オープンソース・ソリューション・テクノロジ株式会社代表取締役チーフアーキテクト小田切耕司

Size: px

Start display at page:

Download "オープンソース・ソリューション・テクノロジ株式会社代表取締役チーフアーキテクト小田切耕司"

しょうすけおなか
4 years ago
Views:

企業大学におけるシングルサインオンシステムの最新技術動向と導入事例オープンソースソリューションテクノロジ株式会社代表取締役チーフアーキテクト小田切耕司

Copyright 2013 Open Source Solution Technology Corporation All

- 3 - 講師紹介役職 : 代表取締役チーフアーキテクト氏名 : 小田切耕司 ( おだぎりこうじ ) 所属団体等 OpenAM

執筆関係日経 Linux 2011 年 9 月号 ~2012 年 2 月号連載中 Linux 認証のすべて ( 第 1 回 ~ 第

technologies 2011 年 2 月号キホンから学ぶ LDAP http://tech.ascii.

3 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 講師紹介役職 : 代表取締役チーフアーキテクト氏名 : 小田切耕司 ( おだぎりこうじ ) 所属団体等 OpenAM コンソーシアム副会長 OSS コンソーシアム副会長日本 LDAP ユーザ会設立発起人日本 Samba ユーザ会初代代表幹事執筆関係日経 Linux 2011 年 9 月号 ~2012 年 2 月号連載中 Linux 認証のすべて ( 第 1 回 ~ 第 6 回 ) ASCII.technologies 2011 年 2 月号キホンから学ぶ LDAP 技術評論社 Software Design 2010 年 9 月号第 1 特集クラウド対策もこれで OK! 統合認証システム構築術 OpenAM/SAML/OpenLDAP/Active Directory やってはいけない Samba サーバ構築 :2008 年版 2006 年 5 月技術評論社 LDAP Super Expert 巻頭企画 [ 新規 / 移行 ]LDAP ディレクトリサービス導入計画

OpenAM, OpenLDAP, Sambaによる認証統合 / シングルサインオン ID 管理ソリューションを提供製品パッケージ提供機能証明定価証明が発行可能

4 オープンソースソリューションテクノロジ株式会社 OSに依存しないOSSのソリューションを中心に提供 Linuxだけでなく AIX, Solaris, Windowsなども対応! OpenAM, OpenLDAP, Sambaによる認証統合 / シングルサインオン ID 管理ソリューションを提供製品パッケージ提供機能証明定価証明が発行可能製品サポート提供 3 年 ~5 年以上の長期サポートコミュニティでサポートが終わった製品のサポート OSSの改良機能追加バグ修正などコンサルティング提供 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved

- 5 - OSSTech の製品群 Unicorn IDM ID 連携 ID 管理システム管理者 Active

5 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved OSSTech の製品群 Unicorn IDM ID 連携 ID 管理システム管理者 Active Directory Google Apps Salesforce ファイルサーバサーバー LDAP Web アプリ SSO クラウド Windows ドメインログオン認証基盤をすべて OSS 製品で提供ユーザーログイン

6 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved OSSTech の製品群 ( すべて OSS で提供 ) 原則 Linux/Solaris/AIX 共に RPM で提供 Samba for Linux/Solaris/AIX AD の代替高性能 NAS の代替 OpenLDAP for Linux/Solaris/AIX 認証統合ディレクトリサービスシングルサインオンのインフラ OpenAM for Linux/Windows/Solaris/AIX Tomcat, OpenLDAP 対応で高機能なシングルサインオン機能を提供 ( 旧 OpenSSO) Unicorn ID Manager for Linux/Solaris Google Apps, Active Directory, LDAP に対応した統合 ID 管理

