アイデンティティ (ID) 技術の最新動向とこれから

アイデンティティ(ID)技術の最新動向とこれから
2018年3月23日
NRIセキュアテクノロジーズ株式会社
サイバーコンサルティング部
ID＆APIコンサルティングチーム
工藤達雄

Copyright © NRI SecureTechnologies, Ltd. All rights reserved. 1
 工藤達雄 https://www.linkedin.com/in/tatsuokudo
 サン・マイクロシステムズ (1998~2008)
 野村総合研究所 (2008~)
 OpenIDファウンデーション・ジャパン (2013~2014)
 NRIセキュアテクノロジーズ (2014~)
▪ 現在はデジタル・アイデンティティとAPIを専門とするコンサルティングに従事
自己紹介

Copyright © NRI SecureTechnologies, Ltd. All rights reserved.
アイデンティティ & アクセス管理 (IAM)をとりまく状況

ユーザー認証
エンドユーザー
APP
サービス
サービス提供
アクセス試行
ユーザー認証
アイデンティティ & アクセス管理 (IAM)の役割

アイデンティティ連携 / SSO
APP
サービスユーザー認証
サードパーティ
Webサイト
アクセス試行
認証依頼認証結果提供

API
サーバー
APIアクセス認可
APP
APIクライアント
（Webサイトなど）
サービス
アクセス試行
APIアクセス
許可要求
APIアクセス
許可
APIアクセス
Webサイト
ユーザー認証

API
サーバー
アイデンティティ・プロビジョニング
APP
サービス
Webサイト
エンドユーザー /
管理者
ユーザー情報
追加・変更・削除
ユーザー情報
同期

API
サーバー
アイデンティティ & アクセス管理 (IAM)
APP
サービス
アクセス試行
サービス提供
ユーザー認証
アクセス試行
APIアクセス
許可要求
APIアクセス
許可
APIアクセス
Webサイト
アクセス試行
管理者
ユーザー情報
ユーザー情報
同期

最近のIAMのユースケース
 「アイデンティティこそがペリメーター」
 ネットワークや端末ではなく、ユーザーのアイデンティティを起点に
アクセス制御を行うべきという考えかた
 “BeyondCorp”
 Google社は従業員向けシステムをすべてパブリックに配置し、ユー
ザーとデバイスのアイデンティティを用いてアクセスを制御
セキュリティ & IAM
Source:
Cloud Identity Summit 2012 TOI http://www.slideshare.net/tkudo/cis2012toi,
BeyondCorp: Beyond “fortress” security https://conferences.oreilly.com/security/sec-ny/public/schedule/detail/61327

 ユーザーからエッジゲートウェイ、サービスメッシュ、既存システムに至るまで、エンドツーエンドのアイデンティティが必要になる
マイクロサービスアーキテクチャ & IAM
従来の3層アーキテクチャこれからのマイクロサービスアーキテクチャ
• 既存システムの前段に、外部向けAPIの管理を行う層と、バックエンド接続のイ
ンテグレーション層を配置
• ユーザー（APIクライアント）によらず単一のAPIを提供
• 外部向けのAPI管理層とは別に、マイクロサービスがそれぞれ自前のAPIゲート
ウェイ（”side car”）を持つ → サービスメッシュ
• エッジゲートウェイが、APIクライアント（デスクトップ、モバイル、パートナー、…）
の特性に適したAPIセットを提供
Source: Microservices Solution Patterns https://medium.com/microservices-learning/microservices-solution-patterns-3a58526dbc9e

 ユーザーの設定や好みを、所有する・しない、あるいはクルマである・ないにかかわらず、移動手段に持ち込んでパーソナライズするこ
とが期待される。また一方で、クルマに対してアクセスする人・組織が多様になっていく
IoT & IAM
Source: Key Success Factors for Connected Vehicle, Ride-share and Multi-Modal Transportation Models
https://www.slideshare.net/covisint/key-success-factors-for-connected-vehicle-rideshare-and-multimodal-transportation-models

 ユーザーの同意に基づいて残高参照や取引機能をサードパーティに提供する「オープンAPI」への取り組みが広がっている
Fintech & IAM
Source:オープンＡＰＩのあり方に関する全銀協の検討状況 http://www.fsa.go.jp/singi/singi_kinyu/financial_system/siryou/20161028/02.pdf

