SlideShare a Scribd company logo
1 of 20
Download to read offline
クラウドサービスとしてのデジタル・アイディンティティ
 ~ Windows Azure Active Directory の役割 ~


                             日本マイクロソフト株式会社
                                  エバンジェリスト
                                       安納 順一
                http://blogs.technet.com/junichia/
                           Facebook :Junichi Anno
Agenda & Takeaway



パブリック クラウド上の Identity Provider(IdP)の役割とは?
• IdP の乱立時代は続くのか?
• IdP の乱立時代を回避する方法は用意されているのか?
• パブリック クラウドは Digital Identity の利用に何をもたらすのか?

Windows Azure Active Directory とは?
• マイクロソフト テクノロジーにおける位置づけ
• 既存テクノロジーとの連携
サービス あるところ IdP あり
 サービス(Service Provider: SP)には、認証と認可がつきもの




           Windows                         Microsoft
Facebook             google   Salesforce                業務
                                                         業務
             Live                          Office 365     業務
                                                           業務
                                                            業務




    業務         業務       業務         業務           業務       業務
パブリッククラウドにも
Identity Provider の乱立時代が !?
オンプレミスでは”乱立”をどう回避したのか?

 回避は........できませんでした...
 そのかわり...こんな方法で対応してきました

 統合認証                     同期

             認証サーバー            Metadata




    業務    業務              業務       業務     業務
クレーム ベース(認証と認可の分離)
 最近ではこんな方法も浸透しつつあります
IdP :ユーザー認証、デバイス認証を行いトークン(アサーション)を発行
SP :トークンから本人を識別し、ロールを決定してアクセスを認可する
クレーム ベースの認証と認可

   IdP(認証)       信頼
                             クレーム
                                       SP(認可)

             トークン     トークン
 ユーザー                             業務     ロール
 情報                                      管理簿


                             トークンを解析
                             • 本人識別
                 利用者         • ロール決定
クレームベースのメリット
 • 以下の2要素が一致していれば、相互連携が可能
    • プロトコル
    • トークン(アサーション)のフォーマット
 • IdP の違い(認証方式の違い)がアプリケーションに影響しない

                       D 社 IdP
             C 社 IdP



   B 社 IdP




A 社 IdP                          業務   ロール
                                      管理簿
パブリック クラウド上の IdP はどうなっているのか?
• 孤立した IdP は少ない(ように思える)
• 共通の「認可」プロトコルによる ID Federation が可能(な場合が多い)
    • SAML 2.0
    • WS-Federation
    • OpenID Connect
• “IdP の乱立”が問題になりずらくなりつつある
                                  認証 HUB 的な役割

          SAML 2.0 World
            Identity Federation     サービス
            トークン       トークン

B社 IdP                              A 社 SaaS
SaaS としての認証 HUB
•   IdP と SP を相互に連携させるための HUB
•   マルチテナントに対応
•   複数の認可プロトコルへの対応
•   外部 IdP とのフェデレーション機能
•   サービスに対して「統一フォーマットのトークン」を生成
      • アプリケーションは IdP を意識する必要がない

                               サービス




                  認証HUB
                               サービス
マイクロソフトの IdP プラットフォーム全体像

                          Consumer Enterprise
              Microsoft Account         Windows Azure
              (Windows Live ID)         Active Directory




                     Windows Server




                                                Sync
                     Active Directory                      他社 IdP
              Windows 8
  Microsoft   Microsoft                       Metadata
   全製品                              Sync
                全 OS



                                                Sync
                                                HR
(脱線)Active Directory の三形態




                     Windows Server
 Windows Server      Active Directory   Windows Azure
 Active Directory            on         Active Directory
  (On-premise)      Windows Azure VM         (SaaS)
                           (IaaS)
Windows Azure Active Directory
  クラウドサービスに最適化された Identity Provider
  • 認証HUB
  • IDストア


                       External IdP



                  LIVE

                                 連携

                             Access Control
                      Sync
                             Directory                                   3rd Party Services

   Windows Server
                                      Graph API
                                                      Windows Azure
   Active Directory                   Auth. Library   Active Directory
   or
   Shibboleth                                                             Apps in Azure
   or
   PingFederate
Directory
• マルチテナントに対応したディレクトリサービス
• マイクロソフトの SaaS、Azure 上のアプリケーション、非マイクロソフトのク
  ラウドサービスからも利用可能
• オンプレミスの Active Directory 等との同期、ID フェデレーションが可能
• ユーザー/デバイス管理のハブ機能を提供
  - 登録/削除/管理
• Office 365 との連携で二要素認証をサポート
二要素認証

                        Office                   Office
                         365                      365

   Azure AD                      Azure AD


         ①                        ①
        ID / Password




                                 ID / Password
Access Control
  • 外部 IdP との ID フェデレーション
      • OAuth 2.0
      • OpenID(※ OpenID Connect にも対応予定、時期未定)
      • SAML 2.0(予定)
      • WS-Federation
  • オンプレミス Active Directory との ID フェデレーション

User      :どの IdP でログオンしてもアプリケーションが使える
Developer :Access Control 用のコードを1種類書けば自動的にすべての IdP に対応




                                               LOB
                          Access
                          Control
            ADFS 2.0

           WS AD
                              WAAD
コンシューマー向け IdP と企業向け IdP の違い (1)

• “本人”であることの担保

 厳格ではない(厳格にできない)     個人の特定、厳格な「認証」が命
                      ユーザー情報の最新性


                               HR       一意性を担保



                             Metadata   最新性を担保

         SNS

               SNS
   SNS
                      業務     業務           業務
コンシューマー向け IdP と企業向け IdP の違い (2)
• 個人情報の利用ポリシー

 利用者自身が決定          社内セキュリティポリシー
 API 認可            「業務システム」が何を使用するかを決める




   認証                    認証
             API
        認可                         特
                                   権
                              利用       信頼関係
        利用
ユーザー                 ユーザー

         サービス                  サービス
Graph API
•   RESTful Graph API を使用した Directory へのアクセス
    • JSON/XML で応答を受信
    • Odata V3 にも対応
    • API認可は OAuth 2.0 を使用

                                   Token Request
             OAuth 2.0 Endpoint
                                      JWT

                           Check   Request w/ JWT
    Graph API Endpoint
                                   Response
                                                    LOB


