Salesforceのモバイル利⽤などで注⽬
される認証技術と基盤整備のメリット
株式会社オージス総研
テミストラクトソリ
テミストラクトソリューション部
シ ン部
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
会社概要
株式会社オ ジス総研
株式会社オージス総研
代表者：
代表取締役社長 平山 輝
設 立
立：
1983年6月29日
983年6月 9日
資本金：
4億円 （大阪ガス株式会社100%出資）
事業内容：
システム開発、プラットフォームサービス、
コンピュ タ機器 ソフトウェアの販売、
コンピュータ機器･ソフトウェアの販売、
コンサルティング、研修・トレーニング
主な事業所
本 社
社：
大阪府 大阪市西区千代崎
大阪市西区千代崎3-南2-37
南
ICCビル
東京本社：
東京都 港区港南2-15-1 品川インターシティA棟
名古屋オフィス： 愛知県 名古屋市中区錦1-17-13 名興ビル
売上実績：
567億円 （連結） 298億円（単体） (2013年度)
従業員数：
3,104名 （連結） 1,283名 （単体）
関連会社：
さくら情報システム（株）、 （株）宇部情報システム、 （株）システムアンサー、
OGIS International,Inc、上海欧計斯軟件有限公司（中国）
オージス総研グループ 売上構成比 （連結）
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
2
取得許可認定
アジェンダ




Salesforceの認証技術
シングルサインオン導⼊のメリット
シングルサインオン導⼊に向けて
統合認証ソリューション「テミストラクト」
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
3
Salesforceの認証技術
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
4
Salesforceのログイン画⾯
・ユーザIDとパスワードによる⼀般的
な認証⽅式
・ユーザIDはメールアドレス形式
ユーザ名/パスワードを
盗まれるとそこまで！
じゃあどうすればいいの？
Salesforceの機能だけでも、認証を強化することができる。
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
5
Salesforceの認証を強化する⽅法
 社外ネットワークからのログインを禁⽌する
社外ネットワ クからのログインを禁⽌する
• ユーザのアクセス元IPアドレスを制限することが可能
本機能を持 ク ウドサ ビ
本機能を持つクラウドサービス
· cybozu.com、等
社内
プロキシサーバ
社外
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
6
Salesforceの認証を強化する⽅法
 不明なデバイスを検知する（リスクベース認証）
不明なデバイスを検知する（リスクベ ス認証）
• ログイン時、ユーザID/IPアドレス/クライアントブラウ
ザのセットを記録
• 記録されていないデバイスからアクセスした場合、確認
コードによる追加認証を⾏う（⼆要素認証の実施）
本機能を持つクラウドサービス
· Dropbox、等
Dropbox 等
これをID/パスワード認証後の
これをID/パスワ
ド認証後の
確認画⾯に送信
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
7
Salesforceの認証を強化する⽅法
 ⼆要素認証を必要にする
• Salesforceでは、ワンタイムパスワードを2つ⽬の認証
要素として設定することが可能
• ワ ン タ イ ム パ ス ワ ー ド の 発 ⾏ は GoogleAuthenticator
（Google認証システム）を利⽤
本機能を持つクラウドサービス
· GoogleApps
GoogleApps、Office365、cybozu.com、等
Office365 cybozu com 等
（cybozu.comはクライアント証明書での⼆要素認証）
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
8
Salesforceの認証を強化する⽅法
デバイスの縛りがない（どんな端末でもアクセスを許可する）
なら、Salesforceの機能だけで⼗分、認証強化できる。
・リスクベース認証
リ ク
認証
・ワンタイムパスワード認証
・BYOD、会社⽀給端末等、指定端末のみ許可する場合は？
・オンプレミスのアプリケーション利⽤はどうする？
・ Salesforceは対応できるかもしれないけど、
Salesforceは対応できるかもしれないけど
他のクラウドサービスはどうする？
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
9
Salesforceの認証を強化する⽅法
 シングルサインオンを実現する
• SalesforceはSAMLに対応しており、社内のIDプロバイ
ダを利⽤したシングルサインオンが可能
• 社内に適切な認証基盤があれば、社内の認証ポリシーを
