Azure ADとIdentity管理

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Azure ADとIdentity管理
MVP for Forefront Identity Manager
Naohiro Fujie / @phr_eidentity / http://idmlab.eidentity.jp
1

自己紹介
2
 Blog
 IdM実験室（Identityに関することを徒然と）：http://idmlab.eidentity.p
 Social
 Facebook Page : eIdentity（Identityに関するFeed...

Agenda
 アイデンティティ管理の基礎Ⅰ
 アイデンティティとはなにか？関連キーワードと実装は？
 アイデンティティ管理の基礎Ⅱ
 ID連携（フェデレーション）が必要な理由は？APIアクセスの場合は？
 Azure Active ...

アイデンティティ
管理の基礎Ⅰ
4

アイデンティティとは
“ID”から連想するよくある間違い
識別子（Identifier）
番号
ログインID
“ID”=“アイデンティティ”
実体（Entity）に関連する属性の集合/ISO/IEC 24760
5

アイデンティティの構成要素
要素解説例
属性後天的に取得された主体に関わる情
報（後から変化する）
名前、電話番号、社員番号、
メールアドレス、認証状態、
位置情報
好み主体の嗜好に関わる情報甘いものが好き
形質主体の先天的な特有の...

アイデンティティの構成要素：3A
7
構成要素意味
認証（Authentication）ユーザの正当性を検証すること
（ユーザがデジタル・アイデンティティを利用する
権利があることを検証する）
認可（Authorization）認証された...

実装と管理
 実装手段
 認証：パスワード、証明書、OTP、リスクベース
 認可：リソース（フォルダ等）へのアクセス権付与
 属性：ユーザ DB の整備（AD、DBMSなど）
 分散システムにおける管理手段
 アカウント管理（プロビ...

実装例：アカウント管理
（プロビジョニング）
9
ユーザ
利用
対象システム
ID管理システム人事DB
入社、異動、退社
などのイベントに
合わせて人事情報
を取込み
利用ポリシーに合
わせて各システム
へ ID を配布
各システム間のアイ
デ...

事前信頼指定
実装例：ID連携（フェデレーション）
10
認証サーバ
Identity Provider
/ IdP
アプリケーション
（Relying Party /
RP）
①アクセス
②認証状態チェック
③リダイレクト
④認証指示
⑤認証...

アイデンティティ
管理の基礎Ⅱ
11

ID連携（フェデレーション）をする理由
 認証システムの分散を防ぐ
 クレデンシャル（パスワード等）を保持する箇所を極小化する
 強度の高い認証システムで一括してアイデンティティ情報を保持・保
護する
 利便性を高める
 Cookie...

Identity is the next perimeter
13
FW
企業内ネットワーク（ドメイン）
企業内ネットワーク（ドメイン）
SaaS
アプリ
FW
悪い人
外出中
中の人
協業先
安全
安全安全

単純なシングルサインオン
14
認証サーバアプリケーションアプリケーション
パスワードの分散
システム毎に認証
アプリケーション
パスワードの一元管理
認証Cookieの共有に
よるSSO
分散管理状態（SSO不可）認証サーバの外だし、パス...

ドメイン境界
ID連携（フェデレーション）
15
認証サーバアプリケーション
パスワードの一元管理
認証Cookieの共有に
よるSSO
認証サーバの外だし、パスワードの一元管理、
ドメイン内で認証Cookieを共有してSSO
認証サーバア...

APIアクセス時の認証・認可
16
認証サーバアプリケーション
バックエンド
サービス
ユーザの代わりにアプ
リがサービスを利用
パスワードをアプリに
渡したくはない
必要以上にアプリがサー
ビスを使ってほしくない
認証サーバアプリケーショ...

Azure AD概要
17

Azure Active Directory構成概要
18

Azure ADの機能
 Identity Provider
 ディレクトリサービスとして : Users/Groups (sync with WSAD)
 プロトコル・サポート : SAML, ws-federation, OpenID...

Identity Provider
Application
SAML-SP
Application
ws-fed RP
Application
OpenID
Connect RP
Microsoft
Account
Azure AD
Accou...

Identity Provider
Application
SAML-SP
Application
ws-fed RP
Application
OpenID
Connect RP
Microsoft
Account
Azure AD
Accou...

Authorization Server
OAuth2.0
AuthZ/Token
EndPoint
OAuth2.0
Client
WebAPI
Registry
Register as a protected resource
(use m...

