1. 2011.06.03 NaohiroFujie Microsoft MVP for Identity Lifecycle Manager twitter : @phr_eidentity Blog IdM実験室 : http://idmlab.eidentity.jp マイクロソフト の アイデンティティ 関連技術概要 1

2. これまで学術的なイメージが強く、エンタープライズ分野では登場の機会が少なかったアイデンティティ・フェデレーションやプライバシへの取組みに関連する 技術がクラウドの台頭を一つのきっかけとして身近なものとなってきています。 マイクロソフトも既にエンタープライズに広く浸透しているActive Directoryを中心としてそれらの技術を展開してきており、本資料ではその概要を知っていただくことを目的としています。 はじめに 2

3. 根底に流れるもの Vision, Principle / The Laws of Identity Architecture / Identity Metasystem Solutions, Products ユースケース 社内ユーザが社外サービスを利用する コンシューマ向けサービスを広く利用してもらう 高信頼性への取り組み Contents 3

4. 根底に流れるもの 4

5. Vision, Principle / The Laws of Identity http://www.identityblog.com/wp-content/images/2009/06/7_Laws.htm 5

6. Vision, Principle / The Laws of Identity 6

7. 相互運用を行うためのアーキテクチャ Architecture / Identity Metasystem http://www.identityblog.com/stories/2005/07/05/IdentityMetasystem.htm 7

8. Security Token Service ( STS ) セキュリティ・トークン を処理（発行／変換） On-Premise AD FS 2.0 ( Active Directory Federation Service 2.0 ) Online / Cloud ACS v2 (Windows Azure Platform AppFabric Access Control Service v2 ) MFG (Microsoft Federation Gateway ) Identity Provider / Claim Provider 8

9. SAML 2.0 / ws-federation等のFederation Protocol対応 AuthN Authorityとして Active Directory を利用 Attribute Authority として Active Directory / SQL Server / LDAP を利用可能 AD FS 2.0 9 AD DS AuthN Token要求 認証 オーソリティ システム エンティティ Claim取得 AD DS SQL LDAP ユーザ Webサーバ等 STS AD FS 2.0 Security Token 属性 オーソリティ

10. ws-federation/ OAuth 2.0 / OpenID等のFederation Protocol対応 各種 Identity Provider から発行されたトークンを変換 ACS v2 10 Token要求 Token要求 システム エンティティ 各種オンライン IdP ユーザ Webサーバ等 STS ACS v2 オンプレミス IdP ( AD FS 2.0 ) Security Token Security Token カスタム IdP ( OpenID )

11. Microsoft Online Service 用の Federation Gateway On-Premise の AD FS 2.0 との Federation 用 MFG 11 Microsoft Identity Platform Federation Federation Gateway AD FS 2.0 AuthN Platform 同期 AD DS Directory Store

12. AD FS 2.0 SAML 2.0 / IDP Lite, SP Lite, eGov 1.5 Windows Live vNext/ IIW#12 OAuth 2.0 Interoperability 12

13. Windows Identity Foundation ws-federation / ws-trust 対応の token ハンドリング ライブラリ 各種Extension( 現状 Community Technology Preview ) Extension for SAML 2.0 protocols Extension for OAuth Extension for U-Prove Relying Party Library 13

14. Windows Identity Foundation 14 ASP.NET Web アプリケーション 各種 STS AD FS 2.0 ACS v2 ASP.NET クレーム取出し クレーム評価 トークン Windows Identity Foundation 各種処理 .NET Framework 4 ブラウザ

16. より少ない情報の提供で高い信頼性を得る-> セキュリティ と プライバシの両立

17. ユースケース 16

18. 社内にある Active Directory で管理しているユーザでクラウド・サービスを利用する IdP: AD FS 2.0 メール : Google Apps / GMail 情報共有 : Office365 / SharePoint チームサイト SFA : salesforce.com CRM 17 社内ユーザが社外サービスを利用する メール、カレンダー Federation 情報共有 SAML 2.0 ws-federation AD DS AD FS 2.0 SFA

19. PCにログオンし、メールチェックを行う 取引の状況を確認する チームサイトでファイルを共有する 18 シナリオ

20. PCにログオンし、メールをチェックする ブラウザを起動し、GMailサイトへアクセス 19 ① AD FS 2.0 へリダイレクト、認証に成功するとToken が発行される ※Windows 統合認証 環境では認証画面は出ない ② Google Apps へ Token が POSTされログイン できる

21. 取引の状況を確認する そのままブラウザで salesforce.com へアクセスする 20 ※ salesforce.com は SAML IdP Initiated POST binding なので先に AD FS 2.0 で Token 発行が必要（ブラウザショートカットの工夫で対応可能）

