B2C の世界では ID 連携 (Federation) プロトコルの標準となっている OpenID Connect ですが、Azure AD でもこのプロトコルを利用できること、ご存知でしょうか? このセッションでは、XML より JSON が好きというみなさんに向けて、Azure AD との OpenID Connect による ID 連携の実装方法を紹介します。 この機会に、モダンな ID 連携方式を学びましょう! 受講対象: Azure Active Directory や OpenID Connect に興味のある開発者およびアーキテクト 製品/テクノロジ: アーキテクチャ/アイデンティティ (AD/Azure AD) 真武 信和 YAuth.jp LLC/OpenID Foundation Japan YAuth.jp LLC CEO, OpenID Foundation Japan Executive Director

1. Azure AD と Ruby で学ぶ
OpenID Connect !
#decode17 #openid
Nov Matake
YAuth.jp / OpenID Foundation Japan

5. ID連携
SSO
ソーシャルログイン
認証連携

6. SSO?

7. On-premise
NG
AD / LDAP
(1)ID & Password
(2) ID & Password
(3) OK
(4) Welcome

8. On-premise
NG
AD / LDAP
(1)ID & Password
(2) ID & Password
(3) OK
(4) Welcome
同じ ID & Password でログイン可能

9. On-premise
NG
AD / LDAP
(5) サービス用チケット
(2) Ticket Granting Ticket (TGT)
(4) サービス用チケット
(1) ID & Pass
(3) Ticket Granting Ticket (TGT)
(6) Welcome

10. On-premise
NG
AD / LDAP
(5) サービス用チケット
(2) Ticket Granting Ticket (TGT)
(4) サービス用チケット
(1) ID & Pass
(3) Ticket Granting Ticket (TGT)
(6) Welcome
同じ ID & Password でログイン可能
OS にログインすればいいだけ

11. On-premise
Cloud / SaaS
(1) ログイン
要求
(2) ID Provider
にリダイレクト
(3) 認証結果返却
(5) Welcome
(4) プロフィール
情報取得

12. On-premise
Cloud / SaaS
(1)ログイン
要求 (2) ID Provider
にリダイレクト
(3) 認証結果返却
(5) Welcome
(4) プロフィール
情報取得

13. On-premise
Cloud / SaaS
(1)ログイン
要求 (2) ID Provider
にリダイレクト
(3) 認証結果返却
(5) Welcome
(4) プロフィール
情報取得
同じ ID & Password でログイン可能
Azure AD にログインすればいいだけ
Firewall の外側でも利用可能

14. Federation

15. Federation って要するに、何をするの？
認証連携
Identity Provider (IdP) が End-User を認証した結果をRelying Party (RP) が受け取り、
それを受けて RP が End-User を認証する。
ログインページは1箇所で、複数のサービスにログインできる。
属性連携
IdP が持つ End-User に関する属性を (End-User / 企業管理者の同意のもと) RP に提
供する。

16. なぜ Federation？
1つのパスワード
サービス毎に異なるパスワード, 異なるタイミングでの定期更新 etc.
ユーザーへの負担でしかない。
ユーザビリティーのための Federation / SSO。
防御箇所を最小化しないと攻撃者には勝てない
攻撃側のセオリーは、複数のインターフェースの中の最弱箇所を一点集中。
防御側のセオリーは、インターフェースを最小化して防御箇所を一点集中。
結局は、コストを効率的に重要地点にかけられる方が勝つ。
セキュリティーのための Federation / SSO。

17. SAML 2.0
v.s.
OpenID Connect

18. SAML 2.0
エンタープライズ分野では主流
あらゆる IDaaS は Primary Federation Protocol として SAML をサポート。
多くの主要 SaaS アプリも SAML 対応。
でも “SAML is DEAD”…？
XML ベースのプロトコルの時代は終わった。純粋に複雑。
過去に SAML を実装したことある人のみが、これから SAML を実装できる。
SAML を実装したことが無い人が、いまから学習・実装するメリットはあまり無い。

19. OpenID Connect
コンシューマ分野では主流
SAML と同等のことを、JSON ベースで可能にしたプロトコル。
コンシューマ分野での ID 連携では、もはや SAML など使わない。
OAuth 2.0 ベース
OAuth 2.0 に少しパラメータを追加すれば使える。
ID 連携と同時に API 連携も可能。