OAuth 2.0 AuthZ code flow
23

Protected Resource登録（Web API）
 Azure ADアプリとして登録
 Manifest登録
 パーミッションの登録
24

OAuth Clientの登録
25
 Azure ADアプリとして登録
 他のアプリ（Protected
Resource）へのアクセス許可

動作確認（認可コードの取得）
 OAuth認可エンドポイントへアクセス
 https://login.windows.net/{テナントID}
/oauth2/authorize?api-version=1.0
 パラメータ
 resp...

$アクセストークンの取得  OAuthトークンエンドポイントへアクセス  https://login.windows.net/{テナントID}/oauth2/token?api-version=1.0  パラメータ  grant_type...$

アクセストークン（JWT）の中身
（https://developers.google.com/wallet/digital/docs/jwtdecoder）
{
"upn": "admin@nfujie.onmicrosoft.com",
"...

Protected Resourceへのアクセス
 APIエンドポイントへアクセス
 http://localhost:52941/Api/Values
 ヘッダ
 Authorization : Bearer ｛取得したアクセストーク...

OpenID Connectサポート
 思想
 簡単なことは簡単に
 難しいことも可能に
 モジュラーデザイン
 実装
 OAuthのフローをベースに認証結果、属性（クレーム）のやり取りを行う
 id_tokenを利用（JSON ...

$id_token（JWT）  ヘッダ  署名アルゴリズム  クレーム  認証情報、人の属性  署名 31 { "x5t": "kriMPdmBvx68skT8-mPAB3BseeA", "alg": "RS256", "typ": "...$

$サポート・パラメータ 32 { "issuer":"https://sts.windows.net/b9a84eb8-a888-4f41-bb75-43447e36486a/", "authorization_endpoint":"https:...$

ちょっとイレギュラー？
response_mode = form_post
<html>
<head>
<title>Working...</title>
</head>
<body>
<form method="POST" name="hid...

OpenID Connect（OWIN）
34

$OWIN OpenIdConnect Middleware app.UseOpenIdConnectAuthentication( new OpenIdConnectAuthenticationOptions { Client_Id = "be...$

OpenIdConnectAuthenticationNotifications
以下のイベントに応じて処理を記述
※今のところPOSTにしか反応しない。response_mode=form_postがデフォルトの理由？
（Fragmentの時...

AccessCodeRecieved:code->token
Notifications = new OpenIdConnectAuthenticationNotifications()
{
AccessCodeReceived = (cont...

ID連携プロトコル
SAML2.0の例
40
AD FSを使ってAzure ADとID連携をする場合は
ws-federationを使いますが、流れは似ている
ので、3rdパーティIdPを使う場合にサポートさ
れているSAML2.0の例を解説し...

ID連携の流れ
41
サービスへアクセス
認証要求を ID プロバイダへリダイレクト
認証
Service
ユーザ認証
トークン発行
ACS
トークンを POST
トークンの
生成と署名
トークン署名
の検証
サービスへリダイレクト
サービス...

SAML
アーキテクチャ
 SAML オーソリティの構造と AD FS
42
認証
ｵｰｿﾘﾃｨ
認証
ｱｻｰｼｮﾝ
属性
ｵｰｿﾘﾃｨ
属性
ｱｻｰｼｮﾝ
ﾎﾟﾘｼｰ決
定ﾎﾟｲﾝﾄ
認可決定
ｱｻｰｼｮﾝ
ﾎﾟﾘｼｰ実
施ﾎﾟｲﾝﾄ
SA...

SAML 2.0 の構成要素
構成要素解説
トークン（アサー
ション）
IdP が発行するトークンでありアイデンティティ情報が
記載されたもの
プロトコルアサーションを要求・返答するための方法
バインディングプロトコルを通信に乗せる方法（...

SAML トークン構造（※SAML2.0。1.1でも似たようなもの）
 発行者（Issuer）
 誰が、いつ発行したトークンなのか
 識別子（Subject）
 何（誰）に関するトークンなのか
 受信者（AudienceRestric...

SAML トークン構造
 発行者（Issuer）
45
<saml:Issuer>
https://myadfs.example.local/adfs/services/trust
</saml:Issuer>
フェデレーションにおける事前信...

SAML トークン構造
 識別子（Subject）
46
<saml:Subject>
<saml:NameID>
hoge@mygapps.com
</saml:NameID>
</saml:Subject>
フェデレーションにおけるアイデ...

SAML トークン構造
 受信者（AudienceRestriction）
47
<saml:AudienceRestriction>
<saml:Audience>google.com/a/mydomain</saml:Audience>
...

