クラウド&モビリティ時代に求められる統合認証基盤

Transcription

1 2017 年 8 月更新 ver.8.0 クラウド & モビリティ時代に求められる統合認証基盤 - IceWall SSO のご紹介 - 日本ヒューレット パッカード株式会社テクノロジーコンサルティング事業統括 IceWall ソフトウェア本部

2 目次 統合認証基盤 ( シングルサインオンソリューション ) とは統合認証基盤が必要な理由統合認証基盤に求められる新たなニーズ - クラウドおよびモビリティ環境への対応 クラウド環境の認証課題を解決する 認証連携 ( フェデレーション ) モビリティ環境の認証課題を解決する モバイルSSO リアルタイム Web 利用分析ソリューション IceWall SSO のご紹介 IceWall SSO IceWall Federation IceWall SSO モバイルソリューション IceWall SSO ワンタイムパスワードソリューション IceWall SSO リアルタイム Web 利用分析ソリューション IceWallソフトウェア検証環境評価キットのご紹介お問い合わせ 2

3 統合認証基盤 ( シングルサインオンソリューション ) とは 3

4 どんな IT サービスを利用する上でも 認証 は必須 オンプレミス / プライベートクラウド ( 企業内 ) パブリッククラウド ( 企業外 ) UNIX UNIX salesforce.com Active Directory Windows アプリ クライアントサーバーアプリ Web アプリ G Suite( 旧 Google Apps) Office 365 ログイン ログイン ログイン (Windows 認証 ) ログイン 認証 が必要な IT サービスやユーザー数が多いほど 統合認証基盤 ( シングルサインオン ) の必要性が高まる ユーザー 4

5 シングルサインオン (SSO) とは? 複数の異なるアプリケーションを使用する際 1 回のログイン ( ユーザー認証 ) だけでアクセスを可能にするソリューション SSO 未導入 SSO 導入済み ユーザー 異なるアプリを使う度に ID/ パスワードの入力が必要 ユーザー アプリケーション使用時は ID/ パスワードの入力は 1 回だけ!! LOG IN ID PW LOG IN LOG IN ID PW シングルサインオン LOG IN ID PW ID PW Web アプリ A Web アプリ C Web アプリ B Web アプリ A Web アプリ B Web アプリ C 5

6 統合認証基盤が必要な理由 6

7 認証 における様々な悩み 様々な IT サービス ( アプリケーション ) の利用に必ず伴う 認証 しかし利用者 IT 管理者 アプリケーション開発者 経営者がそれぞれ抱える悩みは様々です 利用者 開発者 多くの ID とパスワード アプリケーション毎に煩雑なアクセス操作 アプリケーション毎に開発が必要な認証機能 プリケーション同士の複雑な連携 管理者 膨大な利用者情報の管理 ( ID パスワード 属性情報 etc) 膨大なアクセス制御の管理 経営者経営者 サイロ化された非効率なシステムの増加 内部および外部からの不正アクセスによる情報漏洩 ( セキュリティリスク ) 運用コストの増大 IceWall SSO( 統合認証基盤 ) の導入で一挙解決 7

8 利用者 統合認証基盤による解決 1 多数のパスワード管理 煩雑なログイン操作からの解放 利用者は自ら管理するパスワード数が減り また異なるアプリケーションにアクセスする度に発生する認証情報の入力が不要に 認証基盤未導入 認証基盤導入済み ユーザー 異なるアプリを使う度に ID/ パスワードの入力が必要 ユーザー アプリケーション使用時 ID/ パスワードの入力は 1 回だけ!! LOG IN LOG IN ID PW LOG IN ID PW 統合認証基盤 (IceWall SSO) LOG IN ID PW ID PW 8

9 統合認証基盤による解決 2 利用者情報の一元化による管理の簡素化 管理者はアプリケーション毎に設定された利用者情報 (ID やパスワードなど ) を一元化でき 膨大な情報管理が簡素化可能に 認証基盤未導入 認証基盤導入済み 管理者 ID=A12345 パスワードポリシー : 英数字 6 文字以上 Web アプリ ユーザー 統合認証基盤 (IceWall SSO) Web アプリ ユーザー ID=YAMADA11 パスワードポリシー : 数字 + アルファベット ID=T_YAMADA パスワードポリシー : 数字 + 大文字 + 小文字 + 記号 管理者 アプリ毎に異なる ID とパスワードポリシー 管理しきれない ID=TaroYamada パスワードポリシー : 英数字 + 記号 8 桁以上 管理者 自動ログイン 自動ログイン ブラウザーをエミュレートして自動ログイン自動ログイン 認証に必要な利用者情報は一元化 管理しやすい! 9

10 統合認証基盤による解決 3 アクセス制御 アクセスログの一元管理 管理者はユーザー認証から各アプリケーションへのアクセス制御やアクセスログを一元化でき シンプルかつセキュアな管理を実現 認証基盤未導入 認証基盤導入済み 管理者 ユーザー ユーザーが誰か不明 (ID が多数 ) ユーザー ID が曖昧でアクセス制御も効果がない 抜け道がある 誰がどの情報にアクセスしたか不明 セキュアなアクセス 誰をどこにアクセスさせるか集中制御 統合認証基盤 (IceWall SSO) アクセスログの一元管理 Web アプリ Web アプリ Web アプリ 管理者 10

11 統合認証基盤による解決 4 アプリケーション開発コストの削減 開発者 開発者は認証 認可機能の開発を本来のアプリケーション開発から切り離せ 開発期間 工数の削減が可能に また既存アプリケーションにおいても 認証 認可機能を付与が容易に 認証基盤未導入 認証基盤導入済み アプリケーション アプリケーション ユーザー ID/PWD ID/PWD ID/PWD 認証認可 認証認可 認証認可 ビジネスロジック ビジネスロジック ビジネスロジック 統合認証基盤 (IceWall SSO) ユーザー ID/PWD 認証認可 ビジネスロジック ビジネスロジック ビジネスロジック ID/PWD アプリ毎に認証 認可機能の開発が発生 認証認可 ビジネスロジック 認証 認可機能の開発は不要! 既存アプリケーションとの連携も容易 ビジネスロジック 11