7 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved OSSTech の製品群 ( すべて OSS で提供 ) 原則 Linux/Solaris/AIX 共に RPM で提供 Chimera Search( キメラサーチ ) for Linux アクセス権の無いファイルは表示されない全文検索システム LDAP Account Manager for Linux/Solaris 管理機能の弱い OSS の LDAP/Samba に Web ベースの GUI を提供 ThothLink( トートリンク ) for Linux Web ブラウザからの Windows ファイルサーバアクセス機能を提供 SSLBridge 後継製品 Mailman for Linux/Solaris 日本語での細かな問題を解決 Yahoo メールや Google Apps のメーリングリスト機能を補完

クラウドと共に普及するシングルサインオン Copyright 2013 Open Source

9 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved サービスを利用するには必ず必要な認証 Active Directory 企業組織内クラウド Google Apps Salesforce ファイルサーバー LDAP メールサーバー Client/Server Web アプリ Windows ログオン / LDAP 認証ログインログインログインユーザーシステムの数だけ認証が必要

SSO: シングルサインオンとは一度のログイン操作さえ完了すれば複数のアプリケーションに認証操作することなくアクセスすることが可能になる Active Directory Google Apps ファイルサーバー LDAP Windows ログオン / LDAP 認証メールサーバー

10 SSO: シングルサインオンとは一度のログイン操作さえ完了すれば複数のアプリケーションに認証操作することなくアクセスすることが可能になる Active Directory Google Apps ファイルサーバー LDAP Windows ログオン / LDAP 認証メールサーバー / クラサバログインユーザー Web アプリログイン SSO Salesforce クラウド今日はこの部分のお話 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved

11 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved SSO( シングルサインオン ) とは 1 回のパスワード入力で複数のシステムやサービスを同時利用 ID 統合を使った統合認証では ID とパスワードの管理を 1 カ所でできるためユーザの追加も楽社員が退社した場合に 1 カ所 ID を削除すればすべてのシステムが利用不可となる近年クラウドサービス (SaaS, PaaS, IaaS, HaaS など ) の普及により ( 社外にある ) サービス毎に ID/ パスワードを登録しなければならないケースが増えており ID 連携による統合認証を使わざるを得ないケースが増えているところがこの ID 連携が費用の問題や技術的な問題で完全に実現されていない場合例えば社員が退社した時に社内システムの ID を削除しても SaaS 側の ID が残っているとクラウド側のシステムは社外から使えてしまうといった問題が起きてしまう

パスワードとパスワードを置く必要がある ( パスワードを社外に置くと不正ログインされる危険性が高い )

12 クラウドで統合認証ができていないと... インターネットクラウドサービス Google Apps Salesforce など SP 認証 IdP ユーザー情報プライベートクラウド /ASP B2B,B2C SP 認証 IdP ユーザー情報イントラネット社内向けシステムシステム毎にログイン操作が必要クラウドに ID/ パスワードとパスワードを置く必要がある ( パスワードを社外に置くと不正ログインされる危険性が高い ) ユーザー情報 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved SP 認証 IdP

クラウドで統合認証と SSO を実現する DMZ (1) LDAP/AD ID/Pass インターネット認証はすべて社内で行う IdP 認証チケットパスワードは社内で管理 (2) (3) 認証チケット / リバースプロクシアクセスユーザー SAML 認証認証チケット / リバースプロクシ SP クラウド

13 クラウドで統合認証と SSO を実現する DMZ (1) LDAP/AD ID/Pass インターネット認証はすべて社内で行う IdP 認証チケットパスワードは社内で管理 (2) (3) 認証チケット / リバースプロクシアクセスユーザー SAML 認証認証チケット / リバースプロクシ SP クラウドサービス Google Apps Salesforceなどプライベートクラウド /ASP B2B,B2C イントラネット社内向けシステム Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved SP SP

14 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved シングルサインオンを実現するソフトウェア Web アプリケーションにおけるシングルサインオンを実現するためのプラットフォームとなるソフトウェア現在はオープンソースだが元は Sun Microsystems 社の商用製品 (Access Manager) 弊社で製品パッケージを提供 SAMLを扱えるオープンソースのソフトウェア Shibboleth1.3 以前のバージョンがSAML1.1を実装 Shibboleth2.0よりSAML2.0を実装学認フェデレーションでの主な認証ミドルウェアとして使用

