Oracle OpenSSO Fedlet

Transcription

1 Oracle ホワイト ペーパー 2010 年 8 月 Oracle OpenSSO Fedlet

2 免責事項 以下の事項は 弊社の一般的な製品の方向性に関する概要を説明するものです また 情報提供を唯一の目的とするものであり いかなる契約にも組み込むことはできません マテリアルやコード 機能を提供することをコミットメント ( 確約 ) するものではないため 購買決定を行う際の判断材料になさらないで下さい オラクルの製品に関して記載されている機能の開発 リリース および時期については 弊社の裁量により決定されます

3 概要... 2 Oracle OpenSSO Fedletについて... 3 おもな機能... 4 配置アーキテクチャ... 4 配置の前提条件と制約事項... 7 一般的なビジネス ユースケース... 8 利点とトレードオフに対する評価... 9 結論... 11

4 概要 フェデレーション標準とインターネット テクノロジーの革新のおかげで この数年の間に 企業はビジネス パートナーとの間に先例のない水準のオンライン コラボレーションを構築できるようになりました これはおもに ビジネス上の契約と法的な契約をシンプルな技術統合を通じて履行できるようになったためです フェデレーション標準は幅広く受け入れられ これらの標準を実装した市販製品は 大企業だけでなく中小規模の組織にとっても費用対効果に優れたソリューションとなりました 以前は IT 部門がフェデレーション構想を具体化するためには社内開発が必要でしたが 現在は相互運用可能なエンタープライズ クラスの標準ベース製品から幅広く選択できるようになりました このため 複数のパートナーが関わる Point-to-Point のフェデレーション プロジェクトを立ち上げた場合と比べてコストが削減され 必要な時間が短縮され さらにリスクも最小化されます その結果として フェデレーションを使用した標準ベースの信頼関係の上にビジネス機能を公開することは もはやイノベーションではなく オンラインでビジネスを行う企業にとって当たり前のこととなりました しかし 依然としてほとんどの企業が Security Assertion Markup Language(SAML) などのフェデレーション標準をまだ採用していない小規模パートナーの存在により フェデレーション プロジェクトを遂行することが難しい状況に直面します フェデレーション プロトコルを採用しないもっとも一般的な理由には 次の2つがあります コストの回避 : フェデレーション標準を採用するには ハードウェアやサービス また人 材への投資が必要になります パートナーはこの投資をするだけの余裕がないか または 投資価値を見出せていません 信頼の欠如 : パートナーは ID フェデレーション プロトコルを実装した経験がないか ま たはその道に長けた人材を確保していません 標準プロトコルやそのサポート製品によるメリットを活用しないと パートナー統合プロジェクトは大幅に遅延する可能性があります 企業は 期限を遵守するために1 回限りの専用統合ソリューションを開発するという策を取ることが少なくありません この方法には不要なセキュリティ リスクが伴い 実装コストと保守コストも高くなります オラクルは この複雑なパートナー統合という難題を Oracle OpenSSO Fedletというシンプルな革新的ソリューションによって解決します Oracle Identity FederationとOracle SSO Fedletを組み合わせると エンタープライズ レベルかつキャリアグレードの包括的なソリューションが提供され パートナー間でのセキュアなID 情報交換が実現します Oracle OpenSSO Fedletを使用すると 組織はサービス プロバイダ パートナーとの間に素早く簡単に標準ベースのフェデレーションをセットアップできます また 追加のパートナー用に標準統合パターンを構築し 数日や数週間ではなく数時間のうちにパートナー間にセキュアなサインオンを確立できます 2

5 Oracle OpenSSO Fedlet について Oracle OpenSSO Fedletは コンパクトで配置しやすい SAMLv2のサービス プロバイダ実装です Oracle OpenSSO Fedletには小さなソフトウェア パッケージとシンプルなファイル ベースの構成が含まれており サービス プロバイダのJava EEアプリケーションまたは.NETアプリケーションに組み込むことができます Oracle OpenSSO Fedletを使用すると サービス プロバイダ側にフル機能が搭載されたフェデレーション製品がなくても IDプロバイダ インスタンスとサービス プロバイダ アプリケーションの間にSSOを確立することができます SAMLv2のIDプロバイダとして Oracle Identity Federationを使用している組織は Oracle OpenSSO Fedlet をパートナーに配布できます こうすることで IDプロバイダは サービス プロバイダのフェデレーション コンポーネントのセキュリティ設定や構成 および配布メカニズムを管理し続けることができます このアプローチによって配置が迅速になるだけでなく パートナー間のフェデレーション インタラクションの継続的管理の質が向上します またサービス プロバイダが Oracle OpenSSO Fedletをオラクルから直接入手することもできます いったん配置されたOracle OpenSSO Fedletは任意のSAMLv2 IDプロバイダからSAMLv2アサーションを受け入れ ユーザー属性を取得して シングル サインオン (SSO) とコンテンツのパーソナライズを実行します Oracle OpenSSO Fedletは 設定を変更することで任意の数のIDプロバイダと通信できます また外部のディスカバリ サービスを利用して 適切なIDプロバイダを見つけることもできます 3