              Windows Azure
              Active Directory
オンプレミス Active Directory との連携
 • Digital Identity 情報の自動同期
 • Digital Identity のフェデレーションにより、オンプレミスとクラウドの SSO

管理者     :自動同期によりオンプレミス AD のみの管理でOK
ユーザー    :ID フェデレーションにより、オンプレミスとの SSO が可能

                       Windows Azure
 SSO World             Active Directory

       その他                                      Web Portal
       業務
             Windows
              Intune   Federation          •   Graph API
                                           •   Windows PowerShell
                                    同
                                    期      •   DirSync Tool
                                           •   Forefront Identity Manager

                                        Windows Server
                                        Active Directory
まとめ

• アイデンティティ フェデレーション を理解しましょう
 – IdP の役割を SP から分離


• パブリック クラウドの IdP をうまく使うには
 – アプリをクレームベースに対応
 – アプリとの互換性(プロトコル、トークンフォーマット)を確認
 – 運用をイメージする
   • 自動化できる手法が用意されているか
   • オンプレミスとの連携が可能か
   • 常に ID 情報を最新の状態に保てるか

More Related Content

What's hot

アイデンティティ管理の基礎~Fim adfsアーキテクチャ
アイデンティティ管理の基礎~Fim adfsアーキテクチャアイデンティティ管理の基礎~Fim adfsアーキテクチャ
アイデンティティ管理の基礎~Fim adfsアーキテクチャNaohiro Fujie
 
今なら間に合う分散型IDとEntra Verified ID
今なら間に合う分散型IDとEntra Verified ID今なら間に合う分散型IDとEntra Verified ID
今なら間に合う分散型IDとEntra Verified IDNaohiro Fujie
 
プロトコルから見るID連携
プロトコルから見るID連携プロトコルから見るID連携
プロトコルから見るID連携Naohiro Fujie
 
IDA,VC,DID関連仕様 最新情報 - OpenID BizDay #15
IDA,VC,DID関連仕様 最新情報 - OpenID BizDay #15IDA,VC,DID関連仕様 最新情報 - OpenID BizDay #15
IDA,VC,DID関連仕様 最新情報 - OpenID BizDay #15OpenID Foundation Japan
 
ブロックチェーンを用いた自己主権型デジタルID管理
ブロックチェーンを用いた自己主権型デジタルID管理ブロックチェーンを用いた自己主権型デジタルID管理
ブロックチェーンを用いた自己主権型デジタルID管理Hyperleger Tokyo Meetup
 
OpenID Connect 入門 〜コンシューマーにおけるID連携のトレンド〜
OpenID Connect 入門 〜コンシューマーにおけるID連携のトレンド〜OpenID Connect 入門 〜コンシューマーにおけるID連携のトレンド〜
OpenID Connect 入門 〜コンシューマーにおけるID連携のトレンド〜Masaru Kurahayashi
 
FIDO2 ~ パスワードのいらない世界へ
FIDO2 ~ パスワードのいらない世界へFIDO2 ~ パスワードのいらない世界へ
FIDO2 ~ パスワードのいらない世界へFIDO Alliance
 
SSI DIDs VCs 入門資料
SSI DIDs VCs 入門資料SSI DIDs VCs 入門資料
SSI DIDs VCs 入門資料KAYATO SAITO
 
IDaaS を正しく活用するための認証基盤設計
IDaaS を正しく活用するための認証基盤設計IDaaS を正しく活用するための認証基盤設計
IDaaS を正しく活用するための認証基盤設計Trainocate Japan, Ltd.
 
パスワード氾濫時代のID管理とは? ~最新のOpenIDが目指すユーザー認証の効率的な強化~
パスワード氾濫時代のID管理とは? ~最新のOpenIDが目指すユーザー認証の効率的な強化~パスワード氾濫時代のID管理とは? ~最新のOpenIDが目指すユーザー認証の効率的な強化~
パスワード氾濫時代のID管理とは? ~最新のOpenIDが目指すユーザー認証の効率的な強化~Tatsuo Kudo
 
Kongの概要と導入事例
Kongの概要と導入事例Kongの概要と導入事例
Kongの概要と導入事例briscola-tokyo
 
OpenIDファウンデーション・ジャパンKYC WGの活動報告 - OpenID Summit 2020
OpenIDファウンデーション・ジャパンKYC WGの活動報告 - OpenID Summit 2020OpenIDファウンデーション・ジャパンKYC WGの活動報告 - OpenID Summit 2020
OpenIDファウンデーション・ジャパンKYC WGの活動報告 - OpenID Summit 2020OpenID Foundation Japan
 
S13_レガシー ID 管理者でも分かる Verifiable Credentials のセッション [Microsoft Japan Digital D...
S13_レガシー ID 管理者でも分かる Verifiable Credentials のセッション [Microsoft Japan Digital D...S13_レガシー ID 管理者でも分かる Verifiable Credentials のセッション [Microsoft Japan Digital D...
S13_レガシー ID 管理者でも分かる Verifiable Credentials のセッション [Microsoft Japan Digital D...日本マイクロソフト株式会社
 
次世代 IDaaS のポイントは本人確認 NIST と、サプライチェーンセキュリティと、みなしご ID - OpenID Summit 2020
次世代 IDaaS のポイントは本人確認 NIST と、サプライチェーンセキュリティと、みなしご ID  - OpenID Summit 2020次世代 IDaaS のポイントは本人確認 NIST と、サプライチェーンセキュリティと、みなしご ID  - OpenID Summit 2020
次世代 IDaaS のポイントは本人確認 NIST と、サプライチェーンセキュリティと、みなしご ID - OpenID Summit 2020OpenID Foundation Japan
 
OAuth2.0によるWeb APIの保護
OAuth2.0によるWeb APIの保護OAuth2.0によるWeb APIの保護
OAuth2.0によるWeb APIの保護Naohiro Fujie
 
銀行オープンAPIの実装これまでの歩みとこれから必要なこと - OpenID Summit 2020
銀行オープンAPIの実装これまでの歩みとこれから必要なこと - OpenID Summit 2020銀行オープンAPIの実装これまでの歩みとこれから必要なこと - OpenID Summit 2020
銀行オープンAPIの実装これまでの歩みとこれから必要なこと - OpenID Summit 2020OpenID Foundation Japan
 
