最新 Azure Active Directory と Windows 10 で認証はこう変わる

Size: px

Start display at page:

Download "最新 Azure Active Directory と Windows 10 で認証はこう変わる"

のぶあきいさし
5 years ago
Views:

1 ROOM B

2 危険要因はどこにあるのか? 50% の企業がスマートフォーンによる BYOD を導入しようとしている * 61% の会社員が 1 つのデバイスをプライベートと業務に使用している ** >70% のネットワーク侵入が脆弱性や盗まれた認証情報によって実行されている *** * Gartner: Making Sense of Bring Your Own Device (BYOD) and Choose Your Own Device (CYOD) ** Forrester Research: BT Futures Report: Info workers will erase boundary between enterprise & consumer technologies, Feb. 21, 2013 *** Source Verizon 2013 data breach investigation report

3 Windows 10 ではパスワード無し運用が可能にパスワードは認証サーバーに送信される User ID/Password Token アタックを受けやすい! UserID Password PIN はローカル PC で使われる PIN Token Request Token UserID

5 Azure AD を数字で見てみよう 86% Fortune 500 社のうちマイクロソフトのクラウド (Azure, O365, CRM Online, Power BI) を使用している企業 1 兆サービスのリリース以降こなしてきた認証数 Azure AD は >500 万の組織情報を管理している 5000 万 Office 365 の毎月のアクティブユーザー >50 億 Azure Active Directory に登録されているオブジェクト数 >10 億 Azure AD で毎日行われる認証の数 Office 365 や Microsoft Azure を利用している方は知らない間に Azure Active Directory を使用しています!

6 ない

7 7:37 AM ドメインに参加している Windows デバイスを問わない

8 7:37 AM Kerberos チケット SAML トークン or アクセストークン

9 ID Pass TGT TGT TGT TGT TGT TGT

10 TGT TGT

12 SAML トークン or アクセストークン 7:37 AM

13 Active Directory ドメイン

14 Web page title ISV 様が自社開発 SaaS アプリをギャラリーに登録申請することもできます

15 SAML 対応アプリアプリケーションのポータルユーザーはサービスをクリックすれば SSO でアクセス可能表示されるアプリはアクセス権が与えられたもののみ Password を入力するアプリ ID 同期 Web page title sign-in On-premise

16 ブラウザの専用アドイン ( マイクロソフト製 ) がパスワード入力を補助するアクセスパネルを経由しないと自動入力は不可事前に ID とパスワードを設定 ( セルフサービス ) しておけばクリックだけで ID とパスワードを自動入力してくれる

17 Azure AD 側でアプリケーションにアクセス可能なユーザー ID を制限ユーザー単位グループ単位 ( 要 Azure AD Premium) アプリケーション単位 + グループ単位に多要素認証の要否を設定可能

18 シングルサインオン URL アクセスパネルに登録したアプリケーション単位に SSO の URL を抜き出すことが可能独自のポータルやデスクトップに URL を貼り付けられるので毎回アクセスパネルを開く必要が無い a8533a84832fc98a5b7f567fa022e8 18

19 Sign-in to Application Sign-in to OS Sign-in to OS

20 WS-Federation フェデレーション信頼 ❹ アクセスパスワードはオンプレミスで管理 SAML トークン ❶ Sign-in Active Directory ドメイン

21 Sign-in to Application Sign-in to OS Sign-in to OS

22 ID / パスワード同期複数の AD ドメインを Azure AD に集約できる同期には Azure AD Connect ツール ( 無償 ) を使用 ID/Password 同期 ID のみ同期フェデレーション信頼 22

23 Azure Active Directory の利用形態 Cloud Identity Synchronized Identity Federated Identity

24 一度ログオンすれば Azure AD のアプリケーションに SSO したい一度ログオンすればオンプレミス AD のリソースにも SSO したい

25 Sign-in to Application 10 Sign-in to OS Sign-in to OS

Intune(MDM) でポリシー管理セキュリティポリシー / アプリ配布 Intune

26 Windows 10 は Active Directory ドメインまたは Azure AD テナントに参加できる同時に参加することはできないグループポリシーの代わりに Microsoft Intune(MDM) でポリシー管理セキュリティポリシー / アプリ配布 Intune Azure AD テナントにデバイス登録 Azure AD デバイス登録サービス (DRS) Azure AD

