企業 大学における シングルサインオン システムの 最新技術動向と導入事例 オープンソース ソリューション テクノロジ株式会社 代表取締役チーフアーキテクト小田切耕司 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 1 -
講師紹介 オープンソース ソリューション テクノロジ 会社紹介 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 2 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 3 - 講師紹介 役職 : 代表取締役チーフアーキテクト 氏名 : 小田切耕司 ( おだぎりこうじ ) 所属団体等 OpenAM コンソーシアム副会長 OSS コンソーシアム副会長 日本 LDAP ユーザ会設立発起人 日本 Samba ユーザ会初代代表幹事 執筆関係 日経 Linux 2011 年 9 月号 ~2012 年 2 月号連載中 Linux 認証のすべて ( 第 1 回 ~ 第 6 回 ) http://itpro.nikkeibp.co.jp/linux/ ASCII.technologies 2011 年 2 月号 キホンから学ぶ LDAP http://tech.ascii.jp/elem/000/000/569/569412/ 技術評論社 Software Design 2010 年 9 月号 第 1 特集クラウド対策もこれで OK! 統合認証システム構築術 OpenAM/SAML/OpenLDAP/Active Directory http://gihyo.jp/magazine/sd/archive/2010/201009 @IT やってはいけない Samba サーバ構築 :2008 年版 2006 年 5 月技術評論社 LDAP Super Expert 巻頭企画 [ 新規 / 移行 ]LDAP ディレクトリサービス導入計画
オープンソース ソリューション テクノロジ株式会社 OSに依存しないOSSのソリューションを中心に提供 Linuxだけでなく AIX, Solaris, Windowsなども対応! OpenAM, OpenLDAP, Sambaによる認証統合 / シングル サイン オン ID 管理ソリューションを提供 製品パッケージ提供機能証明 定価証明が発行可能 製品サポート提供 3 年 ~5 年以上の長期サポートコミュニティでサポートが終わった製品のサポート OSSの改良 機能追加 バグ修正などコンサルティング提供 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 4 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 5 - OSSTech の製品群 Unicorn IDM ID 連携 ID 管理システム管理者 Active Directory Google Apps Salesforce ファイルサーバサーバー LDAP Web アプリ SSO クラウド Windows ドメインログオン 認証基盤をすべて OSS 製品で提供 ユーザー ログイン
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 6 - OSSTech の製品群 ( すべて OSS で提供 ) 原則 Linux/Solaris/AIX 共に RPM で提供 Samba for Linux/Solaris/AIX AD の代替 高性能 NAS の代替 OpenLDAP for Linux/Solaris/AIX 認証統合 ディレクトリサービス シングルサインオンのインフラ OpenAM for Linux/Windows/Solaris/AIX Tomcat, OpenLDAP 対応で高機能なシングルサインオン機能を提供 ( 旧 OpenSSO) Unicorn ID Manager for Linux/Solaris Google Apps, Active Directory, LDAP に対応した統合 ID 管理
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 7 - OSSTech の製品群 ( すべて OSS で提供 ) 原則 Linux/Solaris/AIX 共に RPM で提供 Chimera Search( キメラサーチ ) for Linux アクセス権の無いファイルは表示されない全文検索システム LDAP Account Manager for Linux/Solaris 管理機能の弱い OSS の LDAP/Samba に Web ベースの GUI を提供 ThothLink( トートリンク ) for Linux Web ブラウザからの Windows ファイルサーバアクセス機能を提供 SSLBridge 後継製品 Mailman for Linux/Solaris 日本語での細かな問題を解決 Yahoo メールや Google Apps のメーリングリスト機能を補完
クラウドと共に普及するシングルサインオン Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 8 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 9 - サービスを利用するには必ず必要な 認証 Active Directory 企業 組織内 クラウド Google Apps Salesforce ファイルサーバー LDAP メールサーバー Client/Server Web アプリ Windows ログオン / LDAP 認証 ログイン ログイン ログイン ユーザー システムの数だけ 認証 が必要