分散型IDと検証可能なアイデンティティ技術概要
分散型IDと検証可能なアイデンティティ技術概要分散型IDと検証可能なアイデンティティ技術概要
分散型IDと検証可能なアイデンティティ技術概要Naohiro Fujie
 

What's hot (20)

アイデンティティ管理の基礎~Fim adfsアーキテクチャ
アイデンティティ管理の基礎~Fim adfsアーキテクチャアイデンティティ管理の基礎~Fim adfsアーキテクチャ
アイデンティティ管理の基礎~Fim adfsアーキテクチャ
 
今なら間に合う分散型IDとEntra Verified ID
今なら間に合う分散型IDとEntra Verified ID今なら間に合う分散型IDとEntra Verified ID
今なら間に合う分散型IDとEntra Verified ID
 
プロトコルから見るID連携
プロトコルから見るID連携プロトコルから見るID連携
プロトコルから見るID連携
 
IDA,VC,DID関連仕様 最新情報 - OpenID BizDay #15
IDA,VC,DID関連仕様 最新情報 - OpenID BizDay #15IDA,VC,DID関連仕様 最新情報 - OpenID BizDay #15
IDA,VC,DID関連仕様 最新情報 - OpenID BizDay #15
 
ブロックチェーンを用いた自己主権型デジタルID管理
ブロックチェーンを用いた自己主権型デジタルID管理ブロックチェーンを用いた自己主権型デジタルID管理
ブロックチェーンを用いた自己主権型デジタルID管理
 
Keycloakのステップアップ認証について
Keycloakのステップアップ認証についてKeycloakのステップアップ認証について
Keycloakのステップアップ認証について
 
OpenID Connect 入門 〜コンシューマーにおけるID連携のトレンド〜
OpenID Connect 入門 〜コンシューマーにおけるID連携のトレンド〜OpenID Connect 入門 〜コンシューマーにおけるID連携のトレンド〜
OpenID Connect 入門 〜コンシューマーにおけるID連携のトレンド〜
 
FIDO2 ~ パスワードのいらない世界へ
FIDO2 ~ パスワードのいらない世界へFIDO2 ~ パスワードのいらない世界へ
FIDO2 ~ パスワードのいらない世界へ
 
SSI DIDs VCs 入門資料
SSI DIDs VCs 入門資料SSI DIDs VCs 入門資料
SSI DIDs VCs 入門資料
 
IDaaS を正しく活用するための認証基盤設計
IDaaS を正しく活用するための認証基盤設計IDaaS を正しく活用するための認証基盤設計
IDaaS を正しく活用するための認証基盤設計
 
パスワード氾濫時代のID管理とは? ~最新のOpenIDが目指すユーザー認証の効率的な強化~
パスワード氾濫時代のID管理とは? ~最新のOpenIDが目指すユーザー認証の効率的な強化~パスワード氾濫時代のID管理とは? ~最新のOpenIDが目指すユーザー認証の効率的な強化~
パスワード氾濫時代のID管理とは? ~最新のOpenIDが目指すユーザー認証の効率的な強化~
 
Kongの概要と導入事例
Kongの概要と導入事例Kongの概要と導入事例
Kongの概要と導入事例
 
統合ID管理入門
統合ID管理入門統合ID管理入門
統合ID管理入門
 
OpenIDファウンデーション・ジャパンKYC WGの活動報告 - OpenID Summit 2020
OpenIDファウンデーション・ジャパンKYC WGの活動報告 - OpenID Summit 2020OpenIDファウンデーション・ジャパンKYC WGの活動報告 - OpenID Summit 2020
OpenIDファウンデーション・ジャパンKYC WGの活動報告 - OpenID Summit 2020
 
S13_レガシー ID 管理者でも分かる Verifiable Credentials のセッション [Microsoft Japan Digital D...
S13_レガシー ID 管理者でも分かる Verifiable Credentials のセッション [Microsoft Japan Digital D...S13_レガシー ID 管理者でも分かる Verifiable Credentials のセッション [Microsoft Japan Digital D...
S13_レガシー ID 管理者でも分かる Verifiable Credentials のセッション [Microsoft Japan Digital D...
 
次世代 IDaaS のポイントは本人確認 NIST と、サプライチェーンセキュリティと、みなしご ID - OpenID Summit 2020
次世代 IDaaS のポイントは本人確認 NIST と、サプライチェーンセキュリティと、みなしご ID  - OpenID Summit 2020次世代 IDaaS のポイントは本人確認 NIST と、サプライチェーンセキュリティと、みなしご ID  - OpenID Summit 2020
次世代 IDaaS のポイントは本人確認 NIST と、サプライチェーンセキュリティと、みなしご ID - OpenID Summit 2020
 
OAuth2.0によるWeb APIの保護
OAuth2.0によるWeb APIの保護OAuth2.0によるWeb APIの保護
OAuth2.0によるWeb APIの保護
 
銀行オープンAPIの実装これまでの歩みとこれから必要なこと - OpenID Summit 2020
銀行オープンAPIの実装これまでの歩みとこれから必要なこと - OpenID Summit 2020銀行オープンAPIの実装これまでの歩みとこれから必要なこと - OpenID Summit 2020
銀行オープンAPIの実装これまでの歩みとこれから必要なこと - OpenID Summit 2020
 
分散型IDと検証可能なアイデンティティ技術概要
分散型IDと検証可能なアイデンティティ技術概要分散型IDと検証可能なアイデンティティ技術概要
分散型IDと検証可能なアイデンティティ技術概要
 
KeycloakでAPI認可に入門する
KeycloakでAPI認可に入門するKeycloakでAPI認可に入門する
KeycloakでAPI認可に入門する
 

Similar to クラウドにおける Windows Azure Active Directory の役割

最新Active DirectoryによるIDMaaSとハイブリッド認証基盤の実現
最新Active DirectoryによるIDMaaSとハイブリッド認証基盤の実現最新Active DirectoryによるIDMaaSとハイブリッド認証基盤の実現
最新Active DirectoryによるIDMaaSとハイブリッド認証基盤の実現junichi anno
 
Active Directory 最新情報 2012.8.31 暫定版
Active Directory 最新情報 2012.8.31 暫定版Active Directory 最新情報 2012.8.31 暫定版
Active Directory 最新情報 2012.8.31 暫定版junichi anno
 
