はじめに OpenID Connect は OAuth 2.0 を拡張する形で策定されました。 OAuth 2.0 はアクセストークン発行手順に関する仕様で、**RFC 6749（The OAuth 2.0 Authorization Framework）**で定義されています（参考：一番分かりやすい OAuth の説明）。 一方、OpenID Connect は ID トークン発行手順に関する仕様で、主要部分は OpenID Connect Core 1.0 で定義されています（参考：一番分かりやすい OpenID Connect の説明）。 RFC 6749 は**認可エンドポイント**という Web API を定義しています。 この API は必須のリクエストパラメーターとして response_type を要求します。 OpenID Connect は、この response_ty

認証は単純な概念で、別の言葉で言えば本人確認です。Web サイトにおける本人確認の最も一般的な方法は ID とパスワードの組を提示してもらうことですが、指紋や虹彩などの生体情報を用いた本人確認方法もありえます。どのような確認方法だとしても (ワンタイムパスワードを使ったり、2-way 認証だったりしても)、認証とは、誰なのかを特定するための処理です。開発者の言葉でこれを表現すると、「認証とは、ユーザーの一意識別子を特定する処理」と言えます。 一方、認可のほうは、「誰が」、「誰に」、「何の権限を」、という三つの要素が出てくるため、複雑になります。加えて、話をややこしくしているのは、この三つの要素のうち、「誰が」を決める処理が「認証処理」であるという点です。すなわち、認可処理にはその一部として認証処理が含まれているため、話がややこしくなっているのです。 認可の三要素をもう少し現場に近い言葉で表

こんにちは、富士榮です。 昨年夏のリリース時から「パスワードは時代遅れです」というメッセージで世の中を混乱の渦に巻き込んできたWindows 10ですが、半年が経過した今でも「やっぱり意味がよくわからない」という声をしばしば耳にします。 ※ちなみにTH2のビルドだと「PINのセットアップ」というメッセージになっています。 これまでも各所の記事やセミナなどでは簡単に話をしたことはあるのですが、ちょうど前回から書き始めているWindows 10のドメイン参加やサインインの仕組みの大前提になる話でもあり、良い機会でもあるので簡単にまとめておきたいと思います。 （ちなみに多分に私見が入っています） ◆何が議論されているのか？ まず、これまで起きている議論はどういうものなのか、簡単にまとめておきます。 Windows 10をセットアップすると「PINはパスワードを使用するよりも早くて安全です」という

The Polaris Dawn crew is back on Earth after a historic mission

2. Copyright 2013 OpenID Foundation Japan - All Rights Reserved. ID管理システム プロビ ジョニング システム SSO / アクセス 管理 システム OpenID ConnectとSCIM ユーザー・ プロビジョニングAPI （SCIM Server) エンドユーザー向けWeb アプリケーション （OpenID Connect RP） 社内の ユーザー追加・ 変更・削除 サービスAの 利用 管理者 エンドユーザー 利用企業A社 SaaS A社 ユーザー・ プロビジョニングAPI （SCIM Server) エンドユーザー向けWeb アプリケーション （OpenID Connect RP） SaaS B社 サービスBの 利用 SCIM APIに従い、 サービスBの ユーザー追加・ 変更・削除 SCIM APIに従い、 サービス

SAMLからOpenID Connectへ ~ フェデレーション技術の広がり Presentation Transcript 工藤達雄 株式会社野村総合研究所 http://www.linkedin.com/in/tatsuokudo SAMLからOpenID Connectへ フェデレーション技術の広がり Copyright 2013 OpenID Foundation Japan - All Rights Reserved. SAML「から」OpenID Connectへ…? そもそも、「従業員向けSaaS/ASP」において SAMLは普及しているのだろうか? SAML SP（サービス・プロバイダ）機能を 備えたSaaS/ASPは増えているが、大多数が あまり利用されていないのはなぜだろうか? 1 Copyright 2013 OpenID Foundation Japan - A

Prepared for #DevLOVE http://devlove.doorkeeper.jp/events/7419 Read less

OpenID 2.0の一部実装に脆弱性、その詳細と対策とは：デジタル・アイデンティティ技術最新動向 臨時便 米OpenID Foundationが8月15日に、OpenID 2.0の一部OpenID Provider（OP）実装において、Relying Party（RP）上でのアカウントハイジャックにつながる可能性のある重大な脆弱性が見つかったことをアナウンスしました。この記事では、その詳細と対策について述べます。 8月15日に公表されたアカウントハイジャックの脆弱性 OpenID Foundation Japan、Evangelistの@novです。 2013年8月15日に米OpenID Foundationからリリースがあったように、OpenID 2.0の一部OpenID Provider（OP）実装に、Relying Party（RP）上でのアカウントハイジャックにつながる可能性のあ

