Forward-Looking Statement Statement under the Private Securities Litigation Reform Act of 1995: This presentation may contain forward-looking statemen

Size: px

Start display at page:

Download "Forward-Looking Statement Statement under the Private Securities Litigation Reform Act of 1995: This presentation may contain forward-looking statemen"

つかさあさぶき
5 years ago
Views:

1 Salesforce as an IDaaS (Identity as a Service) / Salesforce with IDaaS SalesforceのIDaaSとしての活用とIDaaSとの連携池部敦巳河村嘉之 Customer Centric Engineering

2 Forward-Looking Statement Statement under the Private Securities Litigation Reform Act of 1995: This presentation may contain forward-looking statements that involve risks, uncertainties, and assumptions. If any such uncertainties materialize or if any of the assumptions proves incorrect, the results of salesforce.com, inc. could differ materially from the results expressed or implied by the forward-looking statements we make. All statements other than statements of historical fact could be deemed forward-looking, including any projections of product or service availability, subscriber growth, earnings, revenues, or other financial items and any statements regarding strategies or plans of management for future operations, statements of belief, any statements concerning new, planned, or upgraded services or technology developments and customer contracts or use of our services. he risks and uncertainties referred to above include but are not limited to risks associated with developing and delivering new functionality for our T service, new products and services, our new business model, our past operating losses, possible fluctuations in our operating results and rate of growth, interruptions or delays in our Web hosting, breach of our security measures, the outcome of any litigation, risks associated with completed and any possible mergers and acquisitions, the immature market in which we operate, our relatively limited operating history, our ability to expand, retain, and motivate our employees and manage our growth, new releases of our service and successful customer deployment, our limited history reselling non-salesforce.com products, and utilization and selling to larger enterprise customers. Further information on potential factors that could affect the financial results of salesforce.com, inc. is included in our annual report on Form 10-K for the most recent fiscal year and in our quarterly report on Form 10-Q for the most recent fiscal quarter. These documents and others containing important disclosures are available on the SEC Filings section of the Investor Information section of our Web site. Any unreleased services or features referenced in this or other presentations, press releases or public statements are not currently available and may not be delivered on time or at all. Customers who purchase our services should make the purchase decisions based upon features that are currently available. Salesforce.com, inc. assumes no obligation and does not intend to update these forward-looking statements.

3 本日のアジェンダ 1 Salesforceの認証と認可 Salesforceの認証認可に関する基礎を理解する 2 IDaaS Identity as a Service 3 Single Sign On (SAML SSO) Salesforceと他のクラウドサービスを一回の認証で使いたい 4 OpenID Connect 普段使うサービスのログイン情報を使ってSalesforceにログインする 5 ログインのSecurity強化 SalesforceのログインをもっとSecureに行いたい

4 Salesforceの認証と認可 Salesforceの認証認可に関する基礎を理解する

5 認証認可概要外部サービス (Service Provider) 外部サービス (ID Provider) Single Sign On (Salesforce: SP) Single Sign On (Salesforce: IdP) フォーム認証二要素認証代理認証 OAuth OpenID Connect

6 フォーム認証認証方式 Webブラウザでユーザ名とパスワードを入力する最も基本的な認証方式ユーザ名パスワードなどの情報はSalesforce内にソルト付きハッシュ化されて格納セキュリティ対策ログイン可能なIPアドレスの範囲をプロファイル単位で指定ログイン可能な時間をプロファイル単位で指定パスワードの長さ含まれる文字有効期限などを組織プロファイル単位で指定

7 代理認証認証方式ユーザの認証を外部サービスで行う外部サービスはSalesforceが指定するWSDLに合わせたインターフェースを実装する必要がある対象ユーザ対象ユーザは指定されたプロファイルのユーザとなる対象ユーザのパスワード情報はSalesforce上では管理されない対象ユーザのパスワードはSalesforceから変更不可

