エンドユーザーの情報が書かれた「SAML」トークン

　IDプロバイダーが発行するSAMLトークンの中身は「XML」というマークアップ言語で書かれている。中身はサービスプロバイダーの名前に加え、IDをはじめとするエンドユーザーに関する情報で構成される（図2）。この他にもエンドユーザーの属性情報を柔軟に追加でき、サービスプロバイダーはこれらの情報を基に提供するサービスを決定することが可能になる。

図2　SAMLトークンの中身。サービスプロバイダーがsalesforce.comであり、件名（Subject）にエンドユーザーのID情報（メールアドレス）が含まれ、サービスプロバイダーが求める利用者の情報がSAMLトークンに書かれている《クリックで拡大》

　SAMLトークンは、自らを発行したIDプロバイダーの情報や有効期間などの情報も含む。サービスプロバイダーとIDプロバイダーは信頼関係を結ぶために、前もってお互いの情報を交換し合う。把握している情報とSAMLトークンに含まれる情報が一致しなければ、サービスプロバイダーはそのSAMLトークンを許可しない。この厳格なチェックでセキュリティの向上を支援する。

　このようにSAMLは、パスワードの一元管理だけでなく、SSOによる利便性向上、そしてSAMLトークンによるセキュリティ向上をも実現するのだ。

フェデレーションの導入方法

　フェデレーションを導入する場合、パスワードの一元管理と認証を担当するシステムが必要になる。そのシステムとして広く活用されているのが、Microsoftのディレクトリサービス「Active Directoryドメインサービス」（以下、AD）だ。ADは同社のサーバOS「Windows Server」の機能として提供されており、ADをオンプレミスシステムの認証基盤として活用している企業は少なくない。

　最近では、このADによる認証機能をクラウドサービスでも活用したいというニーズが高まりつつある。これを実現するのが、同じくMicrosoftの「Active Directoryフェデレーションサービス」（以下、ADFS）だ。2016年6月現在の最新版は、サーバOS「Windows Server 2012 R2」が搭載するADFSバージョン3.0だ。

　ADFSはエンドユーザーとADの間を仲介し、「ADFSサインインページ」というログインページを提供する。エンドユーザーはADに登録してある自分のID／パスワードでADFSサインインページにログインし、認証に成功すればADFSがSAMLトークンを発行する。つまりADおよびADFSがIDプロバイダーとして動作する、というわけだ。この仕組みを使えば、ADによる認証結果でクラウドサービスを利用できることになる。

　ただしADもADFSも本来は社内に存在するべきシステムであり、セキュリティを考慮すると外部に公開すべきではない。だが昨今のモバイルワークのニーズの高まりを考えると、外出先の従業員がインターネット経由でADFSへアクセスできなければ利便性が損なわれてしまう。そこでWindows Server 2012 R2は、ADFSの代わりにプロキシサーバとして外部公開する「Webアプリケーションプロキシ」（以下、WAP）を一機能として備える。

　先ほどのSAMLの説明でも触れた通り、フェデレーションの実現には、IDプロバイダーとサービスプロバイダー間でエンドユーザーのID情報を同期しておく必要がある。Microsoftは同社のOffice 365に対して、ユーザー企業の社内ADとディレクトリを同期できるツール「Azure Active Directory Connect」（以下、Azure AD Connect）を提供している。Office 365以外でも、ADとのディレクトリ同期ツールを用意するオンラインサービスが増えつつある。オンラインサービスでもADを認証基盤に使う動きが広がっているのだ。

　なお可用性とセキュリティを考慮したフェデレーションを実現する場合、ADはもちろん、ADFSやWAP、ディレクトリ同期ツールも同様に冗長化する必要がある。これはWindows Serverの負荷分散機能「ネットワーク負荷分散（NLB）」を使うことで実現可能だ。ただし運用管理が必要なWindows Serverマシンの台数が増え、一定の管理工数が増加する。

「ADC」のIDプロバイダー化でセキュリティ強化

　ワークスタイル変革の推進によって、従業員が外出先で仕事をすることも珍しくなくなってきた。外出先からインターネット経由でフェデレーション環境へアクセスできるようにする場合には、処理し切れない負荷を掛けるなどのサイバー攻撃にさらされないかどうかが不安要素になる。

　IDプロバイダーへログインできれば複数のクラウドサービスへのSSOができてしまうので、IDプロバイダーへの不正ログイン防止も大切になる。そのためは複数の認証要素を組み合わせる「多要素認証」が不可欠だ。

　これらに対処するためには、ADFSやWAPの代わりにIDプロバイダーとなり得るシステムの導入も有力な選択肢となる。その有力な選択肢が、アプリケーションデリバリコントローラー（ADC）だ。中には認証機能を備えIDプロバイダーとして機能できるADCもある。多要素認証機能やエンドユーザーが利用するデバイス／場所に応じたアクセスポリシーを実装する仕組みを持つADCもあり、セキュリティを強化したIDプロバイダーを構築できる。

　ADCはもともとインターネットに公開する前提で設計されており、高度なファイアウォール機能により、分散型サービス拒否（DDoS）攻撃など大規模なトラフィックを発生させるサイバー攻撃にも対処できる。また多要素認証についてもADFSバージョン3.0が標準で提供する証明書認証やデバイス認証に加えて、ワンタイムパスワードといった追加の認証機能を追加できるADCもある。

　次回は、クラウドサービスを利用したフェデレーションの導入方法を紹介する。