IAMの進化・分化・融和

IAMに対する2種類の異なるニーズ
社内システムのIDを統一したい
Windowsログオンと連携してSSOしたい
組織・職掌に基づいて権限を付与したい
不要になったID・権限を無効化したい
OA機器や什器の手配と連携したい
…
数千万ユーザーを管理したい
新規登録者を増やしたい
いろいろなアクセス環境に対応したい
不正アクセスを検知・対応したい
サービス展開までの期間を短縮したい
…
EIAM
エンタープライズ
IAM
CIAM
コンシューマー
IAM

EIAM (エンタープライズIAM)
ユーザー情報/アクセス権限情報の散在はエンドユーザー/運用の双方にとって問題となる
システム
A
従業員A
従業員B
従業員C
ID パスワード
A user_a as09135#$
B 10341 FbPlkh2d
C tsato cliaKnGd
ID パスワード
B 10342 lkqg94sdc
C hsawa lkqg94sdc
ID パスワード
C user_c abcd1234
C rmiki iloveyou
システム
B
システム
C
ID パスワード氏名所属 …
user_a as09135#$ 佐藤太郎営業部 …
user_c abcd1234 三木良経理部 …
… … … … …
ID パスワード氏名ロール …
10341 FbPlkh2d 佐藤太郎 Sales …
10342 lkqg94sdc 沢博美 HR …
… … … … …
ID パスワード氏名拠点 …
tsato cliaKnGd 佐藤太郎東京 …
hsawa lkqg94sdc 沢博美大阪 …
rmiki iloveyou 三木良福岡 …
… … … … …
システムAのID/
パスワードで
ログイン
システムBのID/
パスワードで
ログイン
システムCのID/
パスワードで
ログイン
システムBのID/
パスワードで
ログイン
システムCのID/
パスワードで
ログイン
システムCのID/
パスワードで
ログイン
システムAのID/
パスワードで
ログイン
エンドユーザー側の問題
• 異なるID/パスワードで毎回ログインが必要
• 安易なパスワード文字列や使い回しが横行
• システムが利用可能になるまで時間を浪費
業務（運用）側の問題
• パスワード忘れへの問い合わせ対応
• ID/パスワードのシステム個別の管理
• ユーザ追加・削除対応/ユーザー情報/アクセ
ス権限情報の最新化

ユーザー認証を一元化する「認証基盤」の登場
「認証基盤」
システム
A
ID パスワード
SSO tsato cliaKnGd
ID パスワード
SSO hsawa lkqg94sdc
ID パスワード
SSO rmiki p098aPPO
システム
B
システム
C
SSO
システム
ディレクトリ
システム
SSOのID/
パスワードで
ログイン
SSOのID/
パスワードで
ログイン
SSOのID/
パスワードで
ログイン
システムA
にアクセス
システムB
にアクセス
システムC
にアクセス
ID パスワード氏名拠点所属ロール …
tsato cliaKnGd 佐藤太郎東京営業部 Sales …
hsawa lkqg94sdc 沢博美大阪人事部 HR …
rmiki p098aPPO 三木良福岡経理部 Finance …
… … … … …
エンドユーザーが意識するID/パス
ワードが単一になるとともに、何度
もログインする必要がなくなる
パスワード管理とユーザー認証が
不要になり、運用者の負担が軽減
される
従業員A
従業員B
従業員C

「認証基盤」だけでは組織全体のID/アクセス権限を管理しきれない
従業員A
従業員B
従業員C
「統合認証基盤」
システム
A
ID パスワード
SSO tsato cliaKnGd
D u101 98LKala@
ID パスワード
SSO hsawa lkqg94sdc
D u102 lkqg94sdc
ID パスワード
SSO rmiki p098aPPO
D u103 happyday
システム
B
システム
C
SSO
システム
ディレクトリ
システム
ID パスワード氏名拠点所属ロール …
rmiki p098aPPO 三木良福岡経理部 Finance …
… … … … …
システム
D
ID パスワード氏名 …
u101 98LKala@ 佐藤太郎 …
u102 lkqg94sdc 沢博美 …
u103 happyday 三木良 …
… … … … …
temp changeit 保守担当
システムDのID/
パスワードで
ログイン
システムDのID/
パスワードで
ログイン
システムDのID/
パスワードで
ログイン
運用
担当者
追加、変更、
削除、…
認証基盤に集中化できないシステムのID/
アクセス管理が独立して残り続けてしまう
ID/アクセス権限情報の管理を運用
担当者に任せてしまっている