いろんなアイデンティティ管理系製品やサービスの実験の記録をしていきます。 後は、関連するニュースなどを徒然と。 ここのところ Windows Azure Active Directory（WAAD）の機能拡充が加速しているようです。 今回は以前に紹介した Intel Cloud SSO（現McAfee Cloud SSO）の様ないわゆる Identity as a Service（IDaaS）の持つ、クラウド・サービスのアイデンティティ管理基盤としての機能である「アプリケーション・アクセス」が追加されました。（現行 Preview） 公式 blog によると、以下のような機能が追加されたということです。 A gallery of pre-integrated SaaS apps including top apps like Office 365, Box.com, Salesforce.

はじめに 本書は「エンタープライズロール管理」について、その基礎となる考え方や実施の意義、ID管理システムを導入するにあたって同時に検討すべき「ロール管理」について、実用的な導入指針（ガイドライン）を示している。本書の作成にあたったワーキングループには、ID管理製品やロール管理製品の開発・販売ベンダー、導入経験のあるSIer・コンサルタント等が多数参加しており、特定の製品に偏向しないことを留意しつつも、ロール管理を導入するユーザ、SIer等にとって有用となる知識・ノウハウを持ち寄った。 その結果、本書はロール管理とは何か？から始まり、ID管理におけるロール管理の重要性を解説し、実際のロール管理の実装ステップをステップ毎に解説をおこなっている。また、ロール管理はその運用が重要になるため運用のガイドラインとなるものを解説した。 これから、ロール管理を導入検討する人には、プロジェクトの推進の準備

昨今、個人情報保護法、e-文書法、そして日本版SOX法や内部統制というコンプライアンス（法令順守）への具体的対応の技術の1つとして、日本でも脚光を浴びている分野の1つがアイデンティティ管理である。アイデンティティとは「属性の集合」のことを指し、人間個人に適用した場合、「個人を特定する属性群である個人情報」と定義できる。例えば図1に示すように、氏名・住所・アカウント名・趣味嗜好などがそれに相当する。 厄介なのは、これらの個人情報が、ネットワーク社会の進展に伴って、不十分な管理下でさまざまな場所で広範囲に使われているということだ。この結果、インターネットなどの外部からの不正アクセスや内部の不正利用により、個人情報の窃盗やそれを利用した犯罪につながっている。 一般的にアイデンティティ（ID）管理は、アクセスの面からは利便性と安全性が求められ、管理の面からは正確性と経済性が論じられることが多い。広

連載目次 第1回ではクラウド・サービスとのアイデンティティ連携に関する技術要素および基本的な考え方について解説し、第2回、第3回では実際にOffice 365と社内のActive Directory（AD）の連携に関する環境構築の方法および社内外のPCおよびスマートフォンからの実際の利用方法を解説した。今回はOffice 365に引き続き、Googleの提供するSaaS（Software as a Service）であるGoogle Appsと社内ADとの連携方法、および社内のアイデンティティ情報を利用してGoogleが提供するAPI群をセキュアに利用するための方法について解説する。 なお、以前の記事「Windowsで構築する、クラウド・サービスと社内システムのSSO環境 第3回」でもAD FS 2.0とGoogle Appsのシングル・サインオン（SSO）環境の構築方法を解説しているが、

On November 30th, 2016, Mozilla shut down the persona.org services. Persona.org and related domains will soon be taken offline. For more information, see this guide to migrating your site away from Persona: https://wiki.mozilla.org/Identity/Persona_Shutdown_Guidelines_for_Reliers Simple, privacy-sensitive single sign-in: let your users sign in to your website with their email address, and free you

結城浩 RFIDなどの、固有IDの問題を考えるためのシンプル・シナリオを提示します。 シンプルなシナリオと具体例を通して、固有IDの注意点がどこにあるかを明確にしましょう。 目次 はじめに このページについて このページの構成 わたしについて 「固有IDのシンプル・シナリオ」 時刻(A): 場所(A)にて 時刻(B): 場所(B)にて ボブが知りえたこと シンプル・シナリオ適用例 適用例1: メンバーズカード 適用例2: IDの自動読み取り 適用例3: 読取機を持ち歩く人 適用例4: ダイヤの密輸 適用例5: 徘徊老人の命を救う 適用例6: 遊園地の迷子探し 適用例7: 携帯電話 固有IDに関連するQ＆A 固有IDのシンプル・シナリオで、何を言いたいのか？ メンバーズカードの例は問題なのか IDには個人情報が盛り込めないのではないか？ 暗号化すれば大丈夫？ 強固なセキュリティでデータベース