SSO: シングルサインオンとは 一度のログイン操作さえ完了すれば 複数のアプリケーションに認証操作することなくアクセスすることが可能になる Active Directory Google Apps ファイルサーバー LDAP Windows ログオン / LDAP 認証 メールサーバー / クラサバ ログイン ユーザー Web アプリ ログイン SSO Salesforce クラウド 今日はこの部分のお話 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 10 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 11 - SSO( シングルサインオン ) とは 1 回のパスワード入力で複数のシステムやサービスを同時利用 ID 統合を使った統合認証 では ID とパスワードの管理を 1 カ所でできるためユーザの追加も楽 社員が退社した場合に 1 カ所 ID を削除すれば すべてのシステムが利用不可となる 近年クラウドサービス (SaaS, PaaS, IaaS, HaaS など ) の普及により ( 社外にある ) サービス毎に ID/ パスワードを登録しなければならないケースが増えており ID 連携による統合認証 を使わざるを得ないケースが増えている ところがこの ID 連携が費用の問題や技術的な問題で完全に実現されていない場合 例えば社員が退社した時に社内システムの ID を削除しても SaaS 側の ID が残っているとクラウド側のシステムは社外から使えてしまう といった問題が起きてしまう
クラウドで統合認証ができていないと... インターネット クラウド サービス Google Apps Salesforce など SP 認証 IdP ユーザー情報 プライベートクラウド /ASP B2B,B2C SP 認証 IdP ユーザー情報 イントラネット 社内向けシステム システム毎にログイン操作が必要 クラウドに ID/ パスワードとパスワードを置く必要がある ( パスワードを社外に置くと不正ログインされる危険性が高い ) ユーザー情報 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 12 - SP 認証 IdP
クラウドで統合認証と SSO を実現する DMZ (1) LDAP/AD ID/Pass インターネット 認証はすべて社内で行う IdP 認証チケット パスワードは社内で管理 (2) (3) 認証チケット / リバースプロクシ アクセス ユーザー SAML 認証 認証チケット / リバースプロクシ SP クラウド サービス Google Apps Salesforceなど プライベートクラウド /ASP B2B,B2C イントラネット 社内向けシステム Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 13 - SP SP
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 14 - シングルサインオンを実現するソフトウェア Web アプリケーションにおけるシングルサインオンを実現するためのプラットフォームとなるソフトウェア 現在はオープンソースだが 元は Sun Microsystems 社の商用製品 (Access Manager) 弊社で製品パッケージを提供 SAMLを扱えるオープンソースのソフトウェア Shibboleth1.3 以前のバージョンがSAML1.1を実装 Shibboleth2.0よりSAML2.0を実装 学認フェデレーションでの主な認証ミドルウェアとして使用
シングルサインオン 技術動向 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 15 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 16 - SSO(OpenAM) 導入動向 クラウドの普及により SSO( シングルサインオン ) が急速に普及中 IaaS や PaaS も増えつつあるが やはり SaaS の Google Apps( 大学 / 企業 ) と Salesforce( 企業 ) をまず導入するケースが多い 企業では Salesforce のセキュリティ強化を目的に OpenAM 導入するケースが多い 大学では Google Apps とイントラネットや Shibboleth を連携させるケースが多い 企業では M&A や会社合併のために増えすぎたアプリや ID を統合するために SSO を導入 IaaS や PaaS も普及し始め これらの上で構築された社内向け個別アプリの SSO も普及しだしてきた
OpenAM で実現する シングルサインオン ハブ オープンソースの OpenAM だから 高機能 安価に実現できる Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 17 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 18 - 混在する複数の SSO 環境 SAML IdP を導入して SSO を実現 Google Apps Salesforce SAML クラウド SSO セグメント リバースプロキシ / エージェント Shibboleth IdP で SSO を実現 (Shibboleth は SAML を利用しているが 仕様上 OpenAM では代替不可能 ) SAML Shibboleth SP Shibboleth IdP 学認 (Shibboleth) SSO セグメント 大幅な改修はしたくないため エージェント型 / リバースプロキシ型で SSO を実現 社内 SSO セグメント
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 19 - OSS で実現するシングルサインオン ハブ Google Apps Salesforce クラウド SSO セグメント OpenAM ( 認証サーバー ) リバースプロキシ / エージェント Shibboleth Shibboleth SP IdP 学認 (Shibboleth) SSO セグメント 社内 SSO セグメント SSO セグメントを結合するハブとして OpenAM を利用 ユーザーは OpenAM へのログインさえ完了していれば 全てのアプリに SSO 可能