SAML トークン構造
 認証ｱｻｰｼｮﾝ（AuthNStatement）
48
<saml:AuthnStatement AuthnInstant="2012-09-22T00:00:00.000Z">
<saml:AuthnContext...

SAML トークン構造
 属性ｱｻｰｼｮﾝ（AttributeStatement）
49
<saml:AttributeStatement>
<saml:Attribute Name="organization_id">
<saml:Attr...

SAML トークン構造
 認可決定ｱｻｰｼｮﾝ（AuthzDecisionStatement）
50
<saml:AuthzDecisionStatement
Resource="http://www.example.com/secret.h...

SAML トークン構造
 デジタル署名
51
<ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
……（デジタル署名に関する情報）……
</ds:Signature>
フェ...

アカウント管理
⇒FIM Sync
52
ディレクトリ同期ツール（DirSync）はFIMの限
定版なので構造はFIM Syncと同じです。

ディレクトリ同期とFIM
 ディレクトリ同期（DirSync）＝FIMからSynchronization Serviceを切り出して
AD、AADとの接続設定をプリセットしたもの
 既存のmiisclientを実は使える
 新バージョン（...

関連用語
54
用語解説
Metaverse FIM Sync Service の中央レポジトリ
Connector Space（CS）各 ID Store 用のステージング領域
Management Agent
（MA）
各 CS のデー...

コア・アーキテクチャ
55
MetaverseMAID Store CS
CS
CS
CS
MA
MA
MA ID
Store
各ID Store用
のデータ
中央データ
ストア
同期インポート
各ID Store用
の接続Agent エクス...

ID連携の世界
クレームマッピング
ルール
認証ユーザとプロファイルのマッピング
ID プロバイダ SAML トークン
56
プロファイル
プロファイル
マッピングルールプロファイル
同期元
ディレクトリ同期の世界
認証されたユーザと
プロファ...

アカウント管理
⇒Graph API
57

Graph とは？
 ソーシャルグラフ
 Thoughts on the Social Graph / Brad Fitzpatrick(ex-Six-Apart /
2007)
 http://bradfitz.com/social-g...

Graph
Tony Company1
website1Zakk
likeFriend
Employee
Employer
manage
ノード
エッジ
59

Graph API とは？
 Graph を操作するための API
 Facebook や Azure Active Directory がサポート
 RESTベース
 ノードの作成・検索やエッジの作成・検索などが可能
 例）Tony...

何が良いのか？
 RESTベースなので簡単に実装できる⇒開発コストが安い
 SCIM はもっと標準化が進んでいるが。。（プロトコルとスキーマの標準化）
 Azure Active Directory の Graph API は Odata...

Graphによるつながりの表現
 Multi dimensional protocol の必要性
 クラウドでは人、アプリケーションなどのオブジェクトが中央のディレクトリを
通じて連携しない
 関係性を柔軟に表現できる必要がある
 方向...

ゆるく分散管理されたアイデンティティ
Private
Business
Company
Social
APL
Customer’s
Systems
Corporate
Systems
BYOIの許容
会社間での
協業
■自レポジトリ上の属性
-...

Azure AD が Graph API を採用した理由
 Kim Cameron の blog（http://www.identityblog.com/?p=1222）
 It is because of the central impo...

Azure AD が Graph API を採用した理由
65

ユーザの作成
設定値
エンドポイント https://graph.windows.net/{テナント名}/Users
メソッド POST
ヘッダ
Authorization 取得したアクセストークン
x-ms-dirapi-
data-con...

属性の更新
設定値
エンドポイント
https://graph.windows.net/advent2012.onmicrosoft.com/Users(‘＜対象ユーザ
名＞@＜テナントドメイン＞.onmicrosoft.com’)
メソッド...

ライセンスの割り当て
設定値
エンドポイント
https://directory.windows.net/＜取得したテナントドメイン
＞.onmicrosoft.com/Users('＜割り当てるユーザID＞@＜取得したテナントドメイン
＞....

他にも
 ユーザの削除
 グループ・連絡先などのオブジェクトの管理
 スキーマの拡張（Preview）
69

まとめ
70

まとめ
 ID連携は大事（特にクラウド環境では）
 パスワード分散のリスクを低減、利便性の向上
 Azure ADではID連携、アカウント管理に標準プロトコルを使っている
 AD FS/ディレクトリ同期以外の選択肢もある
 設定によっ...