アイデンティティ管理の基礎～Fim adfsアーキテクチャ

アイデンティティ管理の基礎～FIM / AD FS アーキテクチャ解説2012/09/22MVP for Forefront Identity ManagerNaohiro Fujie / @phr_eidentity

自己紹介 アイデンティティ関係 ◦ NPO 日本ネットワークセキュリティ協会（JNSA）アイデンティティ管理 WG  書籍「クラウド環境におけるアイデンティティ管理ガイドライン」（http://amzn.to/A6MukD） ◦ Kantara Initiative Japan WG ◦ OpenID Foundation Japan 翻訳・教育WG  OAuth 2.0 Spec 翻訳（https://github.com/openid-foundation-japan/openid-foundation- japan.github.com） ◦ Facebook ページ（http://www.facebook.com/eidentity） FIM / AD FS 関係 ◦ MVP for Forefront Identity Manager ◦ @IT連載  Windowsで構築する、クラウド・サービスと社内システムのSSO環境（http://www.atmarkit.co.jp/fwin2k/operation/adsf2sso01/adsf2sso01_01.html）  クラウド・サービス連携の基本と最新トレンド（http://www.atmarkit.co.jp/fwin2k/operation/idftrend01/idftrend01_01.html） ◦ Blog  IdM 実験室（http://idmlab.eidentity.jp） 2

目次 アイデンティティ管理の基礎 ◦ アイデンティティとは ◦ アイデンティティ管理とは FIM / AD FS アーキテクチャ解説 ◦ Forefront Identity Manager 2010 R2 ◦ Active Directory Federation Services 2.0 3

アイデンティティ管理の基礎 4

アイデンティティとは “ID”から連想するよくある間違い ◦ 識別子（Identifier）  番号  ログインID “ID”=“アイデンティティ” ◦ 実体（Entity）を構成する属性の集合  ISO/IEC 24760 5

アイデンティティの構成要素要素解説例属性後天的に取得された主体に関わ名前、電話番号、社員番る情報（後から変化する）号、メールアドレス、認証状態、位置情報好み主体の嗜好に関わる情報甘いものが好き形質主体の先天的な特有の性質生年月日、性別？（後から変化しにくい）関係性他の主体との関係に関わる情報 XX大学卒業、YY部所属（一部属性と重複）これらをコンピューターシステム上に反映したもの（コンピューターシステム上での実体を表すもの） ⇒ デジタル・アイデンティティ 6

アイデンティティ管理とは 3つの“A”を切り口に管理する構成要素意味認証ユーザが本人であることを証明すること（Authentication）（デジタル・アイデンティティとリアル・アイデンティティの紐付を行う）認可（Authorization）認証されたユーザに権限を与えること（デジタル・アイデンティティに何を許可するかを決定する）属性（Attribute）ユーザを構成する情報（何でデジタル・アイデンティティを構成するかを決定する） 7

実装と管理 実装手段 ◦ 認証：パスワード、証明書、OTP、リスクベース ◦ 認可：リソース（フォルダ等）へのアクセス権付与 ◦ 属性：ユーザ DB の整備（AD、DBMSなど） 分散システムにおける管理手段 ◦ プロビジョニング  オーソリティにある属性情報を他システムへ反映する ◦ フェデレーション  認証状態などを含むアイデンティティ情報をシステム間で受け渡す  受け取ったシステム側に保持しているアイデンティティ情報との渡された情報を紐付けることでシングルサインオンなどを実現する 8

実装例：プロビジョニング対象システム人事DB ID管理システム利用ユーザ入社、異動、退社利用ポリシーになどのイベントに合わせて各シス各システム間のアイ合わせて人事情報テムへ ID を配布デンティティ情報のを取込み整合性を担保 9

実装例：フェデレーション認証サーバフェデレーションサーバアプリケーション（Identity Provider / IdP）（Relying Party / RP）指定事前信頼 ④認証指示 ⑥トークン発行 ②認証状態チェック ③リダイレクト信頼できるサーバから ⑤認証発行されたトークンの ①アクセス中のID情報を自前のID 情報と紐付けるユーザ ⇒SSOの実現 10

FIM / AD FSアーキテクチャ解説 11

FIM 12

FIM とは アイデンティティ情報のライフサイクル管理を行うエンジン 13

歴史 MIIS2003SP2+CLM Linkage/ MIIS200 ILM200 BHOLD LDE買 3 7 買収収1997 2003 2007 2011 1999 2005 2010 2012 Alacris/ VIA/ FIM2010 IdNexu FIM2010 Zoomit R2 s 買収買収 ⇒MMS ⇒CLM 14

