OpenID ConnectとSCIMのエンタープライズ利用ガイドライン

OpenIDファウンデーション・ジャパン
Enterprise Identity WG / 技術TF リーダー
八幡孝（株式会社オージス総研）
OpenID Connect と SCIM の
エンタープライズ利用ガイドライン

Copyright © 2015 OpenID Foundation Japan. All Rights Reserved. 1
OIDF-J EIWGって？
 OpenIDファウンデーション・ジャパン (OIDF-J)
 国内におけるOpenID関連技術の普及・啓蒙のための活動を行なっています。
 Enterprise Identity WG (EIWG)
 エンタープライズIT市場でOpenID ConnectやSCIMなどの仕様をベースとし
た、IDフェデレーションやIDプロビジョニングの普及を推進し、新たなビジ
ネスの創造・展開を図ることを目的に活動を行なっています。
ID & IT Management Conference 2015

技術TFの活動テーマ
 エンタープライズITとクラウドサービスを相互連携するため
のOIDC OP/RPおよびSCIMのサンプル実装を行なう。
 実装により明らかとなった課題と解決策をまとめる。
 以上の結果を「OpenID ConnectとSCIMのエンタープライ
ズ実装ガイドライン」としてまとめ、発行する。

エンタープライズにおける
ID連携

Identityとは？
 主体 (Entity | Subject)
 人とかPCとかサービスとか、...
 Identity
 主体にかかわる属性の集合体
 ひとつの主体に、コンテキスト毎のIdentity

認証とは？
 主体（人）を Identity に紐付けること
 アクセスをしている主体は、
 サービス・システムが認識している、どの Identity と
紐付いているか、
 本人だけが知り得る、所有する情報をもって確認する

ID連携とは？
 認証連携 + 属性連携 = ID連携
 クラウドアプリへの認証連携は、活用の一側面に
過ぎない

エンプラIDとITの特性
 異動により Identity が変化
 グループウェア、コラボレーションアプリなど、利用
する全ユーザーの Identity が必要なアプリも多い
 ID連携にはフェデレーション（オンライン）と
プロビジョニング（バッチ）が必要

ID連携を実現する技術標準
フェデレーションプロビジョニング

エンプラでのID連携ユースケース
 クラウド利用時のセキュリティ強化
 グループ、グローバルでの情報共有・IT相互利用
 取引先との情報共有・IT相互利用

クラウド利用時のセキュリティ強化
シングルサインオン
システム
ID管理システム
Office 365
Salesforce
cybozu.com
多要素認証
リスクベース
認証
認証
企業内ネットワーク
認証連携
JITプロビジョニング
IDのプロビジョニング
IDのデプロビジョニング
モバイル・
テレワーク
認証
 統一された認証機能の利用
 企業の定めた認証ポリシーを適用
 クラウドサービスへのパスワード提供、
パスワード管理が不要

グループ、グローバルでの情報共有・IT相互利用
システム
企業内ネットワークグループ企業・海外拠点
システム
自社システム
グループ企業
のシステム
 単一のIDでの自社システム、グループ企
業システムの相互利用
 グループ、拠点毎の自立的管理・運用
 M&Aでの迅速なシステム統合の実現

取引先との情報共有・IT相互利用
システム
HUB企業
システム
EDI
SPOKE企業
システムSCM
SPOKE企業
システム
HUB企業
EDI
SCM
 接続してくるSPOKE企業のID管
理、パスワード管理からの開放
 取引先HUB企業毎に異なる認証
方法、認証強化策からの開放
 担当者交代時の手続きの簡略化

OpenID Connect と SCIM を
使ったID連携実装

OpenID Connect
 2014年2月にローンチ
 複数の組織やアプリケーション間で
ユーザーの認証結果や属性情報をや
りとりするための技術仕様
 主な用語
 認可コードフロー、Implicitフロー
 IDトークン、クレーム
エンドユーザー
（ブラウザ）
クライアント
（リライイング・パーティ /RP）
認可サーバー
（ OpenIDプロバイダー/OP）
1
2
6
5
認可
エンドポイント
3
4
直接アクセスのリクエスト・レスポンス
W ebブラウザのリダイレクトを使ったアクセス
1. 認証要求
を生成
2. OPへ認証要求を送信
（ブラウザリダイレクト）
5. RPへIDトークンなどを応答
（ブラウザリダイレクト）
3. ユーザー
を認証
4. ユーザーの同意
/許可を取得
6. IDトークンの検証、
Subject 識別子の取得s
0
7
0. サービスへの
アクセス
7. サービスの提供

