FUSION Cloudにおける認証認可
Cl dにおける認証認可
アーキテクチャについて
アキテクチャに いてApril/12/2013
Fusion Communications Corp.
http://www.fusioncom.co.jp/

Contents
フュージョン・コミュニケーションズでは、IaaS型パブリック・クラウドサービスである
フジ ン ミケ シ ンズでは I S型パブリ ク クラウドサ ビスである FUSION
Cloud を商用サービスとして提供しています。
FUSION Cloudでは、サービス管理機能を提供するための共通基盤として、OpenAMを使った認証認 機能とた認証認可機能とMuleESBを使ったシステム間連携機能を実現しています。
を使 たシム間連携機能を実現ます
当講演では、その認証認可のアーキテクチャとOpenAMの役割を中心にご紹介します。
具体的には下記の内容についてご説明いたします。
１．フュージョン・コミュニケーションズの紹介
２ FUSION Cloudの設計思想とOpenAMの役割
２．FUSION
Clo dの設計思想とOpenAMの役割
３．FUSION Cloudの本格商用サービス化にあたってのOpenAM採用の経緯
４．FUSION Cloudと外部システムとの連携の実現とメリット
５ S Sの具体例
５．SaaSの具体例
６．まとめ

2

１ フュージョン・コミュニケーションズの紹介
１．フュ
ジョン コミュニケ ションズの紹介

3

フュージョン会社概要
会社名

フュージョン・コミュニケーションズ株式会社

企 設立 2000年3月13日
代表者 代表取締役会長 三木谷 浩史 ／ 代表取締役社長 相木 孝仁
業 事業内容 電気通信事業
情 資本金 20億円
報
楽天株式会社
54.78%
主な株主

丸紅株式会社

取締役会

38.00%
監査室
経営企画部
総務部

組織
図

経理部

最高執行役員
執行役員

監査役

技術部

北海道支店

お客様サービス部
客様部

東北支店

営業第一部

西日本支店

営業第二部

広島出張所

新サービス企画部

高松出張所

営業統括部

九州支店

※2012年1月1日現在

4

フュージョン会社沿革-1-Everything
EthiO
Over
IP の実現に向けて
IP2000年 創業
IP電話のパイオニアとして、斬新で高品質なサービスを展開
・2001年 国内初の24時間・全国一律料金の画期的な市外電話サービス開始
・2003年 050番号を使った『FUSION IP-Phone/IP-Centrex』開始
・2004年 携帯電話使い分けサービス『モバイルチョイス』開始
・2005年 Skype社とIP電話サービスで協業開始

2007年 楽天グループの一員へ
コミュニケーションとインターネットの融合を加速
・2008年
2008年 コンシューマー向け『楽天ブロードバンド』開始
コンシマ 向け『楽天ブロ ドバンド』開始
・2009年 『楽天モバイルfor Business』開始
・2010年 FUSION IP-Phone、Asterisk接続に正式対応
・2011年 コールセンター向けCloudテレフォニー『FUSION Connect』開始

2011年 丸紅による経営参画
次世代ICTサービスのさらなる拡充へ
次世代ICTサビスのさらなる拡充へ
5

フュージョン会社沿革-2

VoIP技術を駆使した最先端のサ ビスを提供
VoIP技術を駆使した最先端のサービスを提供
国内電話サービス
国内電話サ/ yp
IP-Phone/Skype

モバイルイル

日経産業新聞(2003年2月21日)

日経新聞(2009年1月20日)

日経産業新聞(2001年1月16日)
日経産業新聞(2001年1月16日)

日経産業新聞(2003年1月15日)
日経流通新聞(2007年1月1日)

6

フュージョン会社沿革-3

高品質な全国IP Networkを保有
高品質な全国IP-Networkを保有
FUSION IP-Network
旭川

釧路
函館

北見
札幌

Network center + POI

青森
秋田

POI

福井

金沢

盛岡

Intermediate repeater station

宇都宮 水戸 千葉
前橋

仙台山形
福島

新潟

富山

浦和
大津北九州
佐賀
長崎

大手町

立川

インターネット

新宿
宿
大阪

福岡
岡山

熊本

甲府

鳥取

名古屋

松江

鹿児島

静岡

奈良

山口
那覇
宮崎

長野

京都

横浜

広島
神戸

大分
松山
高松

和歌山津

岐阜 沼津

徳島高知

※2011年5月1日現在

7

フュージョンのサービス
固定電話サ ビス
固定電話サービス■国内・国際電話サービス- 圧倒的な安さの固定電話サービス■FUSION IP
IP-PhonePhone- 高機能・低価格050-IP電話■フリーボイス- 業界最安水準の0120/0800サ
業界最安水準の0120/0800サービス
ビス