主な機能 様々なアイデンティティ・ストアとの同期（AD DS / SQL Server / SAP / Notes / Sun Oracle LDAP / Novell LDAP・・・） グループ管理（セキュリティ・グループ、配布グループ） ID 管理ワークフロー セルフ・プロファイル管理 セルフ・サービス・パスワード・リセット アテステーション、レポーティング 証明書ライフサイクル管理 15

ハイレベル・アーキテクチャ FIM 2010 R2 FIM Reporting SCSM FIM SyncFIM Portal FIM Service Identity Stores Service ※PCNS（AD） Certification FIM Clients FIM CM Authority ※BHOLD Suite は除く 16

コンポーネントとスタック FIM Components FIMPortalWSS / Passwor Passwor FIM CM FIMMOSS d Reset d Regist Portal Repoting FIM FIM IIS / ASP.NET Sync SCSM Service Service SQL Server ※BHOLD Suite は除く17

コンポーネントと役割コンポーネント役割FIM Portal FIM Service を構成するためのポータルFIM Service FIM の中心機能。ポリシー実行エンジンFIM Sync Service 各 ID ストアとのデータ同期エンジンFIM Password Registration Portal パスワードリセット用の秘密のキーワードを登録するためのポータルFIM Password Reset Portal パスワードをリセットするためのポータルFIM Password Reset Extensions OS のログイン画面にパスワードリセット機能を追加するクライアント拡張機能FIM Add-ins for Outlook 申請・承認を Outlookで実行するアドインFIM Reporting SCSM を使ったレポーティングモジュールPassword Change Notification AD へのパスワード変更をフックするために各ドメインService コントローラへ導入するモジュールFIM CM Portal 証明書管理を行うためのポータル 18

コア・アーキテクチャ FIM Service ◦ FIM Service Database 内にアイデンティティ情報を保持する ◦ そのアイデンティティ情報を管理（作成、変更、削除）するための管理ポリシーを定義する 19

コア・アーキテクチャ FIM Service ◦ 管理ポリシー規則の処理パイプライン Request Delegation AuthN AuthZ FIM Service Action Processor &Permission Workflow Workflow Database Workflow s データを更新申請を受信認証を行うする申請者の権限更新後のアクショ認可を行うをチェックンを実行する 20

必須用語用語解説管理ポリシー規則（MPR） FIM Service 内のオブジェクトを操作する際の規則（誰が何を出来るか、など）同期規則（SR）各種アイデンティティ・ストアとの ID 情報の同期を行うための規則（属性のマッピングなど）セット（SET） FIM Service の中でオブジェクトのグルーピングを行う単位（条件ベースでのメンバシップ、明示的なメンバシップ）ワークフロー認証（AuthN）、認可（AuthZ）、アクションが存在。特にアクションは管理ポリシー規則を適用した結果何を行うかを定義する（同期規則の実行など） 21

プロビジョニング実行時の例定義対象定義内容セット処理対象となるオブジェクトの条件を定義（例：部署属性の値が「営業部」なら）管こアクション実行する内容を定義（例：AD DS への発信同期規則を追加する ⇒ AD DS理のワークフローへユーザが作られる）ポ組同期規則 FIM Sync Service 上の管理エージェントを使ってターゲットシステムとのリみ同期を行う際のルールを定義（例：AD DS の sAMAccountName 属性にはシ合 FIM Service 上の表示名をマッピングする）ーわ規せ管理ポリシー規則則がアクションワークフローセット同期規則適用対象条件適用内容定義 22

コア・アーキテクチャ FIM Sync Service ◦ 各種アイデンティティ・ストアと情報を同期する ◦ FIM Sync Service のレポジトリと各アイデンティティ・ストア用のステージング領域を同期し、各管理エージェントを使って実際の各アイデンティティ・ストアと情報をやり取りする 23

必須用語用語解説Metaverse FIM Sync Service の中央レポジトリConnector Space 各 ID Store 用のステージング領域（CS）Management Agent 各 CS のデータを実際の ID Store と接続するた（MA）めのエージェントSynchronization Metaverse と各 CS の間のデータを同期する（差分、フル）Import 各 ID Store から対応する CS にデータを取り込む（差分、フル）Export 各 CS から対応する ID Store にデータを出力する 24

コア・アーキテクチャ各ID Store用 MA のデータ同期インポート CS ID MA CS Metaverse CS MA IDStore Stor e 中央データ各ID Store用ストアの接続Agent エクスポート CS MA 25

