Google Cloud の IDaaS「Identity Platform」で作る、さまざまな認証パターン Identity Platform を使うと、さまざまな認証パターンが構築できる！ この記事は2023年10月6日に行われたナレッジワークさん主催のイベント「Encraft #7 AppDev with Google Cloud」で発表したセッションの解説記事です。現地でご参加いただいた皆さん、オンラインでご視聴いただいた皆さん、ありがとうございました！ 私のセッションでは Identity Platform を使ったさまざまな認証パターンについてご紹介しました。セッション後、いくつかのご質問や「こんなパターンもあるよ！」というコメントもいただきました(ありがとうございます！)。この記事では、セッション内でご紹介した内容に加え、別解、または発展系とも言えるいくつかのパターンについて

こんにちは。ATOM事業部の下江です。普段はフロントエンドエンジニアとして開発を行っています。 ATOMでは、様々な媒体(google, facebook, yahoo...等)とデータ連携をし、収集したデータはレポート出力するなどしてユーザに利用していただいています。 ほとんどの媒体ではデータ連携を行うために、OAuth2.0による認証・認可を行っています。 今回は媒体ごとの認証認可の仕組みの共通点や相違点について、認可コードフローについての記載があるRFC6749 と並べながら紹介していこうと思います。 (※これらは執筆時点 2021年10月 での情報をもとに作成しております。最新の状況については、各媒体公式ドキュメントをご参照ください。) 認可コードフローについて 認可リクエスト時のパラメータ 認可レスポンス時のパラメータ 成功ケース 失敗ケース まとめ 認可コードフローについて R

はじめまして、2019年10月に入社しました開発・インフラ本部の丸山と申します。 弊社テックリード(@yukung)がついに短パン*1で出社したという観測情報に触れ、いよいよ日本にも夏が到来したことを実感しているところであります。 さて、私が担当させていただいているInnovation Captital Pathfinder（以下、ICP）におきまして、このほど認証機能をKeycloakに移行したので、機能移行までに検討したことを振り返ってみたいと思います。 前置き 私たち開発しているICPは、弊社が抱える膨大な数の特許情報や科研費情報などをもとに、お客様の新規事業の創出を支援するサービスです。公式には2020年1月にリリースしていますが、実はPoCも含めると2018年から開発が続いている弊社では比較的息の長いサービスです。 弊社が抱える膨大な量のデータを、いかにユーザーが利用しやすい形で

Cookie でログイン状態を管理すればいいんじゃいのかな。 まず、ログインボタンを押した時「だけ」is_logged_on を真にする。 HTTP/1.1 Authorization Required Set-Cookie: is_logged_on=1 WWW-Authenticate: Basic realm="Hoge123456" ...サーバ側では、Basic 認証のパスワードがあり、かつ、is_logged_on の値が真であることをチェックすればいい。 GET / HTTP/1.1 Cookie: is_logged_on=1 Authorization: Basic ... ... HTTP/1.1 200 OK ...で、ログアウトの際には、Cookie を消す。 HTTP/1.1 200 OK Set-Cookie: is_logged_on=0 ...そして、is_

※ 画面は公式サイトデモより ああ、これは個人的にとても嬉しい。Railsはとても優秀なフレームワークだが、これで敢えてブログを運用しようとも、開発しようとも思わない。既にWordPressという優秀なブログエンジンが存在するからだ。車輪の再開発は個人的にはしても良いと思うのだが、もっと別なことにエネルギーを向けられるならそれがベストだ。 デモ。ユーザを選んでログインを実行する また、WordPressには既に多数のプラグインが存在し、それらを使えばできることはたくさんある。それの足りない部分をRailsで補うというのはどうだろう。 今回紹介するオープンソース・ソフトウェアはRails Integration API、Railsを使ってWordPressにシングルサインオンするプラグインだ。 Rails Integration APIはRailsだけで成り立つものではない。WordPres

Apache で OpenID 認証を行う mod_auth_openid を試してみた。 インストールする OS は CentOS-4 (多分 5の方が楽)。 まず C++ で書かれた OpenID ライブラリ libopkele をインストール……するのだけど、その前に pkg-config で libpcre を扱えるように、libpcre.pc を用意 (これは CentOS-5 だと libpcre のパッケージに入ってる)。 /usr/lib/pkgconfig/libpcre.pc # Package Information for pkg-config prefix=/usr exec_prefix=/usr libdir=/usr/lib includedir=/usr/include/pcre Name: libpcre Description: PCRE - Perl

BASIC認証のかかっているディレクトリがあり、そのサブディレクトリに別のBASIC認証をかけたい場合があったのでメモ。 たとえば、http://example.com/hoge/ にすでにBASIC認証がかけられているが、http://example.com/hoge/fuga/ に別のBASIC認証「だけ」をかけたい、といった場合です。 簡単に考えると、ディレクティブやディレクティブを2つ並べればうまくいきそうなもんですが、両方の認証がかかってしまいます。 そこで、ディレクティブとディレクティブの両方を使うと期待通りに動作しました。具体的な設定例は次の通り。 <Location ~ "^/hoge/fuga"> AuthType Basic AuthUserFile /path/to/.htpasswd.fuga AuthName "Enter password for fuga" R