12 統合認証基盤による解決 5 標準化された変化に柔軟な IT システムの構築 経営者は IT システムのサイロ化を防ぎ ビジネスの変化に柔軟に対応できる標準化されたインフラを手に入れることが可能に 認証基盤未導入 認証基盤導入済み 経営者 DB DB DB ビジネスロジック UI 認証防御セキュリティ DB ビジネスロジック UI 認証防御セキュリティ salesforce.com G Suite( 旧 Google Apps) Office365 UI 認証 ビジネスロジック UI ビジネスロジック ビジネスロジック UI 人事アプリ営業アプリクラウドサービス ポータル salesforce.com G Suite Office365 UI 人事アプリ 営業アプリ クラウドサービス 認証 認可 証跡ログ 防御セキュリティ 統合認証基盤 (IceWall SSO) サイロ化した IT システム 全体最適化された IT システム 12

13 統合認証基盤による解決 6 内部および外部からのセキュリティリスクの軽減 悪意のある第三者による不正侵入や脆弱性攻撃など 認証 における様々なセキュリティリスクを回避 軽減が可能に 外部侵入者 認証基盤未導入 内部侵入者 正規ユーザー 認証基盤導入済み 外部侵入者内部侵入者正規ユーザー 経営者 ID/ パスワード情報等などが漏洩 個別のセキュリティ対策による人的ミスや脆弱性が増加 不正アクセスを許容 侵入 Web アプリ 認証 認可 管理 監査証跡を統合的に行え 強度なセキュリティを提供 統合認証基盤 (IceWall SSO) 各アプリケーション をバックエンドに 配置することで 脆弱性攻撃からも 管理者 管理者 保護 Webアプリ 管理者 13

14 数値で見る導入効果 IceWall SSO 未導入 アプリの数 開発費 運用費 ユーザーコスト セキュリティリスク * 時間 * 認証基盤無し IceWall SSO 導入後 アプリの数 目標例開発費 開発費を 20% 削減 運用費 運用費を40% 削減 ユーザーコスト アプリの数に依存せず セキュリティリスク * リスクを50% 削減 時間 * % 時間を節約 認証基盤有り *1 セキュリティの対策およびセキュリティ被害によるコスト *2 サービス開始までの時間発生によるコスト IceWall SSO( 統合認証基盤 ) の導入はユーザーの利便性の向上はもちろん 運用の効率化 アプリケーション開発の効率化 セキュリティリスクの軽減など 様々な効果が期待できます 本数値は弊社実績に基づくシミュレーションです 実際のコスト ( 金額 ) ではありません また構成や要件により大きく変動します 認証基盤有 認証基盤無 14

15 統合認証基盤に求められる新たなニーズ - クラウドおよびモビリティ環境への対応 15

16 クラウド & モビリティ時代の IT 利用 ~any devices, anywhere accesses Public Cloud SaaS サービス 社外ユーザー (Remote) On Premise 社内イントラ 社内ユーザー IT 部門が処理の流れを把握出来ないセキュリティ 利便性 接続性に課題 16

17 クラウド & モビリティ時代の IT 利用 ~any devices, anywhere accesses 認証連携モバイル (Federation) Public Cloud SaaS サービス 社外ユーザー (Remote) 統合認証基盤 ワンタイムパスワード On Premise 社内イントラ IceWall ログ Web 利用分析 社内ユーザー モバイルからも SSO! クラウドサービスへも SSO! 高セキュリティの統合認証ソリューションが必要な時代に IceWall なら一挙解決 17

18 クラウド環境の認証課題を解決する 認証連携 ( フェデレーション )

19 クラウド普及に伴う新たな課題急速なクラウド普及により セキュリティ対策および利便性向上の両面において 改めてシングルサインオンの需要が急増しています オンプレミス / プライベートクラウド ( 企業内 ) パブリッククラウド ( 企業外 ) + ユーザ個別に ID/ パスワードを作成 更新されたら把握しきれない管理工数的にもセキュリティ的にも心配 認証基盤 管理者 ログの入手や管理はプロバイダーに依存 いざという時は迅速な対応が必要なのに ユーザー 社内の Web アプリも外部の Web サービスも同じように利用したい ( シングルサインオンしたい ) んだけど 19

20 認証連携 ( フェデレーション ) による解決 認証連携 ( フェデレーション ) を利用することでパブリッククラウドへもセキュアなアクセス / シングルサインオンが実現できます オンプレミス / プライベートクラウド ( 企業内 ) + 社内システムからのアクセス ( ログイン ) のみとすることで 管理工数およびセキュリティリスクを軽減 パブリッククラウド ( 企業外 ) 統合認証基盤 (IceWall SSO) 管理者 ユーザー 社内システムからパブリッククラウドへシングルサインオン 20

21 Tips 認証連携の仕組み (SAML の場合 ) ユーザーは IdP に ID,PWD などを入力して認証を受ける 認証を受けた後は SP に直接アクセスしてサービスを利用する 1 IdP サイト A にログイン ユーザー 3 SP サイト B に ID/ パスワードの入力なしでアクセス可能に IdP(Identity Provider): ID を管理して認証を行うサイト SP(Service Provider): 実際のサービスを提供するサイト 2 ユーザーが認証済みであることを IdP から SP へ伝達 IdP(Identity Provider) サイト A IceWall SSO ソリューション リバースプロキシサーバー 信頼関係 SP(Service Provider) サイトB あらかじめ IdP と SP 間で信頼関係を結ぶ IdP はユーザーを認証し SP に認証情報 (ID や属性情報 ) を送る 認証サーバー / 認証 DB Federation サーバー ユーザーの ID/ パスワードが登録済み SP は IdP から送られた認証情報を受けて ユーザーにアクセスを許可する IdP と SP 間の送受信は SAML, Shibboleth, OpenID などの標準仕様が使用される 21