FIM Service + FIM SyncService FIM Service とのオブジェクト同期は FIM Sync Service の MA を介して行う FIM Sync Service の構成情報（他 CS の構成など）は Web Service 経由で FIM Service に伝搬する 26

同期規則の取り込み FIM Sync Service で MA を作成 ◦ FIM Service に対して以下の申請が発行  Create ma-data „MA名‟ Request  Update to mv-data: „Metaverse configuration object‟ Request ⇒FIM Service が MA を認識、同期規則を作成する際のターゲットシステムとして設定が可能になる 27

同期規則の取り込み FIM Service で同期規則の作成 ◦ FIM Service Database 内に同期規則オブジェクトが作成される ◦ FIM Sync Service で FIM Service MA の Import / Synchronization を実行  Metaverse 内に作成された同期規則オブジェクトが作成される 28

同期規則の取り込みインポート同期 FIM Portal FIM New MA FIM CS MV Service / CS SR MA SR MAMAに対応するSRの作成 MA の作成 MA定義の作成 MA の作成 Request 29

プロビジョニング FIM Service でオブジェクトを作成 ◦ 管理ポリシー規則により対象オブジェクトに同期規則を割り当てる  Expected Rules Entry 属性にアクション・ワークフローで定義された同期規則への参照が設定される ◦ FIM Sync Service で FIM Service MA の Import / Synchronization を実行する  Metaverse 内にオブジェクトが作成される  ERE 属性に設定された同期規則オブジェクトの内容に従い対象 CS との Synchronization が実行される 30

プロビジョニングインポート同期自動同期 FIM Portal FIM New MA FIM CS MV Service / CS SE A SRユーザ作成、 SR T WSETへ割当関連付けて MPR ⇒ERE:SRへの参照エクスポート ID Stor e 31

AD FS 2.0 32

AD FS 2.0 とは認証サーバフェデレーションサーバアプリケーション（Identity Provider / IdP）（Relying Party / RP）指定事前信頼ここがAD DS ここが ④認証指示 ⑥トークン発行 ②認証状態チェック AD FS 2.0 ⑤認証 ③リダイレクト ①アクセスユーザ 33

AD FS 2.0 とは セキュリティ・トークン・サービス（STS） ◦ Active Directory を使った認証 ◦ Active Directory / SQL Server などにストアされている属性情報（クレーム）をセキュリティ・トークンとして発行・変換 ◦ SAML 2.0 / ws-federation 等のプロトコルに対応 34

主な機能 セキュリティ・トークンを ◦ 発行する ◦ 変換する セキュリティ・トークンを伝搬する ◦ SAML 2.0 プロトコル ◦ ws-federation プロトコル 35

AD FS 2.0 の世界では認証ｵｰｿﾘﾃｨはAD DSのみアーキテクチャ属性ｵｰｿﾘﾃｨはAD DS/SQL/ｶｽﾀﾑﾎﾟﾘｼｰ決定ﾎﾟｲﾝﾄはAD DS/SQL/ｶｽﾀﾑ  SAML オーソリティの構造と AD FS 2.0 SAML 認証属性ﾎﾟﾘｼｰ決リクエｸﾚﾃﾞﾝｼｬﾙｵｰｿﾘﾃｨｵｰｿﾘﾃｨ定ﾎﾟｲﾝﾄスト情報 SAML 認証属性認可決定ｱｻｰｼｮﾝｱｻｰｼｮﾝｱｻｰｼｮﾝアクセス要求を受けたサーバﾎﾟﾘｼｰ実アプリケーション要求施ﾎﾟｲﾝﾄ 36

SAML トークン / プロトコル SAML トークン（アサーション） ◦ やり取りするメッセージ自身 ◦ アイデンティティ情報を表現する方法 SAML プロトコル ◦ SAML トークンを IdP ⇔ RP の間でやり取りするための手順を定めたもの 37

SAML 2.0 の構成要素構成要素解説トークン（アサー IdP が発行するトークンでありアイデンティティション）情報が記載されたものプロトコルアサーションを要求・返答するための方法バインディングプロトコルを通信に乗せる方法（HTTP / SOAP /PAOS など）プロファイルプロトコルとバインディングとアサーションを組み合わせた方法メタデータプロトコルやサービスエンドポイントが記載されたもの 38