16 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved SSO(OpenAM) 導入動向クラウドの普及により SSO( シングルサインオン ) が急速に普及中 IaaS や PaaS も増えつつあるがやはり SaaS の Google Apps( 大学 / 企業 ) と Salesforce( 企業 ) をまず導入するケースが多い企業では Salesforce のセキュリティ強化を目的に OpenAM 導入するケースが多い大学では Google Apps とイントラネットや Shibboleth を連携させるケースが多い企業では M&A や会社合併のために増えすぎたアプリや ID を統合するために SSO を導入 IaaS や PaaS も普及し始めこれらの上で構築された社内向け個別アプリの SSO も普及しだしてきた

18 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 混在する複数の SSO 環境 SAML IdP を導入して SSO を実現 Google Apps Salesforce SAML クラウド SSO セグメントリバースプロキシ / エージェント Shibboleth IdP で SSO を実現 (Shibboleth は SAML を利用しているが仕様上 OpenAM では代替不可能 ) SAML Shibboleth SP Shibboleth IdP 学認 (Shibboleth) SSO セグメント大幅な改修はしたくないためエージェント型 / リバースプロキシ型で SSO を実現社内 SSO セグメント

19 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved OSS で実現するシングルサインオンハブ Google Apps Salesforce クラウド SSO セグメント OpenAM ( 認証サーバー ) リバースプロキシ / エージェント Shibboleth Shibboleth SP IdP 学認 (Shibboleth) SSO セグメント社内 SSO セグメント SSO セグメントを結合するハブとして OpenAM を利用ユーザーは OpenAM へのログインさえ完了していれば全てのアプリに SSO 可能

20 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved シングルサインオンハブを実現するための機能認証機能ユーザーの本人性を確認するセキュリティ強化のために多要素認証が望ましいユーザー情報保存機能認証情報や他システムに連携するユーザー情報を保存する外部システムと連携可能なインタフェースフェデレーション (SAML, OpenID, OAuth など ) REST API SDK

22 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved シングルサインオン方式の詳細 (1) フェデレーション :SAML によるシングルサインオン Secure Assertion Markup Language 認証認可ユーザ属性情報などを XML で送受信するためのフレームワーク標準化団体 OASIS により策定 GoogleApps, Salesforce などが採用今後 OpenID の普及により OpenAM で OAuth 実装予定エージェント方式 SSO 対象の Web アプリが動作するサーバー上にアクセス制御用のモジュールを配置する方式サーバーのバージョンに影響を受ける

23 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved シングルサインオン方式の詳細 (2) リバースプロキシ方式リバースプロキシを使用してアクセス制御を行うユーザーデータの受け渡しは HTTP ヘッダーを利用 SSO 対象 Web アプリのバージョンや設定変更の影響が少ないリバースプロキシが性能上のボトルネックになる可能性がある代理認証方式 SSO 対象 Web アプリの既存ログイン画面に対して OpenAM がユーザーの代理でログイン ID/ パスワードを送信する SSO 対象 Web アプリの改修が不要細かなアクセス制御はできない ( ログイン処理の代理実行のみ )

フェデレーション :SAML によるシングルサインオン Copyright 2013 Open Source

エージェント型 Copyright 2013 Open Source Solution

28 シングルサイオン方式の採用基準 Webアプリケーションが SAMLに対応しているか No No Web アプリケーションの改修が可能か WebアプリケーションをSAMLに対応させることができるか No No ポリシーエージェントが Web サーバ /AP サーバに対応しているか No Yes Yes Yes Yes SAML を採用代理認証方式を採用 SAML を実装エージェント方式を採用リバースプロキシ方式を採用 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved No

