1. Windows Phone アプリケーション開発支援セミナー～ 認証と認可の仕組み実装する 2011年8月19日 第01版 日本マイクロソフト株式会社 エバンジェリスト 安納 順一 http://blogs.technet.com/junichia/ twitter @junichia

2. アプリケーション Twitter 利用者 いきなりですが 意味 わかりますか？ アプリ利用開始 Request Token を要求 Redirect Request Token 発行 認証/認可の画面を要求 認証/認可 画面表示 認証/認可を完了 CallBackurlにRedirect Access Token 要求 Access Token 発行 API 呼び出し API

3. 本日の内容 企業内システム と ソーシャルアプリの思想の違いから発生する、認証および認可の考え方とアーキテクチャの違いについて理解しましょう Windows Azure AppFabric ACS が Windows Phone アプリに与えるインパクトを理解しましょう IAM テクノロジーに萌えましょう

4. Agenda 認証と認可を取り巻くトレンド 企業システムとソーシャルアプリの違い 何を認可するのか？ Windows Phone への実装 Twitter を使用するためのコーディング例 OAuth 1.0aへの対応 Windows Azure AppFabric ACS を使用したコーディング例 複数 IdPへの一括対応 まとめ

5. 登場人物と相関図 サービスの利用者 アプリを使いたい人 サービス （Twitter, Facebook 等） 利用している 使いたい 自分のもの アクセスしたい サービスに保存されている個人情報 個人情報にアクセスしたいアプリ

6. 認証と認可を取り巻くトレンド ここを理解すること

7. 認証と認可 認証：本人であることを確認 認可：アクセス権を与えること 認証 認可 どんなシステムにも「認証」と「認可」はつきまとう 「認可」に関するプロトコルが注目を浴びている

8. なぜ「認可」に注目が？ システム間の連携（主に SSO） アイデンティティ・フェデレーション クレームベース セキュリティ クラウドへの移行 社内ディレクトリサービスの活用 ソーシャルな IdP の活用 ソーシャルアプリの台頭 個人情報の保護 SAML OAuth

10. 認可プロセスの中に（必然的に）認証が含まれる

11. OAuth：「API へのアクセス」を「利用者が」認可する

12. SAML ：「情報の送出」を「管理者が」認可する

13. 現在はSAML 対応製品のほうが細かな制御ができるシステム管理者 事前に 環境設定 SAML IdP 承認 要求「情報が欲しい！」 応答「氏名、メアド...」 アプリケーション 承認 ユーザーの情報 その都度 OAuth 利用者（情報の持ち主）

14. 企業内システムとソーシャルアプリの違い 企業内システム システム間で「信頼」が担保されている アプリケーションを認証する必要は無い 認証と認可の対象は「利用者」 SNS および ソーシャルアプリ システム間の「信頼」は担保されていない 信頼関係のない者同志の認証と認可が必須 「サービス」と「人」 「サービス」と「アプリ」 「人」と「アプリ」 「情報」と「アプリ」 登場人物が多い！

15. なぜ ソーシャルアプリ は複雑なのか 「システム」と「情報」と「アプリ」の持ち主が異なる アプリは「人」の認可を受けて、初めて「情報」にアクセス可能 特定アプリへの情報公開 広範囲な漏えいからの保護 企業システム 主にシステム / 管理者 ソーシャルアプリ 主にシステム 情報の持ち主

17. パスワードが変わったら？UserID Password 自分のもの アクセス

18. アプリから情報へのアクセスを認可する方法 ② 情報にアクセスするための 「API へのアクセス権」を与える 利用者は自身の判断でいつでもアクセス権をはく奪できる Lv1認可 自分のもの API （Lv1） API （Lv2） アクセス API （Lv3）