6 おもな機能 Oracle OpenSSO Fedlet は Java バージョンと.NET バージョンで提供されています 次の表に それぞ れのバージョンのおもな機能を示します 配置アーキテクチャ このセクションではOracle OpenSSO Fedletの一般的な配置シナリオについて説明します もっともよく使用される配置では Oracle Identity FederationがIDプロバイダの役割を果たし Oracle OpenSSOがサービス プロバイダの役割を果たします 配置オプションそれぞれのサービス プロバイダ アプリケーションに 固有のOracle OpenSSO Fedletインスタンスが必要になります 配置されたFedletインスタンスは独立したサービス プロバイダ エンド ポイントとして機能し 1つまたは少数のIDプロバイダとSAMLv2メッセージを交換するように構成できます 4

7 Oracle OpenSSO Fedletと単一のIDプロバイダ各 IDプロバイダにそれぞれ個別のOracle OpenSSO Fedletインスタンスを配置する方法は もっともシンプルな配置オプションです このオプションは パートナーが1つしかない組織でよく使用される配置シナリオです また それぞれのSaaS 顧客がIDプロバイダ (IdP) としての役割を果たすSaaSのマルチテナント配置でも有用です この場合 各テナント アプリケーションが固有のIdPから受信したリモート ユーザーを認証します このような環境では それぞれのOracle OpenSSO Fedletインスタンスが常に同じIdPと通信するよう構成されています Oracle OpenSSO Fedletと複数のIDプロバイダ 1つのアプリケーション インスタンスを配置し このアプリケーションが複数のIDプロバイダから IDデータを受信できるようにしなければならないケースもよくあります これは 同じアプリケーションにアクセスする必要のあるパートナーを多数持つ組織にとって重要な要件です アプリケーション インスタンスを増やさずに 配置済みのアプリケーションに対して新しいIDプロバイダを動的に追加し ユーザーを認証したり ユーザーに関する追加属性を提供したりできるようになると 配置期間が短縮され エンドユーザーに提供する価値が高まり 非常に大きなビジネス上の優位性が得られます この場合は Oracle OpenSSO Fedletの単一インスタンスを使用して 複数の IDプロバイダに対するユーザー認証を実施できます また Oracle OpenSSO FedletをIDプロバイダのディスカバリ サービスと組み合わせて配置すると ユーザーが好みのIDプロバイダを選択できます このように構成した場合 IDプロバイダのディスカバリ サービスはユーザーの好みのIDプロバイダ情報を保持して Oracle OpenSSO Fedletに伝えます Oracle OpenSSO Fedletは IDプロバイダのディスカバリ サービスとしてOracle Identity Federationインスタンスを利用できますが 環境に含まれる任意のサード パーティの IDプロバイダによるディスカバリ サービスを使用することもできます 5

8 Oracle OpenSSO Fedletとサービス プロバイダ アプリケーションの統合 Oracle OpenSSO FedletにはサンプルのJSPモジュールが含まれています このモジュールを使用すると Oracle OpenSSO Fedletに任意のアプリケーションを素早く簡単に統合できます ここからは Oracle OpenSSO Fedletとサービス プロバイダ アプリケーションを統合するための一般的な方法について説明します アプリケーションの組込みこのオプションは テストやトレーニング または新規配置のジャンプスタートに適しています 開発者はOracle OpenSSO FedletのサンプルJSPモジュールをテンプレートとして使用して まったく新しいサービス プロバイダ アプリケーションを作成できます 6

