TechTargetジャパン
セキュリティ
認証サーバ
技術解説
“パスワード認証の悪夢”から解放する「フェデレーション」の底力

クラウド時代の「認証」再考論【第2回】

“パスワード認証の悪夢”から解放する「フェデレーション」の底力（1/2 ページ）

ID／パスワード認証にまつわるさまざまな課題を一気に解決する可能性を秘める「フェデレーション」とは何か。その仕組みとメリットを整理する。

公開 2016年06月07日 09時00分

更新 2018年05月21日 20時49分

著者

渥美淳一

[ネットワンシステムズ]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

　連載第1回「“パスワードがない世界”が目前でも『パスワード使い回し』が大問題になる理由」では、ID／パスワード認証（以下、パスワード認証）が抱える問題を整理した。エンドユーザー側の問題として単一パスワードの使い回し、オンラインサービス側の問題としてパスワード保管時の不備を指摘。さらにパスワード認証を含め既存の認証技術が抱える利便性の問題を挙げた。

　こうした問題を解決する手段として第1回で紹介したのが「フェデレーション」（認証連携）だ。今回は、このフェデレーションを詳細に理解するために、プロトコルやトークンといったフェデレーションの実現技術、フェデレーションの導入方法を説明する。

併せて読みたいお勧め記事

“パスワード限界論”で再考する「認証システム」の現実解

“パスワードがない世界”が現実に

フェデレーションを実現するプロトコル「SAML」

　フェデレーションでは、エンドユーザーはパスワードの代わりに「トークン」という許可証をオンラインサービスへ送り、ログインを要求する。このトークンのやりとりによく使われている認証連携プロトコルが「SAML（Security Assertion Markup Language）」だ。

　SAMLはMicrosoftのオンラインオフィススイート「Office 365」やsalesforce.comのオンライン顧客関係管理（CRM）サービス「Salesforce CRM」をはじめ、既に多くのオンラインサービスが採用している。加えて社内システムでも利用可能だ。例えばSAPの統合業務（ERP）パッケージもSAMLを使ったフェデレーションができる。

　他にもフェデレーションを実現するプロトコルとして「OpenID」「WS-Federation」などがあるが、今回は現時点においてデファクトスタンダートといえるほど普及しているSAMLを取り上げる。

「SAML」を利用したフェデレーションの仕組み

　SAMLは以下2種の構成要素からなる。両者はSAMLによるフェデレーションのために、事前に互いの情報を登録しておかなければならない。

オンラインサービスや社内システムなどのサービスを提供するWebサイト「サービスプロバイダー」
サービスプロバイダーの代わりにID／パスワードの保管と認証を担当するWebサイト「IDプロバイダー」

　エンドユーザーがIDプロバイダーへアクセスしてログインすると、IDプロバイダーはSAMLに従って「SAMLトークン」（「SAMLアサーション」とも呼ばれる）というトークンを発行する。SAMLトークンの中身はサービスプロバイダーによって異なるので、IDプロバイダーはサービスの数だけ異なるSAMLトークンを発行する。

　エンドユーザーはIDプロバイダーへ一度ログインすれば、複数のサービスへシングルサインオン（SSO）できる。そのためSAMLはSSOのためのプロトコルともいえる（図1）。

図1　SAMLを利用した認証の流れ《クリックで拡大》

　企業でオンラインサービスを利用する場合、セキュリティの観点から従業員がそのオンラインサービスへ直接ログインできる状態にしておくことは避けたい。SAMLを利用すれば、企業が認定したIDプロバイダーがトークンを発行した場合にのみ従業員はそのオンラインサービスを利用できるように制御が可能だ。

　SAMLは以下2種類のアクセス方式を選択できる。他の主要な認証連携プロトコルはこの2種類のどちらか一方しかサポートしないので、双方が利用可能なSAMLがデファクトスタンダードになったという見方もある。

エンドユーザーがIDプロバイダーへログインした後に、サービスプロバイダーへアクセスする方式
エンドユーザーがサービスプロバイダーへアクセスすると、信頼するIDプロバイダーへリダイレクトする方式

次ページへフェデレーションの導入方法とは

印刷する

クラウド時代の「認証」再考論

クラウドサービスを中心とするオンラインサービスの普及やID／パスワード認証の“限界”が、企業の認証システムに見直しを迫る。認証に関する現状の課題を整理し、具体的な解決策を追う。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

渥美淳一

10年以上にわたりロードバランサ製品、Webアプリケーションファイアウォール製品、DNSセキュリティ製品、認証製品などの提案、評価、検証、技術サポートを実施。現在は認証によるクラウドセキュリティ強化ソリューションの開発にも取り組んでいる。

“パスワード認証の悪夢”から解放する「フェデレーション」の底力（1/2 ページ）

併せて読みたいお勧め記事

“パスワード限界論”で再考する「認証システム」の現実解

“パスワードがない世界”が現実に

フェデレーションを実現するプロトコル「SAML」

「SAML」を利用したフェデレーションの仕組み

クラウド時代の「認証」再考論

この記事の著者

関連記事

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

“パスワード認証の悪夢”から解放する「フェデレーション」の底力（1/2 ページ）

併せて読みたいお勧め記事

“パスワード限界論”で再考する「認証システム」の現実解

“パスワードがない世界”が現実に

フェデレーションを実現するプロトコル「SAML」

「SAML」を利用したフェデレーションの仕組み

クラウド時代の「認証」再考論

この記事の著者

関連記事

ID／パスワード認証は本当になくなる？ 「パスワード限界論」の真実

「クラウド」「モバイル」の認証は今、どうなっているのか？

Windows 10も搭載、“パスワードのない世界”を作る「FIDO」とは？

「パスワードのない世界」でクラウドを守る――注目されるオープン規格

「パスワードのない世界」が急速に現実化、注目のFIDO Allianceが拡大へ

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

ID／パスワード認証は本当になくなる？　「パスワード限界論」の真実