SaaS としての IDM の役割
SaaS としての IDM の役割SaaS としての IDM の役割
SaaS としての IDM の役割junichi anno
 
Microsoft と Digital Identity
Microsoft と Digital IdentityMicrosoft と Digital Identity
Microsoft と Digital Identityjunichi anno
 
S05 Microsoft Azure 仮想マシンでの Active Directory 活用シナリオ
S05 Microsoft Azure 仮想マシンでの Active Directory 活用シナリオS05 Microsoft Azure 仮想マシンでの Active Directory 活用シナリオ
S05 Microsoft Azure 仮想マシンでの Active Directory 活用シナリオMicrosoft Azure Japan
 
OneLogin opsjaws_20160927
OneLogin opsjaws_20160927OneLogin opsjaws_20160927
OneLogin opsjaws_20160927慶 宮澤
 
「Windows Phone アプリ と 認証」のまとめ
「Windows Phone アプリ と 認証」のまとめ「Windows Phone アプリ と 認証」のまとめ
「Windows Phone アプリ と 認証」のまとめjunichi anno
 
Slides of ID&IT 2013 (slideshare edit version)
Slides of ID&IT 2013 (slideshare edit version)Slides of ID&IT 2013 (slideshare edit version)
Slides of ID&IT 2013 (slideshare edit version)Manabu Kondo
 
Cloud で Active Directory を活用するには
Cloud で Active Directory を活用するにはCloud で Active Directory を活用するには
Cloud で Active Directory を活用するにはjunichi anno
 
Open棟梁 v02-00 コンセプト
Open棟梁 v02-00 コンセプトOpen棟梁 v02-00 コンセプト
Open棟梁 v02-00 コンセプトDaisuke Nishino
 
認証/メッセージング領域へのモバイル/ソーシャルネットワークIDの活用
認証/メッセージング領域へのモバイル/ソーシャルネットワークIDの活用認証/メッセージング領域へのモバイル/ソーシャルネットワークIDの活用
認証/メッセージング領域へのモバイル/ソーシャルネットワークIDの活用Naohiro Fujie
 
Sec004 cloud first、_mobile_first_におけるid
Sec004 cloud first、_mobile_first_におけるidSec004 cloud first、_mobile_first_におけるid
Sec004 cloud first、_mobile_first_におけるidTech Summit 2016
 
ID管理/認証システム導入の理想と現実
ID管理/認証システム導入の理想と現実ID管理/認証システム導入の理想と現実
ID管理/認証システム導入の理想と現実Naohiro Fujie
 
MicrosoftによるAIビジネスへの取組み
MicrosoftによるAIビジネスへの取組みMicrosoftによるAIビジネスへの取組み
MicrosoftによるAIビジネスへの取組みKosuke Fujimoto
 
Azure AD B2C + LINE 学校や企業における次世代 ID/ メッセージ基盤
Azure AD B2C + LINE 学校や企業における次世代 ID/ メッセージ基盤Azure AD B2C + LINE 学校や企業における次世代 ID/ メッセージ基盤
Azure AD B2C + LINE 学校や企業における次世代 ID/ メッセージ基盤Naohiro Fujie
 
マイクロソフトのITコンシューマライゼーション2 - フレキシブルワークスタイルを支えるテクノロジー 第2版
マイクロソフトのITコンシューマライゼーション2 - フレキシブルワークスタイルを支えるテクノロジー 第2版マイクロソフトのITコンシューマライゼーション2 - フレキシブルワークスタイルを支えるテクノロジー 第2版
マイクロソフトのITコンシューマライゼーション2 - フレキシブルワークスタイルを支えるテクノロジー 第2版junichi anno
 
Microsoft Azure 概要 (sakura.io ハンズオン編)
Microsoft Azure 概要 (sakura.io ハンズオン編)Microsoft Azure 概要 (sakura.io ハンズオン編)
Microsoft Azure 概要 (sakura.io ハンズオン編)Naoki Sato
 
Windows Azure Active Directory for your cloud applications
Windows Azure Active Directory for your cloud applicationsWindows Azure Active Directory for your cloud applications
Windows Azure Active Directory for your cloud applicationskekekekenta
 
OSS on Azure で構築するウェブアプリケーション
OSS on Azure で構築するウェブアプリケーションOSS on Azure で構築するウェブアプリケーション
OSS on Azure で構築するウェブアプリケーションDaisuke Masubuchi
 

Similar to クラウドにおける Windows Azure Active Directory の役割 (20)

最新Active DirectoryによるIDMaaSとハイブリッド認証基盤の実現
最新Active DirectoryによるIDMaaSとハイブリッド認証基盤の実現最新Active DirectoryによるIDMaaSとハイブリッド認証基盤の実現
最新Active DirectoryによるIDMaaSとハイブリッド認証基盤の実現
 
Active Directory 最新情報 2012.8.31 暫定版
Active Directory 最新情報 2012.8.31 暫定版Active Directory 最新情報 2012.8.31 暫定版
Active Directory 最新情報 2012.8.31 暫定版
 
SaaS としての IDM の役割
SaaS としての IDM の役割SaaS としての IDM の役割
SaaS としての IDM の役割
 
Microsoft と Digital Identity
Microsoft と Digital IdentityMicrosoft と Digital Identity
Microsoft と Digital Identity
 
S05 Microsoft Azure 仮想マシンでの Active Directory 活用シナリオ
S05 Microsoft Azure 仮想マシンでの Active Directory 活用シナリオS05 Microsoft Azure 仮想マシンでの Active Directory 活用シナリオ
S05 Microsoft Azure 仮想マシンでの Active Directory 活用シナリオ
 
OneLogin opsjaws_20160927
OneLogin opsjaws_20160927OneLogin opsjaws_20160927
OneLogin opsjaws_20160927
 
「Windows Phone アプリ と 認証」のまとめ
「Windows Phone アプリ と 認証」のまとめ「Windows Phone アプリ と 認証」のまとめ
「Windows Phone アプリ と 認証」のまとめ
 
Slides of ID&IT 2013 (slideshare edit version)
Slides of ID&IT 2013 (slideshare edit version)Slides of ID&IT 2013 (slideshare edit version)
Slides of ID&IT 2013 (slideshare edit version)
 
