 全社員ユーザーの登録、全組織の登録が事前に必要な場合に限る

 アカウントの事前作成、遅延削除を併用して© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

27

社内システムの認証基盤の全体構成
ブラウザ

Web SPA

モバイル
アプリ

ユーザー
社内システム

認証基盤

社内業務アプリアイデンティティ

© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

28

社内業務アプリにシングルサインオン
ブラウザ

Web SPA

モバイル
アプリ

アプリへのアクセス
社内業務アプリでのアイデンティティの扱い方
認証
認証要求(OIDC)

認証基盤（SSO）

社内業務アプリ
認証連携
属性連携(OIDC)

アイデンティティ

属性取得
属性更新(SCIM)© 2016 OGIS-RI Co., Ltd.

2016/2/23

1. 社内業務アプリではアイデンティティ情報を保持しない。OIDCでの属性連携、SCIMを使った属性取得で動作させる。
2. 社内業務アプリではOIDCでの属性連携時に、動的にアカウントの作成、属性の更新を行なう。
3. 社内業務アプリは、ユーザー、組織の情報をデーターとして必要とするためIDMを使った定期メンテナンスを行なう。

第8回 OpenAMコンソーシアム 技術セミナー

29

SPA, モバイルアプリを使ったシステムへ展開
ブラウザWeb SPA
APIアクセス
認可要求(OAuth)
トークン発行

モバイル
アプリ
APIアクセス(OAuth)

認証

トークン
情報要求

認証基盤
（SSO）

(OAuth)社内業務システム

トークン
情報応答(OAuth)アイデンティティ

© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

30

OpenAMを使ったコンセプト実装のデモ© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

31

コンセプト実装
 社内システムのSSOをコンセプト実装

ブラウザ

アプリへのアクセス 認証基盤： OpenAM

認証 社内業務アプリ： スクラッチ

認証要求(OIDC)

認証基盤（SSO）

社内業務アプリ
認証連携
属性連携(OIDC)

アイデンティティ

属性取得
属性更新(SCIM)© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー32

実装の概要 OpenAM 14.0.0-SNAPSHOT OpenID Connect OP として構成
 profileスコープで企業ユーザーの属性をclaimとして応答するように設定
 embedded OpenDJ を SCIM Server として構成

 SCIM Schema 2.0 っぽく応答するように スクラッチで作ったアプリをRPとして接続
 Python3 + bottle framework + pyoidc© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

33

まとめ

© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

34

まとめ
 ビジネスのデジタル変容という潮流の中にある アイデンティティ連携技術への対応が不可欠 顧客向けの基盤のみならず社内基盤も変化が必要
 OpenAMがコアコンポーネントとなる© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

35

当社ソリューションの紹介© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

36

テミス

トラクト

ThemiStruct は統合認証ソリューション
ThemiStruct（テミストラクト）は統合認証ソリューション
統合認証
ID管理
ライフサイクル管理
認証基盤
多要素認証

シングルサインオン
人の属性・存在を管理
不正IDを残さない
ハード・ソフトの違いを超え安全なアクセスを提供© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー37

多要素認証やシングルサインオンなどアクセスマネジメント
認証基盤ソリューション
クラウド+スマートデバイスを多要素認証でセキュリティ強化しシングルサインオンで利便性を向上します
多要素認証
OTP
One Time Password
ワンタイムパスワード

シングルサインオン
WAM
Web Access Management

CM
Certified Management
証明書発行・管理© 2016 OGIS-RI Co., Ltd.

クラウドサービス
オンプレミスアプリ群

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

38

IDのライフサイクル管理
ID管理ソリューション
ID情報を申請フローを用いて収集し対象システム群へ反映
有効期限による管理および人事異動などにスマートに対応可能です
ID利用の申請
ID

WF
WorkFlow

ID Management
ライフサイクル管理

ID情報
起票 承認① 承認② 完了
ID情報の反映© 2016 OGIS-RI Co., Ltd.