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 20 - シングルサインオン ハブを実現するための機能 認証機能 ユーザーの本人性を確認する セキュリティ強化のために 多要素認証が望ましい ユーザー情報保存機能 認証情報や他システムに連携するユーザー情報を保存する 外部システムと連携可能なインタフェース フェデレーション (SAML, OpenID, OAuth など ) REST API SDK
シングルサインオン方式 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 21 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 22 - シングルサインオン方式の詳細 (1) フェデレーション :SAML によるシングルサインオン Secure Assertion Markup Language 認証 認可 ユーザ属性情報などを XML で送受信するためのフレームワーク 標準化団体 OASIS により策定 GoogleApps, Salesforce などが採用 今後 OpenID の普及により OpenAM で OAuth 実装予定 エージェント方式 SSO 対象の Web アプリが動作するサーバー上にアクセス制御用のモジュールを配置する方式 サーバーのバージョンに影響を受ける
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 23 - シングルサインオン方式の詳細 (2) リバースプロキシ方式 リバースプロキシを使用してアクセス制御を行う ユーザーデータの受け渡しは HTTP ヘッダーを利用 SSO 対象 Web アプリのバージョンや設定変更の影響が少ない リバースプロキシが性能上のボトルネックになる可能性がある 代理認証方式 SSO 対象 Web アプリの既存ログイン画面に対して OpenAM がユーザーの代理でログイン ID/ パスワードを送信する SSO 対象 Web アプリの改修が不要 細かなアクセス制御はできない ( ログイン処理の代理実行のみ )
フェデレーション :SAML によるシングルサインオン Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 24 -
エージェント型 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 25 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 26 - リバースプロキシ型 後方のサーバを仮想的に 1 台に見せることも可能 認証とサーバへのアクセス制御はプロキシサーバで行う 後方のサーバは認証なしもしくは Basic 認証でアクセス可能
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 27 - 代理認証方式 プロキシまたは代理認証ポータル 認証情報を POST 認証サーバで認証したら後方のサーバへ認証情報を POST して認証する 後方のサーバが独自の認証画面を持っていても SSO 可能
シングルサイオン方式の採用基準 Webアプリケーションが SAMLに対応しているか No No Web アプリケーションの改修が可能か WebアプリケーションをSAMLに対応させることができるか No No ポリシーエージェントが Web サーバ /AP サーバに対応しているか No Yes Yes Yes Yes SAML を採用 代理認証方式を採用 SAML を実装 エージェント方式を採用 リバースプロキシ方式を採用 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 28 - No
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 29 - 本当はやってはいけない 代理認証 既存アプリに手を入れられない という理由で代理認証を採用するユーザーは多いが本当はやってはいけない! ID とパスワードを (HTTPS でも ) ネットワークに何度も流すのは良くない (SSO 入り口の 1 カ所に限定すべき ) 代理認証はイントラネットのみに限るべき クラウドへの代理認証は危険 SAML に対応している Google Apps や Salesforce に対して 代理認証は絶対にやってはいけない! (SAML を使って IdP を社内に置けばパスワードはクラウドに流れない )
OpenAM の認証方式 ( 多要素認証 ) Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 30 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 31 - OpenAM の機能 - 認証連鎖 多要素認証の必要性 複数の認証方式を組合わせて認証を行うことにより個々の認証方式の欠点を補完 認証連鎖 複数の認証方式を組み合わせて利用可能 認証方式にはそれぞれ適用条件を指定する 必須 : 失敗したらそこで終了 十分 : 成功したらそこで終了 必要 : 成功しても失敗しても次に継続 任意 : 認証結果には関係しない付随的な処理 認証方式 1( 必須 ) ID/PW 認証 認証方式 2( 必須 ) ワンタイムパスワード ログイン完了
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 32 - 多要素認証 複数の認証方式を組合わせて認証を行うことにより個々の認証方式の欠点を補完 厳密なユーザ認証 異なるタイプの認証方式を組合わせることが重要 使い勝手の向上 いつも同じ認証方式が使えるとは限らない 状況により要求される認証の精度が異なる 認証方式間での連携 組合わせて使うことを前提にしている認証方式もある
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 33 - 認証連鎖 認証方式を組合わせる方法を指定する 認証方式にはそれぞれ適用条件を指定する 十分 : 成功したらそこで終了 必要 : 成功しても失敗しても次に継続 必須 : 失敗したらそこで終了 任意 : 認証結果には関係しない付随的な処理 認証成功時には認証方式に応じて認証レベルが設定され る 認証方式 1( 十分 ) 認証方式 2( 必要 ) 認証方式 3( 任意 ) 評価 評価