8 SAMLによるSingle Sign On Salesforceと他のアプリケーションの間で認証を共有する Salesforceで認証を行い他のサービスへ再度ログインすることなくアクセスする他のサービスで認証し Salesforceへ再度ログインすることなくアクセスする認証情報はSAMLと呼ばれるXMLベースの標準仕様に基づいてやりとりされる詳細は後述

9 OAuth ユーザが外部アプリケーションからSalesforceのデータにアクセスする際にその認可を与える仕組み外部アプリケーションは接続アプリケーションとして管理される認証プロトコル IPアドレス範囲制限の緩和モバイルポリシーなどが設定可能

10 OpenID Connect Googleで認証 Facebookで認証のようなサードパーティを認証プロバイダとしてログインする OAuth 2.0を拡張し認証認可ユーザの属性情報の取得が可能 Salesforceは認証プロバイダログイン先として利用可能詳細は後述

11 いつ何を使う SAML Single Sign On API Access Mobile OAuth OpenID Connect (Mobile SDK) (Mobile SDK)

12 IDaaS Identity as a Service

13 IDaaS (Identity as a Service) エンタープライズシステムの変化イントラにあったものがクラウドへ移行最近の傾向従来 Salesforceも IDaaSとして利用可能 FW 経費精算認証顧客管理人事情報ファイル管理イントラネットエンタープライズシステムの変化認証基盤もクラウドへ IDaaS (Identity as a Service) シングルサインオンプロビジョニングなどをクラウド上で提供するサービスサブスクリプション形式のライセンス提供で初期費用インフラ構築費用メンテナンス費を抑える

14 Single Sign On (SAML SSO) Salesforceと他のクラウドサービスを一回の認証で使いたい

15 Single Sign On のメリット利用者の利便性 1度ログインすれば複数のアプリケーションサービスを利用可能セキュリティ強化ログインできるサービスを限定する認証サーバでの認証をワンタイムパスワード SMS認証などの複数要素認証を組み合わせ強化する他のサービスは認証サーバー以外のサービスでパスワードによる認証を許可しないパスワードによる認証を許可しないサービスには基本的にログイン攻撃が出来なくなる弱いパスワードを利用可能にしておくリスクを排除出来る利用者が多くのサービスのパスワードを適切に管理するのは難しいので利用するパスワードが減ることはリスク低減になる

16 Single Sign On (SAML SSO) 認証方式 SAMLのAssertionをサービス間でやりとりすることによりログイン情報を共有する SSOの構成要素 Identity Provider (IdP): ここで認証を行うことにより他のSPへ認証なしでログインすることができる Service Provider (SP): IdPで認証された認証情報を元にログインを受け付ける SalesforceはIdP SPになることが可能 CommunityユーザもSSOを利用可能

17 IdP-initiated Flow IdP 1. SP ログイン 2. サービスを選択 3. SAMLアサーションが返る 4. SAMLアサーションを送り込む 5. ログイン状態となる

18 SP-initiated Flow IdP SP 1.SPのリソースにアクセス SPはまだログイン状態ではない 2. IdPのログインページへリダイレクト 3.ログイン 4. SAMLアサーションが返る 5. SAMLアサーションを送り込む 6. ログイン状態となる

19 IdP (Identity Provider) Salesforceから他のサービスをシームレスに利用する

20 IdP設定 SalesforceをIdPとして利用するための設定 My Domainの有効化 Identity Provider Setup MyDomainを有効化すると自動的に設定されている SPに設定する際に必要な情報証明書などをここから入手 Connected Apps 接続するSPをConnected Appとして設定する権限セット利用可能な権限セットをConnected Appに登録する SPを利用したいユーザに権限セットを割り振るライセンス Salesforce Identity ( )

