OpenAM（OpenSSO）のご紹介

目次会社紹介 OpenAM のご紹介概要開発の歴史シングルサインオン方式認証方式 ( 認証連鎖による多様素認証 ) レルムによるユーザー管理冗長化導入事例学術認証フェデレーション ( 学認 ):GakuNin とは? 学認 (Shibboleth) の特徴 OpenAM と Shibboleth との連携 Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 2 -

OSSTech 会社紹介 OS に依存しない OSS のソリューションを中心に提供 Linux だけでなく Windows/Solaris/AIX へも対応 Windows/UNIX から Linux への移行も支援! OSS を利用した認証基盤構築が得意分野 LDAP 認証 Windows ドメイン認証 Web アプリケーション認証クラウド認証 Samba,OpenLDAP,OpenAM,IDM などによる認証統合 / シングルサインオン ID 管理ソリューションを提供 OSS の製品パッケージ製品サポートを提供 OSS の改良バグ修正などコンサルティングにも対応 Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 4 -

OSSTech ソリューションシステム管理者 ID 管理 ID 管理 ID 管理 Active Directory Google Apps Salesforce ファイルサーバーバ LDAP Web アプリクラウド Windows ドメインログオンログインログインユーザー Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 5 -

OSSTech の製品群とソリューション Unicorn IDM ID 管理 ID 連携システム管理者 Active Directory Google Apps Salesforce ファイルサーバーバ LDAP Web アプリ SSO クラウド Windows ドメインログオンログインユーザー Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 6 -

OpenAM とは Web アプリケーションにおけるシングルサインオンを実現するためのプラットフォームとなるソフトウェアシングルサインオン (SSO): 一度のログイン操作さえ完了すれば複数の Web アプリケーションにログイン操作することなくログインすることが可能ユーザー情報を格納するためのユーザーリポジトリ ( ユーザーデータストア ) として様々な LDAP サーバー RDB に対応 RDB への対応は OpenAM からサポート開始 SAML OpenID OAuth ID-WSF などの認証認可に関連した複数のプロトコルをサポート Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 8 -

用語解説 SSO : Single Sign On 一度 (IdP で ) 認証されたらすべての ( 認証なしで ) アプリ (SP) が利用可能とする技術認証は IdP で行い認可は SP でやるのが一般的 IdP : Identity Provider 認証プロバイダー : 認証サーバー通常 ID とパスワードを入れて認証してもらうワンタイムパスワードや生体認証 IC カードで認証も可能 SP : Service Provider ユーザへサービスを提供するアプリケーションこの資料の中では Web アプリを指す上記 IdP で認証されたユーザはすべての SP で SSO 可能となるユーザ情報を元に認可を行うのは SP の一般的な役割だが OpenAM ではエージェントを使うことで SP の代わりに認可を行わせることが可能 SAML : Secure Assertion Markup Lauguage 認証情報を XML でやりとりするための取り決め ID とパスワードはネットワーク上を流れない DS : Discovery Service 1 つの SP に対し複数の IdP が存在する場合 IdP をユーザーに選択 ( 発見 ) させるためのサービス Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 9 -

OpenAM の歴史 - その 1 AOL による買収 AOL からの分離認証連携機能の強化オープンソース化! 開発主体 Netscape iplanet Sun Microsystems 製品名 dsame Identity Server Access Manager OpenSSO Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 10 -

OpenAM の歴史 - その 2 Oracle による買収 OpenSSO は非戦略的な製品という位置づけ Sun Oracle OpenSSO Oracle OpenSSO ForgeRock 社 Oracle から分離新プロジェクトの開始! OpenAM OSSTech との協業 Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 11 -

シングルサインオンの方式 (1) SAML OpenAM (SAML IdP) 認証基盤 (1) ログインユーザーアサーション ( 認証情報 ) (2)Web アプリへアクセス SAML Web アプリ (SAML SP) Web Application Web アプリが SAML に対応している必要があるこの図は HTTP Redirect Binding/HTTP POST Binding の場合の例 Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 13 -