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 34 - 例 1.Windows Desktop SSO Windows Server 2000/2003/2008 Active Directory 自動チケット送付 OpenAM 1 ンドメインログオ チケット発行 2 3 認証 認可 属性情報 利用 4
例 1.Windows Desktop SSO Windows ドメインログオンするだけで Web アプリケーションにも SSO が可能になる便利な方式 いつも 全てのユーザがドメインログオン可能であるとは限らない リモート アクセスの場合 非常勤社員の場合 通常のユーザ ID パスワードによる認証と組み合わせて以 下のように認証連鎖構成する Windows Desktop SSO: 十分 ユーザ ID パスワードによる認証 : 必須 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 35 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 36 - 例 2. 携帯電話を使ったワンタイム パスワード ユーザ ID パスワード 認証成功 通常のユーザ ID パスワードによる認証 ユーザの携帯電話 ワンタイム パスワード要求 ワンタイムパスワードの入力画面 +HMAC ワンタイム パスワード +HMAC 返送 OpenAM 同時に携帯電話へワンタイム パスワードを送付 認証成功 ワンタイム パスワード認証
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 37 - 例 2. 携帯電話を使ったワンタイム パスワード 所持物認証と知識認証の組合わせによる厳密なユーザ認証が可能 携帯電話を使うことによる利点 導入コストの低減 所持品の軽減 フィッシングへの対応 HMAC(RFC2104:Keyed-Hashing for Message Authentication) を利用 両方のパスワードが盗まれた場合は問題 参考 :RSAセキュリティ( 株 ) による月例記者会見 http://internet.watch.impress.co.jp/docs/news/20100728_383861.html
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 38 - 応用例 Windows Desktop SSO による認証は便利なのでぜひ使いたいが全てのユーザがドメインログオン可能とは限らない ワンタイム パスワードは厳密な認証が出来る点は良いが い つも携帯電話を開いてパスワードを確認するのは面倒だ 2 つを組合わせることにより便利かつ厳密な認証を行うことが可能 Windows Desktop SSO: 十分 ユーザ ID パスワードによる認証 : 必須 ワンタイム パスワードによる認証 : 必須
OpenAM によるシングルサインオン システム導入事例 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 39 -
某通信会社グループ共通 シングルサインオンシステム Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 40 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 41 - 某通信会社グループ共通シングルサインオンシステム ユーザー総数約 25 万人 ID/ パスワードとユーザー証明書の多要素認証 ( 認証連鎖 ) 一部グループ会社ユーザーは SAML 2.0 対応 IdP による認証連携 OpenLDAP のパスワードポリシー対応モジュールの開発 保護対象アプリケーションとの連携は PolicyAgent を用いたリバースプロキシ型
某通信会社グループ全体構成図 グループ会社ユーザー E OpenAM SSO グループ会社ユーザー W グループ共通イントラネット リバースプロキシ 保護対象企業グループ SSO ポータルアプリケーション SAML 2.0 による認証連携 グループ共通システム グループ会社 S 社 グループ会社 D 社 A 社認証基盤 IdP B 社認証基盤 IdP 一部グループ会社では各社の認証基盤を IdP として OpenAM と連携 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 42 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 43 - 某通信会社グループ構築のポイント グループユーザー アクセス SSO ユーザー証明書 ログイン リバースプロキシ 保護対象グループ会社 SSO ポータルアプリケーション ポイント1 OpenAM ポイント2 アクセス グループ共通システム ポイント 3 SAML2.0 認証連携 各社認証基盤 IdP OpenLDAP グループ会社認証統合基盤 ログイン 一部のグループ会社ユーザー
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 44 - 多要素認証 ポイント1 ID/ パスワードとユーザー証明書を用いた多要素認証 認証連携 での接続方法も 同等の認証レベルをセットするカスタム認証モジュールを開発 OpenAMリバースプロキシのポリシーでレベルをチェックしアクセス制御
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 45 - 多要素認証時の認証 認可シーケンス 認証レベル判別シーケンス ユーザー ( ブラウザ ) OpenAM Level0 ID/PW ログイン OpenAMセッションアクセス リバースプロキシ ID/PW 認証だけではアクセス不可 保護対象サービス Level3 ID/PW ログインユーザー証明書 OpenAMセッション ID/PW と証明書認証の両方でアクセス可能 認証方式から Level を付与 Level3 コンテンツ アクセス SSO Level3 Level に基づきアクセス制御 認証連携 Level5 OpenAM セッション アクセス SSO Level5 Level5 コンテンツ Level に基づきアクセス制御