22. チームサイトでファイルを共有する そのままブラウザで Office 365 へアクセスする 21 ① Office 365 へのサインイン画面で社内のドメイン名を入力するとサインイン先（ AD FS 2.0 ）へのリンクが表示される ② AD FS 2.0 にリダイレクトされると既に認証されているのでそのまま Token が発行されて Office 365 へ POSTされログオンできる

23. 他社オンラインIDでサービスを利用してもらう アプリケーション（ .NET / WIF on Windows Azure ) IdP: Facebook、Google、Yahoo! Japan 22 コンシューマ向けサービスを広く利用してもらう Federation Federation SAML 2.0 OpenID OAuth ACS v2 .NET / WIF アプリケーション ログイン 利用 認証 アイデンティティ情報提供

24. Facebookの アイデンティティ情報を利用してサービスを提供する Google の アイデンティティ情報を利用してサービスを提供する Yahoo! Japan のアイデンティティ情報を利用してサービスを提供する 23 シナリオ

25. Facebook へログインしてアプリケーションを利用 24 ① .NET アプリケーションにアクセスすると ACS v2のホームレルムディスカバリ（利用する IdP選択）画面へリダイレクトされる ② Facebook を選択する ③ Facebook のログイン画面へリダイレクトされるのでログインする

26. 25 ④ Facebook の情報へのアクセスを許可 ⑤ アプリケーションへ情報が渡される

27. Google へログインしてアプリケーションを利用 26 ① .NET アプリケーションにアクセスすると ACS v2のホームレルムディスカバリ（利用する IdP選択）画面へリダイレクトされる ② Google を選択する ③ Google アカウントのログイン画面へリダイレクトされるのでログインする

28. 27 ④ Google アカウントの情報へのアクセスを許可 ⑤ アプリケーションへ情報が渡される

29. Yahoo! Japan へログインしてアプリケーションを利用 28 ① .NET アプリケーションにアクセスすると ACS v2の ホームレルムディスカバリ（利用する IdP選択）画面へ リダイレクトされる ② Yahoo Japan OpenIDを選択する（カスタム設定が必要） ③ Yahoo! Japan のログイン画面へリダイレクトされるのでログインする

30. 29 ④ Yahoo! Japanアカウントの情報へのアクセスを許可 ⑤ アプリケーションへ情報が渡される

31. より少ないアイデンティティ情報だけで高い信頼を得るための取組み（ U-Prove 暗号化技術 ） アプリケーション（ .NET / WIF Extension for U-Prove ) Token の正当性の確認（ U-Prove Agent ) Claim Provider ( U-Prove Token Issuer ) 30 高信頼性への取組み U-Prove Token Proof Token U-Prove Agent .NET / WIFExtension アプリケーション Claim Provider ログイン 確認 利用

32. 失業手当を申請する オンライン・オークションで車を売る 31 シナリオ

33. 確かな身元情報を確認する 失業手当を申請する 32 ① 申請サイトにアクセスする ② 身元保証を行うサイトを選択する（必要な情報を提供可能なサイトから選択する）

34. 33 ③ 情報提供元サイトへログオンする 確認済み マーク ⑤ 確認済み情報として情報が提供される ④ 提供される情報を確認する

35. オークション詐欺を防止するために身元を保証する オンライン オークションで車を売る 34 ① サイトにアクセスする ② 身元保証サイトへアクセスする（手動で情報を入力する場合はより詳細な情報が必要となる）

36. 35 ③ 身元保証を行うサイトを選択する（必要な情報を提供可能なサイトから選択する） ④ 情報提供元サイトへログオンする ⑤ 提供される情報を確認する

37. 36 ⑥ 確認済み情報として情報が提供される

38. エンタープライズの社内インフラのイメージが大きかったマイクロソフトのアイデンティティ関連技術ですが、標準技術への対応により各種サービスとの連携が出来るようになってきています コンシューマ向けオンラインサービスや高い信頼性が要求される電子商取引などに対応する取組みも進んできています まとめ 37

39. Kim Cameron氏 blog http://www.identityblog.com/ 日本マイクロソフト エバンジェリスト 安納氏 blog http://blogs.technet.com/b/junichia/ @IT記事：Windows で構築する、クラウド・サービスと社内システムの SSO 環境（以前書いた記事） http://www.atmarkit.co.jp/fwin2k/operation/adsf2sso01/adsf2sso01_01.html 私のblog：IdM実験室 http://idmlab.eidentity.jp/ 参考情報 38

40. 4/21 インプレスR&Dより「クラウド環境におけるアイデンティティ管理ガイドライン」が出てます。（日本ネットワークセキュリティ協会 アイデンティティ管理WG著） 39 ちょこっと宣伝 https://store.libura-pro.com/purchase/index/id/1j05hhywem8h/pageNo/1