SCIM and OpenID Connect Intro

SCIM と OpenID Connect の概要

2012年10月18日

工藤達雄
株式会社野村総合研究所
IT基盤インテグレーション事業本部
DIソリューション事業部

SCIMとOpenID Connect
利用企業A社
ID管理システム SCIM APIに従い、 SaaS A社
社内のサービスAの
人事情報ユーザー追加・ユーザー追加・
システム変更・削除変更・削除ユーザー・
プロビジョニングAPI
プロビプロビジョニン（SCIM Server)
ジョニンググ機能（SCIM
システム Client) OpenID
Connectで認エンドユーザー向けWeb
証結果・属性
アプリケーション
社内の情報要求
ユーザー追加・
（OpenID Connect RP）
管理者変更・削除
SSO / ID連携API
アクセス（OpenID
管理 Connect IdP)
システム SCIM APIに従い、
サービスBの SaaS B社
ユーザー追加・
変更・削除
社内IDでサービスAのユーザー・
ログイン利用プロビジョニングAPI
（SCIM Server)
OpenID Connectで
ID管理結果・属性情
報要求
サービスBのエンドユーザー向けWeb
エンドユーザー利用アプリケーション
（OpenID Connect RP）

Copyright © 2012 Nomura Research Institute, Ltd. All Rights Reserved.

これまでのアイデンティティ・プロビジョニングAPIの標準化動向
SPML (Service Provisioning 一方、「クラウド・サービス」の
Markup Language) 仕様
多くがユーザー・プロビジョニン
OASIS プロビジョニング・サービ
ス技術委員会(PSTC) が策定しグAPIを提供しているが、標準
た、 XMLによってサービス・プロ的な仕様が存在しない
ビジョニング情報を交換するため
のフレームワーク 「クラウド・サービス」ごとにAPIが
▪ 2001年のPSTC発足後、2003年まちまちであり、互換性がない
にバージョン1.0を、2006年にバー
ジョン2.0をOASIS標準として承認 そのためユーザー企業が自社ID
しかし、仕様の複雑さや、対応す管理システムからプロビジョニン
る製品・サービスが少ないことかグを行うためには、たとえばユー
ら、普及していないザの追加・削除といった単純な操
▪ SPML 2.0の確定以降、PSTCは作であっても、クラウド・サービス
実質的に活動を停止し、2012年8
月に閉会ごとに異なるAPIに対応しなくて
はならない
Copyright © 2012 Nomura Research Institute, Ltd. All Rights Reserved. 3

SCIM (System for Cross-domain Identity Management)
http://www.simplecloud.info/

アイデンティティ管理のための「スキーマ」と「プロトコル」を定義
スキーマ
▪ ユーザーやグループなどのJSON/XML表現
▪ 要件に応じて拡張可能
プロトコル
▪ RESTful API
▪ CRUD (生成/参照/更新/削除)、検索、ディスカバリ、一括処理

SaaS A社
JSON/XML SCIM Service Provider
利用企業A社
（RESTful API)

プロビ SCIM
ジョニング Consumer SaaS B社
システム JSON/XML SCIM Service Provider
（RESTful API)


例: ユーザー生成リクエスト
/Users POST /Users HTTP/1.1
エンドポイント Host: example.com
にPOST
Accept: application/json
Content-Type: application/json
JSON形式 JSON形式
Authorization: Bearer h480djs93hd8
のレスポンスにてユーザー
を要求 Content-Length: ...
情報を送信
{
"schemas":["urn:scim:schemas:core:1.0"], API認可情報
"userName":"bjensen",
"externalId":"bjensen",
"name":{
ユーザー情報 "formatted":"Ms. Barbara J Jensen III",
"familyName":"Jensen",
"givenName":"Barbara“
}
}

SCIM SCIM Service Provider
Consumer リクエスト
（RESTful API)

例: ユーザー生成レスポンス
ステータス HTTP/1.1 201 Created
コード 201 Content-Type: application/json
Location: https://example.com/v1/Users/2819c223-7f76-453a-919d-413861904646
このユーザー ETag: W/"e180ee84f0671b1"
情報のURL
{
"schemas":["urn:scim:schemas:core:1.0"],
"id":"2819c223-7f76-453a-919d-413861904646",
"externalId":"bjensen",
"meta":{
"created":"2011-08-01T21:32:44.882Z",
"lastModified":"2011-08-01T21:32:44.882Z",
"location":"https://example.com/v1/Users/2819c223-7f76-453a-919d-
生成された 413861904646",
ユーザー "version":"W¥/¥"e180ee84f0671b1¥""
情報の表現 },
"name":{
"formatted":"Ms. Barbara J Jensen III",
"familyName":"Jensen",
"givenName":"Barbara"
},
"userName":"bjensen"
}

