クラウド時代のシングル・サイン・オン, OSS Consortiumオープンソース・ソリューション・テクノロジ株式会社小田切耕司、岩片靖2009/06/02 OSSTechお問い合わせinfo@osstech.co.jp - 1 -目次●クラウド・コンピューティングと認証–認証は誰がどこで行うべきか？ ● OpenIDとSAML –それぞれの特徴– OSSでOpenID, SAMLを実現する●  OpenSSO：デモ-連携するアプリの紹介デモで使う組織の構造- 2 -クラウド・コンピューティング●コンピューティング(コンピュータ処理)を会社や個人が所有するコンピュータでなく、クラウド（社外のインターネット)上で行う●様々なコンピュータ処理がインターネット上で処理される●個人のデータがインターネット上におかれる–  mixi, yahoo, Facebook, Blog ●会社のデータがインターネット上におかれる– Google Apps, SalesForceなど●ユーザ情報やパスワードもクラウド上に置くのか？ – クラウド上に共通なIDを置く→ OpenID –社内にIDを置いてクラウド利用を社内から制御→ SAML "
クラウド・コンピューティング- 4 -企業内ユーザの認証従来のイントラネットでは. . .イントラネットでは社内に入れないのであまり心配ないが、クラウドでは社外から会社のデータにアクセスできてしまう- 5 -
- 6 -
l l
●企業側のメリット–パスワードや個人情報を外に出す必要がなくなる–「入り口」を一箇所にすることにより監視が容易になる退職社員は1カ所で削除すればすべての業務が利用不可とできる●ユーザ(社員)のメリット– IDやパスワードを多数覚えなくてもすむ–社内だけでなく社外のシステムにもシームレスにアクセス可能になる企業ユーザの認証は各企業で行う、そして連携させる- : -
認証連携Identity  Provider (ユーザがログイン) IdPと略記(OpenIDの場合はOP) Relying Party (サービスを提供) RPと略記Service Provider(SP) User Agent (ユーザのブラウザ) - 9 - Consortiumクラウドでの認証コンシューマー向けサービスではサービス提供側で、企業ユーザの認証は各企業が行う方向に進む各企業がIdPの機能を持つ実際にはどうするか？ - 10 -

● SAMLとは
Security Assertion Markup Language標準化団体OASISによって策定された、認証や認可の情報を安全に交換するためのXML仕様。 – AuthXMLとS2MLを統合して標準化したもの。認証情報の交換方法はSAMLプロトコルとしてまとめられており、メッセージの送受信にはSOAP/HTTPが使われる。 ●オープンID 【OpenID】とは様々なWebサイトで共通のID情報を利用できる認証方式の一つ。また、そのID情報自体のこと。オープンIDに対応しているサイトでは自分の持つオープンIDでログインして会員向けサービスなどを利用できる。 l - 11 -
- 12 -
●  OpenID ●  SAML (Browser Post Profile) – IDはクラウドに置くくた───ユーザの視点IdPの視点開放指向–管理指向= 13
Browser 9.リダイレクト +認証結果認証結果の確認&アクセスの許可Copyright © 2009 Open Source Solution Technology - 14, -
OpenID, SAMLをOSSで実現しよう！多数のシステム、多数の連携先多くのプロトコルに対応した認証サーバを導入すべてオープンソースで実現できれば低コスト、高機能なものができるMulti-Protocol HubとしてのOpenSSO - 16 -
●  CentOS 5.3 (Apache 2.2 , Tomcat 6) ●  OpenSSO 8.0 – Sun Microsystem社により開発されたOSSのSSOソフト– AgentおよびReverse Proxy方式,OpenID,SAMLによるSSOを提供● OpenLDAP –ユーザIDを入れるための格納場所– OpenSSO向けの拡張スキーマをOSSTechで用意● Liferay -オープンソースのEIP(企業向け情報ポータル)用ソフトウェア- OpenSSO向けのAgentモジュールが標準で付属● Alfresco -オープンソースのECM(企業向けコンテンツ管理)用ソフトウェア– OpenSSO向けのAgentをOSSTechで開発
- 18 - � OSSTechデモで使う組織構造●徳川御三家-尾張藩–徳川宗春-紀州藩–徳川吉宗-水戸藩–徳川斉昭- 19 -
3) OpenSSO - Mozilla Firefox 28ファイル(E)  編集(E)  表示(V)  履歴(S)  ブックマーク(B)  ツール(I)  ヘルプ(H) ( sm   http://opensso.labnet.com:8080/openss </> -> /= . - Gilles amAdmin amAdmin OpenSSO 2証サービスデータストア権限ポリシー日一杯一グループ/（最上位のレルム）> mito.tokugawa.comコーサーアクセス制御ヘ戻る* (12.5):新規...肖防余日名前日Alfresco Org  Admin for Mito日A
n construction (3)ユーザー - liferay.com - Możillā Firefoxファイル(E)　編集(E)　表示(V)　履歴(S)　ブックマーク(B)　ツール(I)　ヘルプ(H)
:ロントロールパネル
X. Test Testスイベーショ内容分分とカテゴリボータルコーサーは、すべてを参照検索オブション»
該当件数：4件コミュニティの管理フードーグループl組織
41ミステムコサの管理- Mozilla Firefox表示(V)  履歴(S)  ブックマーク(B)  ツール(I)  ヘルプ(H) he  My Home  Guest Home  My Alfresco ■■ ( h  | h  ②エラー報告20システムユーザの管理リポジトリのユーザを管理します。 - 22 - -
本日のまとめ
●企業利用では認証を外部に任せるのはやめましょう。社内にIdPの機能を持ちましょう。 ●  OpenIDとSAML(browser sso profile)は認証連携を目的にしたプロトコルですが重視する点が異なっています。 ●様々なプロトコルに対応したOpenSSOを利用してMulti-Protocol Hubを構成するという方法もあります。 ● OpenSSOは様々なアプリケーションにも対応しているため社内システムのSSO化にも効果があります。 ●クラウド対応OSSアプリケーションの標準になりつつある� OSSTech付録.オープンソース・ソリューション・テクノロジ会社紹介
・ OSに依存しないOSSのソリューションを中心に提供• Linuxだけでなく、Windows/Solaris/FreeBSDなどへも対応！ ● Samba,OpenLDAP,OpenSSOなどによる影響献合/
シングル・サイン・オンソリューションを提供製品パツケージ提供•製品サポート提供• OSSの改良、バグ修正などコンサルティング提供Sun Java Directory Server, Windows Active Directory, CLUSTERPROなどの商用ソフトのソリューショof 300 - 100 •商用製品とOSSの柔軟な組み合わせに対応
• Samba 3.0/3.2 for Solaris / Linux – Windows認証サーバー／ファイルサーバー – 独自の不具合修正と改良(Solaris ZFS,SunJDS対応) •   OpenLDAP 2.3/2.4 for Solaris / Linux –認証統合／SSOのための必須ソフト-独自の不具合修正と改良(OpenSSO対応) •   LDAP Account Manager - LDAPやSambaのWebベース管理ツール• SSLBridge :インターネット経由でファイルサーバーヘアクセス• OpenSSO :クラウド時代のSSO . Chimera Search : Windowsアクセス権対応全文検索システム
1 20 9