インターネット接続サービス■FUSION GOL- 企業向けメールサービス■楽天ブロードバンド- コンシューマー向けサービス

モバイルサービス■楽天モバイル for Business- 携帯するIP電話■モバイルチョイス
イルチョイ- 携帯通話料の使い分けサービス

次世代ICTソリュ ション
次世代ICTソリューション
■Asteriskソリューション
- 次世代IP-Phoneソリューション■FUSION Connect- コールセンター向けCloudテレフォニー■Call Insight（コール・インサイト）- 電話による成果型報酬広告・効果測定ツール

クラウドサービス■FUSION Cloud （IaaS)- 楽天グル楽天グループのパブリッククラウド
プのパブリッククラウド- 2012年4月27日商用開始■FUSION iPaaS（PaaS)- 楽天市場RMS APIに対応- 2012年10月9日商用開始■FUSION Secure Drive App (SaaS)- スマ
スマートデバイスでセキュアにファイル共有
トデバイスでセキュアにファイル共有- 2013年2月1日商用開始■ FUSION IP-Phone SMART■FUSION Secure Drive (SaaS)- スマホの通話料を安くする- 社内外とのファイル共有- 2013年2月18日商用開始
8FUSION CloudはIaaSに加えPaaS/SaaSに展開中
NIST(*) defines following 3 types of Cloud Service Model(*) NIST: National Institute of Standards & Technology, U.S. Department of Commerce

M d l 11: IIaaS
ModelSM d l 22: PModelPaaSS

M d l 33: S
Model
SaaS
S

Infra as a Service.
Infra: OS, server, etc.

Platform as a Service.
Platform: development for
APP engineers,engineers just focus
on coding without thinking
about server.

Software as a Service.
Software: application

2012/4/27

2013/2/1

2012/10/9

2013/2/18
順次機能追加を計画

順次追加を計画

順次追加を計画

商用サービス開始
9FUSION Cloud(IaaS)とは
 楽天グループのパブリッククラウド
楽天グル プのパブリッククラウド
2012年4月27日商用サービス開始
 特長
I.
フュージョンが開発した基盤を使ったパブリック型クラウド（IaaS）
II.
高性能・高品質システム構成（H/WベースのFW/LBを採用、全冗長化）
III. セルフポータルによる簡単操作
ルフポ タルによる簡単操作
IV. 定額制（月額課金）、従量制（時間課金）
V. 24/365の監視保守運用※アンダ ラインの部分は認証認可に関係した機能※アンダーラインの部分は認証認可に関係した機能。
基本機能

セルフポータル 仮想マシン ネットワーク

オプション機能

ブロック ファイアウォール IPアドレス ロードバランサ オートスケール
ストレージ10FUSION iPaaSとは
FUSION iPaaSは、最初のステップとして、楽天市場の出店店舗向けAPIであるRMS APIに対して、REST APIでの接続を可能とすることにより、出店店舗のAPI開発コストを削減するクラウドサービス。

11

２ FUSION Cloud（IaaS）の設計思想とOpenAMの役割
２．FUSION12FUSION Cloud(IaaS)はフュージョン独自
FUSION Cloud(IaaS)のサービス管理機能（黄色部分）をフュージョンにて独自開発してきた。
Cloud(IaaS)のサ ビス管理機能（黄色部分）をフュ ジョンにて独自開発してきた
FUSION Cloud(IaaS)のサービス管理機能

IaaS
Portal

User
Agent

User
Agent

IaaS
PortalAdmin
PortalAPIs

認証・認可(OpenAM）

Mule ESB（Enterprise Service Bus）
APIs
Log
ServerA
ManagerM
ManagerK
ManagerI
ManagerAPIs