Cloud で Active Directory を活用するには
Cloud で Active Directory を活用するにはCloud で Active Directory を活用するには
Cloud で Active Directory を活用するには
 
Open棟梁 v02-00 コンセプト
Open棟梁 v02-00 コンセプトOpen棟梁 v02-00 コンセプト
Open棟梁 v02-00 コンセプト
 
認証/メッセージング領域へのモバイル/ソーシャルネットワークIDの活用
認証/メッセージング領域へのモバイル/ソーシャルネットワークIDの活用認証/メッセージング領域へのモバイル/ソーシャルネットワークIDの活用
認証/メッセージング領域へのモバイル/ソーシャルネットワークIDの活用
 
Sec004 cloud first、_mobile_first_におけるid
Sec004 cloud first、_mobile_first_におけるidSec004 cloud first、_mobile_first_におけるid
Sec004 cloud first、_mobile_first_におけるid
 
ID管理/認証システム導入の理想と現実
ID管理/認証システム導入の理想と現実ID管理/認証システム導入の理想と現実
ID管理/認証システム導入の理想と現実
 
MicrosoftによるAIビジネスへの取組み
MicrosoftによるAIビジネスへの取組みMicrosoftによるAIビジネスへの取組み
MicrosoftによるAIビジネスへの取組み
 
[Japan Tech summit 2017] SEC 007
[Japan Tech summit 2017] SEC 007[Japan Tech summit 2017] SEC 007
[Japan Tech summit 2017] SEC 007
 
Azure AD B2C + LINE 学校や企業における次世代 ID/ メッセージ基盤
Azure AD B2C + LINE 学校や企業における次世代 ID/ メッセージ基盤Azure AD B2C + LINE 学校や企業における次世代 ID/ メッセージ基盤
Azure AD B2C + LINE 学校や企業における次世代 ID/ メッセージ基盤
 
マイクロソフトのITコンシューマライゼーション2 - フレキシブルワークスタイルを支えるテクノロジー 第2版
マイクロソフトのITコンシューマライゼーション2 - フレキシブルワークスタイルを支えるテクノロジー 第2版マイクロソフトのITコンシューマライゼーション2 - フレキシブルワークスタイルを支えるテクノロジー 第2版
マイクロソフトのITコンシューマライゼーション2 - フレキシブルワークスタイルを支えるテクノロジー 第2版
 
Microsoft Azure 概要 (sakura.io ハンズオン編)
Microsoft Azure 概要 (sakura.io ハンズオン編)Microsoft Azure 概要 (sakura.io ハンズオン編)
Microsoft Azure 概要 (sakura.io ハンズオン編)
 
Windows Azure Active Directory for your cloud applications
Windows Azure Active Directory for your cloud applicationsWindows Azure Active Directory for your cloud applications
Windows Azure Active Directory for your cloud applications
 
OSS on Azure で構築するウェブアプリケーション
OSS on Azure で構築するウェブアプリケーションOSS on Azure で構築するウェブアプリケーション
OSS on Azure で構築するウェブアプリケーション
 

More from junichi anno

V1.1 CD03 Azure Active Directory B2C/B2B コラボレーションによる Customer Identity and Ac...
V1.1 CD03 Azure Active Directory B2C/B2B コラボレーションによる Customer Identity and Ac...V1.1 CD03 Azure Active Directory B2C/B2B コラボレーションによる Customer Identity and Ac...
V1.1 CD03 Azure Active Directory B2C/B2B コラボレーションによる Customer Identity and Ac...junichi anno
 
Microsoft Azure のセキュリティ
Microsoft Azure のセキュリティMicrosoft Azure のセキュリティ
Microsoft Azure のセキュリティjunichi anno
 
Azure AD によるリソースの保護 how to protect and govern resources under the Azure AD
Azure AD によるリソースの保護 how to protect and govern resources under the Azure ADAzure AD によるリソースの保護 how to protect and govern resources under the Azure AD
Azure AD によるリソースの保護 how to protect and govern resources under the Azure ADjunichi anno
 
Azure AD による Web API の 保護
Azure AD による Web API の 保護 Azure AD による Web API の 保護
Azure AD による Web API の 保護 junichi anno
 
Azure ad の導入を検討している方へ ~ active directory の構成パターンと正しい認証方式の選択~
Azure ad の導入を検討している方へ ~ active directory の構成パターンと正しい認証方式の選択~Azure ad の導入を検討している方へ ~ active directory の構成パターンと正しい認証方式の選択~
Azure ad の導入を検討している方へ ~ active directory の構成パターンと正しい認証方式の選択~junichi anno
 
個人情報を守るための アプリケーション設計(概要)
個人情報を守るためのアプリケーション設計(概要)個人情報を守るためのアプリケーション設計(概要)
個人情報を守るための アプリケーション設計(概要)junichi anno
 
IoT のセキュリティアーキテクチャと実装モデル on Azure
IoT のセキュリティアーキテクチャと実装モデル on AzureIoT のセキュリティアーキテクチャと実装モデル on Azure
IoT のセキュリティアーキテクチャと実装モデル on Azurejunichi anno
 
DevSecOps: セキュリティ問題に迅速に対応するためのパイプライン設計
DevSecOps: セキュリティ問題に迅速に対応するためのパイプライン設計DevSecOps: セキュリティ問題に迅速に対応するためのパイプライン設計
DevSecOps: セキュリティ問題に迅速に対応するためのパイプライン設計junichi anno
 
Azureの管理権限について
Azureの管理権限について Azureの管理権限について
Azureの管理権限について junichi anno
 
Azure Active Directory 1枚資料 20151125版
Azure Active Directory 1枚資料 20151125版Azure Active Directory 1枚資料 20151125版
Azure Active Directory 1枚資料 20151125版junichi anno
 
リソーステンプレート入門
リソーステンプレート入門リソーステンプレート入門
リソーステンプレート入門junichi anno
 
File Server on Azure IaaS
File Server on Azure IaaSFile Server on Azure IaaS
File Server on Azure IaaSjunichi anno
 
Windows File Service 総復習-Windows Server 2012 R2編 第1版
Windows File Service 総復習-Windows Server 2012 R2編 第1版Windows File Service 総復習-Windows Server 2012 R2編 第1版
Windows File Service 総復習-Windows Server 2012 R2編 第1版junichi anno
 