22 モビリティ環境の認証課題を解決する モバイル SSO

23 モバイルデバイス活用に伴う課題 企業においてもスマートフォンやタブレット端末を利用したモビリティ環境から社内 ITシステムにアクセスし 業務を行うモバイルワークの導入が進む一方 セキュリティ対策は大きな課題であり これまで以上に 認証 認可 アクセス管理 監査証跡 を行う統合認証基盤の重要性が増しています さらにモビリティ環境においては 従来のPC 環境とは異なるユーザビリティゆえに それらを損なわない操作性と利便性を維持できるSSO( シングルサインオン ) ソリューションが求められます モビリティ環境で使用するデバイスは多種多様 スマートフォン以外の認証にも対応が必要 ウチの Web 環境に適した機種を選びたいけど 機種が多すぎて スマートフォンからのアクセスを許可したものの やはりセキュリティが不安 リーズナブルに認証強化できないか スマートフォン画面上で毎回複雑な ID とパスワードを入力してログインするのはミスタッチも多くて 不便 スマートフォンのブラウザーからは Web サイトが見づらい 管理者 ユーザー 23

24 モバイル SSO=IceWall SSO モバイルソリューションによる解決 スマートフォンからのアクセスを許可したもののやはりセキュリティが不安 リーズナブルに認証強化できないか スマートフォンで簡単 リーズナブルにワンタイムパスワード認証!! スマートフォン画面上で毎回複雑な ID とパスワードを入力してログインするのはミスタッチも多くて不便 スマートフォンから ID/ パスワードを入力しなくても簡単ログイン!! モビリティ環境で使用するデバイスは多種多様 スマートフォン以外の認証にも対応が必要 各種モバイルデバイスやアプリケーションが持つ様々な情報を使って認証!! ウチの Web 環境に適した機種を選びたいけど機種が多すぎて スマートフォンのブラウザーからは Web サイトが見づらい PC だけでなくモバイルデバイスにも対応したツールやサポート より快適なモビリティ環境の実現にはセキュアでリーズナブルな認証ソリューション = モバイル SSO が有効!! 24

25 膨大な Web アクセスログの管理を低コストに実現リアルタイムに分析 リアルタイム Web 利用分析 ソリューション

26 IceWall アクセスログにおける Web 利用分析の課題 IceWall のアクセスログは 1. 全アプリの利用情報が集中 2. Web アクセスログより詳細な情報 従来も部分的に利用されていた 数百万行から最大数百億行にもなるビッグデータ オンライン保管 保管コスト 分析時間が課題 IceWall SSO IceWall サーバー IceWall アクセスログ ユーザー 全トランザクションが IceWall サーバーを通過 ピークで最大毎秒 1 万件 高速データロードが必要 LOG 認証サーバー 認証 DB Web アプリ ( 数 + 台 ~ 数百台 ) 26

27 リアルタイム Web 利用分析ソリューションによる解決 IceWall SSO とリアルタイム DB 分析ソフトウェア HPE Vertica Analytics Platform を組み合わせて以下を実現 問題を解決! 1IceWall アクセスログをデータウェアハウスに高速ロード 生成され続ける IceWall アクセスログを 高速に DWH にロードし 瞬時に分析可能な状態にする ( 毎秒 1 万件でも問題なし ) 2 大量蓄積データの高速検索 DWH に蓄積された大量のログデータに対するクエリーを高速処理 3 低コスト & 高可用性 低価格のシステム構成 二重化 27

28 IceWall SSO + HPE Vertica Analytics Platform によるリアルタイム Web 利用分析ソリューション 高度な分析用データソース データ整形高速データロード リアルタイム解析データウエアハウス 選択自由な分析ツール a アクション ユーザー LOG フォワーダー 認証サーバー 各種 DB ( プロファイル ) 収集 収集 画像ログ削除正規化 ホスト名抽出 IP アドレス => 地域 URL 整形統合 Profile グループ化 販売データ処理 ソート 順序付け CRM IceWall ETL Tool ( 提供予定 ) キャンペーンとして反映 IceWall SSO ロード システム分析用プロジェクション B B A C A C ビジネス分析用プロジェクション HPE Vertica Analytics Platform 可視化 BI ツール 分析 レポート 展開 ロード プロモーション 営業 Salesforce 28

29 IceWall SSO のご紹介 IceWall SSO IceWall Federation IceWall SSO モバイルソリューション IceWall SSO ワンタイムパスワードソリューション IceWall SSO リアルタイム Web 利用分析ソリューション 29

30 IceWall SSO とは IceWall SSOは シングルサインオンにより一度の認証で複数のWebアプリケーションへのログインを実現し さらにセキュリティと アクセスコントロールの4A の統合を実現するソリューションです エージェントレスでOSやWebアプリケーションに制限の少ないリバースプロキシ方式を主体としています IceWall SSO の基本構成 POINT 1 リバースプロキシすべてのトランザクションが IceWall サーバーを通過 認証認可チェックし アタックを防御 アクセスコントロール 4A 認証 認可 管理 監査証跡 IceWall SSO POINT 3 Web アプリケーションエージェントの配布が不要 OS や Web アプリに制約が少ない ユーザー IceWall サーバー Web アプリ Web アプリ POINT 2 認証モジュール IceWall サーバーからの要求を受け 認証 DB 上の認証認可情報と照合し アクセスログを記録 認証サーバー 認証 DB Web アプリ 30