シングルサインオンの方式 (2) エージェント方式 (1) ログイン OpenAM( 認証サーバ ) (3)Cookie の正当性を確認 Web サーバーユーザー Cookie (2)Web アプリへアクセス Agent ユーザ情報 Web Application リバースプロキシ方式 (1) ログインユーザー (3)Web OpenAM ( 認証サーバ ) リバースプロキシアプリへアクセス (2) ユーザー認証 HTTP ヘッダー Web Application Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 14 -

シングルサインオンの方式 (3) 代理認証方式 (1) ログイン OpenAM ユーザー (2) ユーザー認証 ID/ パスワードを初回アクセス時のみ代理で送信する ID/ パスワード (3) 代理認証 Web アプリ Form 認証 ID PW (4) 代理認証後は直接アクセスリバースプロキシー方式で代理認証する方法もある上記は代理認証用ポータルを用意する方法 Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 15 -

OpenAM の機能 - シングルサインオン SAML によるシングルサインオン Secure Assertion Markup Lauguage 認証認可ユーザ属性情報などを XML で送受信するためのフレームワーク標準化団体 OASIS により策定 GoogleApps Salesforce などが採用エージェント方式 SSO 対象の Web アプリが動作するサーバー上にアクセス制御用のモジュールを配置する方式サーバーのバージョンに影響を受ける Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 16 -

OpenAM の機能 - シングルサインオンリバースプロキシ方式リバースプロキシを使用してアクセス制御を行うユーザーデータの受け渡しは HTTP ヘッダーを利用 SSO 対象 Web アプリのバージョンや設定変更の影響が少ないリバースプロキシが性能上のボトルネックになる可能性がある代理認証方式 SSO 対象 Web アプリの既存ログイン画面に対して OpenAM がユーザーの代理でログイン ID/ パスワードを送信する SSO 対象 Web アプリの改修が不要細かなアクセス制御はできない ( ログイン処理の代理実行のみ ) Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 17 -

OpenAM の機能 - データストアと認証方式認証方式ワンタイムパスワード指静脈認証 Windows Desktop SSO クライアント証明書外部 DB 認証連鎖 OpenAM Web Application ユーザーログインログイン ID PW SSO Web Application User Data Store Web Application ユーザーデータストア ( ユーザー情報 DB) Active Directory OpenLDAP RDB Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 19 -

OpenAM の機能 - 認証方式基本的には OpenAM のユーザーデータストアに保存された ID/ パスワードにより認証を行なうユーザー認証時に外部のデータベースを参照することも可能 ( 更新できない参照のみのものでも可能 ) LDAP Active Directory RADIUS RDB(JDBC) よりセキュアな認証方式も使用可能ワンタイムパスワード ( 電子メールを利用 ) クライアント証明書による認証 Windows Desktop SSO( 統合 Windows 認証 ) 複数の認証方式を組み合わせて使用可能 : 認証連鎖 Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 20 -

OpenAM の機能 - ユーザー情報 DB ユーザーデータストア OpenAM のユーザー情報を格納する LDAP サーバー / データベースサーバー ( 更新権限が必須 ) Active Directory Open LDAP Sun Directory Server OpenDS(Sun Directory Server のオープンソース版 OpenAM に標準で組み込まれている ) RDB(OpenAM から対応 ) Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 21 -

OpenAM の機能 - 認証連鎖多様素認証の必要性複数の認証方式を組合わせて認証を行うことにより個々の認証方式の欠点を補完認証連鎖複数の認証方式を組み合わせて利用可能認証方式にはそれぞれ適用条件を指定する必須 : 失敗したらそこで終了十分 : 成功したらそこで終了必要 : 成功しても失敗しても次に継続任意 : 認証結果には関係しない付随的な処理認証方式 1( 必須 ) ID/PW 認証認証方式 2( 必須 ) ワンタイムパスワードログイン完了 Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 22 -

OpenAM の機能 - レルムレルム :OpenAM の設定を管理するための単位の以下の設定をレルム単位で管理ユーザーデータストア (LDAP ベース DN 検索フィルタなども指定可能 ) アクセス制御ポリシー認証方式基本的にはユーザー情報 DB 単位でレルムを分けるレルム毎に管理者を置き管理を委任することが可能 Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 24 -