E l t
Explanatory
N t
Notes
System

HW,MW

Cloud Resources- Citrix XenServer- Firewall/Network- Load Balancer- Storage
13

FUSION Cloud(IaaS)の設計思想とOpenAMの役割
FUSION Cloud(IaaS)のサービス管理機能（黄色部分）をフュージョンにて独自開発してきた。
Cloud(IaaS)のサ ビス管理機能（黄色部分）をフュ ジョンにて独自開発してきた
そのサービス管理機能の共通基盤として、 OpenAMを使った認証認可機能とMule ESBを使ったシステム間連携機能を商用レベルで設計・実現した（赤色部分）。

FUSION Cloud(IaaS)のサービス管理機能の共通基盤＝OpenAM＋Mule ESB

User
Agent

User
Agent

IaaS
PortalAdmin
Portal
APIs

認証認可
認証・認可
＝OpenAMESB（Enterprise Service Bus） ESB
システム間連携＝Mule
APIs
Log
ServerA
ManagerM
ManagerK
ManagerI
ManagerAPIs

E l t
Explanatory
N t
Notes
System

HW,MW

Cloud Resources- Citrix XenServer- Firewall/Network- Load Balancer- Storage
14FUSION Cloud(IaaS)におけるVM起動の流れ
IaaS PortalでVM起動を行った場合のユーザへのVM引き渡しまでの流れは下記の通り
PortalでVM起動を行った場合のユ ザへのVM引き渡しまでの流れは下記の通り。
 ①User AgentがIaaS PortalでVM起動を行うと、②IaaS PortalはMule ESBのVM起動APIを起動し、③Mule ESB（Enterprise Service Bus）は④認証認可を介して⑤I ManagerのAPIを起動。
 その際に⑥I ManagerはManagerは、Cloud
Cloud Resourcesにある Server,Server FW
FW, NW
NW, LB,
LB Storageから所要のVMを作成して、⑦ユーザに引き渡す。

①④②

認証・認可(OpenAM）

User
Agent

User
Agent

IaaS
PortalAdmin
Portal

ユーザ

⑦API
APIs

③ Mule ESB（Enterprise Service Bus）
④⑤

APIs
Log
ServerA
ManagerM
ManagerKManagerI
Manager
APIs

Explanatory Notes
SystemHW,MW⑥

Cloud Resources- Citrix XenServer- Firewall/Network- Load
L d Balancer
B l- Storage
15

OpenAMによる認証（Portalの場合）
User AgentからIaaS PortalまたはAdmin Portalを使用する場合
Portalを使用する場合、SAML認証（シングルサイン
SAML認証（シングルサインオン／SSO）を行っている。現状は、IaaS PortalとAdmin Portalの間のみSSOを実現している。
 サービスプロバイダ（SP）は、 IaaS Portal/Admin Portal＋Mule ESBが該当。
M l ESBがSPの
Mule
ESBがSPの一部機能を担っているため、ポータル側はUIに特化することができる。
部機能を担 ているため ポ タル側はUIに特化することができる アイデンティティプロバイダ（IdP）は、OpenAMを採用。

SAML認証
認証（Portal利用時）
IdP

外部システム

SP

Use
User
Agent

User
Agent

IaaS
PortalAdmin
PortalAPIs

認証・認可(OpenAM）

Mule ESB（Enterprise Service Bus）
Log
ServerA
Manager

APIs
M
ManagerKManagerIManager
APIs

Explanatory Notes
SystemExternal
System

HW,MW

Cloud Resources- Citrix XenServer- Firewall/NetworkFi
ll/N tk- Load Balancer
16- Storage

OpenAMによる認証（外部システム連携の場合）
Portal経由ではなく、外部システムから直接呼び出しを受ける場合、MulePortal経由ではなく外部システムから直接呼び出しを受ける場合 Mule ESBからOpenAMのREST APIを呼び出す形で認証を行っており、外部システムをPortal経由の場合と同じ基盤に収容している。
外部システム

User
Agent

IIaaS
S
PortalAdmin
Adi
PortalAPIs

認証・認可(O(OpenAM）
AM）

ESBからREST API呼出（外部システム連携）

User
Agent

Mule ESB（Enterprise Service Bus）
Log
ServerA
ManagerAPIs
M
ManagerKManagerI
Manager
APIs