29 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 本当はやってはいけない代理認証既存アプリに手を入れられないという理由で代理認証を採用するユーザーは多いが本当はやってはいけない! ID とパスワードを (HTTPS でも ) ネットワークに何度も流すのは良くない (SSO 入り口の 1 カ所に限定すべき ) 代理認証はイントラネットのみに限るべきクラウドへの代理認証は危険 SAML に対応している Google Apps や Salesforce に対して代理認証は絶対にやってはいけない! (SAML を使って IdP を社内に置けばパスワードはクラウドに流れない )

31 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved OpenAM の機能 - 認証連鎖多要素認証の必要性複数の認証方式を組合わせて認証を行うことにより個々の認証方式の欠点を補完認証連鎖複数の認証方式を組み合わせて利用可能認証方式にはそれぞれ適用条件を指定する必須 : 失敗したらそこで終了十分 : 成功したらそこで終了必要 : 成功しても失敗しても次に継続任意 : 認証結果には関係しない付随的な処理認証方式 1( 必須 ) ID/PW 認証認証方式 2( 必須 ) ワンタイムパスワードログイン完了

32 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 多要素認証複数の認証方式を組合わせて認証を行うことにより個々の認証方式の欠点を補完厳密なユーザ認証異なるタイプの認証方式を組合わせることが重要使い勝手の向上いつも同じ認証方式が使えるとは限らない状況により要求される認証の精度が異なる認証方式間での連携組合わせて使うことを前提にしている認証方式もある

33 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 認証連鎖認証方式を組合わせる方法を指定する認証方式にはそれぞれ適用条件を指定する十分 : 成功したらそこで終了必要 : 成功しても失敗しても次に継続必須 : 失敗したらそこで終了任意 : 認証結果には関係しない付随的な処理認証成功時には認証方式に応じて認証レベルが設定される認証方式 1( 十分 ) 認証方式 2( 必要 ) 認証方式 3( 任意 ) 評価評価

Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 34 - 例 1.

34 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 例 1.Windows Desktop SSO Windows Server 2000/2003/2008 Active Directory 自動チケット送付 OpenAM 1 ンドメインログオチケット発行 2 3 認証認可属性情報利用 4

35 例 1.Windows Desktop SSO Windows ドメインログオンするだけで Web アプリケーションにも SSO が可能になる便利な方式いつも全てのユーザがドメインログオン可能であるとは限らないリモートアクセスの場合非常勤社員の場合通常のユーザ ID パスワードによる認証と組み合わせて以下のように認証連鎖構成する Windows Desktop SSO: 十分ユーザ ID パスワードによる認証 : 必須 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved

携帯電話を使ったワンタイムパスワードユーザ ID パスワード認証成功通常のユーザ ID パスワードによる認証

36 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 例 2. 携帯電話を使ったワンタイムパスワードユーザ ID パスワード認証成功通常のユーザ ID パスワードによる認証ユーザの携帯電話ワンタイムパスワード要求ワンタイムパスワードの入力画面 +HMAC ワンタイムパスワード +HMAC 返送 OpenAM 同時に携帯電話へワンタイムパスワードを送付認証成功ワンタイムパスワード認証

37 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 例 2. 携帯電話を使ったワンタイムパスワード所持物認証と知識認証の組合わせによる厳密なユーザ認証が可能携帯電話を使うことによる利点導入コストの低減所持品の軽減フィッシングへの対応 HMAC(RFC2104:Keyed-Hashing for Message Authentication) を利用両方のパスワードが盗まれた場合は問題参考 :RSAセキュリティ( 株 ) による月例記者会見

38 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 応用例 Windows Desktop SSO による認証は便利なのでぜひ使いたいが全てのユーザがドメインログオン可能とは限らないワンタイムパスワードは厳密な認証が出来る点は良いがいつも携帯電話を開いてパスワードを確認するのは面倒だ 2 つを組合わせることにより便利かつ厳密な認証を行うことが可能 Windows Desktop SSO: 十分ユーザ ID パスワードによる認証 : 必須ワンタイムパスワードによる認証 : 必須

