【営業職・初心者歓迎】 ハイブリッドな認証基盤...
30
The Microsoft Conference 2014 【営業職・初心者歓迎】 ハイブリッドな認証基盤で 生産性を高めるために必要な基礎知識 知っていることを自慢したくなる「クレーム認証」「アイデ ンティティ フェデレーション」の世界 MN222 ROOM F
Transcript of 【営業職・初心者歓迎】 ハイブリッドな認証基盤...
The Microsoft Conference 2014
【営業職・初心者歓迎】
ハイブリッドな認証基盤で生産性を高めるために必要な基礎知識知っていることを自慢したくなる「クレーム認証」「アイデンティティ フェデレーション」の世界
MN222
ROOM F
このセッションの対象は、
• IAM 初心者• 営業職
の方々です。
どのようなストーリーを展開するとIT部門の上司やお客様にIAMの重要性を理解していただけるか？についてお話します。
はじめに
サービスを使用するには
自分が”怪しい訪問者”でないことを証明しなければならない
どうやって自分自身を証明する？
本人が知っていること 本人が持っているもの
Smart
card
Smart
PhonePC
本人の特性など
場所行動履歴
第三者による認証
IDPass
word
秘密の質問
生体情報
どこまでやれば完璧なのかが悩ましい....
友達かどうか
目標の設定が重要
• 確実に本人であることが保障できること（認証）• 利用者の権限を明確にできること（認可）
この2つを、できるだけシンプルに実現することが重要
• 「認証」は唯一の認証基盤が行う• 「認可」はアプリケーションが行う
その結果、生産性が高まる
企業が IT に投資してでも実現したいのは
生産性向上自由度の高い働き方
リスク低減（IT ガバナンス）
場所 時間 ツール
紛失 漏洩 煩雑
つまりニーズは？
許可された場所で、（基本的に）時間を問わず、適切なユーザーが、適切なデバイスから、常に同じアプリケーションを利用して、与えられた権限の範囲でデータを参照、編集する
以上の動作をストレスなく遂行できることが生産性を高める。IT は上記を実現できるインフラストラクチャーでなければならない。
フレキシブルなワークスタイル
People-Centric IT という考え方
デバイス アプリケーション データユーザーID
Active Directory 製品群
• 「利用者」が「ツール」を使って「業務」を遂行するプロセスからストレスを取りのぞくには、IAM が重要だということ
Identity and Access Management
ツール 業務利用者
Office 365 の認証/認可ってどうなっている？
Azure Active DirectoryWS-Federation
• Office 365 の認証基盤（IdP, Identity Provider）は Azure Active Directory
である。• WS-Federation による信頼関係が存在する
ポータル
Exchange
Online
SharePoint
Online
Lync
Online
Azure Active Directory
portal.office.com
outlook.office365.com
login.microsoftonline.com
<テナント名>-my.sharepoint.com
Calender
連絡先（People）
タスク
Exchange 管理センター
ニュースフィード
OneDrice
サイト
Default
Admin（Office 365 管理センター）
WS-Federation
SharePoint 管理センター<テナント名>-admin.sharepoint.com
Lync 管理センター
admin0f.online.lync.com
WS-Federation により信頼関係が構築されているため、いずれか 1 つの URL にサインインすることで、他の URL に SSO できる。
社内のユーザー認証/認可と何が違うのか
Active Directoryドメインサービス
Azure Active Directory
業務サービス
Active Directoryドメイン
ADドメインに参加できない
ここで問題が起きます
• 認証は社内（Kerberos）で行いたい！
• Office 365 や Salesforce は Active Directory ドメインに参加できない！
矛盾
異なる組織間で認証情報を伝達する手段がないだろうか？
• 異なるIdP の ユーザーID を「同じユーザー」としてマッピングする
• 認証はオンプレミスで行う• クレームを使って認証結果を伝達、ID マッピング
「ID フェデレーション（連携）」というテクノロジー
Active Directoryドメインサービス
Active Directoryフェデレーションサービス
Azure AD
ID同期
パスワードはオンプレミスで集中管理
クレーム
フェデレーション信頼
社内セキュリティ ドメイン
IT が直面している課題
業務アプリ業務サービス
業務データ
SaaS
モバイルデバイス
社内 PC
IT ガバナンスLOB
IT ガバナンス
Azure AD とWindows Server AD の役割の違い
Azure Active Directory
Windows Server Active Directory
業務サービス運用管理サービス業務データ
社内 PC社員
• 社内リソースに対する IT ガバナンス
• クラウドサービスの認証基盤
• 他社サービスへの HUB
SaaS LOB
Kerberosの世界
HTTPの世界
16
注意
AD ドメインの構成
Windows ログオンが可能
グループポリシーが利用できる
社内ガバナンス
Office 365 や Windows Intuneなどが使用しているマルチテナント型の認証サービス
AD ドメインは作れない
Windows ログオンできない
クラウドサービスの認証 HUB
IDaaS / IDMaaS
Windows Server AD Microsoft Azure AD
両者は全く別物です!!!