21 SP (Service Provider) 他のサービスからSalesforceにシームレスに移動する

22 SP設定 SalesforceをSPとして利用するための設定 Single Sign On 設定 SAMLの有効化 SAML Single Sign On設定 IdP情報の登録 SPログイン時に存在しないユーザを動的に作成したい JIT Provisioningの有効化 SP-initiated Flow時にIdPのログインページに遷移させるためには Identity Provider Login URLを設定 My Domainの有効化 (推奨) SPからログアウト時にIdPもログアウトするためには Identity Provider Logout URLにIdPのログアウトURLを指定する

23 SAMLを使用して Office 365 からシームレスに Salesforceにログイン Demo

24 OpenID Connect 普段使うサービスのログイン情報を使って Salesforceにログインしたい

25 OpenID Connect 認証方式 Googleで認証 Facebookで認証のようなサードパーティを認証プロバイダとしてログインする OpenID ConnectのID Tokenをサービス間でやりとりすることによりログイン情報を共有する SSOの構成要素 OpenID Provider: 認証サービスを提供する Relying Party(RP): OpenIDによる認証を受け付ける SalesforceはOpenID Provider RPになることが可能

26 OpenID Connect Flow OpenID Provider RP 1.RPにアクセス 2. OpenID Providerのログインページへリダイレクト 3.ログイン 4.ユーザ情報へのアクセス認可 5. RPへリダイレクト 6. ID/アクセストークンの取得 7. ユーザ情報の取得 8. ログイン状態となる

27 OpenID Connect 設定外部の認証プロバイダを利用してSalesforceにログインするための設定外部サービス側の設定外部サービスの提供する手順に従って作成(Consumer Key Consumer Secretを入手) 認証プロバイダの作成上記で入手したConsumer Key Consumer Secretを設定 Registration Handlerクラスを作成し外部サービスで認証された後にSalesforceでユーザ情報を受け取った時の処理を実装するここで作成されたCallback URLを外部サービス側に登録する Salesforceログイン時に外部プロバイダでの認証を利用するための設定 Salesforceユーザ My Domainの有効化 My Domain設定の認証サービスに作成した認証プロバイダを追加 My DomainのURLでログインした際に外部サービスでログインするボタンが表示される Communityユーザコミュニティの Login & Registration設定のLogin項目に作成した認証プロバイダを追加 Communityのログインページに外部サービスでログインするボタンが表示される

28 OpenID Connect を使用してGoogleアカウントからシームレスに Salesforceにログイン Demo

29 ログインの Security強化 SalesforceのログインをもっとSecureに行いたい

30 ２要素認証

31 2要素認証 2要素認証とはシステム管理者として Salesforce 組織の安全を確保することとユーザが迅速かつ簡単にログインできるようにすることのバランスをとることは大切認証に 2 つ目の要素を追加することで組織のセキュリティを強化するここで言う2 要素とは次の 2 種類の情報ユーザが知っていること (本人のパスワードなど) ユーザが所有しているもの (認証アプリケーションがインストールされたモバイルデバイスなど) 他にはユーザー自身生体認証を使用する等があるログイン

も同じQRコードを読み込ませれば同じキーが生成される例 Google Authenticator,

AuthenticatorではTOTP以外にも転送通知ロケーションベースの自動検証確認コードの使用

32 2要素認証 TOTP(Time-based One-time Password)の規格に沿って実装されているためSalesforce Authenticator でなくても同じQRコードを読み込ませれば同じキーが生成される例 Google Authenticator, Microsoft Authenticator等 Salesforce AuthenticatorではTOTP以外にも転送通知ロケーションベースの自動検証確認コードの使用 Lightning Login(後述)といった機能が利用出来る Salesforce Authenticator 転送通知 Google Authenticator Microsoft Authenticator

33 Lightning Login

34 Lightning Login - 概要パスワードを必要としないログイン

35 Lightning Login - 概要 Lightning Login は2要素認証の採用を後押しするパスワードを必要としないLightning Loginでログインする指紋またはPINでログインを確認するために Salesforce Authenticator(モバイルアプリ) を使用してパスワードフリーでログインするそしてユーザーはパスワードの不便さから解放される注: Winter 17 ではコミュニティでのLightning Loginをサポートしていない