19. “API へのアクセスを認可する” とは？ 外部のアプリケーションに対し、 各種情報にアクセスするためのAPIの利用を認可する仕組み Identity&Service Provider （Twitter/Facebook/Google 等） ユーザー情報 ① アプリ登録 各種特権 氏名を閲覧 アプリ API Lv1 メールアドレスを閲覧 API Lv2 ③ APIにアクセス 投稿を閲覧 API Lv3 つながりを閲覧 API Lv4 ② アクセス認可 近況を投稿 つながりを編集 属性の主体 （持ち主）

20. Twitter クライアントを作成する Windows Phone への実装

21. Twitter ~ OAuth 1.0a の場合 アプリケーション Twitter 利用者 アプリ利用開始 Request Token を要求 /request_token Redirect Request Token 発行 認証/認可の画面を要求 /authorize 認証/認可 画面表示 認証/認可を完了 CallBackurlにRedirect Access Token 要求 /Access_token Access Token 発行 API 呼び出し API

22. Facebook ～ OAuth 2.0 の場合 アプリケーション Facebook 利用者 アプリ利用開始 認証/認可画面へRedirect 認証/認可 画面表示 認証/認可を完了 CallBackurlにRedirect 認可コードを発行 Access Token 要求 Access Token 発行 API 呼び出し API

24. OAuth 1.0a のポイント Request Token と AccessToken Request Token：Access Token を取得するためのトークン Access Token：API にアクセスするためのトークン Callback Url OAuth 1.0a では必須 最終的に戻したいアプリケーションのURL デスクトップアプリの場合はダミーURLを入れて、リダイレクトをキャンセル ※xAuthではデスクトップアプリに対応

26. どの OpenIDProvider（OP）の ID を使用してもRPにログオンできる

27. OP と RP の信頼は必須ではない（必要であれば RP で独自に実装する）

28. OAuth2.0 ベースの OpenID Connect のリリースも控えているOP OP OP SSO OP OP RP RP RP

30. RP ごとにID/Password が異なる不便を回避

31. どの OP で認証しても RP にアクセスできる

32. OAuthは API へのアクセス認可のためのプロトコル

34. 複数 IdP に対応させる Windows Phone への実装

35. インターネットにはIdP がいっぱい

36. 個別に対応すると大変...orz AccessToken IdP ここで複数IdPに対応 Windows Live Google Yahoo! Facebook OpenID AD FS 2.0 RESTful Web Service AccessToken の正当性に不安 改ざんされているかも！？ Application

37. Windows Azure AppFabric ACS を使うと... IdP アプリは AppFabric ACS にだけ対応すればよい Windows Live Google Yahoo! Facebook OpenID Request Token AD FS 2.0 RESTful Web Service 信頼 Access Token 信頼 Application Windows AzureAppFabric ACS

39. WS-Federation

40. WS-Trust

41. OAuth 2.0 (Draft 13)

45. WindowsPhoneCloud.ACSで使われているオリジナルライブラリ AspProviders: Windows Azure Tables 用の ASP.NET Providers (Membership, Roles, Profile and Session State Store) System.Data.Services.Client: Windows Phone 用の OData client library (http://odata.codeplex.com)。Azure Tables へのアクセスで使用。 WindowsPhoneCloud.StorageClient: Windows Phone 用の Windows Azure Storage Client library . DPE.OAuth: Microsoft DPE OAuth2 library. SL.Phone.Federation: Microsoft Silverlight ACS sign in control. Notification Services (MPNS): Tile, Toast, and Raw. WindowsPhone.Recipes.Push.Messages: Push Notification Server Side Helper Library, a part of the Windows Phone 7 Push Recipe, that provides an easy way to send all three types of push notification messages that are currently supported by Microsoft Push Windows Phone では WIF（Windows Identity Foundation）がサポートされていないため、とても便利！

46. WindowsPhoneCloud.ACS がやってること IdP WP7CloudApp5.Phone Windows Live Google ACS sign in control で簡単に実装 Yahoo! Isolated Storage にクレデンシャルとクレームを格納 Facebook OpenID OAuth 2.0 Simple Web Token AD FS 2.0 http authorization ヘッダーに入れて送信 REST(OData) 信頼 WP7CloudApp5.Web OAuth Wrap REST クレーム変換ルール サービスへのアクセスを認可 格納 信頼 Windows Azure Windows AzureAppFabric ACS