27 参加後の SSO の方式が大きく異なる AD Domain Join :Kerberos TGT Azure AD Join :Microsoft Passport セキュリティポリシーによるガバナンス AD Domain : グループポリシー Azure AD Join :MDM(Microsoft Intune)

28 TPM に格納したキーをベースに PRT( プライマリリフレッシュトークン ) を発行 PRT を Azure AD に提示するとアプリケーションにアクセスするためのアクセストークンを受け取ることができる ( クラウドレベルの Kerberos TGT) TPM からキーを取り出すには PIN の入力が必要ハードウェア + PIN による認証 PIN 入力の代わりに Windows Hello( 生体認証 ) も利用可能認証のためにパスワードは使用しない Windows 10 + Azure AD でサポート独自開発で他のアイデンティティプロバイダーに対応することも可能 Windows 10 + Windows Server 2016 AD でサポート予定 TPM:Trusted Platform Module

29 のるしかないこの BIG WAVE に! FIDO ALLIANCE By 2015, a large portion of Internet users will say goodbye to the old-school username and password in favor of methods such as biometrics and one-time secure keys, especially after the big players in the group begin to adopt the new standards. MICHAEL BARRETT, FIDO ALLIANCE PRESIDENT In 2015 it won t matter if hackers steal your password Source:

30 FIDO ALLIANCE Board level members

31 ❺Key pair 生成 TPM Azure AD IdP Container ❻ 証明書署名要求 (CSR) ❼ 公開鍵証明書 Azure AD デバイス登録サービス (DRS) ❽ 登録完了

32 TPM Azure AD Sign-in Request ❹Request を公開鍵で確認し中身をチェック

33 Access to Application PRT( プライマリリフレッシュトークン ) を使用してアクセストークンを取得する ❶ アクセス ❺ アクセストークン送信 TPM ❷ トークン要求 Azure AD ❹ アクセストークン取得 ❸ プライマリリフレッシュトークン送信

に対応させることで完全な SSO が可能 TPM Azure AD Native Application Web Account

34 Windows 10 とネイティブアプリケーション通常ネイティブアプリケーションは隔離されているため他のアプリケーションとトークンを共有することができない Windows 10 ではネイティブアプリを Web Account Manager に対応させることで完全な SSO が可能 TPM Azure AD Native Application Web Account Manager Token Broker Token Broker plug-in Web Account Provider1 Token を持っていればそれを利用持っていなければ要求

35 C#/JS ADAL.NET + Xamarin Apache Cordova Plugin for ADAL Web Account Manager Native ADAL Obj-C ADAL Android ADAL.NET ios Android

36 現時点では未提供 ADAL 対応アプリ間での SSO 多要素認証にも対応 Intune 連携によりデバイスの条件付きアクセスが可能

37 AD Domain Join グループポリシードメインに参加すると自動的に適用従来通りの方法きめの細かい管理制御 Azure AD Join MDM(Microsoft Intune) Azure AD に参加すると自動的にエンロールモバイルデバイス / アプリケーション管理グループポリシーほど設定項目はない

38 Windows Hello PIN 入力に代わるゼスチャー認証生体を利用指紋顔光彩顔の誤認識率 1/100,000 顔による認証失敗率 2-4% 赤外線センサーによる生体識別

39 Looking for you 18:00 Tuesday, May 26,

40 Hello Junichi! 18:01 Tuesday, May 26,

Hybrid Identity ～認証システムデザインパターン

Hybrid Identity ～認証システムデザインパターン ROOM B 7:37 AM Authentication/Authorization SAML, WS-Fed, OpenID Connect, Oauth 2.0に対応 Windows 統合認証 Ldap 認証パスワード等 Application Platform 認証と公開の基本方針認証しなければならない回数を極力減らす(できれば OS