41 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 某通信会社グループ共通シングルサインオンシステムユーザー総数約 25 万人 ID/ パスワードとユーザー証明書の多要素認証 ( 認証連鎖 ) 一部グループ会社ユーザーは SAML 2.0 対応 IdP による認証連携 OpenLDAP のパスワードポリシー対応モジュールの開発保護対象アプリケーションとの連携は PolicyAgent を用いたリバースプロキシ型

42 某通信会社グループ全体構成図グループ会社ユーザー E OpenAM SSO グループ会社ユーザー W グループ共通イントラネットリバースプロキシ保護対象企業グループ SSO ポータルアプリケーション SAML 2.0 による認証連携グループ共通システムグループ会社 S 社グループ会社 D 社 A 社認証基盤 IdP B 社認証基盤 IdP 一部グループ会社では各社の認証基盤を IdP として OpenAM と連携 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved

43 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 某通信会社グループ構築のポイントグループユーザーアクセス SSO ユーザー証明書ログインリバースプロキシ保護対象グループ会社 SSO ポータルアプリケーションポイント1 OpenAM ポイント2 アクセスグループ共通システムポイント 3 SAML2.0 認証連携各社認証基盤 IdP OpenLDAP グループ会社認証統合基盤ログイン一部のグループ会社ユーザー

45 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 多要素認証時の認証認可シーケンス認証レベル判別シーケンスユーザー ( ブラウザ ) OpenAM Level0 ID/PW ログイン OpenAMセッションアクセスリバースプロキシ ID/PW 認証だけではアクセス不可保護対象サービス Level3 ID/PW ログインユーザー証明書 OpenAMセッション ID/PW と証明書認証の両方でアクセス可能認証方式から Level を付与 Level3 コンテンツアクセス SSO Level3 Level に基づきアクセス制御認証連携 Level5 OpenAM セッションアクセス SSO Level5 Level5 コンテンツ Level に基づきアクセス制御

46 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 異なる IdP 製品との認証連携ポイント2 一般的にユーザーはOpenAMで認証を行う一部のグループ会社ユーザーは各社認証基盤の IdPで認証を行い OpenAM 保護下のグループ会社 SSOポータルアプリケーションとはSAML 認証連携でアクセス可能とする

47 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 異なる IdP 製品との認証連携シーケンス一部グループ会社ユーザー自動リダイレクトログイン各社認証基盤ポータルリンクから OpenAM リバースプロキシ保護対象サービス OpenAM セッションを確認初回アクセスのみ認証連携を行う SAML SP による認証連携 OpenAM セッションアクセス OpenAM セッション開始ログインぺージへリダイレクト OpenAM セッションを確認 SSO 2 回目以降のアクセスシーケンスコンテンツ

48 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved OpenLDAP ポリシーへの対応ポイント3 OpenAM 9 系では対応していないOpenLDAP(RFC 標準 ) のアカウントポリシーエラー対応のため OpenAMの拡張開発を行った拡張を行ったOpenAMはパスワード有効期限切れなどOpenLDAPからの戻り値を判定し任意のURL へ遷移する

49 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved OpenLDAP ポリシーへの対応 OpenLDAP エラー情報判定シーケンスユーザー ( ブラウザ ) ログイン OpenAM LDAP バインド LDAP 応答 OpenLDAP アカウントロックパスワード有効期限などポリシーのチェックポリシー対応のエラー画面表示 LDAP 応答の内容をハンドリングし適切な画面を応答

51 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 某総合電機メーカーシングルサインオンシステム規模 : グループ企業 7 社約 5000 人海外 22 拠点今後拡大予定海外ディーラー向けの技術情報やマーケティング情報の CMS および EC サイトへのシングルサインオン CMS, EC サイトとの連携は OpenAM PolicyAgent とお客様開発の連携モジュール SAML 認証と代理認証を利用対象ユーザー保護対象アプリケーションはインターネット上に点在