SCIM
 IETFでRFC化の作業中
 アイデンティティデータのプロビ
ジョニングと管理を行なうための
技術仕様
リソースエンドポイント名行なえる操作
ユーザー /Users GET, POST, PUT, PATCH, DELETE
グループ /Groups GET, POST, PUT, PATCH, DELETE
自分自身 /Me GET, POST, PUT, PATCH, DELETE
サービスプロバイダー
設定
/ServiceProviderConfig GET
リソースタイプ /ResourceTypes GET
スキーマ定義 /Schemas GET
バルク操作 /Bulk POST
検索 [prefix]/.search POST
属性名サブ属性名説明
userName ユーザー名（ユニークID）
Name 名前
formatted フルネーム
familyName 姓
givenName 名
middleName ミドルネーム
honorificPrefix プレフィックス。Mr.など。
honorificSuffix サフィックス。三世、など。
displayName 表示名
nickName ニックネーム
profileUrl プロフィールが参照できるURL
title 役職
userType 職種
preferredLanguage 使用言語
locale 地域（"en-US"形式）
timezone タイムゾーン
active 管理状態（trueならログイン可，falseなら不可など）
password パスワード（書き込み専用属性）
emails メールアドレス
phoneNumbers 電話番号のリスト
ims インスタントメッセージのアドレスのリスト
photos ユーザーの写真のURL のリスト
addresses 住所のリスト
formatted 表示用に整形された住所
streetAddress 番地、建物名など
locality 市区町村
region 都道府県
postalCode 郵便番号
country 国（"US", "JP"などの短縮形式）
groups ユーザーが所属するグループのリスト
entitlements ユーザーが持っている資格・権利のリスト
roles ユーザーのロールのリスト
x509Certificates ユーザーの電子証明書のリスト
SCIM API
SCIM Core Schema（ユーザーリソース）

技術標準に沿って実装すればOK?
 技術標準
 さまざまなユースケースに対応できるよう、広範囲に及ぶ
仕様が決められている
 実装の現場
 どの方法でどこまで実装すればつながるの？という悩み
 つなぐ相手によって実装範囲が異なるのもつらい

OpenID ConnectとSCIMの
エンタープライズ実装ガイドライン

実装ガイドが目指すところ
 OpenID Connect, SCIMの標準仕様に基づいて
 最低限実装すべき事項と、実装方法を提示
 クラウド事業者と利用企業がそれぞれ実装
 エンプラ分野でのID連携活用を広める

一般的なID連携のケースを対象に整理
認証サーバー
(OIDC OP)
ID管理サーバー
(SCIM Client )
アプリケーション
(OIDC RP)
ID管理I/F
(SCIM Server)
Firewall
認証結果の連携
ユーザー情報の
プロビジョニング
利用企業A クラウドサービス 1
認証
クラウド利用
利用企業の認証システム
社内ユーザー
モバイル・
テレワーク

連携のための初期設定のワークフロー
1. クラウドサービスが設定に必要な基本情報を利用企業へ提供する。
2. 利用企業のID管理サーバーでSCIMクライアントとしての設定を行
なう。
3. 利用企業の認証サーバーへクラウドサービスをRPとして登録する。
4. クラウドサービスに認証サーバーをOPとして登録する。

ユーザー情報のプロビジョニング
 具体的なユーザーリソースのスキーマを定義
 エンプラITで必要となる属性、相互連携に必要な属性を
EIWG拡張リソースとして定義
 ユーザー情報の操作方法を定義
 作成 → HTTP POST, 更新 → HTTP PUT,
削除 → HTTP DELETE で対応

ユーザー認証
 IDトークンの形式、含めるクレームを定義
 3つの認証フローを定義
 クラウドサービス起点のログイン
 利用企業起点のログイン
 再認証要求
 受け取ったIDトークンとユーザーの紐付け方式を解説

その他
 IDトークン署名用キーペアの更新
 SCIM EPアクセス用パスワードの更新
 SCIM EPアクセス時のOAuthを使った認可への対応
 強制ログアウト要求