31 IceWall SSO 主な特長 主体のリバースプロキシ方式に加え エージェント方式にも対応する他 IceWall Federation を使用したクラウド環境への認証連携も実現します IceWall SSO の主な特長 POINT 6 マルチプラットフォーム対応 HP-UX, Linux, WindowsのいずれのOSでも構築可能 IceWall SSO IceWall サーバー POINT 4 リバースプロキシ方式リバースプロキシ方式では Web アプリケーションへの制約が少ない ユーザー Web アプリ 認証連携 Web アプリ クラウド POINT 7 クラウド連携パブリッククラウド / プライベートクラウドとの認証連携も可能 (IceWall Federationを使用 ) 認証サーバー 認証 DB POINT 5 Web アプリ エージェント方式 Web アプリケーションに直接アクセスが可能なエージェント方式にも対応 31

32 Tips リバースプロキシ方式のメリット バックエンドの Web アプリケーションを防御外部からは IceWall サーバーしか見えないため バックエンドの Web アプリケーションへの直接の攻撃を防御 セキュリティ対策を集中外部からの入り口を統合することで 重点的にセキュリティ対策が可能 IceWall SSO の機能 * で更なるセキュリティ強化も * クロスサイトスクリプティング バッファオーバーフロー SQL インジェクション (IceWall MCRP を使用 ) に対応 Web アプリケーション個別の対応が軽減各 Web アプケーション毎のセキュリティ対策は不要 また Web アプリケーションの OS やミドルウェアに依存せず コストの削減 SSL のサーバー証明書は IceWall サーバーのみに必要 その他の追加コストを軽減 ユーザー IceWall サーバー 認証サーバー認証 DB Web アプリ アクセス管理の軽減ファイアーウォールでは IceWall サーバーへの通信のみを通過させれば OK サーバーへのアクセスの集中管理が可能 ログの集中管理アクセスログが 1 ヶ所に保存されるため ログの集中管理が可能 32

33 IceWall SSO の強み 1 多様な認証方式への対応 IceWall SSO は バックエンドとなる Web アプリケーションへの制限が少なく どのような環境にも適用させることができます また 多様な認証方式に対応しており フォーム認証には 11 方式 48 通りのパターンに対応しています 一部の特殊環境を除く IceWall SSO IceWall サーバー 認証サーバー / 認証 DB HTTP ヘッダでの属性情報引き渡し例 : Suzuki Ichiro 自動 Form 認証 代行認証例 : user01 ***** Basic 認証 代行認証例 : AAAA *** 認証なし例 ) 新規 既存の Web アプリ 認証あり Form 認証例 ) パッケージ Web アプリ等 リバースプロキシ方式限定 Web アプリケーション Type A 属性情報でのアプリケーションのコントロール Web アプリケーション Type B IceWall SSO の ID/ パスワードを利用した認証 IceWall SSO の ID/ パスワード USERID PASSWD 属性情報 Name アプリケーションの ID/ パスワード USERID user01 ***** Suzuki Ichiro AAAA *** PASSWD 認証あり Basic 認証例 ) パッケージ Web アプリ等 Web アプリケーション Type C アプリケーション管理の ID/ パスワードを利用した認証 33

34 IceWall SSO の強み 2 ルールベースの効率的なアクセス制御 ロールベースのアクセス制御方式の場合 個人の属性変更に伴う都度のアクセス権限の変更など 運用管理の負担が重くなりがちですが ルールベースを採用している IceWall SSO は効率的なアクセス制御が可能です 具体例 A さん 人事部長から総務部長へ異動となった A さんのアクセス制御を行う場合 他社製品のロールベース方式 現状 A さん 変更後 個人にロールを割り当てアクセス制御 IceWall SSO のルールベース方式では 個人属性が変われば自動的に変更処理されるため 人事異動の多い企業でも安心!! IceWall SSO のルールベース方式 現状 他社製品のロールベース方式では 個人のロールを新たに割り当てる必要があるため その都度 時間と費用がかかることも A さん 変更後 個人属性 + 論理式でアクセス制御 人事部長 総務部長 ロールテーブル IF 組織 = 人事部 IF 組織 = 総務部 IF 役職 = 部長 Then 人事用コンテンツ Then 総務用コンテンツ Then 部長用コンテンツ 認可ルール 人事用コンテンツ 部長用コンテンツ 総務用コンテンツ 人事用コンテンツ 部長用コンテンツ 総務用コンテンツ 34

35 IceWall SSO の強み 3 高い処理性能 ( パフォーマンス ) リバースプロキシ方式を採用した場合 プロキシ部分に負荷が集中しボトルネックになると考えられがちですが IceWall SSO は数千ヒット / 秒もしくは数百ログイン / 秒という高い処理性能を誇り クラウド環境を見据えた高負荷 / 広範な環境においても 十分なパフォーマンスを発揮します また 認証サーバーと認証 DB 間の処理性能についても非常に高速です プロキシ専用 1,000hit/sec/ 台以上 IceWall SSO IceWall サーバー リバースプロキシ機能 Web アプリ ユーザー マルチスレッド コネクションプール B*Tree 認証モジュールの分散化により高速処理可能 100,000hit/sec 以上 認証モジュール認証サーバー 認証 DB 書き込みが速い DB のタイプを使用可能 ログインログアウト時に各一度のみアクセス 1,000 ログイン /sec 以上 構成や要件により変動します 35

36 IceWall SSO の強み 4 高い可用性 どのレイヤにおいても完全二重化 / 多重化が可能です どの 1 台がダウンしても ログインセッションを維持することができます また 認証と認可の処理スレッドが分離されているため 認証 DB が完全停止もしくは切替中でもログイン済みのユーザーはアクセスを継続することができます ロードバランサー 二重化 多重化の実装により どのコンポーネントがダウンしてもセッション維持が可能 IceWall サーバー Active/Active IceWall 認証サーバー Active/Standby 認証 DB サーバー ユーザー IceWall サーバーは ロードバランサーによって複数台の冗長化 負荷分散が可能 認証サーバー同士がログインセッション情報を共有し 片方がダウンしてもユーザーのログイン状態を維持 Active 側の認証サーバーがダウンすると Standby 側へ切り替えて動作を継続 ( 別途 オプション ( 有償 ) が必要です ) ログインセッション情報が認証サーバーのメモリー上にあるため 認証 DB が停止してもログイン中のユーザーはアクセスを継続可能 DB ソフトウェアの機能でレプリケーション またはクラスターによる冗長化 36