SAML トークン構造トークン 発行者（Issuer） ◦ 誰が、いつ発行したトークンなのか認証アサーション 識別子（Subject） ◦ 何（誰）に関するトークンなのか属性アサーション 受信者（AudienceRestriction） ◦ 誰宛に発行されたトークンなのか認可決定アサーション アサーション（AD FS2.0 ではクレーム） ◦ 認証アサーション（AuthNStatement）デジタル署名  認証された時間、手段 ◦ 属性アサーション（AttributeStatement）  属性情報（属性と値） ◦ 認可決定アサーション（AuthzDecisionStatement）  特定リソースへのアクセス許可されているか デジタル署名 39

SAML トークン構造  発行者（Issuer）<saml:Issuer> https://myadfs.example.local/adfs/services/trust</saml:Issuer> フェデレーションにおける事前信頼 ⇒アプリケーション（RP）はこの発行者情報（エンドポイントアドレス）およびトークンに付与されるデジタル署名の情報を登録する ⇒AD FS 2.0 の「フェデレーションサービスの識別子」の URI ※SAML トークンは BASE64 でエンコードされ、やり取りされるので、XML 形式に復号するには SAML 2.0 Debugger などを利用する。 - SAML 2.0 Debugger 40

SAML トークン構造  識別子（Subject）<saml:Subject> <saml:NameID> hoge@mygapps.com </saml:NameID></saml:Subject> フェデレーションにおけるアイデンティティの紐付け ⇒アプリケーション（RP）はこの識別子の属性名および属性値が自身の保持するアイデンティティと一致することで紐付を行う。例）Google Apps の場合、NameIdentifier 属性に入っているメールアドレスの値が GoogleApps 上のアカウントと一致すればそのユーザに関する情報とみなす。 41

SAML トークン構造  受信者（AudienceRestriction）<saml:AudienceRestriction> <saml:Audience>google.com/a/mydomain</saml:Audience></saml:AudienceRestriction> フェデレーションにおける事前信頼 ⇒アプリケーション（RP）はこの発行者情報（エンドポイントアドレス）およびトークンに付与されるデジタル署名の情報を登録する ⇒AD FS 2.0 の「証明書利用者信頼の識別子」の URI 42

SAML トークン構造  認証ｱｻｰｼｮﾝ（AuthNStatement）<saml:AuthnStatement AuthnInstant="2012-09-22T00:00:00.000Z"> <saml:AuthnContext> <saml:AuthnContextClassRef> urn:federation:authentication:windows </saml:AuthnContextClassRef> </saml:AuthnContext></saml:AuthnStatement> ※統合 Windows 認証の場合 43

SAML トークン構造  属性ｱｻｰｼｮﾝ（AttributeStatement）<saml:AttributeStatement> <saml:Attribute Name="organization_id"> <saml:AttributeValue xsi:type="xs:anyType">ABCDEFG </saml:AttributeValue> </saml:Attribute></saml:AttributeStatement> ※organization_id 属性の値が ABCDEFG となる例 44

SAML トークン構造  認可決定ｱｻｰｼｮﾝ（AuthzDecisionStatement）<saml:AuthzDecisionStatement Resource="http://www.example.com/secret.html" Decision="Permit"> <saml:Action Namespace="urn:oasis:names:tc:SAML:1.0:action:ghpp"> GET </saml:Action></saml:AuthzDecisionStatement> ※http://www.example.com/secret.html に対して GET を許可する例 45

SAML トークン構造  デジタル署名<ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#"> ……（デジタル署名に関する情報）……</ds:Signature> フェデレーションにおける事前信頼 ⇒アプリケーション（RP）はこのデジタル署名に関する情報を事前に登録する ⇒AD FS 2.0 のトークン署名証明書 46

SAML プロトコル・フローブラウザ IdP RP サービスへアクセスリダイレクト認証要求を IdP へ送付 Assertion ユーザ認証認証の生成と署 Assertion Servic 名署名の検証アサーション発行 e アサーションを POST サービスへリダイレクト ACS サービスを利用 ※WebSSO Profile / SP Initiated / POST Binding の例 ※ACS : Assertion Consumer Service 47

とりあえず・・・ 概念を説明してもらっても？？な世界 デモだけ見ても？？な世界説明を聞いて、見て、触って、、、ようやくなんとなく理解できる ⇒ハンズオンをやってみましょう。 48

 お疲れ様でした。 ◦ 問合せ先  富士榮尚寛（naohiro.fujie@eidentity.jp） 49

アイデンティティ管理の基礎～Fim adfsアーキテクチャ

by Naohiro Fujie on Sep 23, 2012

Accessibility

Upload Details

Usage Rights

1 Embed 1

Statistics

アイデンティティ管理の基礎～Fim adfsアーキテクチャ Presentation Transcript