Explanatory Notes
SystemExternal
SystemHW,MW

Cloud Resources- Citrix XenServer- Firewall/Network- Load Balancer
g- Storage

17

OpenAMによる認可
認可の流れは下記の通り。
認可流れは下記 通り。
①IaaS PortalからMule ESBのAPI呼び出しを行うと、②Mule ESBはOpenAMに対してXACMLで認可問い合わせを行う。③OpenAMはそれを元にJDBCに対して認可情報の取得を行い、④その結果をもって認可判定を行う。⑤Mule ESBはそれを元にAPI（XxxxManager）の呼び出しを行う。
①のAPIの呼び出し元となるポータル、または呼び出し先となる⑤のXxxxManagerでは、認可に関してリソースのオーナーかどうかで実行可否を判定しているため、 XxxxManager側で認可の意識は不要。
①API呼出IaaSPortal⑤API呼出②認可問合(XACML)③認可情報取得④認可判定

XxxxManager側は認可処理を意識する必要無し
18

OpenAMの冗長構成
OpenAMのセッションフェイルオーバーツールであるAmsfoを用いてOpenAMの冗長化を実O
AMのセ シ ンフ イルオ バ ツ ルであるA f を用いてOAMの冗長化を実現している。
ロードバランサ

IdPサーバ1

IdPサーバ2

tomcattomcatOpenAM

OpenAM

amsfo

amsfo
セッションレプリケーション

19

３．FUSION Cloudの本格商用サービス化にあたってのOpenAM採用の経緯

20

FUSION Cloud(IaaS)開発の歴史
2009/9プロトタイプ開発開始

2010/7
2011/5商用Technology
開発開始 Preview

2011/12
仮課金
月額2012/4
本課金
従量2012/8UbuntuRedHat2012/12
WindowsOLSU

2013/4
SaaS Portal
SaaS課金開発環境
ステージング環境
HW/NW

DC1構築
DC2構築
築IaaS 0.1

IaaS
VersionMule ESB/認証認可
認証認外部システム連携

本格商用サービス
サビスに移行

IaaS 1.0
当初は他社商用製品の認証＋独自実装の認可でテストサービスを開始
M l ESB
Mule

IaaS 2.0
IaaS 2.5
IaaS 3.0

他社商用製品の認証＋独自認可

OpenAMの認証認可
で商用化を実現

認証認可置換PJ
換
認証認可のOpenAMへの置き換えプロジェクトを実施

OpenAM
課金連携１

課金連携２
SaaS Portal連携
21

認証認可のOpenAMへの置き換えプロジェクト
 認証認可を「他社商用製品の認証＋独自実装の認可」から「O認証認可を「他社商用製品の認証＋独自実装の認可」から「OpenAM」の認証認可へのAM」の認証認可への置き換えを実施した（2012/04）。
 他社商用製品の有識者がおらず、そのチューニングで苦労していた。そのため、「他社商用製品の認証＋独自実装の認可」で認証認可を提供し続けるための技術レベ
ルの維持と保守コストが課題であった。
 OpenAMであれば、「他社商用製品の認証＋独自実装の認可」からの置き換え工数が少ない上 オ ジス総研様のご協力を頂くことで上記課題を解決可能と判断しが少ない上、オージス総研様のご協力を頂くことで上記課題を解決可能と判断し、入れ替えを実施。
 入れ替え前後のパッケージと認証認可との関係は下記の通り。

前：他社商用製品
後：

認証有り（SAML）
有り（SAML）

認可無し（別途独自実装）
装有り

22

認証認可のOpenAMへの置き換えプロジェクト
 入れ替えで苦労したこと。
入れ替えで苦労したこと
認可をXACMLの規格にのっとって実装しようとしたが、OpenAMのXACMLは本来の規格に沿った実装ではなかった。そこで、OpenAMのXACMLの仕様に合わせる必要があった。