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 46 - 異なる IdP 製品との認証連携 ポイント2 一般的にユーザーはOpenAMで認証を行う 一部のグループ会社ユーザーは各社認証基盤の IdPで認証を行い OpenAM 保護下のグループ会社 SSOポータルアプリケーションとはSAML 認証連携でアクセス可能とする
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 47 - 異なる IdP 製品との認証連携シーケンス 一部グループ会社ユーザー 自動リダイレクト ログイン 各社認証基盤 ポータルリンクから OpenAM リバースプロキシ 保護対象サービス OpenAM セッションを確認 初回アクセスのみ認証連携を行う SAML SP による認証連携 OpenAM セッション アクセス OpenAM セッション開始 ログインぺージへリダイレクト OpenAM セッションを確認 SSO 2 回目以降のアクセスシーケンス コンテンツ
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 48 - OpenLDAP ポリシーへの対応 ポイント3 OpenAM 9 系では対応していないOpenLDAP(RFC 標準 ) のアカウントポリシーエラー対応のため OpenAMの拡張開発を行った 拡張を行ったOpenAMは パスワード有効期限切れなどOpenLDAPからの戻り値を判定し 任意のURL へ遷移する
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 49 - OpenLDAP ポリシーへの対応 OpenLDAP エラー情報判定シーケンス ユーザー ( ブラウザ ) ログイン OpenAM LDAP バインド LDAP 応答 OpenLDAP アカウントロックパスワード有効期限などポリシーのチェック ポリシー対応のエラー画面表示 LDAP 応答の内容をハンドリングし適切な画面を応答
某総合電機メーカー シングルサインオン システム Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 50 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 51 - 某総合電機メーカーシングルサインオンシステム 規模 : グループ企業 7 社 約 5000 人 海外 22 拠点今後拡大予定 海外ディーラー向けの技術情報やマーケティング情報の CMS および EC サイトへのシングルサインオン CMS, EC サイトとの連携は OpenAM PolicyAgent とお客様開発の連携モジュール SAML 認証と代理認証を利用 対象ユーザー 保護対象アプリケーションはインターネット上に点在
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 52 - 某総合電機メーカー構成図 パートナー パートナー Login Login Internet OpenAM SSO SSO CMS マーケティングサイト CMS マーケティングサイト Login SSO パートナー パートナー Login 認証は一カ所全てのシステムへ SSO SAML や代理認証 SSO CMS テクニカルサイト EC サイト
国立大学法人 名古屋工業大学 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 53 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 54 - 名古屋工業大学様事例のポイント 規模学生数約 5,800 人教職員数約 510 人 旧 Sun 製品の置き換え 旧 Sun 製品 (Sun Java System Access Manager) からの移行を実現 旧 Sun 製品の Oracle 後継製品を導入する場合はコスト高 Sun Java System Access Manager の後継であり OSS の OpenAM を採用 他にも LDAP に OpenLDAP, ID 管理に Unicorn IDM と積極的に OSS を採用 IC カードによる認証と ID/ パスワードによる認証の使い分け アクセスリソースに対しての認証レベルの使いわけ IC カードによる証明書認証 と ID/ パスワードによる認証 の二つの認証方式を用意 重要なリソースへのアクセスの際にはより安全な IC カードで認証したユーザーのみをアクセス可能とした 日立製作所とオープンソース ソリューション テクノロジで実現
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 55 - 名古屋工業大学構成図 ユーザー アクセス SSO ユーザー証明書 ログイン リバースプロキシ 保護対象学内ポータルアプリケーション ポイント 1 OpenAM ポイント 2 SSO Active Directory ID 連携 ID 連携 OpenLDAP 保護対象 Unicorn IDM
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 56 - 名古屋工業大学認証の使い分け ポイント1 ICカードを使った証明書認証を基本とする 証明書認証に失敗した場合 ( 証明書の提示が無い ) にログイン画面を表示しID/ パスワードを用いた認証 証明書認証とID/ パスワード認証では異なる認証レベルをセット OpenAMリバースプロキシのポリシーでレベルをチェックしアクセス制御