9 Oracle OpenSSO Fedletの組込み Oracle OpenSSO Fedletの組込みサンプル オプションを使用すると 多数の異なるロケーションに配置する必要のあるアプリケーションに対して 簡単にSAMLv2 機能を追加できます この統合が開発中に実行されるのは一度だけです いったん開発が完了すると Oracle OpenSSO Fedletはアプリケーションにパッケージ化され 完全に組み込まれた状態になります リクエストの転送このオプションは 既存サービスへの悪影響を最小限に抑えながら 配置済みのビジネス アプリケーションでSSOを有効化するような状況を意図して設計されています Oracle OpenSSO Fedletサンプルをアプリケーションの外側に配置し ビジネス アプリケーションへ またはビジネス アプリケーションからHTTPトラフィックを転送できます (Oracle OpenSSO Fedletサンプルとビジネス アプリケーションとの間のデータ セキュリティに関する責任は 一般にアプリケーション開発者にある点に注意してください ) 配置の前提条件と制約事項 Oracle OpenSSO Fedletの構成ファイルとSAMLメタデータは サービス プロバイダのフラット ファイルに格納されています シングル サインオンに対しては SAMLv2 の HTTP POST とアーチファクト バインディ ングがサポートされています シングル ログアウトに対しては HTTP POST リダイレクト SOAP バインディングがサ ポートされています 7

10 Oracle OpenSSO Fedletは IDプロバイダから受け取ったSAMLアサーションに含まれるXML 署名の検証をサポートしています XML 署名の検証は IPプロバイダのメタデータXMLファイルに含まれる公開証明書を使用して実施されます IDプロバイダが署名した証明書が変更されている場合 Oracle OpenSSO Fedletの構成ディレクトリに含まれるIDプロバイダのメタデータを更新して 新しい署名の証明書情報を追加する必要があります 一般的なビジネス ユースケース 次の例では Oracle OpenSSO Fedletの活用方法について説明します 大規模な通信企業である SmartPhones Telecomは Oracle Identity Federationを使用してSAMLv2のIDプロバイダ サービスを実装しています SmartPhones Telecomのサブスクライバはカスタム ユーザー ポータルを使用して SmartPhones Telecomのビジネス パートナー (StockService.comとWeather.com) によって提供されるパーソナライズされたコンテンツを受け取ります StockService.comとWeather.comには すでにフェデレーション ソリューションが配置されています SmartPhones Telecom にとっての新しいパートナーである OnCast.com には フル機能のフェデレーション製品を実装するスキルがありません SmartPhones Telecomは 新しいパートナーを支援するため 軽量のサービス プロバイダ フェデレーション コンポーネントであるOracle OpenSSO Fedletを提供することを決めました SmartPhones Telecom のセキュリティ管理者は 次の 4 つの簡単な手順に従うだけで このプロジェク トを完了できます 1. Oracle Identity Federation のメタデータをエクスポートします 2. Oracle OpenSSO Fedlet のメタデータと構成ファイルを生成します 3. Oracle OpenSSO Fedlet のメタデータをインポートします 4. 配布パッケージを作成し OnCast.com の担当者に提供します OnCast.com のアプリケーション開発者は 次の 3 つの簡単な手順に従うだけで このプロジェクトを 完了できます 1. 配布パッケージを受け取り これを開きます 8

11 2. Oracle OpenSSO Fedlet と OnCast.com のコンテンツ サービスを統合します 3. Oracle OpenSSO Fedlet を配置します これでプロジェクトは完了です パートナーとともにフェデレーション機能をテストする準備が整 いました Oracle OpenSSO Fedletを使用することで OnCast.comはSmartPhones TelecomからSAMLv2を介して特定のユーザー属性を受け取ります OnCast.comはユーザー属性データを使用して SmartPhones Telecom のサブスクライバに対するコンテンツ デリバリをカスタマイズします これによって 両社に価値がもたらされ サブスクライバのエクスペリエンスが向上します 利点とトレードオフに対する評価 配置アーキテクチャの設計に際して Oracle OpenSSO Fedletの利点とトレードオフについて検討する必要があります このセクションでは Oracle OpenSSO Fedletが組織のビジネス要件を満たすかどうかを特定するための情報を提供します 9