37 IceWall SSO の強み 5 Windows 環境 Windows 認証との高い親和性 Windows 環境 ( 認証 ) と IceWall の認証を統合し Windows アプリはもちろん それ以外のアプリ また Office365 などのクラウドサービスへのシングルサインオンを実現できます 1 統合 Windows 認証 Windows ドメインにログインすることにより IceWall へのログインを自動的に行い Windows アプリ以外のアプリ (UNIX など ) とのシングルサインオンが可能です 別途 オプション ( 有償 ) が必要です Active Directory UNIX その他のアプリ (UNIX など ) Windows アプリ IceWall から SSO も Windows アプリ以外のアプリも IceWall から SSO ユーザー 3 プラットフォームの Windows 対応 IceWall SSO Windows 版や 認証 DB に AD もしくは SQL Server を使用することにより トータルでプラットフォームを Windows 環境に統一 しての構築も可能です Windows ログオンで IceWall にも SSO IceWall SSO IceWall Federation 社内 社外 社外からでも IceWall 経由で SSO クラウドサービスへも SSO ユーザー 2 Office 365 などクラウドサービスへもシングルサインオン Office 365 などのクラウドサービスにも 社内システムからシングルサインオンが可能です Office 365 G Suite( 旧 Google Apps) salesforce.com 37

38 IceWall Federation とは パブリッククラウド IceWall SSO を購入で標準提供 IceWall Federation/ IceWall Federation Agentは パブリッククラウドやプライベートクラウド環境と認証連携 ( フェデレーション ) により シングルサインオンを実現します IdP(Identity Provider) : ID を管理して認証を行うサイト SP (Service Provider) : 実際のサービスを提供するサイト SP G Suite ( 旧 Google Apps) SP salesforce.com SP Office 365 ユーザーは IdP にログインすれば SP も利用可能に IdP は SP にユーザー属性や認証済であることなど認証連携に必要な情報を譲渡 IdP 認証連携 IceWall Federation IceWall SSO 基本構成 プライベートクラウド SP IceWall ADFSに対応したサービス Federation Agent SP IceWall Federation Agent を使用して SAML SP 化したアプリケーション ユーザー IceWall SSO 10.0 の購入が対象となります また IceWall Federation Agent は対象となりません 38

39 IceWall Federation の強み安心 迅速な環境構築を支援する 接続保証 と 実装支援 認証連携 ( フェデレーション ) 機能を提供する製品の多くは SAML 等の 標準仕様に対応 していますが 各サービスとの接続確認 / 検証はユーザー任せという製品も少なくありません IceWall Federation は各仕様ではなく 実際の各サービスとの接続検証を行っているため 安心 迅速な環境構築が可能です 一般的な認証連携機能提供製品 導入時特定の対象サービス (SP) のインタフェースに合わせ SAML 等 適用する標準仕様の詳細を理解し 自身で設定 接続検証をする必要があります IceWall Federation 導入時日本ヒューレット パッカードにて適切な標準仕様を用い 各サービス (SP) 単位での接続検証をしているため 安心かつ迅速に環境構築を行うことができます 運用時万が一 本番運用において障害が発生した場合 個々の標準仕様におけるエラーは 自身で解析してから各社製品窓口に問い合わせる必要があります 運用時接続検証された対象サービス (SP) との接続において障害が発生した場合 日本ヒューレット パッカードから問題解決のためのサポートを受けることができます 2017 年 8 月現在 SP として接続が確認できているサービス / ソフトウェア G Suite( 旧 Google Apps) Salesforce Platform Office 365 クリプト便 cybozu.com KDDI Knowledge Suite(GRIDY) 出張なび Bulas Fileforce 福利厚生倶楽部 Box SECURE DELIVER GigaCC e- 革新サービス HPE Service Anywhere Shibboleth の SP Windows Azure 接続確認ができているサービスの最新状況は弊社 Web ページをご確認ください Aruba ClearPass SharePoint ADFS 2.0 他 多数 39

40 Office 365 導入のための乱立 AD 対応ソリューション ( オンプレミス型 ) AD 構成の影響を受けずに 社内とクラウド環境とのシングルサインオンを実現 クラウドサービスの利用にあたり こんな課題に直面していませんか? 社内とクラウドサービスの認証が別々で使いづらい 認証を統合するには AD の統合が必須とされているが 社内に複数の AD が乱立していて統一管理されておらず AD の統合は困難 社外 社内 クラウド ID のドメインを AA.COM に統一 IceWall Federation が認証要求を振り分け 中継 Office 365 認証要求 クラウド ID taro@aa.com jiro@aa.com saburo@aa.com Salesforce G Suite( 旧 Google Apps) 認証要求 ( クラウドID) ( ローカルID) taro@aa.com taro@aa-corp.com jiro@aa.com y-jiro@aa.local saburo@aa.com saburo@aa.co.jp 認証要求 認証要求 ローカルドメイン AA-CORP.COM ローカルドメイン AA.LOCAL ローカルドメイン AA.CO.JP AD FS AD FS IceWall SSO LDAP など AD 以外のリポジトリは IceWall SSO で対応 ローカル ID taro@aa-corp.com ローカル ID y-jiro@aa.local ローカル ID saburo@aa.co.jp ユーザーはローカルのADにログインするだけでOffice 365にシングルサインオン AD 統合不要! 40

41 IceWall SSO モバイルソリューション ~ モバイルデバイスの利用をより快適でセキュアに スマートフォン タブレット用アプリケーションの提供 IceWall SSO Smart OTP 多様なスマートデバイスに対応可能な認証ソリューションの提供 IceWall SSO スマートデバイスオプション スマートフォン用画面テンプレートの提供 スマートフォン 携帯電話の標準ブラウザーでの事前動作検証 41