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 57 - 名古屋工業大学認証シーケンス ユーザー ( ブラウザ ) 有証り明書提示 (1) ログイン画面表示 ユーザー証明書 (2) セッション発行 (3) アクセス OpenAM 証明書の提示有り証明書による認証が成功 リバースプロキシ 証明書で認証を行って入ればアクセス可能 保護対象サービス 無証し明書提示 (1) ログイン画面表示 (2) ログイン画面応答 (3) ID/ パスワード送信 (4) セッション発行 (5) アクセス 証明書の提示が無いため 証明書認証失敗ログイン画面応答 (6) 拒否画面応答 ID/PW 認証だけではアクセス不可
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 58 - 名古屋工業大学 ID 管理 ポイント2 Unicorn IDMによるID 連携を実施 Active Directory と OpenLDAPのアカウントを同期 OpenAMとのシングルサインオンを実現ユーザーはOpenAMにログイン済みであれば 再度の認証無しでパスワードの変更が可能 UnicronIDMの管理者アカウントもシングルサインオンを実現
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 59 - 名古屋工業大学パスワード変更 ユーザー ( ブラウザ ) OpenAM へログイン (1) パスワード変更 新パスワード リバースプロキシ OpenAM 認証済みで HTTP ヘッダーにユーザー名をセット ユーザー名 新パスワード Unicorn IDM (2) パスワード変更 OpenLDAP HTTP ヘッダーのユーザー名で認証 (3) 変更完了 Active Directory (4) パスワード変更 (6) 変更完了 (5) 変更完了 ユーザーは OpenAM ログイン済みなので新パスワードのみでパスワード変更可能 Unicorn IDM により OpenLDAP と Active Directory のパスワードが同時変更
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 60 - 名古屋工業大学管理者シーケンス ユーザー ( ブラウザ ) (1) ログイン画面表示 ユーザー証明書 (2) セッション発行 (3) アクセス OpenAM 証明書の提示有り証明書による認証が成功 リバースプロキシ 特定の条件を満たしたアカウントであればアクセス可能 (4) 代理認証 Unicorn IDM (5) 管理者ログイン成功 特定の条件を満たしたアカウントは OpenAM にログインすることで Unicorn IDM の管理者としてログインすることができる
大学法人福岡大学様 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 61 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 62 - 福岡大学様システムの特徴 規模 ミッション 9 つの学部 2 つの病院 22 の付置施設で構成される総合大学学生数約 21,000 人教職員数約 3,000 人 高い拡張性と柔軟性を持つ先進的 SSO 基盤の構築 日立製作所とオープンソース ソリューション テクノロジで実現 OpenAM と Shibboleth によるハイブリッド型 SSO 基盤 システムのシングルサインオンを実現する認証基盤を OpenAM と Shibboleth を使って実現 様々なアプリケーションとのシングルサインオンを実現する基盤 ユーザーは 1 度の認証で学認と学内のアプリケーションを利用可能
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 63 - 学認 Shibboleth SP Shibboleth SP Shibboleth DS SAML SAML 福岡大学様 ユーザー 学認連携 学内アプリ Apache ( リバースプロキシ ) HTTP Header アクセス制御ポリシー 学内 SSO 認証 OpenAM ( 学内認証サーバー ) ID/PW LDAP SAML SAML 認証 認証連携 SAML Shibboleth の外部認証機能を利用 Shibboleth IdP (Shibboleth 認証サーバー ) Shibboleth SSO Shibboleth SP
国立大学法人北見工業大学様 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 64 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 65 - 北見工業大学様システムの特徴 ユーザー ( 学生や教職員 ) は OpenAM に一度ログインすると 複数の Web アプリケーションをログイン操作なしで利用できます ログインするとポータルメニューが表示されますが ユーザー権限やログイン場所 ( 学内 / 学外 ) によって表示されるメニューが変化します ログインしたユーザーが利用できないアプリケーションは表示されず インターネットからログインするとイントラネット専用アプリケーションも表示されません システム全体設計やプロジェクトとりまとめは 兼松エレクトロニクス株式会社が行いました シングルサインオンシステム構築は オープンソース ソリューション テクノロジ株式会社が行いました
北見工業大学様 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 66 -
OpenAM 10 OAuth 2.0 の機能 Facebook 認証のアプリを簡単開発! Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 67 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 68 - 自社のサービスに Facebook などのアカウントでログインしてもらう OAuth クライアント機能 OAuth クライアント OAuth サーバ Facebook ユーザ情報の登録 アクセス ユーザのプロファイル情報 Google MSN, 他 通販等の会員登録制サイト ログイン ユーザ アクセストークン アクセス許可 認可サーバ 登録時のオプションとして以下が可能 登録申請フォームの自動記入 パスワードの新規登録 メール送付による本人性のチェック