52 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 某総合電機メーカー構成図パートナーパートナー Login Login Internet OpenAM SSO SSO CMS マーケティングサイト CMS マーケティングサイト Login SSO パートナーパートナー Login 認証は一カ所全てのシステムへ SSO SAML や代理認証 SSO CMS テクニカルサイト EC サイト

54 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 名古屋工業大学様事例のポイント規模学生数約 5,800 人教職員数約 510 人旧 Sun 製品の置き換え旧 Sun 製品 (Sun Java System Access Manager) からの移行を実現旧 Sun 製品の Oracle 後継製品を導入する場合はコスト高 Sun Java System Access Manager の後継であり OSS の OpenAM を採用他にも LDAP に OpenLDAP, ID 管理に Unicorn IDM と積極的に OSS を採用 IC カードによる認証と ID/ パスワードによる認証の使い分けアクセスリソースに対しての認証レベルの使いわけ IC カードによる証明書認証と ID/ パスワードによる認証の二つの認証方式を用意重要なリソースへのアクセスの際にはより安全な IC カードで認証したユーザーのみをアクセス可能とした日立製作所とオープンソースソリューションテクノロジで実現

55 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 名古屋工業大学構成図ユーザーアクセス SSO ユーザー証明書ログインリバースプロキシ保護対象学内ポータルアプリケーションポイント 1 OpenAM ポイント 2 SSO Active Directory ID 連携 ID 連携 OpenLDAP 保護対象 Unicorn IDM

56 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 名古屋工業大学認証の使い分けポイント1 ICカードを使った証明書認証を基本とする証明書認証に失敗した場合 ( 証明書の提示が無い ) にログイン画面を表示しID/ パスワードを用いた認証証明書認証とID/ パスワード認証では異なる認証レベルをセット OpenAMリバースプロキシのポリシーでレベルをチェックしアクセス制御

57 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 名古屋工業大学認証シーケンスユーザー ( ブラウザ ) 有証り明書提示 (1) ログイン画面表示ユーザー証明書 (2) セッション発行 (3) アクセス OpenAM 証明書の提示有り証明書による認証が成功リバースプロキシ証明書で認証を行って入ればアクセス可能保護対象サービス無証し明書提示 (1) ログイン画面表示 (2) ログイン画面応答 (3) ID/ パスワード送信 (4) セッション発行 (5) アクセス証明書の提示が無いため証明書認証失敗ログイン画面応答 (6) 拒否画面応答 ID/PW 認証だけではアクセス不可

58 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 名古屋工業大学 ID 管理ポイント2 Unicorn IDMによるID 連携を実施 Active Directory と OpenLDAPのアカウントを同期 OpenAMとのシングルサインオンを実現ユーザーはOpenAMにログイン済みであれば再度の認証無しでパスワードの変更が可能 UnicronIDMの管理者アカウントもシングルサインオンを実現

59 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 名古屋工業大学パスワード変更ユーザー ( ブラウザ ) OpenAM へログイン (1) パスワード変更新パスワードリバースプロキシ OpenAM 認証済みで HTTP ヘッダーにユーザー名をセットユーザー名新パスワード Unicorn IDM (2) パスワード変更 OpenLDAP HTTP ヘッダーのユーザー名で認証 (3) 変更完了 Active Directory (4) パスワード変更 (6) 変更完了 (5) 変更完了ユーザーは OpenAM ログイン済みなので新パスワードのみでパスワード変更可能 Unicorn IDM により OpenLDAP と Active Directory のパスワードが同時変更

60 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 名古屋工業大学管理者シーケンスユーザー ( ブラウザ ) (1) ログイン画面表示ユーザー証明書 (2) セッション発行 (3) アクセス OpenAM 証明書の提示有り証明書による認証が成功リバースプロキシ特定の条件を満たしたアカウントであればアクセス可能 (4) 代理認証 Unicorn IDM (5) 管理者ログイン成功特定の条件を満たしたアカウントは OpenAM にログインすることで Unicorn IDM の管理者としてログインすることができる