Active Directory のクラウド武装化計画 V2~"AD on Azure IaaS" or "Windows Azure Active Di...
Active Directory のクラウド武装化計画 V2~"AD on Azure IaaS" or "Windows Azure Active Di...Active Directory のクラウド武装化計画 V2~"AD on Azure IaaS" or "Windows Azure Active Di...
Active Directory のクラウド武装化計画 V2~"AD on Azure IaaS" or "Windows Azure Active Di...junichi anno
 
勉強会キット Windows Server 2012 R2 評価版 BYOD 編 v2 20131020 版
勉強会キット Windows Server 2012 R2 評価版 BYOD 編 v2 20131020 版勉強会キット Windows Server 2012 R2 評価版 BYOD 編 v2 20131020 版
勉強会キット Windows Server 2012 R2 評価版 BYOD 編 v2 20131020 版junichi anno
 
Hyper-V を Windows PowerShell から管理する
Hyper-V を Windows PowerShell から管理するHyper-V を Windows PowerShell から管理する
Hyper-V を Windows PowerShell から管理するjunichi anno
 
Vdi を より使いやすいインフラにするためのセキュリティ設計
Vdi を より使いやすいインフラにするためのセキュリティ設計Vdi を より使いやすいインフラにするためのセキュリティ設計
Vdi を より使いやすいインフラにするためのセキュリティ設計junichi anno
 
Dynamic Access Control 演習編
Dynamic Access Control 演習編Dynamic Access Control 演習編
Dynamic Access Control 演習編junichi anno
 
Dynamic Access Control 解説編
Dynamic Access Control 解説編Dynamic Access Control 解説編
Dynamic Access Control 解説編junichi anno
 

More from junichi anno (20)

V1.1 CD03 Azure Active Directory B2C/B2B コラボレーションによる Customer Identity and Ac...
V1.1 CD03 Azure Active Directory B2C/B2B コラボレーションによる Customer Identity and Ac...V1.1 CD03 Azure Active Directory B2C/B2B コラボレーションによる Customer Identity and Ac...
V1.1 CD03 Azure Active Directory B2C/B2B コラボレーションによる Customer Identity and Ac...
 
Microsoft Azure のセキュリティ
Microsoft Azure のセキュリティMicrosoft Azure のセキュリティ
Microsoft Azure のセキュリティ
 
Azure AD によるリソースの保護 how to protect and govern resources under the Azure AD
Azure AD によるリソースの保護 how to protect and govern resources under the Azure ADAzure AD によるリソースの保護 how to protect and govern resources under the Azure AD
Azure AD によるリソースの保護 how to protect and govern resources under the Azure AD
 
Azure AD による Web API の 保護
Azure AD による Web API の 保護 Azure AD による Web API の 保護
Azure AD による Web API の 保護
 
Azure ad の導入を検討している方へ ~ active directory の構成パターンと正しい認証方式の選択~
Azure ad の導入を検討している方へ ~ active directory の構成パターンと正しい認証方式の選択~Azure ad の導入を検討している方へ ~ active directory の構成パターンと正しい認証方式の選択~
Azure ad の導入を検討している方へ ~ active directory の構成パターンと正しい認証方式の選択~
 
Azure Key Vault
Azure Key VaultAzure Key Vault
Azure Key Vault
 
個人情報を守るための アプリケーション設計(概要)
個人情報を守るためのアプリケーション設計(概要)個人情報を守るためのアプリケーション設計(概要)
個人情報を守るための アプリケーション設計(概要)
 
IoT のセキュリティアーキテクチャと実装モデル on Azure
IoT のセキュリティアーキテクチャと実装モデル on AzureIoT のセキュリティアーキテクチャと実装モデル on Azure
IoT のセキュリティアーキテクチャと実装モデル on Azure
 
DevSecOps: セキュリティ問題に迅速に対応するためのパイプライン設計
DevSecOps: セキュリティ問題に迅速に対応するためのパイプライン設計DevSecOps: セキュリティ問題に迅速に対応するためのパイプライン設計
DevSecOps: セキュリティ問題に迅速に対応するためのパイプライン設計
 
Azureの管理権限について
Azureの管理権限について Azureの管理権限について
Azureの管理権限について
 
Azure Active Directory 1枚資料 20151125版
Azure Active Directory 1枚資料 20151125版Azure Active Directory 1枚資料 20151125版
Azure Active Directory 1枚資料 20151125版
 
リソーステンプレート入門
リソーステンプレート入門リソーステンプレート入門
リソーステンプレート入門
 
File Server on Azure IaaS
File Server on Azure IaaSFile Server on Azure IaaS
File Server on Azure IaaS
 
Windows File Service 総復習-Windows Server 2012 R2編 第1版
Windows File Service 総復習-Windows Server 2012 R2編 第1版Windows File Service 総復習-Windows Server 2012 R2編 第1版
Windows File Service 総復習-Windows Server 2012 R2編 第1版
 
Active Directory のクラウド武装化計画 V2~"AD on Azure IaaS" or "Windows Azure Active Di...
Active Directory のクラウド武装化計画 V2~"AD on Azure IaaS" or "Windows Azure Active Di...Active Directory のクラウド武装化計画 V2~"AD on Azure IaaS" or "Windows Azure Active Di...
Active Directory のクラウド武装化計画 V2~"AD on Azure IaaS" or "Windows Azure Active Di...
 