SCIM SCIM Service Provider
Consumer レスポンス
（RESTful API)

Core Schema
ユーザー/グループを表現する最小限のスキーマと、スキー
マの拡張モデルを定義
スキーマ
既存のクラウドサービス事業者のAPI、Portable Contacts、LDAPな
どを参考に定義
▪ ユーザー、エンタープライズ・ユーザー、グループ、サービス・プロバイダの設定
情報、リソース
JSONおよびXMLへのバインディングを規定
▪ スキーマを表現できない場合 (JSON) を考慮し、schemas属性を定義
スキーマ拡張モデル
LDAPのObjectClassの考え方を援用
しかしLDAPと異なり、スキーマの継承はない

SCIM Protocol
アプリケーション・レベルのAPIを定義
HTTPメソッドを利用
GET: リソース取得（全体/部分）
POST: 新規リソース生成
PUT: リソースの変更（指定した内容で置き換え）
PATCH: リソースの変更（部分更新）、パスワード変更
DELETE: リソース削除
Well knownなエンドポイントを定義
/Users, /Groups, /ServiceProviderConfigs, /Schemas, /Bulk
API認可はOAuth 2.0を推奨


これまでの流れ
 2010年7月
 Cloud Identity Summitのアンカンファレンスの「Cloud LDAP」セッションを契機に、UnboundID、Salesforce.com、Google、
Ping Identityのキーパーソンが同名プロジェクト(のちに「Cloud Directory」に変更)を立ち上げ
 2010年11月
 IIW (Internet Identity Workshop) 11 にて、上記のメンバーおよびMicrosoft他によるF2Fを開催
 2011年4月
 名称をSCIMに変更し、草案を一般に公開
 2011年5月
 IIW 12 にて議論
 UnboundID, Salesforce.com, Cisco, Ping IdentityがOWF Contributor Agreementに署名
 2011年12月
 バージョン1.0仕様をリリース
 2012年3月
 BoF at IETF 83
 2012年6月
 WG chartered
 2012年7月
 バージョン1.1 仕様をリリース
 第一回WG会合 @ IETF84


SCIMのマイルストーン
年マイルストーン
2012 •6月: Initial adoption of SCIM use cases, as a living document
•6月: Initial adoption of SCIM core schema
•8月: Initial adoption of SCIM restful interface draft
•11月: Initial adoption of SCIM LDAP inetOrgPerson mapping draft
•12月: Snapshot version of SCIM use cases to IESG as Informational (possibly)
•12月: Proposal for client targeting of SCIM endpoints
2013 •2月: SCIM core schema to IESG as Proposed Standard
•5月: SCIM restful interface to IESG as Proposed Standard
•6月: SCIM LDAP inetOrgPerson mapping to IESG as Informational
•7月: Initial adoption of SCIM SAML bindings draft
•8月: Client targeting of SCIM endpoints to IESG as Proposed Standard
•9月: Snapshot update of SCIM use cases as Informational (possibly)
•11月: SCIM SAML bindings to IESG as Proposed Standard
2014 •1月: Work completed; discuss re-charter

Source: System for Cross-domain Identity Management (scim) – Charter
https://datatracker.ietf.org/wg/scim/charter/


OpenID Connectとは
http://openid.net/connect

OpenIDの次期バージョン
OAuth 2.0 仕様をベースに拡張
「シンプルな認証結果と属性情報の取得」 (後述) の範囲であれば、
一般的なOAuth 2.0認可 + API アクセスのフローとほぼ同様
メッセージ形式にJSONを採用
加えてJWT (JSON Web Token) を活用することにより、
署名と暗号化をサポート
仕様のモジュラー化
かんたんなことをシンプルにする一方、複雑なことも実現可能に


OpenID Connectの系図

Source: http://civics.com/openid-connect-webinar/


OpenID Connectのフロー（概要）
7.（オプション）:
ユーザー属性
7 8. （オプショ OpenID
クレームクレーム
ソース
提供要求
ン）: ユーザー
プロバイダ 8 属性提供リライング・
5. ユーザー属性パーティ
提供要求
5 6 . ユーザー（RP）
属性提供
OpenID ユーザー UserInfo
6
クライアント
プロバイダ情報
エンドポイント

2. トークン 2
（クレーム）取得要求
（ブラウザの 4
リダイレクト） 4. アクセス・
トークンとID
エンドユーザートークンを返却
認可（ブラウザの
エンドポイント
リダイレクト）
認可
サーバー
1. サービスに 9 . サービス
アクセス提供
1 9

3

3. ユーザー
認証・認可


OpenID Connectによる認証結果の要求・取得の例 (*)

1. WebブラウザからRPの「ログイン」ボタンをクリック
OpenID トークン
OpenID
プロバイダ認可エンドポイントリライング・
サーバークライアントパーティ
認可
エンドポイント（RP）
example.comの
IDでログイン!

