オープンソース・ソリューション・テクノロジ株式会社

Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 2 - アジェンダ OpenAM 製品紹介 OpenAM 13 新機能 OSSTech 版 OpenAM のサポートパートナー支援プログラムシングルサインオン構成例 Unicorn ID Manager v3 製品紹介機能紹介 Unicorn ID Manager システム構成例

Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 3 - OpenAM 13 新機能 SAML2 Authentication Module Stateles Sessions UMA Authorization Server Contextual Authorization OpenID Certified etc,etc

Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 4 - SAML2 Authentication Module SAML-SP の機能を認証連鎖に組み入れられるようになりました ( 例えば ) 外部 IdP で認証後さらにワンタイムパスワードを入力するなどの用途に使えます外部 IdP SAML で SSO OpenAM ID/PW でログインさらに OTP 認証を利用してセキュアな処理

Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 5 - Stateless Sessions OpenAM 内部にセッションを保持しなくても良いアクティブユーザー数が多い BtoC の世界へ Cookie=A 使用前使用後 A=SessionA A=SessionA A=SessionA A=SessionA メモリー又はストアにセッションいっぱい! Cookie=SessionA Cookie=SessionA セッション情報は Cookie で送られて来るサーバーサイドのセッション管理不要

Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 6 - UMA Authorization Server UMA (User Managed Access) ユーザーによる認可管理機能 OpenAM においてユーザー ( リソースオーナー ) 自身がリソースへのアクセス認可を行うインターフェースが実装された

Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 10 - OpenAM セキュリティアップデート塩漬けで運用していませんか? セキュリティアップデートリリース回数バージョン 2012 2013 2014 2015 2016 OpenAM 9.5.x 3 0 2 3 3 OpenAM 11.x - - 2 5 3 OpenAM 13.x - - - - (4) 本来は脆弱性が無いのが良いのでしょうが安全に長くご利用いただくためには不可避なサービスです

Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 11 - OpenAM11 2016 年対応 Fix 今年に限定した OpenAM の脆弱性のリストです OSSTech 版は対応済みですもしコミュニティ版 11.0.0 をお使いならこれらは全て未対応ですセキュリティ Issue 番号 Issue #201605-01: Credential Forgery Issue #201605-02: Insufficient Authorization Issue #201605-03: Authentication Bypass Issue #201605-04: Cross-Site Request Forgery Issue #201605-05: Cross Site Scripting (XSS) Issue #201605-06: Credentials appear in CTS access log Issue #201605-07: Content Spoofing Vulnerability Issue #201604-01: User Impersonation via OAuth2 access tokens Issue #201604-02: Open Redirect Issue #201604-03: Cross Site Scripting Issue #201604-04: Insufficient Authorization セキュリティ Issue 番号 Issue #201604-04: Insufficient Authorization Issue #201604-05: Information Leakage via Account Lockout Issue #201604-06: Information Leakage Issue #201601-01: Open Redirect Issue #201601-02: Potential Denial of Service attack in multi-site deployments Issue #201601-03: Cross Site Scripting Issue #201601-04: Open Redirect Issue #201601-05: Business Logic Vulnerability

Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 12 - OSSTech 版 OpenAM パッケージ RPM パッケージの採用弊社メンバーの 15 年を超える OSS 経験から導き出されたお客様への回答! ソフトウェアサポートセキュリティアップデート作業まで運用チームへ渡せますか? ものすごく長い手順書じゃないですか? OSSTech 版なら rpm コマンドが使えます [root@openam01] # service osstech-tomcat7 stop [root@openam01] # rpm -Uvh osstech-openam11-11.0.0- xxxx.noarch.rpm [root@openam01] # service osstech-tomcat7 start

Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 15 - パートナー支援 : 構築手順書提供ハンズオンのカリキュラムでは網羅できない 2 重化やパスワードポリシー代理認証のバリエーションなど詳細な手順書とマニュアルをお渡ししています QAも可能です手順書マニュアル例 OpenAM ハンズオンテキスト ( ノートつき ) ノウハウの出し惜しみ無し! OpenAM インストールガイド OpenAM 初期設定ガイド OpenAM インストールガイド OpenAM 初期設定ガイド OpenAM リリースノート OpenAM コマンドライン利用手順書 OpenAM 画面カスタマイズガイド OpenLDAP 認証モジュール利用手順書 OpenAM SAML 設定ガイド Apache Policy Agent リファレンスマニュアル Apache Policy Agent パッケージインストールガイド etc...

Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 16 - パートナー支援 : ドキュメントテンプレート設計時納品時に必要なドキュメントのテンプレートを提供しています一から作ると大変ですから是非活用してくださいドキュメントテンプレートの一例 OpenAM 基本設計書 ( 方式設計 ) OpenAM 詳細設計書 ( パラメーターシート ) OpenAMテスト結果報告書 OpenAM 運用手順書リバースプロキシ詳細設計書リバースプロキシテスト結果報告書リバースプロキシ運用手順書 OpenLDAP 関連 etc...

Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 20 - シングルサインオン構成例リバースプロキシ型代理認証アプリケーションを改修せずに SSO 化 Form 認証方式のログイン画面にリバースプロキシ上のモジュールが代理で ID/PW を入力 ( 代理認証 ) OpenAM ログインせずに利用可能代理認証 AppA ログインは一度だけアクセスリバースプロキシ代理認証代理認証 AppB AppC

シングルサインオン構成例クラウドアプリケーション認証を OpenAM へ移管することによるアクセスの一元管理クラウドサービスの認証を多要素認証に OpenAM ログインは一度だけアクセス SSO プロトコルによる連携 GoogleApps Office365 Salesforce クラウド個別の多要素認証ではなく OpenAM で一元管理された多要素認証が可能 Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 21 -

Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 22 - シングルサインオン構成例学認連携学内アプリと学認両方へのアクセスを一元管理学内をリバースプロキシ型学認をShibboleth 連携学内学外 OpenAM Shibboleth AppA リバースプロキシ連携連携学認サービス AppB 代理認証ログインは一度だけアクセスアクセス

Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 23 - シングルサインオン構成例サービスのSSO 化フェデレーションプロトコルに関する部分を OpenAMへ移管し開発コストセキュリティリスクを低減自社サービス顧客 A IdP OpenAM 顧客 B IdP 顧客 A User アクセス SSO プロトコルによる連携認可情報顧客 B User アクセス自社アプリケーション + OpenAM Agent

Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 25 - Unicorn ID Manager とは? ID 管理 / ID 連携を実現する製品 Web ブラウザで ID 管理クラウドサービス & オンプレミスの ID を対象特長 Linux(RHEL7/CentOS7) で稼働メタディレクトリを持たないはじめて ID 管理製品を導入する方へ

Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 32 - 運用管理機能の拡充管理者ロール機能管理者権限の委譲と制限設定情報のテキストファイル化構成管理ツールによる導入設定の自動化 User = { "objectclass": [ "top", "person", "organizationalperson", "inetorgperson", "posixaccount", ], "uid": username, "cn": username, "uidnumber": default(uidnumber), "gidnumber": default(gidnumber, 100), "loginshell": default(loginshell, "/bin/bash"), "homedirectory": default(unixhomedirectory, "/home/%(username)s"), "sn": familyname, "givenname": givenname, "userpassword": password,

Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 33 - 連携用 API の拡充コマンドラインインタフェース Linux 上でコマンドによる CSV ファイル一括操作 # unicornidm-tool user add <csvfile> REST API(SCIM) HTTP 経由による ID 連携操作

Unicorn ID Manager 構成例標準的な ID 管理システム構成 Google Apps Office365 Azure AD インターネットパスワード変更操作 LAN ID 管理業務 (CSV ファイル ) ユーザー管理者 OpenLDAP Active Directory Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 34 -

Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 35 - Unicorn ID Manager 構成例 2 既存 ID 管理システムと統合 ID 管理業務既存 ID 管理システム ID 連携処理管理者新規 ID 連携先 CSV ファイル追加 ID 連携先 1 コマンドインタフェース実行追加 ID 連携先 2

Unicorn ID Manager 構成例 3 ID 管理 API の共通化に利用連携先が追加されても同じ API で ID 管理の連携が可能 REST API ID 連携先 1 アプリケーション ID 連携先 2 連携先追加 ID 連携先 3 Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 36 -

Copyright 2016 Open Source Solution Technology Corporation All Rights Reserved. - 37 - Unicorn ID Manager 製品情報製品情報 http://www.osstech.co.jp/product/unicornidm/ 管理者ドキュメント https://www.osstech.co.jp/download/updates/docs/unicornidm3/ 製品価格パッケージ : 60 万円 /1 ノード年間サポート : 24 万円 / 年