62 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 福岡大学様システムの特徴規模ミッション 9 つの学部 2 つの病院 22 の付置施設で構成される総合大学学生数約 21,000 人教職員数約 3,000 人高い拡張性と柔軟性を持つ先進的 SSO 基盤の構築日立製作所とオープンソースソリューションテクノロジで実現 OpenAM と Shibboleth によるハイブリッド型 SSO 基盤システムのシングルサインオンを実現する認証基盤を OpenAM と Shibboleth を使って実現様々なアプリケーションとのシングルサインオンを実現する基盤ユーザーは 1 度の認証で学認と学内のアプリケーションを利用可能

63 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 学認 Shibboleth SP Shibboleth SP Shibboleth DS SAML SAML 福岡大学様ユーザー学認連携学内アプリ Apache ( リバースプロキシ ) HTTP Header アクセス制御ポリシー学内 SSO 認証 OpenAM ( 学内認証サーバー ) ID/PW LDAP SAML SAML 認証認証連携 SAML Shibboleth の外部認証機能を利用 Shibboleth IdP (Shibboleth 認証サーバー ) Shibboleth SSO Shibboleth SP

65 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 北見工業大学様システムの特徴ユーザー ( 学生や教職員 ) は OpenAM に一度ログインすると複数の Web アプリケーションをログイン操作なしで利用できますログインするとポータルメニューが表示されますがユーザー権限やログイン場所 ( 学内 / 学外 ) によって表示されるメニューが変化しますログインしたユーザーが利用できないアプリケーションは表示されずインターネットからログインするとイントラネット専用アプリケーションも表示されませんシステム全体設計やプロジェクトとりまとめは兼松エレクトロニクス株式会社が行いましたシングルサインオンシステム構築はオープンソースソリューションテクノロジ株式会社が行いました

北見工業大学様 Copyright 2013 Open Source Solution

68 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 自社のサービスに Facebook などのアカウントでログインしてもらう OAuth クライアント機能 OAuth クライアント OAuth サーバ Facebook ユーザ情報の登録アクセスユーザのプロファイル情報 Google MSN, 他通販等の会員登録制サイトログインユーザアクセストークンアクセス許可認可サーバ登録時のオプションとして以下が可能登録申請フォームの自動記入パスワードの新規登録メール送付による本人性のチェック

69 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved OAuth クライアントとして OpenAM を使う OAuth クライアント OpenLDAP 通販等の会員登録制サイト OAuth サーバ Facebook Google 通販等の会員登録制サイトユーザ情報の登録 OpenAM アクセスアクセストークンユーザのプロファイル情報認可サーバ MSN, 他ユーザー側のアプリは OAuth を知らなくても Facebook などで認証することが可能アクセス許可ユーザログイン

71 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 認可サーバとしての OpenAMと tokeninfo RESTサービス OAuth クライアント OAuth サーバ Tokeninfo REST サービス OpenLDAP アクセストークンユーザのプロファイル情報アクセストークン OpenAM 認可サーバ Tokeninfo REST サービスの応答内容トークンのタイプ有効期間などスコープで許可されたユーザ情報アクセス許可ユーザログイン

72 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved OpenAM の REST API RFC で規定されたもの access_toke エンドポイント authorize エンドポイント OpenAM 独自 tokeninfo エンドポイントトークンの検証属性の設定トークン管理用エンドポイント

74 OpenID Connect は対応中! OAuth 2.0 の土台の上にOpenIDを構築 OpenAM 10.2 (2013, Q2) で対応予定 Facebook 相当のOpenIDの認証サーバーを OpenAMを使って自社 ( オンプレミスやプライベートクラウド ) で構築可能になる Copyright 2012 Open Source Solution Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. Technology, Corp

