ID管理/アクセス管理/シングルサインオン/認証連携製品 NEC WebSAM SECUREMASTER の歴史

Transcription

1 The 日本の ID 管理 2013 年 3 月 5 日 NEC 第二 IT ソフトウェア事業部桑田雅彦 NTT データセキュリティビジネス推進室山田達司 エクスジェン ネットワークス江川淳一

2 LDAP Manager 1

3 ID 統合管理システムの基本構成 人事システム 認証 DB Trusted DB CSV 管理者 PC IDライフサイクル IT 統制 運用統制 ID 統合管理システム ID 情報マスター ID 情報マスター DB CSV プロビジョニング IT 統制 運用統制 メールシステム 営業支援システム 認証 DB 認証 DB 2

4 ID ライフサイクル管理のポイント 1 発行 = 間違いなく本人に ID を発行する ( 運用例 ) 社員証を確認して ID 通知書を手渡しする 2 利用 =ID を利用しているのは間違いなく本人 ( 運用例 ) パスワードの定期変更 更新処理 ログ参照 身元保証 身元保証 3 削除 = 迅速かつ漏れなく ID を削除する ( 運用例 ) 源泉 DB 有りの ID 情報 自動連携源泉 DB なしの ID 情報 有効期限 3

5 LDAP Manager の歴史 ~ 認証 ID 管理の効率化 時代 セキュリティ強化 時代個人情報保護法顧客情報漏えい事件多発 統制強化 時代 Compliance IT 統制未対応 Accountability Transparency J-SOX( 金融商品取引法 ) リーマンショック Compliance is dead. プロビジョニング AD CSV UNIXコマンド Windowsコマンド ガルーン Gapps Office365 Cybouz.com ID ライフサイクル ワークフロー ADパスワード同期マッピング関数強化差分 CSV 作成 管理者ポータル 統制 操作ログ 特権管理 4

6 LDAP Manager6 での機能強化例 管理者ポータル 管理者ごとに CSV フォルダのアクセス権を設定 CSVアップロード用の共有フォルダに 管理者ごとのアクセス権を付与できるようになります 複数の管理者が存在する環境で より厳密に管理者の立場に応じた権限の委譲が可能になります 管理者 A 管理者 B 管理者 C 全員許可 管理者 A: 許可管理者 B: 許可管理者 C: 拒否 管理者 A: 許可管理者 B: 拒否管理者 C: 拒否 5

7 LDAP Manager6 での機能強化例 管理者ポータル 前処理の機能強化 (1) 複数値での CSV 分割機能管理者ポータル前処理の CSV 分割機能で 指定した属性が複数値であった場合に その値ごとの CSV ファイルに分割できるようになります 兼務などで 1 ユーザの所属情報を複数持っている場合に 1 ユーザ 1 所属の CSV ファイルに分割するなどの活用ができます ユーザ ID, パスワード,Attr1;Attr2 (2)CSV ファイルの項目有無チェック 管理者ポータル前処理のフォーマットチェック機能で 指定した CSV 項目の有無をチェックできるようになります (3) 前処理プログラムを PostgreSQL 無しで使用 ユーザ ID, パスワード,Attr1 複数値の値ごとにユーザID, パスワード,Attr3 CSVファイルを分割 前処理プログラムの実行には PostgreSQL が必須でしたが より簡単な SQLite( ローカル DB) でも利用できるようになります 検証などで手軽に利用したい場合などに便利です 6

8 ID 管理 / アクセス管理 / シングルサインオン / 認証連携製品 NEC WebSAM SECUREMASTER 7

9 SECUREMASTER 製品スイート全体像 ICT を構成する様々なシステムの共通基盤として ID 管理の統合から アクセス管理の統合 シングルサインオン認証までを実現します Scene3 棚卸しと監査 人事 DB Scene1 人事 DB 連携 承認された利用者のデータのみ登録 人事データの取込み 同期 統合 ID 管理システム SECUREMASTER/EIM 利用者データの確認 Scene2 申請 承認フロー 利用者管理責任者 利用者データの追加登録 申請者 承認者 ユーザ ID 情報を必要としているシステムへ必要な分だけ配付 Scene4 ID プロビジョニング ディレクトリシステム 各種システム ActiveDirectory ク ルーフ ウェア SECUREMASTER/EDS RADIUS サーハ 業務 AP サーハ 入退管理サーハ LDAP 各システムのアクセス制御ルールの設定 Scene6 アクセス制御 許可されたシステムのみアクセスが可能 システム管理者 統合アクセス管理システム SECUREMASTER/EAM Scene5 シングルサインオン 利用者 8

