アジリティの実現：IDフェデレーションサービス

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

かつて（ここで言う「かつて」とは2003年のことで、テクノロジーの世界では大昔です）、よりシームレスなアイデンティティ管理エクスペリエンスの実現に大きな期待が寄せられていました。当時、Security Assertion Markup Language（SAML）が注目を集め始め、特にシングルサインオン（SSO）ソリューションの実装を目的としたアイデンティティプロビジョニングで広く利用されるようになりました。

当時の大きな懸念は、孤立アカウントへの対応とパスワード管理の簡素化でした。ご記憶のとおり、あらゆるものがWebアプリケーションへと移行していた「Web化とSOAの時代」です。そのため、アイデンティティ管理の課題に対処するうえで、Webネイティブな標準を採用することは理にかなっていました。

今では、それが理にかなっていることも明らかになりました。

結局のところ、今ではあらゆるものが「クラウド化」されています。つまり、Web化されたアプリがすべて外部の「クラウド」へ移行しているということです。プロビジョニングと管理（および孤立アカウントや不正アクセスの防止）に伴う課題は、社内システムだけでなく、外部でホストされるクラウドベースのシステムにも及ぶようになっています。

これは、F5が2016年に実施した「アプリケーションデリバリーの現状」調査の結果からも裏付けられています。ハイブリッド（マルチ）クラウド環境で直面している課題について尋ねたところ、上位2つの回答は、特定のアプリケーションのホスト先を判断するための分析機能が不足していること（29%）と、包括的なアイデンティティ管理ソリューションを特定できていないこと（29%）でした。だからこそ、2016年に導入予定のサービスで首位に挙がったのが、満を持してのアイデンティティフェデレーション（26%）だったのかもしれません。

アイデンティティフェデレーションは、企業内のアイデンティティについて、外部のシステム（オフプレミス、クラウド）も含めた自動プロビジョニング、監査、管理を支援するソリューションが成熟（または進化）したものです。このソリューションでは、DNSのような「信頼できるアイデンティティソース」を基準として、アプリケーション固有のアイデンティティを統制します。このソースは企業の正式なアイデンティティストアであるため、ほぼ常にオンプレミスに置かれます。

アイデンティティフェデレーションはSAMLを活用し、SaaSなど、IT部門の管理外にあるアプリケーションとの仲介役を果たします。ID Federationサービスは、ユーザーとアクセス先のアプリケーションとの間を仲介し、BobがOffice365にアクセスしようとした際に、そのアイデンティティが引き続き有効であり、かつそのアプリケーションへのアクセス権限があることを確認します。いずれかを満たさなければ、アクセスは拒否されます。両方を満たしていれば、また新たなPower Pointプレゼンテーションが、ほどなく受信トレイに届くことでしょう。

According to Osterman Researchによると、IT部門がアカウントのプロビジョニング解除の必要性を認識するのは、ユーザーが組織を離れてから9日後です。また、Active Directoryのユーザーのうち、平均5%はすでにその組織に在籍していないことも明らかになりました。「認可済み」であるかどうかも見過ごせません。同じ調査によると、従業員の19%が毎年、役割や職責を変更しており、それに伴ってアクセスレベルが変わる可能性があるため、無視するのは危険です。

IDフェデレーションサービスは、SSO機能も提供できます。たとえば、F5のリモートポータルに一度ログインすれば、IDフェデレーションサービスによって、オンプレミスやSaaS上のさまざまなWebアプリケーションを自動的に起動できます。一度ログインするだけで、その後はログインを気にする必要がありません。

IT部門も同様に手間がかかりません。信頼できる情報源に照らして、私の役割、アクセスレベル、有効性を確認できるためです。変更内容を手作業やWebを介した何らかのプロセスで反映させる必要がないため、9日後ではなく、常に最新の状態が保たれます。これにより、私だけでなく、そうでなければSaaS-1やSaaS-2の担当者からその日の早い時間にメールで送られてきたExcelスプレッドシートを使い、一日中変更内容を確認することになるIT担当者の生産性も向上します。実際、SAMLが企業向けSaaSのIDフェデレーションにおける事実上の標準となる以前は、このような方法で運用されていました。

ただし、SAMLはDropBox、SFDC、Office365のような「ユーザー」向けアプリだけのものだと考えるべきではありません。IT部門がアクセスするクラウドベースのシステムを管理するうえでも、非常に有用なツールです。たとえば、AWSでインスタンス、アクセス、サービスを管理する担当者がいるとします。多くの場合、その管理にはAWS管理ポータルが使用されます。このポータルは、IDフェデレーションサービスを介して管理できます。

Office365へのアクセスを一元化された信頼できる情報源から管理したいのと同じ理由で、クラウドインフラストラクチャを管理するシステムへのアクセスも管理する必要があります。退職者がそのシステムにアクセスできる状態は避けるべきですし、アクセスが無効になるまで9日間も待つことも望ましくありません。SAMLによる統合と自動化を通じてリスクを排除し、プロビジョニングのワークフローも改善できるのは、行きつけの店で「1つ買うともう1つ無料」のセールを利用するようなものです。

IDフェデレーションサービスは、生産性の向上とリスクの低減に加え、従業員の退職や役割・責任の変更のたびに、監督を要する高コストな手作業を行う必要をなくすことで、運用コストを削減できる可能性があります。

この機能は最終的にアジリティを向上させ、IT部門が変化に適応し、ビジネス施策を支援・推進しやすくします。時間のかかる手作業や個別にカスタマイズされた統合に縛られなくなれば、煩雑な手順を踏むことなく、システムをより容易かつ迅速に変更し、ポリシー適用の一貫性を確保できます。これにより、コンプライアンスとアクセスを確保するために必要なすべての要素をIT部門が手作業で「接続」する必要に妨げられることなく、必要に応じてシステムやアプリを移行、追加、削除できます。

IDフェデレーションサービスは、SSOとフェデレーションアクセスによってユーザーの利便性を高めるだけでなく、アジリティの向上、リスクの軽減、オンプレミスやクラウドで日常的に使用するアプリが増え続ける中で、その管理に伴う運用コストの削減にも役立つツールとして、ますます重要になっています。

SAMLの詳細を知りたい方は、F5のJohn WagnonによるSAMLのLightboardレッスンをご覧ください。

著者について

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。

Lori Mac Vittieのその他のブログ記事