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 69 - OAuth クライアントとして OpenAM を使う OAuth クライアント OpenLDAP 通販等の会員登録制サイト OAuth サーバ Facebook Google 通販等の会員登録制サイト ユーザ情報の登録 OpenAM アクセス アクセストークン ユーザのプロファイル情報 認可サーバ MSN, 他 ユーザー側のアプリは OAuth を知らなくても Facebook などで認証することが可能 アクセス許可 ユーザ ログイン
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 70 - OAuth 2.0 のクライアントとして使う設定管理コンソールで 簡単設定 詳細手順は弊社ホームページで紹介中
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 71 - 認可サーバとしての OpenAMと tokeninfo RESTサービス OAuth クライアント OAuth サーバ Tokeninfo REST サービス OpenLDAP アクセストークン ユーザのプロファイル情報 アクセストークン OpenAM 認可サーバ Tokeninfo REST サービスの応答内容 トークンのタイプ 有効期間など スコープで許可されたユーザ情報 アクセス許可 ユーザ ログイン
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 72 - OpenAM の REST API RFC で規定されたもの access_toke エンドポイント authorize エンドポイント OpenAM 独自 tokeninfo エンドポイント トークンの検証 属性の設定 トークン管理用エンドポイント
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 73 - OAuth 2.0 の認可サーバとして使う設定 管理者用 GUI を使って簡単に設定可能 スコープをカスタマイズしたクラス
OpenID Connect は対応中! OAuth 2.0 の土台の上にOpenIDを構築 OpenAM 10.2 (2013, Q2) で対応予定 Facebook 相当のOpenIDの認証サーバーを OpenAMを使って自社 ( オンプレミスやプライベートクラウド ) で構築可能になる Copyright 2012 Open Source Solution Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. Technology, Corp. - 74 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 75 - 自社のサービスに Facebook などのアカウントでログインしてもらう OAuth クライアント機能 OAuth クライアント OAuth サーバ ユーザ情報の登録 アクセス ユーザのプロファイル情報 通販等の会員登録制サイト ログイン ユーザ アクセストークン アクセス許可 OpenAM 認可サーバ Facebook や Google などに依頼していた認証サーバー機能を自社で構築可能 セキュリティ対策 プライベートクラウドの構築
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 76 - コアトークン サービス ( 様々な認証トークンに柔軟に対応 ) コアトークンサービスの概念図 トークンの要求トークンの払出しトークンの交換要求 ( ) 異なる種類のトークン SAML トークン OAuth トークン OpenAM トークンその他のトークン XML JSON Cookie ンコアトーク ( )token exchange は OpenAM 10.9 で予定されている機能で現在は使用できません
OSSTech の OpenAM への取り組み Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 77 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 78 - オープンソースであること ソース修正はオープンソースだからこそ 実戦投入 新規課題 改良 追加 OpenAM ソースコード 問題点の改良 要件に合わせた機能追加
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 79 - オープンソースであること ソース改修力は課題解決力 案件 新たなる課題 要件 OSSTech ノウハウ技術 実戦投入 改修 OpenAM 全てのサイクルをサポートできる
OpenAM ソースコードへの貢献 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 80 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 81 - コミッター数 社内開発者 6 名 コミット権限のある社内開発者 4 名 OpenAM コミッター総数 37 名 OSSTech 社 commit ForgeRock 社 4 名
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 82 - コミット件数 社内コミッターによるコミット件数 111 件 ForgeRock ツリーのコミット総数は 3346 件 OSSTech 社 ForgeRock 社 111 件 4 名
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 83 - 問題修正件数 社内コミッターによる修正件数 66 件 現在のチケット数 1739( 重複等含む ) OSSTech 社 ForgeRock 社 111 件 4 名 66 件