「認証基盤」+「アイデンティティ管理」へ
従業員A
従業員B
社外
パートナー
「統合認証基盤」
システム
A
ID パスワード
共通 tsato cliaKnGd
ID パスワード
共通 hsawa lkqg94sdc
ID パスワード
共通 rmiki p098aPPO
システム
B
システム
C
SSO
システム
ディレクトリ
システム
共通ID パスワード氏名拠点所属ロール …
rmiki iloveyou 三木良福岡経理部 Finance …
… … … … …
システム
D
「統合アイデンティティ管理」
アイデンティティ
管理システム
共通ID パスワード氏名 …
tsato cliaKnGd 佐藤太郎 …
hsawa lkqg94sdc 沢博美 …
rmiki p098aPPO 三木良 …
… … … … …
temp changeit 保守担当
人事情報
システム
パート
ナー管理
システム
一般
社員
部門長
担当
役員
利用申請承認統制状況
の把握
ユーザー情報
／アクセス
権限情報の
設定・検証
マスター情報
の取り込み
ユーザー情報/
アクセス権限
情報の設定・検証
共通ID/
パスワードで
ログイン
共通ID/
パスワードで
ログイン
共通ID/
パスワードで
ログイン

エンタープライズIAMの進化
SaaS
A
社外
環境
パートナー
事務所等
社内
環境
SaaS
B
SaaS
C
システム
A
システム
B
システム
C
オンプレIAM クラウドIAM
社外
環境
パートナー
事務所等
社内
環境
SaaS
B
システム
A
システム
B
システム
C
オンプレIAM
SaaS
A
社外
環境
パートナー
事務所等
社内
環境
SaaS
B
SaaS
C
システム
B
クラウドIAM
第1世代
伝統的オンプレ中心IAM
第2世代
ハイブリッドIAM
第3世代
クラウド中心IAM
V
P
N
V
P
N
ID管理者 ID管理者 ID管理者
G会社パートナー
多要素
認証
マネージドデバイス
多要素認証
CASB
SSO
ID同期（ユーザ情報配信）

CIAM (コンシューマーIAM)
 キャリアグレードのディレクトリ・サーバー (circa 2003)
CIAMの萌芽は通信業界
Source: ＠IT：連載次世代コミュニケーションサービスを担うJAIN（前編）http://www.atmarkit.co.jp/fjava/special/jain01/jain01.html

たんなる「認証リポジトリ」から、顧客の体験とセキュリティを高めるための役割を担うように
• スムーズな新規会員登録
• ログインの省力化・簡略化
• サービスのパーソナライゼーション
• レスポンス時間の短縮
• 使いやすいWebサイト/モバイルアプリケーション
• …
顧客体験を
どう高めるか
• リスクベース認証
• 不正検知
• 自己情報のコントロール
• …
顧客に安心を
どう提供するか

コンシューマーIAMの機能
Source: The 8 Critical Areas of Consumer Identity and Access Management to Prepare for in 2018
https://www.kuppingercole.com/watch/ciam_critical_areas

EIAMとCIAMの比較
EIAM CIAM
IDの源泉組織ユーザー
更新頻度低高
ロール（役割・職掌）複雑単純
アプリケーション数数十～数百 ~数十
ユーザー数数千人~数十万人数百万人～数億人
ユーザー環境の多様性低高
ユーザー認証確からしさ重視利便性重視
ビジネスとの関係業務効率化売上最大化

 ITのコンシューマライゼーション、APIエコシステム、Bring Your Own、多要素認証、…
オーバーラップするEIAMとCIAM
EIAM CIAM
IDの源泉組織ユーザー
更新頻度低 → 高高
ロール（役割・職掌）複雑単純 → 複雑
アプリケーション数数十～数百 ~数十 → 数千
ユーザー数数千人~数十万人数百万人～数億人
ユーザー環境の多様性低 → 高高
ユーザー認証確からしさと利便性も重視利便性と確からしさも重視
ビジネスとの関係業務効率化売上最大化

IAMを構成する技術仕様

EIAM/CIAMを構成する技術はどちらも同じようなものになってきている
Source: Internet of Things Security & Privacy
https://www.slideshare.net/ChrisAdriaensen/internet-of-things-security-privacy-82981990
EIAM CIAM いま
API認可 WS-* 内製独自仕様 OAuth
SSO/ID連携製品独自仕様
or SAML
内製独自仕様
or SAML or
OpenID
OpenID
Connect
ID情報同期 CSV渡し/DB
製品独自仕様
独自データ連
携
SCIM
ユーザー認証製品独自仕様内製独自仕様 FIDO