 やってよかったこと。
やってよかったこと
保守運用面のコストダウンと商用レベルでのサービス品質の確保を実現できた。

①API呼出IaaSPortal⑤API呼出②認可問合(XACML)③認可情報取得④認可判定

XxxxManager側は認可処理を意識する必要無し
23

４ FUSION Cloudと外部システムとの連携の実現とメリット
４．FUSION

24実装例１．課金システムとの連携
 IaaSの商用課金（月額課金IaaSの商用課金（月額課金、時間課金）の開始にあたり、外部システムである課金システムとの連時間課金）の開始にあたり 外部システムである課金システムとの連携をMule ESBおよび認証認可（OpenAM）で実現。
 外部システムとの連携は、Mule ESBおよび認証認可（OpenAM）の基盤が出来上がっていたため、短期か 容易に実現できた。
短期かつ容易に実現できた。
User
Agent

User
Agent

IaaS
PortalAdmin
PortalAPIs

認証・認可
認証認可（OpenAM）

Mule ESB（Enterprise Service Bus）
APIs
課金システム

Log
ServerA
ManagerM
ManagerK
ManagerI
Manager
APIs

Explanatory Notes
SystemExternal
S
System

HW,MW

Cloudd Resources
ClR- Citrix XenServer- Firewall/Network- Load Balancer- Storage25実装例１．課金システムとの連携
 苦労したこと
ESBの面では、SOAP自体の規格は決まっているが、FUSION Cloudと課金システムとの実装に齟齬が生じ、最初の疎通の際に苦労した。認証認可の面では、特に問題なし。

 やってよかったこと
外部システムとの連携は、Mule ESBおよび認証認可（OpenAM）の基盤が出来上がっていたため、短期かつ容易に実現できた。
認証はOpenAMのRESTの機能をはじめて使って連携した その際にFUSION Cloud側の変更は認証はOpenAMのRESTの機能をはじめて使って連携した。その際にFUSIONESBからRESTの呼び出しをするだけで済んだ。
認可はPortalと同じ仕組みでできた。
API公開時もRESTの機能を使って実現する予定。

26

実装例２．SaaS Portalとの連携
 SaaSの商用課金（月額課金）の開始にあたりSaaSの商用課金（月額課金）の開始にあたり、外部システムであるSaaS外部システムであるSaaS Portalと課金システムとの連携をMule ESBおよび認証認可（OpenAM）で実現。
 外部システムとの連携は、Mule ESBおよび認証認可（OpenAM）の基盤が出来上がっていたため、短期かつ容易に実現できた。
SaaS

User
Agent

User
Agent

User
Agent

SaaS
PortalIaaSPortalAdmin
PortalAPIs

認証 認可
認証・認可（OpenAM）

Mule ESB（Enterprise Service Bus）
APIs
課金システム

Log
ServerA
ManagerM
ManagerKManagerI
Manager
APIs

Explanatory Notes
SystemExternal
System

HW,MW

Cloud Resources- Citrix XenServer- Firewall/Network- Load Balancer- Storage27

実装例２．SaaS Portalとの連携
 苦労したこと
SOAP自体の規格は決まっているが、FUSION CloudとSaaS Portalとの実装に齟齬が生じ、最初の疎通で苦労するのではないかとの前提で開発をすすめた。

 やってよかったことや てよか たこと外部システムとの連携は、Mule ESBおよび認証認可（OpenAM）の基盤が出来上がっていたため、短期かつ容易に実現できた。
疎通ができた後は順調に開発を完了。
疎通ができた後は順調に開発を完了
FUSION Cloud側は課金システム連携のときに作った仕組みをそのまま使えた。

28

５ SaaSの具体例
５．SaaSの具体例

29

FUSION Secure Drive（使い方） マトリクス認証により、セキュリティを確保。
マトリクス認証により セキュリティを確保。
 Windows Explorerそのものなので、ユーザの使い勝手が良い。
1 Webブラウザよりアクセス
1.