<a href="https://server.example.com/authorize?grant
_type=code&scope=openid&client_id=3214244&state=af1
Ef">example.comのIDでログイン!</a>

(*) 本ページ以降の例示は http://www.thread-
safe.com/2012/07/how-simple-is-openid-connect-
basic.html を元に作図

OpenID Connectによる認証結果の要求・取得の例

2. WebブラウザがOPに認可リクエストを送信
OpenID トークン
OpenID
(OP) サーバークライアントパーティ
認可

GET /authorize?grant_type=code&scope=openid&client_
id=3214244&state=af1Ef HTTP/1.1
Host: server.example.com



3. OPがユーザーを認証
OpenID トークン
OpenID
認可

何らかの方法でユーザーを
認証
例: ID/パスワード、OTP、
クッキー、…



4. OPがWebブラウザをRPにリダイレクト
OpenID トークン
OpenID
認可

Location: https://client.example.com/cb?code=8rFowi
dZfjt&state=af1Ef

OPがcodeを
返却



4. WebブラウザがRPに、OPから受け取ったcodeを送信
OpenID トークン
OpenID
認可

GET /cb?code=8rFowidZfjt&state=af1Ef HTTP/1.1
Host: client.example.com

Webブラウザ
経由でRPに
codeが渡る



5. RPがOPにcodeを送信し、id_tokenをリクエスト
OpenID トークン
OpenID
認可

GET /token?code=8rFowidZfjt HTTP/1.1
Host: server.example.com
Authorization: Basic …

codeを送信



6. OPがRPに、codeにひもづくid_token他を返却
OpenID トークン
OpenID
認可

{
"access_token": "SlAV32hkKG",
アクセス・ "token_type": "Bearer",
トークン (*) "refresh_token": "8xLOxBtZp8",
"expires_in": 3600,
"id_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.
eyJpc3MiOiJodHRwczovL3NlcnZlci5leGFtcGxlLmNvbSIsInVz
ZXJfaWQiOiIyNDgyODk3NjEwMDEiLCJhdWQiOiJodHRwOi
8vY2iwiZXhwIjoxxpZW50LmV4YW1wbGUuY29tIMzExMjgxOTcwfSA.
eDesUD0vzDH3T1G3liaTNOrfaeWYjuRCEPNXVtaazNQ"
id_token }

(*) UserInfoやその他のAPIアクセスに
使用。本例では省略


7. RPがid_tokenを復号し、OPが返却したuser_idを取得
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.
eyJpc3MiOiJodHRwczovL3NlcnZlci5leGFtcGxlLmNvbSIsInVz RPが受け取った
ZXJfaWQiOiIyNDgyODk3NjEwMDEiLCJhdWQiOiJodHRwOi id_tokenの値
8vY2iwiZXhwIjoxxpZW50LmV4YW1wbGUuY29tIMzExMjgxOTcwfSA.
eDesUD0vzDH3T1G3liaTNOrfaeWYjuRCEPNXVtaazNQ

<?php 認証結果
$res = json_decode($response, true); （ base64urlエンコードされた
$id_token = $res['id_token']; JWT Claims Set）
$id_array = mb_split(".", $id_token);
$id_body = base64url_decode($id_array[1]);
?>
RP側での復号処理
（例はPHPによる実装例。
ピリオド “.” で3分割し、2番目の
{ パートをbase64urlデコード）
"iss": "https://server.example.com",
"user_id": "248289761001", 認証結果
"aud": "3214244", （JWT Claims
"iat": 1311195570, Set）
"exp": 1311281970 user_idの値 =
} OPからRPに
払い出された
ユーザー識別子


8. RPがWebブラウザにコンテンツを返却
OpenID トークン
OpenID
認可

OPから払い出されたユーザーID: 248289761001 にひもづくユーザーが
すでに存在するか?
Yes → 「ようこそ、太郎さん!」
No → 「既存ユーザーとのひもづけ or 新規登録をお願いします」


OpenID Connectの今後のロードマップ

現在Implementer’s Draftが公開中
今後最終仕様に
OpenID Connectをサポートする製品・サービスベンダー
（予定含む）
Gluu、IBM、Layer7、Microsoft、野村総合研究所、Ping Identity、
Vordel、…
AOL、Google、日本経済新聞社、PayPal、楽天、Salesforce.com、
Yahoo! JAPAN、…


SCIM and OpenID Connect Intro

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Similar to SCIM and OpenID Connect Intro

Similar to SCIM and OpenID Connect Intro (20)

More from Tatsuo Kudo

More from Tatsuo Kudo (16)

SCIM and OpenID Connect Intro