10 SECUREMASTER の特長 NEC グループ内の認証基盤をはじめ 様々なお客様向けの導入 運用により 経験し積み重ねてきた IAM 領域のノウハウ 技術をすべて本製品に結集しています 国産 / 自社開発 / スイート製品 ID 管理 / アクセス管理 /SSO 認証領域の全体をスイート製品としてカバーする自社開発製品 海外製品では SI 開発が必要な日本組織特有の要件に対応 ( 一斉人事異動 兼務 深い組織階層など ) 豊富な導入実績 弊社 16 万人の認証基盤をはじめ 24 時間 365 日無停止運用を伴うミッションクリティカルシステムの構築 運用実績が豊富 ディレクトリ /SSO は 1999 年 ~ 約 1000 システム ID/ アクセス管理は 2007 年 ~ 約 100 システム 迅速 柔軟なサポート力 自社開発製品 = 弊社内でソースコードを保有 お客様 / 連携システムへの柔軟な対応が可能 - 国内で迅速な機能拡張 障害解析 ソースコード改修対応が可能 - お客様からの強い要望があれば機能改善の検討にも柔軟に対応 信頼性 拡張性 柔軟性のある基盤システムのご提供 システムの拡張性 柔軟性 スモールスタートから 連携システム拡張に応じたステップアップが可能 連携が容易な I/F や標準テンプレートを充実 - GUI による画面設定 / 連携コネクタ設定 - CSV コネクタによるシンプルな連携 細かい動作条件 / 仕様のカスタマイズが可能 (Java XSLT などによるプラグインの追加 ) 9

11 SECUREMASTER の歴史 実は 1993 年のディレクトリ国際標準 X.500 の技術研究開発から始まっています トレンド X.500 現在 2000 年 2005 年 2010 年 2015 年 LDAP ディレクトリ シングルサインオン認証基盤 認証連携 統合 ID 管理基盤内部統制特権 ID 管理ロール管理基盤クラウドID 管理基盤 プロトタイプ EnterpriseDirectoryServer(EDS) [ ~] LDAP ディレクトリ EnterpriseAccessManager(EAM) [ ~] 統合アクセス管理 Web 系シングルサインオン認証 認証連携 SI 部品 SI 部品 EL, ELLite [ ~] C/S 系シングルサインオン認証 EnterpriseIdentityManager(EIM) [ ~] 統合 ID 管理 特権 ID 管理 ロール管理 10

12 SECUREMASTER/EnterpriseIdentityManager の歴史 IAM 領域での長年のノウハウを結集した自社製品スイートの主要構成要素として 開発 強化 研究所による独自開発技術を製品化し 進化を続けています 版 リリース時期 主な機能強化内容 V 年 1 月 初版 V 年 10 月 製品スイートとしてEAM 系 (SSO 認証認可領域 ) と透過的に統合 ID 属性に応じた動的グループ ロール管理 スケジューリング強化 ( 取込み 反映 配信 有効 / 無効化 ) IDプロビジョニング標準テンプレート拡充 継続 V 年 12 月 監査支援 (ID 棚卸し 監査レポート出力 ) V 年 3 月 監査支援 (ID 是正処置 ) 一斉人事異動対応強化 V 年 3 月 特権 ID 管理 リポジトリ更新性能向上 継続 外部処理組込みAPI 拡充 継続 V 年 9 月 ID/ ロール履歴管理 クラウドサービスIDプロビジョニング拡充 継続 グローバル対応強化 継続 トレンド 認証基盤内部統制クラウド基盤 11

13 VANADIS 12

14 VANADIS とは VANADIS とは NTT データの社内利用から生まれた統合 ID 管理ソリューションです Identity Management のための VANADIS Identity Manager 及び Access Management のための VANADIS SSO/SecureJoin の 2 製品からなります 主な特徴は以下の通りです 日本特有の兼務 用途により異なる組織体系に対応 企業グループのIDを管理するための複数企業 ID 管理 複数のWebSSOドメイン クラウドサービスとの連携にSAMLを利用 クラウドサービスで利用するためのマルチテナント機能 お客様 ID 管理業務への適合性を高めるための高いカスタマイズ性等 13