OpenAM の機能 - レルム使用の具体例複数組織 ( 複数の企業など ) のシングルサインオン基盤を OpenAM で構築し組織毎に設定を行なう組織内に存在する複数の DB を一つのレルムに登録し全てのユーザーに同一のシングルサインオン環境を提供する ( 例 B) DB 内の特定のユーザーに対してのみシングルサイオン可能にする ( 例 C) OpenAM レルム A レルム B レルム C Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 25 -

OpenAM の機能 - 冗長化シングルサーバ構成 OpenAM サイト構成 Load Balancer User Data Store セッションフェールオーバー構成 Load Balancer OpenAM OpenAM OpenAM OpenAM User Data Store セッションフォワーディングレプリケーション / マルチマスタ User Data Store セッション情報 User Data Store セッションフォワーディングセッションフェールオーバーレプリケーション / マルチマスタセッション情報 User Data Store Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 27 -

学認 (Shibboleth) の特徴 SSO 方式として SAML を標準代理認証やヘッダ認証などの方式には対応していない多要素認証に対応していない学認では認証強度を伝える取り決めがないレルムといったマルチテナントの考え方がない職員学生卒業生といった属性で認証方式を切り替えられないロードバランサーで負荷分散は可能だがセッションルーティングやセッションフェイルオーバーの機能は持っていない SP のための専用 Web サーバー (Apache) が必要 OpenAM は Fedlet を使ってアプリを SAML 対応にできる認可は SP 側の役割で Shibboleth IdP では行えない OpenAM ではエージェント使って (SAML や代理認証ヘッダ認証のアプリでも ) 認可を OpenAM で集中管理可能 GUI の管理ツールがない OpenAM には IdP と SP( エージェント ) を集中管理できる Web GUI が付属 1 つの Shibboleth を IdP と SP の両方同時に動かすのは容易ではない OpenAM は IdP でありながら SP としても動作させることが可能 Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 32 -

Shibboleth と OpenAM の連携 Shibboleth は SAML を使うので Shibboleth の代わりに OpenAM を使うことは可能学認ではまず Shibboleth ありきとなっているが Shibboleth を入れてすべての Web アプリを Shibboleth SP としてしまうのが理想だが SAML 対応にするのは容易ではない OpenAM では代理認証やヘッダ認証などの方式が利用でき既存アプリの修正を最小限 ( 修正なし ) で SSO 対応させることが可能 OpenAM は IdP としても (SAML の )SP としても振る舞うことが可能 Shibboleth を IdP としても (SAML の )SP としても振る舞わせるには難しい Shibboleth の足りない部分を OpenAM で補い連携させることで柔軟で高機能な SSO システムが可能となる Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 34 -

OpenAM と Shibboleth との連携どの IdP で認証されてもどの SP へアクセス可能学認 :NII Shibboleth SP OpenAM IdP SAML OpenAM リバプロ認証連携 Shibboleth IdP OpenAM SP SAML に対応できない既存アプリヘッダ認証または代理認証 SAML Shibboleth SP Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 35 -

OpenAM と Shibboleth との連携 (1) Shibboleth で認証されたユーザから OpenAM の SP へアクセス学認 :NII Shibboleth SP OpenAM IdP SAML OpenAM SP OpenAM リバプロ 6 ヘッダ認証または代理認証 25 1 認証連携 34 Shibboleth IdP SAML Shibboleth SP Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 36 -

OpenAM と Shibboleth との連携 (2) OpenAM で認証されたユーザから Shibboleth の SP へアクセス学認 :NII Shibboleth SP OpenAM IdP SAML OpenAM リバプロ SAML 認証連携 34 Shibboleth IdP OpenAM SP ヘッダ認証または代理認証 1 25 SAML Shibboleth SP Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 37 -

まとめ今後学認 (Shibboleth) の導入は大学 ( 教育機関 ) での導入は必須となっていく Shibboleth だけで SSO 環境を構築するのは容易ではない OpenAM は商用製品なので実績のある商用 SSO ソリューションが多数存在する IC カードワンタイム生体認証など代理認証やヘッダ認証など既存アプリの変更を最小限にして SSO 化が可能 OpenAM と Shibboleth を連携させることで既存環境と学認環境を平行運用しながら順次 SSO 対応化させていくことが可能 Copyright 2011 Open Source Solution Technology Corporation All Rights Reserved. - 38 -

OpenAM（OpenSSO） のご紹介

OpenAM（OpenSSO）のご紹介