勉強会キット Windows Server 2012 R2 評価版 BYOD 編 v2 20131020 版
勉強会キット Windows Server 2012 R2 評価版 BYOD 編 v2 20131020 版勉強会キット Windows Server 2012 R2 評価版 BYOD 編 v2 20131020 版
勉強会キット Windows Server 2012 R2 評価版 BYOD 編 v2 20131020 版
 
Hyper-V を Windows PowerShell から管理する
Hyper-V を Windows PowerShell から管理するHyper-V を Windows PowerShell から管理する
Hyper-V を Windows PowerShell から管理する
 
Vdi を より使いやすいインフラにするためのセキュリティ設計
Vdi を より使いやすいインフラにするためのセキュリティ設計Vdi を より使いやすいインフラにするためのセキュリティ設計
Vdi を より使いやすいインフラにするためのセキュリティ設計
 
Dynamic Access Control 演習編
Dynamic Access Control 演習編Dynamic Access Control 演習編
Dynamic Access Control 演習編
 
Dynamic Access Control 解説編
Dynamic Access Control 解説編Dynamic Access Control 解説編
Dynamic Access Control 解説編
 

Recently uploaded

Keywordmap overview material/CINC.co.ltd
Keywordmap overview material/CINC.co.ltdKeywordmap overview material/CINC.co.ltd
Keywordmap overview material/CINC.co.ltdkokinagano2
 
ネットワーク可視化 振る舞い検知(NDR)ご紹介_キンドリル202405.pdf
ネットワーク可視化 振る舞い検知(NDR)ご紹介_キンドリル202405.pdfネットワーク可視化 振る舞い検知(NDR)ご紹介_キンドリル202405.pdf
ネットワーク可視化 振る舞い検知(NDR)ご紹介_キンドリル202405.pdfTakayuki Nakayama
 
2024年5月17日 先駆的科学計算フォーラム2024 機械学習を用いた新たなゲーム体験の創出の応用
2024年5月17日 先駆的科学計算フォーラム2024 機械学習を用いた新たなゲーム体験の創出の応用2024年5月17日 先駆的科学計算フォーラム2024 機械学習を用いた新たなゲーム体験の創出の応用
2024年5月17日 先駆的科学計算フォーラム2024 機械学習を用いた新たなゲーム体験の創出の応用KLab Inc. / Tech
 
LoRaWAN無位置ロープ型水漏れセンサー WL03A-LB/LSカタログ ファイル
LoRaWAN無位置ロープ型水漏れセンサー WL03A-LB/LSカタログ ファイルLoRaWAN無位置ロープ型水漏れセンサー WL03A-LB/LSカタログ ファイル
LoRaWAN無位置ロープ型水漏れセンサー WL03A-LB/LSカタログ ファイルCRI Japan, Inc.
 
MPAなWebフレームワーク、Astroの紹介 (その1) 2024/05/17の勉強会で発表されたものです。
MPAなWebフレームワーク、Astroの紹介 (その1) 2024/05/17の勉強会で発表されたものです。MPAなWebフレームワーク、Astroの紹介 (その1) 2024/05/17の勉強会で発表されたものです。
MPAなWebフレームワーク、Astroの紹介 (その1) 2024/05/17の勉強会で発表されたものです。iPride Co., Ltd.
 
Hyperledger Fabricコミュニティ活動体験& Hyperledger Fabric最新状況ご紹介
Hyperledger Fabricコミュニティ活動体験& Hyperledger Fabric最新状況ご紹介Hyperledger Fabricコミュニティ活動体験& Hyperledger Fabric最新状況ご紹介
Hyperledger Fabricコミュニティ活動体験& Hyperledger Fabric最新状況ご紹介Hyperleger Tokyo Meetup
 
情報を表現するときのポイント
情報を表現するときのポイント情報を表現するときのポイント
情報を表現するときのポイントonozaty
 
LoRaWAN無位置ロープ式水漏れセンサーWL03A 日本語マニュアル
LoRaWAN無位置ロープ式水漏れセンサーWL03A 日本語マニュアルLoRaWAN無位置ロープ式水漏れセンサーWL03A 日本語マニュアル
LoRaWAN無位置ロープ式水漏れセンサーWL03A 日本語マニュアルCRI Japan, Inc.
 

Recently uploaded (8)

Keywordmap overview material/CINC.co.ltd
Keywordmap overview material/CINC.co.ltdKeywordmap overview material/CINC.co.ltd
Keywordmap overview material/CINC.co.ltd
 
ネットワーク可視化 振る舞い検知(NDR)ご紹介_キンドリル202405.pdf
ネットワーク可視化 振る舞い検知(NDR)ご紹介_キンドリル202405.pdfネットワーク可視化 振る舞い検知(NDR)ご紹介_キンドリル202405.pdf
ネットワーク可視化 振る舞い検知(NDR)ご紹介_キンドリル202405.pdf
 
2024年5月17日 先駆的科学計算フォーラム2024 機械学習を用いた新たなゲーム体験の創出の応用
2024年5月17日 先駆的科学計算フォーラム2024 機械学習を用いた新たなゲーム体験の創出の応用2024年5月17日 先駆的科学計算フォーラム2024 機械学習を用いた新たなゲーム体験の創出の応用
2024年5月17日 先駆的科学計算フォーラム2024 機械学習を用いた新たなゲーム体験の創出の応用
 
LoRaWAN無位置ロープ型水漏れセンサー WL03A-LB/LSカタログ ファイル
LoRaWAN無位置ロープ型水漏れセンサー WL03A-LB/LSカタログ ファイルLoRaWAN無位置ロープ型水漏れセンサー WL03A-LB/LSカタログ ファイル
LoRaWAN無位置ロープ型水漏れセンサー WL03A-LB/LSカタログ ファイル
 
MPAなWebフレームワーク、Astroの紹介 (その1) 2024/05/17の勉強会で発表されたものです。
MPAなWebフレームワーク、Astroの紹介 (その1) 2024/05/17の勉強会で発表されたものです。MPAなWebフレームワーク、Astroの紹介 (その1) 2024/05/17の勉強会で発表されたものです。
MPAなWebフレームワーク、Astroの紹介 (その1) 2024/05/17の勉強会で発表されたものです。
 
Hyperledger Fabricコミュニティ活動体験& Hyperledger Fabric最新状況ご紹介
Hyperledger Fabricコミュニティ活動体験& Hyperledger Fabric最新状況ご紹介Hyperledger Fabricコミュニティ活動体験& Hyperledger Fabric最新状況ご紹介
Hyperledger Fabricコミュニティ活動体験& Hyperledger Fabric最新状況ご紹介
 
情報を表現するときのポイント
情報を表現するときのポイント情報を表現するときのポイント
情報を表現するときのポイント
 
LoRaWAN無位置ロープ式水漏れセンサーWL03A 日本語マニュアル
LoRaWAN無位置ロープ式水漏れセンサーWL03A 日本語マニュアルLoRaWAN無位置ロープ式水漏れセンサーWL03A 日本語マニュアル
LoRaWAN無位置ロープ式水漏れセンサーWL03A 日本語マニュアル
 