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 84 - コミット例 nginex エージェント開発 ユーザーデータストアの修正 JDBCの設定が共有されてしまう問題 ログ出力の改善 コマンドツール (ssoadm など ) の修正 エージェントの設定に不正な値が登録される問題 Windows 用ツールが動作しない問題 ファイルアップロードの修正 Safari Chromeでファイルアップロードが動作しない問題
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 85 - コミット例 メモリリーク関連の修正 エージェントのメモリリーク HTTPコネクションのリーク DBコネクションのリーク マルチバイト文字 マルチバイト文字の表示の問題 日本語化 日本語表示の追加 誤訳の修正
OSSTech 版カスタマイズ Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 86 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 87 - OSSTech 版カスタマイズ OpenLDAPと親和性向上 > 自社ソリューション OpenAMにOpenLDAP 専用の設定を追加 OSSTech 社製 OpenLDAP 向け拡張スキーマを用意 OSSTech 社製 OpenLDAPをSHA-2 対応にアドオンモジュール開発
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 88 - OSSTech 版カスタマイズ Tomcatとの親和性向上 > 環境の統一化 OpenAM 向けにパラメータを調整したTomcatを OpenAMとセットで提供 パッケージング>セットアップ容易化 RPMパッケージとして提供 Windowsインストーラー提供
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 89 - OSSTech 版カスタマイズ OpenAM10からのバックポート 重要な修正 必要な機能をバックポート 多重構成でのセッション数の共有 ポリシーの設定方法の改善 メモリリークの修正 プラットフォーム毎にエージェントを提供 RHEL5でも動作可能なApache2.2エージェントの提供 日本語化 画面の文字化け対策
案件個別カスタマイズ Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 90 -
カスタマイズ事例 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 91 - OpenLDAP パスワードポリシー対応 ppolicy の対応を OSSTech の対応 LDAP 認証モジュール修正
カスタマイズ事例 OpenLDAP パスワードポリシー対応 OpenAM-9.5 系では LDAP 標準のアカウントポリシー に未対応 全て同一の認証エラーとなるという課題 LDAP 認証モジュールに LDAP のアカウントポリシー ( パスワード有効期限 ロック等 ) エラーをハンドリングし 個別のエラー遷移するよう改修 アカウントポリシーとはパスワード有効期限 アカウントロックアウト等 SunJavaDS や OpenDS を利用する場合は独自実装で対応されていた OpenAM-10 から対応開始 Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 92 -
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 93 - カスタマイズ事例 認証パラメータの追加 追加認証パラメータ OSSTech の対応 LDAP 認証モジュール修正
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 94 - カスタマイズ事例 認証パラメータの追加 LDAP 認証時に入力するユーザー名 パスワード以外に別パラメーターをドロップダウンリストとして表示し入力したい LDAP 認証モジュールを別パラメーター取得 表示可能なよう改修した
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 95 - カスタマイズ事例 認証モジュールの開発 特別な認証方式を OSSTech の対応 新規認証モジュール開発
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 96 - カスタマイズ事例 認証モジュールの開発 既存認証モジュールでは対応できない認証方式 ( リクエストヘッダ ) で認証したい 要件に合った認証モジュールを開発し 既存モジュールとの認証連鎖とした
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 97 - 開発事例 Apache より早いリバースプロキシを構築したい リバースプロキシにパフォーマンスを! OSSTech の対応 nginx 用 PolicyAgent 開発
Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 98 - 開発事例 Apache より早いリバースプロキシを構築したい Apache によるリバースプロキシよりスケーラビリティが欲しい nginx 用 Policy Agent の開発 nginx とはスケーラビリティ パフォーマンスに優れる第三の http サーバー netcraft の 2011 年資料第 3 位に nginx が伸びてきている apache ほど多機能ではないが リバースプロキシ利用では十分の機能を持たせられる
オープンソース ソリューション テクノロジ株式会社 http://www.osstech.co.jp/ Copyright 2013 Open Source Solution Technology Corporation All Rights Reserved. - 99 -