Salesforceにも適⽤することができる
認証強化の仕組みはサービスによって実装に差がある。
SAMLの実装は⽐較的進んでいる。
個別にセキュリティ設定するのは⼤変。
社内に認証基盤⽤意してシングルサインオンすれば、
クラウドもオンプレも
クラウドもオンプレも、⼀括で認証強化できる。
括で認証強化できる
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
10
シングルサインオン導⼊のメリット
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
11
シングルサインオン導⼊のメリット
ユ ザビリティ向上
ユーザビリティ向上
システム毎にログイン
ID/パスワードが増える
またログイン画⾯か・・・
またログイン画⾯か
このシステムは
このパスワードで・・・
このパスワ
ドで
システム毎にパスワード変更
昨⽇もパスワード
変更したのに・・・
変更したのに
シングルサインオンを実現すると・・・
・ログインは⼀回でOK！
グイ
・ID/パスワードは⼀個覚えればOK！
・パスワード変更は⼀カ所でOK！
つまり、ユーザの利便性が向上する！
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
12
シングルサインオン導⼊のメリット
セキュリティレベル向上
セキュリティリスク
運用負荷
ID 12345
PW abcde
-------------------------------------------
♪
パスワード多すぎて
覚えられないから
付箋にメモしておこう
全アプリケーションの
ログ管理なんてできない！！
シングルサインオンを実現すると・・・
・ID/パスワードは⼀個だから、管理しやすい。
/
⇒パスワード漏えいを回避するために、⼗分な対策をとれる。
・認証ログを⼀カ所で管理でき、監査対象を⼀つにできる。
⇒運⽤がシンプルになる。
つまり、セキュリティが向上し、運⽤負荷が下がる！
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
13
シングルサインオンで実現するクラウドサービスの認証強化
S l f
Salesforceを例に、シングルサインオンを導⼊する/しないを⽐較
を例に シングルサインオンを導⼊する/しないを⽐較
実現したいこと
Salesforceの機能だけ
で実現
シングルサインオン導⼊
による実現
社外アクセスの禁⽌
○
アクセス元IDアドレス制限
○
不正なアクセス検知、防⽌
○
リスクベース認証
○
端末紛失時の対応
○
管理者の操作により、紛失
した端末を確認済みのデバ
イスリストから削除できる
○
モバイル活⽤時のセキュリティ向上
（デバイスの縛りなし）
○
2要素認証（ワンタイムパス
ワ ド）
ワード）
○
モバイル活⽤時のセキュリティ向上
（会社指定端末（BYOD含む）のみを
アクセス許可）
×
デバイス認証には未対応
○
クラウドでのパスワード管理廃⽌
×
○
認証ポリシーの統⼀
（全社内アプリ）
×
○
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
14
（補⾜）SalesforceをSAML連携する上での注意点
 「私のドメイン」を設定しないと
「私のドメイン」を設定しないと、シングルサインオンを
シングルサインオンを
利⽤せずにSalesforceへ直接ログインできてしまう
• 社内の認証ポリシ
社内の認証ポリシーを完全に適⽤するためには、「私のドメイン」
を完全に適⽤するためには、「私のドメイン」
を設定する必要がある
• 設定していないと、SP-initiatedログイン（Salesforceへのアクセ
スからスタ トする認証フ
スからスタートする認証フロー）に抜け道ができる
）に抜け道が きる
⼀般ログインURLにアクセスすると、通常の認証フ
ロ でログインできてしまう。
ローでログインできてしまう
「私のドメイン」を設定すると、このURLからのロ
グインを禁⽌できる。
https://login.salesforce.com/
https://login.salesforce.com/?saml=xxxxx
リダイレクト
SSO
SAML認証⽤のURLにアクセスさせないといけない
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
15
シングルサインオン導⼊に向けて
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
16
シングルサインオン導⼊に向けて
 システムとの連携⽅式を考える
フェデレーション⽅式
リバプロ/エージェン
ト⽅式
代理認証
実装例
SAML
OpenAMとPolicyAgent
での実装
リバプロ/エージェント
⽅式併⽤
アプリ側での認証
情報の受け取り
アプリ側でSAML SP
機能の実装が必要
HTTPヘッダを使った
連携
アプリは実装を変える必
要が無い
セッション管理
アプリ側での管理となる
実装ばらつきに注意
認証基盤で⼀元的に管理
認証基盤で⼀元的に
管理可能
セッション無効化
ID管理での無効化処理な
どの併⽤が必要
認証基盤で⼀元的に管理