15 NTT データ社内と VANADIS の歴史 NTT データイントラ WebSSO 社員 協働者 ID 管理 ID 管理 携帯 SSO SAML 対応 G 会社 ID 管理 個人情報保護法対応 スマホ SSO 委託先 ID 管理 VANADIS シリーズ WebSSO 統合 ID 管理 SAML 対応 SaaS 事業者対応 クラウド対応 14

16 VANADIS の主なバージョンと追加機能 バージョン 2001/3 SecureJoin /4 VANADIS /8 VANADIS /7 VANADIS for SaaS Provider 2010/12 VANISDIS 6.0 目的 WebSSO 統合 ID 管理 SAML 対応 SaaS 事業者適用 クラウド対応 Access Management (VANADIS SSO/SecureJoin) エージェント型 SSO リポジトリとして LDAP をサポート 携帯 SSO 対応 レポジトリとして VANADIS Identity Manager をサポート マルチドメイン SSO クラウドサービス SSO セキュリティ強化 ID マッピング Identity Management (VANADIS Identity Manager) (LDAP サーバを利用 ) グループ会社管理 有効期限管理 変更なし ユーザ企業管理 契約管理 EnterpriseSSO マルチテナント 国際化 15

17 VANADIS のシステム構成 16

18 VANADIS SSO の動作方式 17

19 NEC 認証基盤の事例 18

20 個人認証による企業秘密保護の徹底 方針 : 企業秘密情報へのアクセス制限はネットワークアドレス (IP アドレス ) ではなく個人認証に基づいて行うこと 理由 : ネットワークアドレスによるアクセス制限には限界があるため 情報共有促進の観点から 本来アクセス可能な情報が 違う場所 ( 別のオフィス プロジェクトルーム 外出先 ) に行くと見えなくなってしまう 情報セキュリティ管理の観点から 同じネットワークの中に 経営層から協力会社社員まで さまざまな権限の利用者が混在している ネットワークアドレス制限では 利用者の権限を識別できない 施策 1: NEC グループ認証ディレクトリ の構築 2: 共通アクセス制御システムの構築 19

21 ID 情報の一元化とアクセス制御 統合 ID 基盤 ( 認証ディレクトリ ) 構築前の主な課題 1. ユーザ情報のタイムリーな提供が困難 人事異動の際にシステムごとに個別にユーザ情報を変更しているため 連動できず タイムリーな情報提供が出来ない 2. パスワードやユーザ情報の一元管理の要望 システムごとにユーザ ID/ パスワード管理が必要で運用工数が増大 NEC 社員のみならず 関係会社社員 派遣社員を含めたユーザ一元管理を実施しないと システムごとの個別ユーザ管理工数が増大 NEC グループ認証ディレクトリ NEC およびグループ各社 ( 海外含む ) の人事システムとの連携により グループ社員の ID/ パスワードを一元集中管理 共通アクセス制御システム 一般社員 業務委託先 派遣社員でアクセス権を区別 個人単位に認証し 社内システムの利用やWebコンテンツの参照を許可 ~Webアクセス制御システム シングルサインオン -ユーザの利便性を損ねることなく個人認証を徹底 20

22 NEC グループ認証基盤 21

23 認証ディレクトリの特徴 NEC グループ約 90 社 約 15 万人 約 190 システムが利用 派遣社員 ( 構内作業者 ) も併せて登録 社員番号 役職 所属 上司 メールアドレス などの項目を登録 アクセス権の考え方は職位と所属が基本 各システムで認証ディレクトリの情報を基にアクセス制御 人事異動情報は翌日に反映 サービス時間 :365 日 24 時間 ( オンライン ) 22

24 NTT データ 統合 ID インフラの事例 23

25 NTT データとは NTT 東日本 NTT 西日本 NTT テ ータ北海道 NTT NTT コミュニケーションス NTT ドコモ NTT データ NTT テ ータ九州 NTT データカスタマサーヒ ス NTT テ ータシステムス 24

26 複数ネットワークの利用 G-net ( 健保 年金 人事 福利厚生等 ) NTT 東日本 NTT 西日本 NTT テ ータ北海道 NTT NTT コミュニケーションス NTT ドコモ NTT データ NTT テ ータ九州 NTT データカスタマサーヒ ス イントラネット Groupwide Network (GW Net) NTT テ ータシステムス 25