2. イメ
イメージパスワードを入力
ジパスワ ドを入力（マトリクス認証）

3. アクセスする対象アイコンをクリック

4.
ラが表示 ⇒ ファイル操作
4 エクスプロ
エクスプローラが表示（ネットワークドライブとしてマウント）
Sドライブとしてマウント（10個から選択可能）

30

FUSION Secure Drive（料金プラン） FUSION Secure Drive 標準プラン（2013/02/18～）
当サービスのベース。共用ファイルサーバ、共用SSL-VPNで共通機能を提供するプラン。

 FUSION Secure Drive プライベートプラン（個別対応）
専用ファイルサーバ（専用VM）、共用SSL-VPNで共通機能を提供するプラン。有償オプションを提供。

 FUSIONS O Secure
SDrive 専用プラン（個別対応）
専用ファイルサーバ（専用VM）、共用SSL-VPNで共通機能を提供するプラン。有償オプションを提供。

標準プラン

プライベートプラン

初期費用：0円
月額費用：
共通機能：

専用プラン

初期費用：個別見積（30万円～）

実装例１．課金システムとの連携
ID：1,260円/ID/月、ストレージ：105円/GB/月
Windows Explorer対応
Explorer対応、マトリクス認証（本人認証）、マトリクス認証（本人認証）
アンチウィルス機能、ファイルアクセス制限、アクセスログ保管、Global IP制限、管理コンソール
実装例２．SaaS Portalとの連携

共通オプション：Global IP制限（3,000円/月）、仮想ドライブ変更（500円/回）、管理者変更（IP制限（3 000円/月） 仮想ドライブ変更（500円/回） 管理者変更（ 500円/回）
オプション費用：月額31,500円～
オプション機能：ログ監査レポート、不正侵入検知（IDS）、ファイルサーバ運用代行、カスタマイズ（SIベース）
ファイルサ
運用代行、カスタマイズ（SIス）
共用ファイルサーバ環境
共用SSL-VPN環境

専用ファイルサーバ（専用VM）環境
専用SSL-VPN環境

31

FUSION Secure Drive（管理コンソール）
管理コンソールでFUSION Secure Driveの契約ID数Driveの契約ID数、ストレージ容量やパスワードを管理できる。
ストレージ容量やパスワードを管理できる
管理コンソールと課金システムとの連携をMule ESBとOpenAMの認証認可で実現。

32

FUSION Secure Drive（ユースケース）-本社と全国営業拠点間でのプレゼン資料の共有や日報運用本社

本社

たくさんのメールの中に本当に必要な情報が埋もれてしまう
プレゼン資料の送付

プレゼン資料や日報を本社と全国営業拠点間でリアルタイムに共有
日報の送付

営業拠点

営業拠点

＜従来のメールでのやり取り＞＜従来のメルでのやり取り＞＜FUSION Drive導入後＞
導入後

本社と営業拠点との間の情報共有に手間がかかったり、リアルタイムな情報共有ができない。
 １日に何回もパスワード付添付ファイルのメールを各拠点に送付
 メールの送付先間違い、旧版データ送信などの伝達ミスが発生
ルの送付先間違 、旧版デ タ送信などの伝達ミ が発本社と営業拠点との間で情報共有がスムーズにできる。
 過去の履歴を含めたプレゼン資料を営業拠点にリアルタイムに共有できるので、最新版がどれかすぐにわかる、最新版をすぐに取り出せる 営業拠点からの日報を本社でリアルタイムに把握できる33

６ まとめ
６．まとめ

34

まとめ
 FUSION Cloudは、サービス管理機能を提供するための共通基盤として、Mule
Cl dは サ ビス管理機能を提供するための共通基盤として M l ESBを使ったシステム間連携機能と、OpenAMを使った認証認可機能を実現。
 認証認可のOpenAMへの置き換えプロジェクトを実施し、そのプロジェクト完了をもって本格商 サ ビ本格商用サービスに移行することができた。
移行する とが きた 外部システムとの連携は、Mule ESBおよび認証認可（OpenAM）の基盤が出来上がっていたため、短期かつ容易に実現できた。
 今後、これらの基盤を使ってフュージョンのIaaS/PaaS/SaaSを拡充。

35

ご清聴ありがとうございました。
 FUSION Cloud（IaaS/PaaS/SaaS）に関するお問い合わせ先
フュージョン・コミュニケーションズ株式会社
フュジョン・コミュニケ ションズ株式会社 事業推進部
TEL050-5518-8259
E-mailcloud_plan@fusioncom.co.jp
 OpenAMとMule ESBに関するお問い合わせ先
株式会社オージス総研 ソリューション営業部
TEL
03 603-6712-1201
0E-mail
info@ogis-ri.co.jp

36