Windows Server AD
Azure Active Directory
業務サービス運用管理サービス
業務データ
社内 PC社員
両者を結合させて１つのディレクトリ（Hybrid IdP）化する
SaaS
• オンプレミス IdPへのゲートウェイ
セキュリティポリシーを集中管理
LOB
Kerberosの世界
HTTPの世界
18
Windows Server AD
Azure Active Directory
業務データ
社員
モバイルデバイス認証も Active Directory で
SaaS
LOB
HTTP の世界
モバイルデバイス
19
実は AD FS にも限界がありまして...（汗）
Active Directoryドメインサービス
Active Directoryフェデレーションサービス
Azure AD
• AD FS から見えるのは、Azure AD まで• Azure AD から先の制御は Azure ADで行う
クラウドに出て行けるかどうかまでを判定
AD FS の限界というよりは、「フェデレーション」テクノロジーの限界
AD FSからは見えない
20
Windows Server AD
Azure Active Directory
業務データ
社員
クラウドサービスへのアクセス制御～Azure Active Directory Premium
SaaS
LOB
HTTP の世界
＋
同期
グループに対してアクセス権を設定
モバイルデバイスグループ情報を同期
アクセスのためのユーザーグループを管理
21
Windows Server AD
Azure Active Directory
業務データ
社員
認証を強化するには～マルチファクター認証
HTTP の世界
モバイルデバイス
Microsoft Azure AD
MFA Provider
＋
22
Windows Server AD
Azure Active Directory
業務データ
社員
モバイルデバイスのガバナンス（セキュリティポリシー適用）は？
HTTP の世界
モバイルデバイス
Microsoft Azure AD
MFA Provider
Microsoft
Intune
PO
LICY
＋
23
Windows Server AD
Azure Active Directory
業務データ
社員
組織を超えたデータガバナンス～Azure Rights Management Services
HTTP の世界
モバイルデバイス
Microsoft
Intune
PO
LICY
＋
Azure RMS
Security Policy
Policy
Policy
PolicyMicrosoft Azure AD
MFA Provider
24
まとめ
People-Centric IT という考え方
デバイス アプリケーション データユーザーID
ツール 業務利用者
確実な識別 デバイスの識別
MDM
アプリ配信 暗号化と権限管理
多要素認証
Workplace Join
Windows Intune
RDS / RD Client Azure RMS
認証、証跡、アクセス制御（Identity Provider）Windows Server Active Directory
Microsoft Azure Active Directory Premium
Azure RemoteApp※Preview
UserID/Pass
完璧なモビリティを実現するために～ Enterprise Mobility Suite（EMS）
Enterprise Mobility Suite
Azure AD Premium
Windows Intune
Azure AD RMS
クラウド上の高機能なIdP と多要素認証
モバイルデバイス管理（MDM）
暗号化/権限管理
＋ Microsoft Forefront Identity Manager
© 2014 Microsoft Corporation. All rights reserved. Microsoft, Windows and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries.
The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on
the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.
健保番号/免許証番号/住民票
入国
日本国政府
出国
発行
パスポート• 発行国• 氏名• 有効期限• 旅券番号• 写真• 出国印
米国政府本人• 顔• 指紋
入国申請書• 滞在期間• 滞在先
パスポート・・
空港
信頼
ビザ• 滞在可能期間
信頼
入国
日本国政府
出国
発行
パスポート• 発行国• 氏名• 有効期限• 旅券番号• 写真• 出国印
米国政府
本人• 顔• 指紋
入国申請書• 滞在期間• 滞在先
パスポート・・
健保番号/免許証番号/住民票
信頼
ビザ• 滞在期間
IdP/CP RP/SP
空港
信頼
リソース
署名
主体セキュリティトークン
/アサーションクレームクレーム
クレーム
クレームクレーム
署名
オーソリティ（各種機関）
オーソリティ（各種機関）
どこからでもサインイン（ログオン）できる 同じ ID を使ってサインインできる