36 Lightning Login - セットアップ登録 X ユーザーレベル設定デフォルトOFF プロファイル権限セット組織レベル設定デフォルトON

37 Lightning Login - 動作説明 1. ユーザーがLightning Loginする LLヒントまたはユーザ名のみから 2. SalesforceはユーザーがLightning Loginの使用を許可されているかどうか検証するそしてユーザは Salesforce Authenticator Toopher 承認ページにリダイレクトされる 3. Salesforceサーバーはプッシュ通知+指紋/ PINを使用してユーザーを認証するためにToopher サーバーに依頼する 4. Toopherサーバーはユーザーに登録アプリを認証プッシュを要求する 5. ToopherサーバのSalesforce Authenticator Toopher 承認ページはユーザからの応答を待つ 6. ユーザーのモバイルアプリ上の承認押下によりToopherサーバーを更新する 7. SalesforceはユーザーがToopherサーバーで承認されてた後にアクセスを許可する

38 Lightning Login - 動作 XXXXX XXXXX

39 Lightning Login - ログ登録ログ - ユーザーの管理 -> ID 検証履歴 LL ログイン - ユーザーの管理ログイン履歴 LL ログイン - ユーザーの管理 ID 検証履歴

40 Lightning Login Demo

41 U2F Security Key

U2F Security Key - 概要 U2F Security Keyを用いた２要素認証 Salesforceの管理者が携帯電話に依存しない検証方法で例えばSalesforce AuthenticatorやOTPアプリユーザーに自分の身元を確認できるようにすることが出来る BYODを許可していない会社や社用携帯電話がスマートフォ

42 U2F Security Key - 概要 U2F Security Keyを用いた２要素認証 Salesforceの管理者が携帯電話に依存しない検証方法で例えばSalesforce AuthenticatorやOTPアプリユーザーに自分の身元を確認できるようにすることが出来る BYODを許可していない会社や社用携帯電話がスマートフォンではない従来の携帯電話の会社でもセキュアな2要素認証を使用することができる U2Fとは Universal Second Factorの略称既存の認証方式を導入しているWebサービスなどが二段階認証を導入する際に用いる方式利用者は従来通りのアカウントIDとパスワードによる認証後 U2Fに対応したUSB端末やNFC端末を使う事でログインが可能になる (Wikipedia より

43 U2F Security Key - セットアップ登録ユーザーレベル設定デフォルトOFF - プロファイル権限セット組織レベル設定デフォルトOFF

44 U2F Security Key - 動作 XXXXX XXXXX

45 U2F Security Key - ログ U2F - ユーザーの管理 ID 検証履歴

46 U2F Security Key - 制限 MyDomainが有効になっていないと組織の設定でU2Fを有効化することが出来ない U2FはChrome 47以降で動作する Firefoxでは U2F Extensionを導入することで動作する

47 Q&A

48 アンケートへのご協力のお願い 2問のみです Salesforce

49 付録

リンク集 How-To https://developer.salesforce.com/page/identity Trailhead https://trailhead.salesforce.com/trail/identity Inside OpenID Connect on Force.

0_at_salesforce.com Tryout Axiom http://axiomsso.herokuapp.com/ OpenID Connect Playground https://openidconnect.herokuapp.com/ SAML Service Provider https://samltester.

50 リンク集 How-To Trailhead Inside OpenID Connect on Force.com Salesforce.comのOAuth 2.0を掘り下げてみよう Tryout Axiom OpenID Connect Playground SAML Service Provider U2F(yubico's site)

51 Thank Y u

Salesforce DX.key

Salesforce DX.key Salesforce DX とは? Salesforceの開発生産性向上のための新機能 Mitsuhiro Okamoto Senior Developer Evangelist Trail blazer @mitsuhiro mokamoto@salesforce.com Forward-Looking Statements Statement under the Private Securities