75 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 自社のサービスに Facebook などのアカウントでログインしてもらう OAuth クライアント機能 OAuth クライアント OAuth サーバユーザ情報の登録アクセスユーザのプロファイル情報通販等の会員登録制サイトログインユーザアクセストークンアクセス許可 OpenAM 認可サーバ Facebook や Google などに依頼していた認証サーバー機能を自社で構築可能セキュリティ対策プライベートクラウドの構築

76 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved コアトークンサービス ( 様々な認証トークンに柔軟に対応 ) コアトークンサービスの概念図トークンの要求トークンの払出しトークンの交換要求 ( ) 異なる種類のトークン SAML トークン OAuth トークン OpenAM トークンその他のトークン XML JSON Cookie ンコアトーク ( )token exchange は OpenAM 10.9 で予定されている機能で現在は使用できません

84 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved コミット例 nginex エージェント開発ユーザーデータストアの修正 JDBCの設定が共有されてしまう問題ログ出力の改善コマンドツール (ssoadm など ) の修正エージェントの設定に不正な値が登録される問題 Windows 用ツールが動作しない問題ファイルアップロードの修正 Safari Chromeでファイルアップロードが動作しない問題

87 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved OSSTech 版カスタマイズ OpenLDAPと親和性向上 > 自社ソリューション OpenAMにOpenLDAP 専用の設定を追加 OSSTech 社製 OpenLDAP 向け拡張スキーマを用意 OSSTech 社製 OpenLDAPをSHA-2 対応にアドオンモジュール開発

88 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved OSSTech 版カスタマイズ Tomcatとの親和性向上 > 環境の統一化 OpenAM 向けにパラメータを調整したTomcatを OpenAMとセットで提供パッケージング>セットアップ容易化 RPMパッケージとして提供 Windowsインストーラー提供

89 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved OSSTech 版カスタマイズ OpenAM10からのバックポート重要な修正必要な機能をバックポート多重構成でのセッション数の共有ポリシーの設定方法の改善メモリリークの修正プラットフォーム毎にエージェントを提供 RHEL5でも動作可能なApache2.2エージェントの提供日本語化画面の文字化け対策

案件個別カスタマイズ Copyright 2013 Open Source Solution

92 カスタマイズ事例 OpenLDAP パスワードポリシー対応 OpenAM-9.5 系では LDAP 標準のアカウントポリシーに未対応全て同一の認証エラーとなるという課題 LDAP 認証モジュールに LDAP のアカウントポリシー ( パスワード有効期限ロック等 ) エラーをハンドリングし個別のエラー遷移するよう改修アカウントポリシーとはパスワード有効期限アカウントロックアウト等 SunJavaDS や OpenDS を利用する場合は独自実装で対応されていた OpenAM-10 から対応開始 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved

98 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved 開発事例 Apache より早いリバースプロキシを構築したい Apache によるリバースプロキシよりスケーラビリティが欲しい nginx 用 Policy Agent の開発 nginx とはスケーラビリティパフォーマンスに優れる第三の http サーバー netcraft の 2011 年資料第 3 位に nginx が伸びてきている apache ほど多機能ではないがリバースプロキシ利用では十分の機能を持たせられる

オープンソース・ソリューション・テクノロジ株式会社代表取締役チーフアーキテクト小田切耕司

オープンソース・ソリューション・テクノロジ株式会社代表取締役チーフアーキテクト小田切耕司企業大学におけるシングルサインオンシステムの最新技術動向と導入事例オープンソースソリューションテクノロジ株式会社代表取締役チーフアーキテクト小田切耕司 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 1 - 講師紹介オープンソースソリューションテクノロジ会社紹介

オープンソース・ソリューション・テクノロジ株式会社 代表取締役 チーフアーキテクト 小田切耕司

オープンソース・ソリューション・テクノロジ株式会社代表取締役チーフアーキテクト小田切耕司