20. Azure AD は両方サポート。

21. SAML をサポートしてる SaaS には SAML を。
SAML 実装が難しいオンプレサービス等は
OpenID Connect を使えば良いのでは？

22. DEMO : Graph Explorer へのログイン

23. End-User Graph Explorer (RP) Azure AD (IdP) Graph API
Init

24. Init
Redirect
End-User Graph Explorer (RP) Azure AD (IdP) Graph API

25. Redirect
Authenticate
End-User Graph Explorer (RP) Azure AD (IdP) Graph API
Init

26. Init
Redirect
Authenticate
Consent
End-User Graph Explorer (RP) Azure AD (IdP) Graph API

27. Init
Redirect
Authenticate
Consent
Redirect
End-User Graph Explorer (RP) Azure AD (IdP) Graph API

28. Init
Redirect
Authenticate
Consent
Redirect
Get Tokens
End-User Graph Explorer (RP) Azure AD (IdP) Graph API

29. Init
Redirect
Authenticate
Consent
Redirect
Get Tokens
Get Profile Data
End-User Graph Explorer (RP) Azure AD (IdP) Graph API

30. Init
Redirect
Authenticate
Consent
Redirect
Get Tokens
Welcome @nov
Get Profile Data
End-User Graph Explorer (RP) Azure AD (IdP) Graph API

31. Init
Redirect
Authenticate
Consent
Redirect
Get Tokens
Welcome @nov
Get Profile Data
End-User Graph Explorer (RP) Azure AD (IdP) Graph API
今日の目標 : RP を実装できるようになる。

32. Init
Redirect
Authenticate
Consent
Redirect
Get Tokens
Welcome @nov
Get Profile Data
End-User Graph Explorer (RP) Azure AD (IdP) Graph API
Azure AD におまかせ。

33. 認証リクエストの送信方法
認証レスポンスの受信方法
ID Token (後述) の取得方法
属性情報の取得方法
4 つの Step を覚えれば OpenID Connect を使って
Azure AD アカウントでログインする RP を実装可能

34. OpenID Connect RP を実装してみよう。

35. 事前準備 1. Azure AD テナント作成
https://portal.azure.com/

36. 事前準備 2. Application Registration Portal でアプリ登録
https://apps.dev.microsoft.com/

37. 事前準備 3. OpenID Connect IdP Config 取得
https://login.microsoftonline.com/TENANT-DOMAIN/v2.0/.well-known/openid-configuration
※ “TENANT-DOMAIN” は適宜書き換え (ex. “yauth.jp")

42. Step 1. Authorization Request 送信

43. Init
Redirect
End-User Graph Explorer (RP) Azure AD (IdP) Graph API

46. Redirect
Authenticate
End-User Graph Explorer (RP) Azure AD (IdP) Graph API
Init

47. Init
Redirect
Authenticate
Consent
End-User Graph Explorer (RP) Azure AD (IdP) Graph API

48. Step 2. Authorization Response 受信

49. Init
Redirect
Authenticate
Consent
Redirect
End-User Graph Explorer (RP) Azure AD (IdP) Graph API

52. Step 3. ID Token (& Access Token) 取得

53. Init
Redirect
Authenticate
Consent
Redirect
Get Tokens
End-User Graph Explorer (RP) Azure AD (IdP) Graph API

57. ID Token

58. Header
Payload
Signature
Header & Payload は Base64-encoded JSON

60. “iss” が IdP の識別子
“sub” が End-User の識別子
“iss” と “sub” の値を用いて RP 側のユーザーを認証

61. Step 4. 属性情報取得
(登録時など、ID Token に含まれていない追加の属性情報が必要な場合)

62. Init
Redirect
Authenticate
Consent
Redirect
Get Tokens
Get Profile Data
End-User Graph Explorer (RP) Azure AD (IdP) Graph API

63. Access Token を使って Profile API にアクセス

64. Access Token を使って Profile API にアクセス

66. 一連の Ruby コード (debug コード含めても全66行)
https://gist.github.com/nov/46c347447ef723d213e1fda991dea56c

67. Ruby なら OpenID Connect RP 作れそう、な気がする？

69. https://openid.net/developers/libraries/
https://oauth.net/code/
https://jwt.io

70. セッションアンケートにご協力ください
➢ 専用アプリからご回答いただけます。
decode 2017
➢ スケジュールビルダーで受講セッションを
登録後、アンケート画面からご回答ください。
➢ アンケートの回答時間はたったの 15 秒です!

71. Ask the Speaker のご案内
本セッションの詳細は『Ask the Speaker Room』各コーナーカウンタ
にてご説明させていただきます。是非、お立ち寄りください。
■Ask the Speaker Room

72. © 2017 Microsoft Corporation. All rights reserved.
本情報の内容（添付文書、リンク先などを含む）は、作成日時点でのものであり、予告なく変更される場合があります。

73. https://slideshare.net/matake
https://github.com/nov
https://twitter.com/nov

74. APPENDIX 1. 既存アプリとの連携解除
https://myapps.microsoft.com