具体的な実装方法を解説
 実装すべきエンドポイント、その振る舞い
 エンドポイントを呼び出す方法、その結果の扱い
 それぞれの視点で具体例を交えた実装方法を解説
 クラウドサービス事業者向け
 クラウドサービス利用企業向け

OpenID Connect RP（クライアント）の実装
認証フローの概要
ログイン開始エンドポイントの実装
利用企業の認証サーバーへの認証要求
▪通常の認証要求
▪再認証のための認証要求
利用企業の認証サーバーからの認証結果の受け取り
IDトークンの検証
認証されたユーザーとクラウドサービスのユーザーと
の紐付け
セッションの管理
ログアウトエンドポイントの実装
利用企業の認証サーバーの公開鍵の取得
OpenID Connect OP （認証サーバー）の実装
認証フローの概要
クラウドサービスから認証要求を受け取る
▪通常の認証要求
▪再認証のための認証要求
ユーザーを認証する
ユーザーに認証連携の同意を得る
クラウドサービスへ認証結果を返す
強制ログアウトを要求する
IDトークン
▪JOSEヘッダ
▪IDトークンに格納するクレーム
▪IDトークンの署名
公開鍵の公開（JWK Setエンドポイントの実装）
具体的な実装方法を解説（OpenID Connect）
クラウドサービス事業者が実装することクラウド利用企業が実装すること

具体的な実装方法を解説（OpenID Connect）
ブラウザ認証エンドポイント
ログイン開始
利用企業クラウドサービスユーザー
(1) クラウドサービスからの認証要求の受付
(2) ユーザーの認証
(3) ユーザーからの認証連携の同意取得
(4) クラウドサービスへの認証結果の連携
コールバック
エンドポイントブラウザ
リソース
（ページ）
ログイン開始
エンドポイント認証サーバー
コールバック
クラウドサービスへアクセス
(1) ログイン開始EPへリダイレクト
(2) 利用企業の認証サーバーへ認証を要求
フラグメントにIDトークンをつけて、コールバックエンドポイントへリダイレクト
(3) JavaScript を使ってIDトークンを取得 (POST)
利用企業の認証サーバーによる認証処理
認証完了後のランディングページURIを保存
(4) IDトークンを検証
クラウドサービスのユーザーセッションを開始（保存していたランディングページURIへリダイレクト）
クラウドサービス利用企業ユーザー
(5) クラウドサービスの
ユーザーとの紐付け

SCIMサーバーの実装
Userエンドポイントの実装
▪ユーザーの作成 (POST)
▪ リクエストの受け取り
▪ クラウドサービスのユーザーとして登録
▪ 登録結果の応答
▪ユーザーの更新 (PUT)
▪ユーザーの削除 (DELETE)
検索エンドポイントの実装
▪ユーザーの検索
ユーザーデータの検証
エンドポイントアクセス時の認証
利用企業の管理者向け機能の実装
OpenID Connect OP（認証サーバー）登録機能
SCIMクライアント（ID管理サーバー）登録機能
管理者向け機能利用時の認証方式
SCIMクライアントの実装
ユーザー情報の操作
▪ユーザーの作成
▪ユーザーの更新
▪ ユーザーリソース識別子 (id) の取得
▪ユーザー情報の更新
▪ユーザーの削除
▪エラー応答
エンドポイントアクセス時の認証
具体的な実装方法を解説（SCIM）

ガイドライン公開は10月上旬を予定
 現在EIWG内でレビュー中
 2本同時に公開を予定
 OpenID ConnectとSCIMのエンタープライズ利用ガイドライン
 OpenID ConnectとSCIMのエンタープライズ実装ガイドライン

まとめ
 これからはエンプラでもID連携が重要になる
 OpenID Connect と SCIM でID連携
 実装ガイドに沿った実装で、ID連携を広めよう

OpenID ConnectとSCIMのエンタープライズ利用ガイドライン

OpenID ConnectとSCIMのエンタープライズ利用ガイドライン

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (20)

En vedette

En vedette (9)

Similaire à OpenID ConnectとSCIMのエンタープライズ利用ガイドライン

Similaire à OpenID ConnectとSCIMのエンタープライズ利用ガイドライン (20)

Dernier

Dernier (8)

OpenID ConnectとSCIMのエンタープライズ利用ガイドライン