クラウドサービス
オンプレミスアプリ群

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー39

5つのソリューションを提供
ThemiStruct-WAM

シングルサインオン
認証基盤ソリューション

ThemiStruct-IDM

ID管理ソリューション

ThemiStruct-CM

電子証明書発行・管理
ソリューション

ワンタイムパスワードソリューション

システム監視ソリューション

ThemiStruct-OTP

ThemiStruct-MONITOR© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

40

ThemiStruct-WAM

 OpenAM (trunk) がベース

 専用のインストーラー
 当社オリジナルの日本語マニュアル スマートデバイスに対応するレスポンシブUI
 パスワード管理強化のためのアドオンモジュール群
 高度なリスクベース認証を実現するインベントリ認証オプション
 …
© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

41

ThemiStruct-IDM

 OpenIDM (trunk) がベース

 専用のインストーラー
 当社オリジナルの日本語マニュアル

 権限委譲に対応した専用のWebUI (SSI)
 組織、グループ、ロールの管理 プロビジョニングのスケジューリング、予約への対応
 ...
© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

42

ThemiStruct-CM

 EJBCA (Enterprise版) がベース

 当社オリジナルの日本語マニュアル
 証明書の一括登録、一括ダウンロード

 秘密鍵がエクスポートできない証明書発行への対応
 デバイスアクセスコントロールへの対応

 ...
当社は PrimeKeySolutions AB 社のパートナー です。
© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

43OSSを活用するメリット
 技術標準の早期実装

 公開されている仕様
 ソースコードを使った問題調査、修正© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

44

テミス

トラク

ト

ThemiStructで提供する3つのサービス
テクニカルサポート

プロフェッショナル

システムインテグ

サービス

サービス

レーションサービス• 利用方法などの問合
せへの回答• 要件実現方法の相談、回答• お客様の要望に応じたシステムを構築• 障害時の調査、回避策や代替案の提示、復旧の技術支援• 技術検証の支援© 2016 OGIS-RI Co., Ltd.

• 自社で実施する開発、構築の技術支援

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

45

OSSを安心して活用いただくための取り組み
テスト実行

コミット
開発者

ソースコード管理基盤

テスト実行
コミット
「ユニット」「インスペクション」「コンパイル」
ソースコード管理基盤
モジュール単位での可読性やコーディング
開発・修正を行った
テスト
ルール等を数値化し、測定
開発者
ソースをコンパイル「コンパイル」 開発・修正を行ったソースをコンパイル「ユニット」 モジュール単位でのテスト「インスペクション」 可読性やコーディングルール等を数値化し、測定「インテグレーション」「ロングランパフォーマンス」「デプロイ」「デプロイ」 実行環境でデプロイ工程をテスト
実行環境上で各機能の動作
実行環境上で長期稼働、実行環境でデプロイ工程「インテグレーション」
実行環境上で各機能の動作を確認
を確認
過負荷稼働を確認
をテスト「ロングラン パフォーマンス」 実行環境上で長期稼動、過負荷稼動を確認「アベイラビリティ」 障害を発生させた状態での稼動確認、復旧テスト「バルネラビリティ」 既知の脆弱性を含んでいないことを確認「バルネラビリティ」「ライセンスリスク」「アベイラビリティ」「ライセンスリスク」 ソースコードのライセンスリスクを確認
既知の脆弱性を含んでソースコードのライセンス障害を発生させた状態での統合認証ソリューション ThemiStruct テミストラクト リリース
いないことを確認

稼働確認、復旧テスト

統合認証ソリューション
© 2016 OGIS-RI Co., Ltd.

2016/2/23

リスクを確認リリース

第8回 OpenAMコンソーシアム 技術セミナー

46

AWS上に展開されたテスト基盤
 テストターゲットの自動デプロイによるクリーンなテスト環境の構築
 自動化インテグレーションテスト
 自動化率向上のための取り組みを継続

 スポットインスタンスを活用したパフォーマンステスト
 etc…

当社は APN (AWS Partner Network)
コンサルティングパートナー です。
© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー47

ライセンスリスクの確認
 使用しているOSS、著作権者、ライセンス条件を正しく把握
 権利の瑕疵の発生を予防

 OSS自動検出ツール「Palamida™」 を使用
当社は 米国PALAMIDA社のパートナー です。
© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー48

サポート力向上のための更なる挑戦 ソースコード静的解析ツール「コベリティ®」を使った、不具合発見と修正へトライ中。
 クラッシュ リソースリーク 脆弱性
当社は 米国シノプシス社（旧：コベリティ社）の販売代理店 です。

…
© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー

49本日紹介した当社ソリューション

© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー50

ご清聴ありがとうございました。
【お問合せ先】
株式会社オージス総研
TEL: 03-6712-1201 / 06-6871-7998
E-mail: info@ogis-ri.co.jp© 2016 OGIS-RI Co., Ltd.

2016/2/23

第8回 OpenAMコンソーシアム 技術セミナー