42 スマートフォン用ワンタイムパスワード認証ソリューション IceWall SSO Smart OTP スマートフォンでのワンタイムパスワード (OTP) ソリューション スマートフォンで OTP を生成し 自動送信 SSO のセキュリティがさらに向上 HW トークンが不要なためコストが低い SW トークンとしても PC からのログインに使用可能 IceWall SSO 1 IceWall SSO 1 IceWall サーバー OTP 連携オプション IceWall SSO の基本構成に以下の機能を追加 / 付与 OneTime 認証連携ツール for IceWall IceWall SSO OTP 連携オプション Web アプリ IceWall SSO Smart OTP ( スマートフォンアプリケーション ) 2 アプリケーション (Smart OTP) をインストール ユーザー ID パスワードを登録 OTP の共通鍵を登録 認証サーバー / 認証 DB OneTime 認証連携ツール for IceWall OATH 準拠 1 : v10.0 以降で対応 2 :Android 版および ios 版を提供 42

43 スマートデバイス用認証サーバーソリューション IceWall SSO スマートデバイスオプション 各種スマートデバイス ( アプリケーション ) から送られる ID 情報 による認証を可能にする IceWall SSO のオプション製品 IceWall SSO 特殊アプリケーション NFC スマートフォン 証明書 タブレット PC フィーチャーフォン ID 情報 ヘッダー情報 BASIC 認証ヘッダー 証明書情報など IceWall SSO スマートデバイスオプション AP サーバー 各種スマートデバイススマートフォンアプリケーションお客様独自仕様の端末など 認証サーバー / 認証 DB IceWall SSO スマートデバイスオプションは サーバーライセンスとして提供されます ( ユーザー数には依存しません ) 43

44 IceWall SSO ワンタイムパスワードソリューション - OATH に準拠したフレキシブルかつリーズナブルなソリューション - OATH に準拠したハードウェアトークンやソフトウェアトークンを利用することにより低コストで導入可能 OTP を表示 ログイン画面に入力 送信 O A T H 準拠 HWトークン複数ベンダーの多様な製品 SW トークン ( スマートフォンアプリ ) IceWall SSO Smart OTP SW トークン (Windows PC クライアント ) IceWall SSO Smart OTP Windows *1 OTP を生成 ID/ パスワードと共に自動送信 スマートフォンアプリ IceWall SSO Smart OTP IceWall SSO IceWall サーバー 認証サーバー / 認証 DB OneTime 認証連携ツール for IceWall OTP 連携オプション Web アプリ OATH 準拠 グリーン文字部分が IceWall SSO ワンタイムパスワードソリューションのご提供範囲 *1 PC のブラウザー版の SW トークンもご用意しています 44

45 リアルタイム Web 利用分析ソリューション数百 ~ 数億行に及ぶ大容量ログデータを低コストで管理 ID 情報に紐付いたログデータをリアルタイムに高速分析 1 アクセス IceWall アクセスログ アプリケーション利用者 BI ツール 5 リアルタイム分析 IceWall SSO ETL ツール LOG 2ETL ツールがアクセスログを定期的に高速ロード Web アプリ 分析データ IceWall ETL Tool DWH 4 クエリーを高速処理 ビジネス分析者 ソリューション範囲 3 分析クエリー 分析サーバー 1~2 生成され続ける IceWall アクセスログを高速に DWH に高速ロードし 瞬時に分析可能な状態で蓄積 3~5 DWH に蓄積された大量のログデータに対するクエリーを高速処理 リアルタイムに分析 45

46 IceWall SSO の特長 IceWall SSO は 15 年以上にわたり幅広い業種 規模の認証基盤として数多く採用されています 国内市場シェア No.1 の 豊富な導入実績 IceWall SSO は 15 年以上の日本国内での実績を誇り これまでに 4000 万超ユーザライセンスを販売 市場シェア No.1 を誇るシングルサインオン製品です グローバル IT 企業として 培った高い品質 IceWall SSO は グローバル IT 企業として培った技術と経験をベースに日本国内で開発 保守しています 機能 サポートの両面において 安心してお使いいただけます 最新技術をいち早く取り込みお客様ニーズに即対応 最新の技術を取り込み お客様のニーズに則した機能をいち早く開発に反映させています ( クラウドサービスとの連携認証 モバイル対応 等 ) 長期サポートによる投資保護 IceWall SSO 最新バージョンにおいては 2024 年 3 月までのサポートをお約束しております お客様には長期に渡り安心してご使用いただけます 高パフォーマンス 高可用性 高柔軟性 高拡張性 IceWall SSO は数千ヒット / 秒もしくは数百ログイン / 秒という高い処理性能を誇り 高いパフォーマンスを発揮します どのレイヤについても二重化の構成を取ることが可能で ログインセッションを維持します また API を公開しており 様々な要求に応じたカスタマイズ 拡張性をご提案可能 お客様のいかなる環境にも対応出来ます Web シングルサインオンパッケージ市場シェア 2015 年度 ( 実績 / 出荷金額ベース ) No1 日本ヒューレット パッカード :52.6% 出典 : ミック経済研究所 個人認証 アクセス管理型セキュリティソリューション市場の現状と将来展望 2016 年度版 IceWall SSO は HPE Security Fortify SCA による安全検査済みです 46