認証基盤で⼀元的に
管理可能
URLベースの
アクセス制御
アプリ側での管理 or
ロ ルに基づくID登録
ロールに基づくID登録
認証基盤で⼀元的に管理
認証基盤で⼀元的に
管理可能
パスワード管理
パスワードは認証基盤内
にとどまる
パスワードは認証基盤内
にとどまる
アプリ側でもパスワード
管理が必要
SAMLはアプリケーション側の実装難易度が⾼い。
SaaSはフェデレーション⽅式、⾃社アプリはリバプロ/エージェント⽅式
SaaSはフェデレ
ション⽅式、⾃社アプリはリバプロ/エ ジェント⽅式
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
17
シングルサインオン導⼊に向けて
 ライセンス管理を考える
• クラウドサービス利⽤のためライセンス管理を適切にする
クラウドサービス
ク
ウドサ ビ
ライセンス使⽤状況
HRシステム
ユーザ1
ユーザ2
ザ 休職
ユーザ3
ユーザ4
ユーザ5 退職
ユ ザ6
ユーザ6
・・・
ユーザ1
ユーザ2
ザ
ユーザ3
ユーザ4
ユーザ5
ユ ザ6
ユーザ6
・・・
Active
Inactive
act e
Active
Active
Inactive
A ti
Active
無駄なライセンスコストをかけない
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
18
シングルサインオン導⼊に向けて
 アクセス制御を考える
• ユーザのロール情報に基づいたIDを適切に配布する
製造部⾨
製造部⾨⽤サービス
営業部⾨
営業部⾨⽤サービス
クラウドサービスに登録すべきIDを適切に登録する。
アクセスさせないユ ザIDは登録しない
アクセスさせないユーザIDは登録しない。
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
19
シングルサインオン導⼊に向けて
 オンプレアプリとの認証連携を考える
• アプリケーションに連携するID情報を統⼀する
メンテナンス性、開発効率を考慮し、
全てのアプリに同じ情報を連携する
全てのアプリに同じ情報を連携する。
SSO
認証情報
SSOから連携する情報は同じにして、開発/管理コストを抑える
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
20
シングルサインオンで⽬指すべき姿
アプリの認証に
パスワ ドを使わない
パスワードを使わない
RP
SSO
フェデレーション
技術に対応
セキュリティ強化は
SSOシステムだけやればOK
ライセンスの適切な管理
ロール情報に基づくID配布
スマートデバイスに対応
IDM
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
21
統合認証ソリューション
「テミストラクト」
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
22
テミストラクトで実現できること
認証基盤ソリューション「ThemiStruct-WAM」
・シングルサインオン
シングルサインオン
・フェデレーション連携⽅式への対応
・多要素認証（OTP、クライアント証明書）
・スマートデバイスへの対応
RP
SSO
ID管理ソリューション「ThemiStruct-IDM」
ID管理ソリ
シ ン「Th
iSt
t IDM」
・クラウドサービス連携
・IDライフサイクル管理
・セルフサービス（パスワードセルフメンテ）
・ログ管理
ログ管理
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
IDM
23
「ThemiStruct-WAM」で対応している認証⽅式
認証⽅式
機能内容
ID/パスワード認証
ID/パスワードにより認証を⾏う最
も標準的な認証機能です。
DesktopSSO認証
Windows端末認証と連携する仕組
みを提供します。
電⼦証明書認証
デジタル証明書により認証を⾏う仕
組みを提供します。
OTP認証
ワンタイムパスワードを⽤いて認証
を⾏う仕組みを提供します。
リスクベース認証
アクセスするユーザーの「場所」、
「時間」、「所属・役割」などの情
時間」、 所属 役割」など 情
報をもとに、ユーザーに課す認証の
組み合わせを制御します。
備考
外出先ユーザーにはID/パ
スワード認証に加え、
OTP認証を課すといった
制御が可能です。
認証⽅式を複数組み合わせての認証強化が可能です
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
24
まとめ




Salesforceの認証技術
シングルサインオン導⼊のメリット
シングルサインオン導⼊に向けて
統合認証ソリューション「テミストラクト」
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
25
おわりに
ご清
ご清聴ありがとうございました。
が
ござ
Copyright©
2015OGIS-RI
OGIS-RI
All rights
reserved.
Copyright© 2013
Co.,Co.,
Ltd.Ltd.
All rights
reserved.
26