クラウドにおける Windows Azure Active Directory の役割

  • 1. クラウドサービスとしてのデジタル・アイディンティティ ~ Windows Azure Active Directory の役割 ~ 日本マイクロソフト株式会社 エバンジェリスト 安納 順一 http://blogs.technet.com/junichia/ Facebook :Junichi Anno
  • 2. Agenda & Takeaway パブリック クラウド上の Identity Provider(IdP)の役割とは? • IdP の乱立時代は続くのか? • IdP の乱立時代を回避する方法は用意されているのか? • パブリック クラウドは Digital Identity の利用に何をもたらすのか? Windows Azure Active Directory とは? • マイクロソフト テクノロジーにおける位置づけ • 既存テクノロジーとの連携
  • 3. サービス あるところ IdP あり サービス(Service Provider: SP)には、認証と認可がつきもの Windows Microsoft Facebook google Salesforce 業務 業務 Live Office 365 業務 業務 業務 業務 業務 業務 業務 業務 業務
  • 6. クレーム ベース(認証と認可の分離) 最近ではこんな方法も浸透しつつあります IdP :ユーザー認証、デバイス認証を行いトークン(アサーション)を発行 SP :トークンから本人を識別し、ロールを決定してアクセスを認可する クレーム ベースの認証と認可 IdP(認証) 信頼 クレーム SP(認可) トークン トークン ユーザー 業務 ロール 情報 管理簿 トークンを解析 • 本人識別 利用者 • ロール決定
  • 7. クレームベースのメリット • 以下の2要素が一致していれば、相互連携が可能 • プロトコル • トークン(アサーション)のフォーマット • IdP の違い(認証方式の違い)がアプリケーションに影響しない D 社 IdP C 社 IdP B 社 IdP A 社 IdP 業務 ロール 管理簿
  • 8. パブリック クラウド上の IdP はどうなっているのか? • 孤立した IdP は少ない(ように思える) • 共通の「認可」プロトコルによる ID Federation が可能(な場合が多い) • SAML 2.0 • WS-Federation • OpenID Connect • “IdP の乱立”が問題になりずらくなりつつある 認証 HUB 的な役割 SAML 2.0 World Identity Federation サービス トークン トークン B社 IdP A 社 SaaS
  • 9. SaaS としての認証 HUB • IdP と SP を相互に連携させるための HUB • マルチテナントに対応 • 複数の認可プロトコルへの対応 • 外部 IdP とのフェデレーション機能 • サービスに対して「統一フォーマットのトークン」を生成 • アプリケーションは IdP を意識する必要がない サービス 認証HUB サービス
  • 10. マイクロソフトの IdP プラットフォーム全体像 Consumer Enterprise Microsoft Account Windows Azure (Windows Live ID) Active Directory Windows Server Sync Active Directory 他社 IdP Windows 8 Microsoft Microsoft Metadata 全製品 Sync 全 OS Sync HR
  • 11. (脱線)Active Directory の三形態 Windows Server Windows Server Active Directory Windows Azure Active Directory on Active Directory (On-premise) Windows Azure VM (SaaS) (IaaS)
  • 12. Windows Azure Active Directory クラウドサービスに最適化された Identity Provider • 認証HUB • IDストア External IdP LIVE 連携 Access Control Sync Directory 3rd Party Services Windows Server Graph API Windows Azure Active Directory Auth. Library Active Directory or Shibboleth Apps in Azure or PingFederate
  • 13. Directory • マルチテナントに対応したディレクトリサービス • マイクロソフトの SaaS、Azure 上のアプリケーション、非マイクロソフトのク ラウドサービスからも利用可能 • オンプレミスの Active Directory 等との同期、ID フェデレーションが可能 • ユーザー/デバイス管理のハブ機能を提供 - 登録/削除/管理 • Office 365 との連携で二要素認証をサポート
  • 14. 二要素認証 Office Office 365 365 Azure AD Azure AD ① ① ID / Password ID / Password
  • 15. Access Control • 外部 IdP との ID フェデレーション • OAuth 2.0 • OpenID(※ OpenID Connect にも対応予定、時期未定) • SAML 2.0(予定) • WS-Federation • オンプレミス Active Directory との ID フェデレーション User :どの IdP でログオンしてもアプリケーションが使える Developer :Access Control 用のコードを1種類書けば自動的にすべての IdP に対応 LOB Access Control ADFS 2.0 WS AD WAAD
  • 16. コンシューマー向け IdP と企業向け IdP の違い (1) • “本人”であることの担保  厳格ではない(厳格にできない)  個人の特定、厳格な「認証」が命  ユーザー情報の最新性 HR 一意性を担保 Metadata 最新性を担保 SNS SNS SNS 業務 業務 業務
  • 17. コンシューマー向け IdP と企業向け IdP の違い (2) • 個人情報の利用ポリシー  利用者自身が決定  社内セキュリティポリシー  API 認可  「業務システム」が何を使用するかを決める 認証 認証 API 認可 特 権 利用 信頼関係 利用 ユーザー ユーザー サービス サービス
  • 18. Graph API • RESTful Graph API を使用した Directory へのアクセス • JSON/XML で応答を受信 • Odata V3 にも対応 • API認可は OAuth 2.0 を使用 Token Request OAuth 2.0 Endpoint JWT Check Request w/ JWT Graph API Endpoint Response LOB Windows Azure Active Directory
  • 19. オンプレミス Active Directory との連携 • Digital Identity 情報の自動同期 • Digital Identity のフェデレーションにより、オンプレミスとクラウドの SSO 管理者 :自動同期によりオンプレミス AD のみの管理でOK ユーザー :ID フェデレーションにより、オンプレミスとの SSO が可能 Windows Azure SSO World Active Directory その他 Web Portal 業務 Windows Intune Federation • Graph API • Windows PowerShell 同 期 • DirSync Tool • Forefront Identity Manager Windows Server Active Directory
  • 20. まとめ • アイデンティティ フェデレーション を理解しましょう – IdP の役割を SP から分離 • パブリック クラウドの IdP をうまく使うには – アプリをクレームベースに対応 – アプリとの互換性(プロトコル、トークンフォーマット)を確認 – 運用をイメージする • 自動化できる手法が用意されているか • オンプレミスとの連携が可能か • 常に ID 情報を最新の状態に保てるか