47 IceWall SSO の市場シェア ver.10 までに 4000 万超ユーザーライセンスを販売 3 つの最新の市場調査において業界シェア NO.1 を獲得 国内で 15 年以上 (*1) にわたりトップシェアを誇るシングルサインオンソリューションです ミック経済研究所 No.1 個人認証 アクセス管理型セキュリティソリューション市場の現状と将来展望 2016 年度版 Webシングルサインオンパッケージ市場シェア 2015 年度 ( 実績 / 出荷金額ベース ) 52.6% ITR ITR Market View: アイデンティティ / アクセス管理市場 2016 SSO 市場シェア 2015 年度 ( 実績 / 売上金額ベース ) 46.8% No.1 Webシングルサインオンパッケージ 2014 年度 2015 年度の競合製品とのシェア比較図 (*2) 22.5% 21.4% 2.9% 3.2% 3.1% 3.7% 5.7% 4.9% 7.5% 6.5% 8.3% 7.5% 2014 年度 50.4% 2015 年度 52.6% IceWall SSO HPE 日本ヒューレット パッカード A 社 B 社 C 社 D 社 E 社 R 社 富士キメラ総研 2016 ネットワークセキュリティビジネス調査総覧 シングルサインオン市場シェア 2015 年度 ( 実績 / 出荷金額ベース ) 40.5% No.1 *1 ミック経済研究所より 2001 年以降に発行された当該調査レポートに基づく *2 出典 : ミック経済研究所 個人認証 アクセス管理型セキュリティソリューション市場の現状と将来展望 2016 年度版 (2016 年 12 月刊 ) を基に日本ヒューレット パッカードが作成 47

48 IceWall SSO 導入実績 ( 一部 ) BtoC / GtoC システム お客様名 ユーザー数 備考 柏の葉スマートシティ プロジェクト様 - - ( 株 ) エヌ ティ ティ ドコモ様 数百万 Federation 導入あり ( 株 ) 三菱東京 UFJ 銀行様 数百万 - 全国労働者共済生活イントラネットシステムへの数十万協同組合連合会様導入もあり 証券会社 10 万 ~ - BtoB システム お客様名 ユーザー数 備考 イーヒルズ ( 株 ) 様 ( 森ビルグループ ) 5 万 ビジネスポータル エヌ ティ ティ コミュニケーションズ ( 株 ) 様 数十万 クラウドサービス ( 株 ) エヌ ティ ティ データ様無制限保険共同ゲートウェイ ( 株 ) 損害保険ジャパン様数万代理店システム ( 株 ) 東京証券取引所様 6 万情報提供サービス KDDI ( 株 ) 様 - ファイル交換サービス 三菱 UFJ インフォメーションテクノロジー ( 株 ) 様 BtoB/ BtoCシステムからイントラネットまで 様々な業種のリーディングカンパニーおよびプロジェクトの認証基盤として数多く採用されています イントラネットシステム 3 万マーケットプレイス 大手損保 10 万 ~ 代理店システム 金融会社数万 - 流通会社 お客様名 ユーザー数 備考 三菱商事様 14,000~ HPE 開発 ID 管理システムの導入もあり 明治大学様 40,000 - ( 株 ) アット東京様数百 - 佐賀県庁様 JFE スチール ( 株 ) 様 6 万 BtoB システムへの導入もあり Federation 導入あり 住友商事 ( 株 ) 様 1.3 万 - ソネット ( 株 ) 様数千 - トヨタ自動車 ( 株 ) 様 十数万 エクストラネットへの導入もあり Federation 導入あり 伊藤忠テクノソリューションズ様 数万 - 新聞社 製造業数万 - 製造業数千 - 保険会社 10 万 - ユーティリティ会社数万 - 48 総務省が進める Copyright 2010 ICT 街づくり推進事業 の一環として実施する実 Hewlett Packard Enterprise Development LP 証事業

49 IceWall SSO 他社ソリューションとの豊富な連携実績 更なるセキュリティ強化 利便性向上を図るため他社ソリューションとの連携実績も豊富です RSA セキュリティ ( 株 ) ベンダー製品名種類連携方法 RSA Adaptive Authentication for Web リスクベース認証 連携ソフトウェア提供 ( 有償オプション ) RSA セキュリティ ( 株 ) RSA Secure ID ハードウェアトークン ( ワンタイムパスワード ) 設定で対応 ソニー ( 株 ) Felica IC カード設定で対応 ソフトバンクBB( 株 ) SyncLock 携帯電話を使用した認証 ( ワンタイムパスワー ド ) 連携ソフトウェア提供 ( 有償オプション ) 日本ベリサイン ( 株 ) VeriSign ManagedPKI 電子証明書 連携ソフトウェア提供 ( 有償オプション ) パスロジ ( 株 ) PassLogic マトリクス認証 ( ワンタイムパスワード ) ベンダーより接続用 モジュール提供 ( 株 ) 日立ソリューションズ 静紋 生体認証 ( 指静脈認証 ) ベンダーより接続 モジュール提供 日本マイクロソフト ( 株 ) Microsoft Windows 統合 Windows 認証 連携ソフトウェア提供 ( 有償オプション ) ( 株 ) ディー ディー エス ID Manager for IceWall クライアントサーバーアプリケーションID パスワード自動代行入力 設定で対応 ( 株 ) ディー ディー エス EVE MA 多要素認証プラットフォーム設定で対応 大日本印刷 ( 株 ) TranC ert Enterprise IC カード ( クライアント証明書 ) 設定で対応 ( 株 )VASCO Data Security Japan ( 株 )VASCO Data Security Japan VASCO DIGIPASS ハードウェア / ソフトウェアトークン ( ワンタイムパスワード ) 設定で対応 Vacman ハードウェア ( ワンタイムパスワード ) 設定で対応 詳細は をご参照ください 49

50 IceWall SSO 品質とサポート IceWall SSO は グローバル IT 企業として培った技術と経験をベースに日本国内で開発しています 機能 サポートの両面において 安心してお使いいただけます 日本開発の製品だからこその高品質と安心 そして迅速な対応 日本で開発した製品だからできる高い品質とサポート IceWall SSO は日本国内で開発を行い サポートを提供しています 製品自体の高い品質はもちろん 迅速できめ細やかなサポートにより 常に安心してお使いいただくことが可能です グローバル IT 企業として培った技術と経験が可能にする機能グローバル IT 企業として培った技術と経験により お客様のニーズに則した機能をいち早く取り込んでいます クラウド環境との認証連携 ( フェデレーション ) や携帯電話やスマートフォンなどからの認証 ( モバイル対応 ) など 新しいニーズに積極的に取り組んでいます 2024 年 3 月までのサポートモデル製品導入の際の懸念の一つは その製品のライフサイル 特に認証基盤は 多くの Web アプリケーションと接続しているため その入れ替えは容易ではありません IceWall SSO は 15 年以上の日本国内での実績を誇り また最新バージョンにおいては 2024 年 3 月までのサポートモデルを提示しており お客様には長期に渡り安心してご使用いただけます IceWall SSO は HPE Security Fortify SCA による安全検査済みです 50