API
サーバー
オープン標準 “FIDO” “SAML” “OpenID Connect” “OAuth” “SCIM”
APP
サービス
アクセス試行
サービス提供
ユーザー認証
アクセス試行
APIアクセス
許可要求
APIアクセス
許可
APIアクセス
Webサイト
アクセス試行
管理者
ユーザー情報
ユーザー情報
同期

B2Eにおける適用例
業務
システム
社員
APP
ID管理/
SSO/
API管理
ユーザー認証
アクセス試行
API
アクセス
Slack, Facebook at Work etc.
業務
SaaS
アクセス試行
社員・組織情報
の伝播
社員ID情報の
同期
人事
システム
社員IDでクラウドサービスにSSO
業務システムの各種API
へのアクセス許可要求
業務システム
フロントエンド
API
ゲートウェイ
レガシー
接続

B2Cサービスにおける適用例
各種API
一般生活者
APP
“Google
Identity
Platform”
アクセス試行
サービス提供
ハードウェアを用いた二要素認証
アクセス試行 Googleの各種APIへの
アクセス許可要求
APIアクセス
Webサイト
アクセス試行
Google Accountでログイン

API
サーバー
OAuthとOpenID Connectとの関係
APP
サービス
アクセス試行
APIアクセス
許可要求
APIアクセス
許可
APIアクセス
Webサイト
ユーザー認証
アクセス試行
アイデンティティ連携
(OpenID Connect)
サードパーティに「いまアクセス
してきたユーザーに関する情報」
を提供する
APIアクセス認可
(OAuth)
サードパーティに「ユーザーに
成り代わってアクセスをする
ための許可証」を提供する
扱う情報が異なる

金融機関
（サービス事業者）
資産管理サービスにおけるOAuth 2.0とOpenID Connect (OIDC) を用いた認証・認可フローの例
NRI ITソリューションフロンティア Vol.33 No.08 https://www.nri.com/~/media/PDF/jp/opinion/teiki/it_solution/2016/ITSF160802.pdf に加筆
サードパーティはAPIアクセス許可依頼
とユーザー認証依頼を同時に実行
口座所有者
（エンドユーザー）
資産管理FinTech企業
（サードパーティ）
サービス事業者はエンドユーザーに
アクセス許可を確認
サービス事業者はサードパーティに
「アクセストークン（APIアクセス許可
情報）」と「IDトークン（認証結果）」を返却
サードパーティは認証結果をもとに
エンドユーザーの当人確認を行い、
必要に応じてユーザーを新規登録
サードパーティはアクセストークンを
用いてサービス事業者のAPIを呼び出し
サービス事業者はエンドユーザーを
認証

OpenID Foundation “Financial API (FAPI) WG”
http://openid.net/wg/fapi/
 策定を進めている仕様
 APIセキュリティ・プロファイル
▪ Part 1: 「読み出し専用」 API
▪ Part 2: 「読み書き」 API
 API仕様
▪ Part 3: オープンデータAPI
▪ Part 4: 保護対象データAPIおよびスキーマ - 「読み出し専用」
▪ Part 5: 保護対象データAPIおよびスキーマ - 「読み書き」
 認可サーバー、クライアント、
リソースサーバーに対する
「セキュリティ条項 (Security
Provisions)」を規定

これからのアイデンティティ & API セキュリティスタック
Source: Forging a Modern Cloud-first Identity Ecosystem for a 125-year-old Startup
https://www.slideshare.net/identityhutch/forging-a-modern-cloudfirst-identity-ecosystem-for-a-125yearold-startup
アイデンティティ & 認証コンテクスト
アイデンティティAPI
セッション管理
クライアント登録
サービス・ディスカバリー
署名付きリクエスト
アサーション認証
暗号化/署名/鍵
構造化トークン
ミティゲーション & プルーフ
拡張認可フロー
トークン・イントロスペクション
トークン失効
ユーザー/クライアント認可
オブジェクト記法

まとめ

まとめ
新たなITサービスやアーキテクチャが多数登場する中、
アイデンティ&アクセス管理（IAM）の役割は従来以上に
高まっている
エンタープライズIAM（EIAM）とコンシューマーIAM（CIAM）
という2種類の異なるIAMがあるが、機能のオーバーラップが
進んでいる
EIAMとCIAMは共通のアイデンティティ技術仕様の
採用に向かっている

アイデンティティ (ID) 技術の最新動向とこれから

アイデンティティ (ID) 技術の最新動向とこれから

More Related Content

What's hot (20)

Similar to アイデンティティ (ID) 技術の最新動向とこれから (20)

More from Tatsuo Kudo (20)

アイデンティティ (ID) 技術の最新動向とこれから