12 利点 簡便さ :Oracle OpenSSO Fedlet は使いやすく 理解しやすいソリューションです 開発者の ために設計されており 自社の開発組織が持っていない新しいスキルや知識を必要としま せん インフラストラクチャの縮小 :Oracle OpenSSO Fedlet では追加のハードウェアを必要としな いため サービス プロバイダにかかるコストが削減されるとともに 既存ハードウェア に対する投資利益率が向上します 容易な配置 :Oracle OpenSSO Fedletは配置しやすく サービス プロバイダ アプリケーションへの組込みも簡単です またOracle OpenSSO Fedletを構成する必要があったとしても わずか数個のパラメータを変更するだけで済みます このため アプリケーションの配置時間が短縮されます トレーニング期間の短縮 :Oracle OpenSSO Fedletを使用する際 サービス プロバイダはフル機能のフェデレーション ソフトウェアをインストールする必要はありません このため 必要なトレーニングの量が減り サービス プロバイダのトレーニング コストが削減されます 再利用性と一貫性 :Oracle OpenSSO Fedlet は SAMLv2 標準に準拠しています Oracle OpenSSO Fedlet は組織でのさまざまなプロジェクトに再利用できるため アーキテクチャに一貫性が もたらされるとともに 組織とそのパートナーの既存テクノロジー投資が保護されます トレードオフ Oracle OpenSSO Fedlet はサービス プロバイダでのセッション管理を実行しないため アプ リケーションまたはコンテナでセッションを管理する必要があります Oracle OpenSSO Fedlet がサポートしているのは SAMLv2 プロトコルのみであり Liberty ID-FF や WS-Federation または SAML 1.x などのその他のフェデレーション プロトコルはサポー トされていません Oracle OpenSSO Fedlet は シンプルで軽量のフェデレーション コンポーネントとして設計 されています Oracle Identity Federation で提供されている高度な機能の一部 ( 以下を参照 ) は Oracle OpenSSO Fedlet ではサポートされていません 10

13 o SSO プロキシ o アカウントの関連付け o 高度な属性マッピング o Information Card の統合 o 一元化された管理 ロギング レポーティング および運用監視 注 :Oracle OpenSSO Fedlet が組織のビジネス要件を満たさない場合 Oracle Identity Federation をフェ デレーション ソリューションとして使用することを検討してください 結論 Oracle OpenSSO Fedletは サービス プロバイダとの間に素早く簡単にSAMLフェデレーションを構築するための シンプルで軽量なオプションです IDプロバイダはOracle OpenSSO Fedletを使用することで サービス プロバイダのフェデレーション コンポーネントのセキュリティ設定や構成 および配布メカニズムを管理することができます Oracle OpenSSO Fedletによって配置が迅速になるだけでなく パートナー間のフェデレーション インタラクションに対する継続的管理の質が向上します Oracle OpenSSO Fedletを使用することで 環境が大幅に簡素化されるとともに 標準ベースで再利用可能なソリューションを構築し インフラストラクチャを合理化し コスト削減を実現するというIT への期待を現実のものにすることができます Oracle Identity FederationとOracle SSO Fedletを組み合わせることで 組織とそのビジネス パートナーに対して エンタープライズ レベルかつキャリアグレードの包括的なエンド ツー エンドのフェデレーション ソリューションが提供されます Oracle Identity Federation および Oracle OpenSSO Fedlet について 詳しくは次の Web サイトを参照して ください 11

14 Oracle OpenSSO Fedlet 2010 年 8 月作成者 :Sophia Maler 共著者 :Eric Leach Resha Chedda Oracle Corporation World Headquarters 500 Oracle Parkway Redwood Shores, CA U.S.A. 海外からのお問い合わせ窓口 : 電話 : ファクシミリ : Copyright 2010, Oracle and/or its affiliates. All rights reserved. 本文書は情報提供のみを目的として提供されており ここに記載される内容は予告なく変更されることがあります 本文書は一切間違いがないことを保証するものではなく さらに 口述による明示または法律による黙示を問わず 特定の目的に対する商品性もしくは適合性についての黙示的な保証を含み いかなる他の保証や条件も提供するものではありません オラクル社は本文書に関するいかなる法的責任も明確に否認し 本文書によって直接的または間接的に確立される契約義務はないものとします 本文書はオラクル社の書面による許可を前もって得ることなく いかなる目的のためにも 電子または印刷を含むいかなる形式や手段によっても再作成または送信することはできません OracleおよびJavaはOracleおよびその子会社 関連会社の登録商標です その他の名称はそれぞれの会社の商標です AMD Opteron AMDロゴおよびAMD Opteronロゴは Advanced Micro Devicesの商標または登録商標です IntelおよびIntel XeonはIntel Corporationの商標または登録商標です すべてのSPARC 商標はライセンスに基づいて使用されるSPARC International, Inc. の商標または登録商標です UNIXはX/Open Company, Ltd. によってライセンス提供された登録商標です 0410