27 イントラネットと GW Net の構成 GWNet 用 ID Manager+SSO Z 社 GWNet (DMZ 内 ) イントラネット用 ID Manager+SSO イントラネット内サーバ群 インターネット A 社 Z 社社員 NTT データイントラネット NTT データ社員 グループ会社社員 A 社社員 26

28 利用者情報の管理 グループ各社との連携方法 子会社 人事給与 システム 人事給与システムを共同利用 NTT テ ータ ID 管理 NTT テ ータク ルーフ ID 管理 子会社手動 / 自動連携 自動連携 子会社 子会社 12 社 自動連携 自動連携 手動連携 子会社 ( 元 : 情報子会社 ) 親会社 27

29 携帯 SSO 機能 VANADIS SSO モバイルゲートウェイ VANADIS Identity Manager 主な管理情報 ID PIN ID と携帯電話の契約者固有 ID をひも付け 契約者固有 ID と PIN による認証 利用者の組織に基づく利用可能なサービス一覧提示 認証トークンをセッション情報として管理し Cookie に変換 VANADIS SSO Agent モバイルメールサーバ (Agent により HTML/Compact HTML を切りかえ ) Exchange Server 28

30 携帯 SSO 機能のスマホ対応 VANADIS Identity Manager 主な管理情報 ID,PIN,PW 契約者固有 ID -> 端末 ID(IMEI) VANADIS SSO モバイルゲートウェイ 端末 ID(IMEI) と PIN による認証 利用者の組織に基づく利用可能なサービス一覧提示 認証トークンをセッション情報として管理し Cookie に変換 検疫機能を追加 ( マルウェア対策ソフトインストール OS のバージョン確認 ) VANADIS SSO Agent モバイルメールサーバ Exchange Server 29

31 NTT データ社内における統合 ID 管理の歴史 30

32 協働者への ID 払い出しフロー ( その 1) 31

33 協働者への ID 払い出しフロー ( その 2) 32

34 クラウドサービス連携 OpenID Connect/SCIM 33

35 クラウドサービス連携 / フェデレーションの利用 クラウド利用企業 プロビジョニング有りの場合が多い 3 認証 IdP 1 認証 2 認証移譲 ID 情報 (Credential 含む ) ID 管理運用ポリシー + ID 統合管理システム 4 認証 OK RP(SP) Cloud Service ミニマム ID 情報 クラウドサービスからの ID 情報 (Credential 含む ) の漏洩防止 正しい認証認可の前提 ID 管理運用が適切に行われている トラスト 認証処理が委譲される 34

36 EIWG:Enterprise Identity Working Group クラウド利用企業 利用者 社内業務システム ID 管理システム シングルサインオンシステム ID 情報 ID 連携 API (OpenID Connect IdP) プロビジョニング機能 (SCIM Client) OpenID Connect で認証結果 属性情報を要求 SCIM API を介してユーザの追加 変更 削除 クラウドサービス事業者 エンドユーザー向け Web アプリケーション (OpenId Connect RP) ユーザ - プロビジョニング API (SCIM Server) 管理者 1 事業者向けリファレンス : 事業者が SCIM/ OpenID Connect を採用する上でのリファレンス作り 2 利用企業向け 連携ガイド のリファレンス作り 35

37 EIWG:Enterprise Identity Working Group 1 事業者向けリファレンス : 事業者が SCIM/OpenID Connect を採用する上でのリファレンス作り (SCIM) 標準仕様グループ ( 検討例 )SCIM の中で日本語表記や上位階層の表現方法の検討 共通仕様グループ ( 検討例 ) エンタープライズ系クラウドサービスで必要としている属性情報で共通化できる部分の検討 (OpenID Connect) 認証連携グループ ( 検討例 )FireWall 内の IdP に接続する場合の検討 2 利用企業向け 連携ガイド のリファレンス作り 利用者グループ ( 検討例 ) クラウドサービス企業に求めるサービスレベル (LoP) の検討 (SCIM/OpenID Connect でやり取りする情報と事業者 / 利用企業に応じたリスクの洗い出し ) 36