前書き 統合 Windows 認証とは，ドメインの認証情報を使って HTTP サーバに認証してもらう方式です。Windows クライアントがドメインにログインしていれば，認証ダイアログが出現することなく自動的に認証されます。統合 Windows 認証には以下の2通りがあります。 NTLM 認証 SPNEGO 認証（Active Directory 環境下；すなわち Kerberos GSSAPI を利用） 今回はわけあって NTLM 認証を扱います。 Apache on Unix*1 で NTLM 認証をサポートするものには，有名なもので以下の物があります。 mod_ntlm Unofficial mod_ntlm modification mod_auth_ntlm_winbind 前者 2 つはほぼ同じもの（2 つめが改良版で Apache 2.2 にも対応している）ですが，後者の m

にわかに注目を集めている、URLをIDとして利用する認証プロトコル、OpenID。本連載ではこのプロトコルの仕組みを技術的に解説するとともに、OpenIDが今後どのように活用されていくのかを紹介する（編集部） OpenIDってなんだろう？ 現在、国内外でにわかに注目されつつあるOpenIDという仕組みを聞いたことがあるでしょうか？ これはユーザー中心の分散ID認証システムですが、まだ日本での普及は進んでいない状況です。 これにはいくつか原因が挙げられるでしょうが、筆者はOpenIDが正しく理解されていないことが原因だと考えます。 本連載ではOpenIDの現行仕様、およびその拡張仕様とともに、実装を例に取りつつOpenIDとは何かということを明らかにしていきます。最終的にはOpenIDが切り開く未来を見るため、現在策定中の次期仕様についても触れていきたいと思います。 広がりつつあるブラウザベ

ディレクトリの普及とディレクトリ管理の難しさ 連載第3回『「並列」と「直列」から「統合型」の認証サーバへ』では、シングル・サインオンの実現方法についていくつかのパターンをご紹介しました。 認証を行うシステムにとってLDAPに代表されるディレクトリはユーザーID格納庫であり、スキーマやパスワード格納方法の互換性がなければ、やむを得ず複数のディレクトリサーバを使用しなくてはならない場合もあることをご説明しました。 最終回となる今回は、再びディレクトリに話題を戻して、現在企業が抱えているディレクトリの問題と、それに対するソリューション、将来の展望についてお話しします。 バラバラのユーザーIDが引き起こしている問題点とは？ 企業システムの中にいろいろなディレクトリが存在しています。その中にはLDAPやActive Directoryのような典型的なディレクトリシステムもあります。Lotus Dom

「シングルサインオン」実現へのユーザー認証の一元化 「ディレクトリを導入すること」イコール「シングル・サインオンを実現すること」と考えられている場合がよくあるようです。しかし、この両者は技術的には独立したものです。シングル・サインオンを実現するうえで、ユーザーの認証情報などを効率よく管理するためにディレクトリを利用することはよくあります。しかし決して、ディレクトリを導入するだけで、自動的にシングル・サインオンが実現されるということはありません。 第2回「『シングル・サインオン』へのファーストステップ」では、ディレクトリの技術、特に最近注目されているLDAPというキーワードに焦点を当てての概要をご紹介しました。今回は、シングル・サインオンを実現する際にどのようにディレクトリが利用されるのかその技術的な概要を説明します。 統合認証サーバによる“並列”シングル・サインオン 連載第１回「なぜシング

企業でのWebサービスの実現が具体的になるにつれ、パスワード／IDマネジメントが重視されるようになり、「シングル・サインオン」がますます注目を集めている。この連載では、シングル・サインオンの実践ステップなど具体的な考え方を紹介する。また、メタディレクトリやLDAPなど「ディレクトリ統合」をキーワードとしてシングル・サインオンを実現するための技術を分かりやすく解説する。（編集部） シングル・サインオンとは何か 現在、多くの企業の情報システムは、多種多様なプラットフォームを組み合わせて利用しています。そして、それらのプラットフォーム上では多種多様なアプリケーションが動作しています。 通常、ユーザーはクライアントPC上のOSや各アプリケーションに対して、ログインの手続きを行ったうえでそれらを使用します。ユーザーは自分自身を識別するための情報（例えばユーザーIDとパスワードの組み合わせ）を提示し、

ディレクトリとLDAPを理解する 第1回「なぜ『シングル・サインオン』は必要なのか？」で解説したように、ユーザーIDやパスワードの認証管理に、ディレクトリやLDAP（Lightweight Directory Access Protocol）などの技術が使われています。そこで第2回は、「シングル・サインオン」へのファーストステップとして、それらに焦点をあてて解説します。LDAPが特に使われるようになった経緯から、LDAPの4つのモデルと、3つの機能、メリットやデメリットを解説し、具体的に利用できる製品までを紹介します。 データベースより自由度の高いディレクトリ ディレクトリとは、目的の情報を探し出す仕組みのことです。わたしたちの生活に当てはめれば、図書館の目録や電話帳、ショッピングセンターの案内板などがそれにあたります。そして私たちは、より情報を探しやすくするために、見出しをつけたり、項目