51 IceWall SSO ハンズオントレーニング IceWall SSO 10.0 を実機での演習を交えて学習できるハンズオントレーニングを開催しております 基本的な内容を半日にまとめた 無料ハンズオントレーニング と より詳細な内容を 1 日で習得する 管理基本コース の 2 コースに分かれています IceWall SSO 無料ハンズオントレーニング ( 半日 ) IceWall SSO 管理基本コース (1 日 ) コースコード :H0AF9S 日数 : 半日 (13:30~17:00) 価格 : 無料 コースの目的 IceWall SSO 10.0 の機能概要を理解する IceWall SSO 10.0 の基本的な設定方法を理解する 対象者 IceWall SSO の導入を検討 予定されているお客様 IceWall SSO をすでに使用されていて 基本的な設定方法を習得したいお客様 前提知識基礎的な Linux の知識とコマンド操作経験 および Web に関する基礎知識が必要です コース内容 製品の概要 認証サーバー IceWall サーバーの基本設定 認証 DB バックエンド Web サーバーの登録 ユーザーへのアクセス権設定 コースコード :H0AC7S 価格 :65,000 円 ( 税抜き ) 日数 : 1 日 (10:00~18:00) コースの目的 IceWall SSO 10.0 の より詳細な機能の設定方法について理解する IceWall SSO 10.0 の主なオプションについて機能と使用方法を理解する 実際のシステムを構築 管理するために役立つ知識を習得する 対象者 IceWall SSO の導入を予定されていて 設定方法の詳細を習得したいお客様 IceWall SSO をすでに導入されていて 管理 運用の方法を習得したいお客様 前提知識基礎的な Linux の知識とコマンド操作経験 および Web に関する基礎知識が必要です IceWall SSO 無料ハンズオントレーニング の受講が必要です コース内容 認証代行 Agent システム構築のための基礎知識 FailOver コーススケジュールとお申し込みについて : 51

52 IceWall ソフトウェア検証環境評価キットのご紹介 52

53 IceWall ソフトウェア検証環境評価キットのご紹介 評価キット概要 標準的な構成の IceWall ソフトウェアが導入された VMware 仮想マシンを 検証用としてディスクイメージファイルでお貸し出しいたします 仮想マシンをお客様の検証環境で稼働いただくことにより 実際のアプリケーションと IceWall ソフトウェアを組み合わせた動作や操作方法 運用イメージの確認を リアルな環境で実施いただけます IceWall ソフトウェア検証環境 ( 仮想マシン ) お貸し出し お客様のメリット 仮想マシンを稼働させるだけで検証開始 お客様環境で実際のアプリケーションを使用した動作確認が可能 運用イメージや 動作イメージを事前に把握し 本番導入後のスムースな展開が可能 評価キット内容 以下のいずれかをご選択ください VMware 版メディア : 仮想マシンイメージ (VMware Playerで実行可 ) 通常版メディア : インストールパッケージ ( インストール作業が必要 ) 製品マニュアルはどちらにも含まれています お客様検証環境 お客様アプリ 前提条件 原則として メディアのお貸し出しは 1 か月間以内 検証期間は 3 か月間以内とさせていただきます 検証環境はお客様にてご用意いただきます お客様の検証環境で稼働させるために必要な設定等については お客様にて実施いただくことを想定しております 事前にご利用目的を確認させていただきます 場合によってはご希望に添えない事がございますのであらかじめご了承ください お貸し出しには所定の申請書への記入 捺印をお願いいたします 53

54 IceWall ソフトウェア検証環境評価キットのご案内 含まれるソフトウェア IceWall SSO 10.0 IceWall SSO 10.0 Dynamic Menu Portal IceWall SSO 10.0 Agent Option IceWall Identity Manager 5.0 IceWall MCRP 3.0 IceWall Remote Configuration Manager 4.0 IceWall Federation 3.0 IceWall Federation Agent 3.0 IceWall SSO 10.0 Password Reset Option OpenLDAP 2.4(OS にバンドル ) ポータル画面イメージ IceWall SSO 10.0 Dynamic Menu Portal ( リバースプロキシ方式 ) IceWall SSO パスワードリセットオプション ( リバースプロキシ方式 ) サンプルバックエンドサーバ ( リバースプロキシ方式 ) サンプル CGI ( 認証連携方式 ) ご利用を希望の場合はお問い合わせください サンプルサイト ( エージェント方式 ) IceWall SSO のマニュアル ( 評価用 ) はダウンロード版もご用意しています IceWall SSO パスワードリセットオプション ( リバースプロキシ方式 ) IceWall Identity Manager ( リバースプロキシ方式 ) 54

55 お問い合わせ 55

56 お問い合わせおよび周辺サービス お電話でのお問い合わせ ( 日本ヒューレット パッカードカスタマー インフォメーションセンター ) / ( 携帯電話 PHS から ) 受付時間 : 月曜日 ~ 金曜日 9:00-19:00 ( 土 日 祝祭日 年末年始および 5 月 1 日を除く ) Web フォームからのお問い合わせ 最新 / 詳細情報 IceWall SSO 公式サイト 技術レポート ( 新規レポート随時公開中!!) カタログ オンラインデモ 評価用マニュアルダウンロード F 各種サービス 導入サービス コンサルティングサービス エンジニア様向け技術トレーニング 海外拠点への導入 コンサルティングサービス 56

57 Thank you