47. SWT ～ Simple Web Token ACSから返された SWT は SL.Phone.Federation.Controls.RequestSecurityTokenResponseCompletedEventArgs から取得できる ACS から発行された SWT は、HTTPAuthorization ヘッダーに格納して RESTService に POST する "http%3a%2f%2fschemas.xmlsoap.org%2fws%2f2005%2f05%2fidentity%2fclaims%2femailaddress=junichia%40xxx.com&http%3a%2f%2fschemas.xmlsoap.org%2fws%2f2005%2f05%2fidentity%2fclaims%2fname=Junichi+Anno&http%3a%2f%2fschemas.xmlsoap.org%2fws%2f2005%2f05%2fidentity%2fclaims%2fnameidentifier=https%3a%2f%2fwww.google.com%2faccounts%2fo8%2fid%3fid%3dAItOawlmkqO3aqYE1CE1PvWTjCLngPgHng3gZ6k&http%3a%2f%2fschemas.microsoft.com%2faccesscontrolservice%2f2010%2f07%2fclaims%2fidentityprovider=Google&Audience=uri%3awp7cloudapp5&ExpiresOn=1313686502&Issuer=https%3a%2f%2ftfazureforitpro.accesscontrol.windows.net%2f&HMACSHA256=g1WSUMaW8aOmO0kvfvtNj451qYIJODug29kx1H8l1Bo%3d" ACSに保存されている Claim 1 Claim 2 Key Claim n Issure Audience Hash ExpiresOn HMACHA256

48. SWT を分解すると http%3a%2f%2fschemas.xmlsoap.org%2fws%2f2005%2f05%2fidentity%2fclaims%2femailaddress=junichia%40xxx.com & http%3a%2f%2fschemas.xmlsoap.org%2fws%2f2005%2f05%2fidentity%2fclaims%2fname=Junichi+Anno & http%3a%2f%2fschemas.xmlsoap.org%2fws%2f2005%2f05%2fidentity%2fclaims%2fnameidentifier=https%3a%2f%2fwww.google.com%2faccounts%2fo8%2fid%3fid%3dAItOawlmkqO3aqYE1CE1PvWTjCLngPgHng3gZ6k & http%3a%2f%2fschemas.microsoft.com%2faccesscontrolservice%2f2010%2f07%2fclaims%2fidentityprovider=Google & Audience=uri%3awp7cloudapp5 & ExpiresOn=1313686502 & Issuer=https%3a%2f%2ftfazureforitpro.accesscontrol.windows.net%2f & HMACSHA256=g1WSUMaW8aOmO0kvfvtNj451qYIJODug29kx1H8l1Bo%3d

50. クレームの活用

51. ユーザーのロールを判断し、サービスへのアクセス権を与える

53. Windows Phoneのセキュリティ関連機能対応状況 修正 隠しURLによる配信が可能 Private Application Deployment7.1 Windows LiveIDClientAPI ×-> OAuth 2.0 が使えます Credential Manager ＆ DPAPINative コードのみ Client Certificates × Device Encryption × Local Authentication Subsystem × NTLM や Kerberos が使えない Windows 統合認証が使えない WIFSupport × IPSECNetworking Stack × IRMProtected Document 7.1 Encrypted Credential Store 7.1 WIF：Windows Identity Foundation

54. （参考）Active Directory の認証を受けるには Phone SDK は DirectoryServiceNamespace に対応しておらず、現時点では Windows 統合認証も使えない∴ WCFを経由して AD FS を使用する イントラネット DMZ ADDS ADFS PROXY ADFS WCFService https 445

55. まとめ

57. OpenIDConnect

58. トラストフレームワーク企業システムには SAML も重要です アイデンティティ萌えは アリ です

59. 世界中の “ID” が利用者になる