ホワイトハウスによるLogin.gov義務化にアイデンティティブローカー戦略が必要な理由

Steve Wallace連邦政府担当フィールドCTO | F5

米国ホワイトハウス行政管理予算局（OMB）は、最近、重要な指令を発出し、米国連邦政府の指導部に対して、一般公開されているすべての連邦政府ウェブサイトでLogin.govを主要な認証オプションとする方針を示しました。

この政策指令では、厳しいコンプライアンス達成期限が設定されており、各政府機関に対し、60日以内に認証ポータルの棚卸しを行い、240日以内に包括的なデジタルアイデンティティリスク評価を実施し、2年以内に全面的な運用展開を完了するよう求めています。

OMBの指令により、デジタルアイデンティティの統合は、政府機関にとって遠い将来の目標から具体的なコンプライアンス要件へと変わり、責任者は公共向けエッジを防御しながらレガシーアーキテクチャをモダナイズすることを迫られています。

運用上の課題

この指令では、政府機関に対し、市民認証のデフォルトのアイデンティティプロバイダー（IdP）としてLogin.govの利用を促進すると同時に、特定の任務要件に対応するため、承認済みの商用クレデンシャルサービスプロバイダー（CSP）を引き続きサポートすることを求めています。

政府機関のCIO、CISO、エンタープライズアーキテクトは、厳格な期限を遵守しながら、複雑なインフラストラクチャ全体に最新のOpenID Connect（OIDC）およびSAML対応のアイデンティティプロバイダーを統合するという、2つの課題に直面します。

連邦政府のデジタルインフラの大半は、OIDCとの直接統合を想定して設計されていません。何千ものミッションクリティカルなアプリケーションが、Kerberos、HTTPヘッダーインジェクション、独自のセッショントークンなどの従来型認証メカニズムに依存しており、大規模なコードのリファクタリングを行わなければ、最新のIdPからのアサーションをネイティブに解析できません。

同時に、市民からのトラフィックを公開認証ワークフローに集中させると、認証ハンドシェイクが行われる前の政府機関の登録エンドポイントが、クレデンシャルスタッフィング、アカウント乗っ取り、合成ID詐欺など、AIを利用した自動攻撃の格好の標的となります。

コンプライアンス対応のロードマップ

OMB指令では、2年間にわたる4つの重要な実装マイルストーンが示されています。

• 60日以内（WebサイトとAPIの検出）：各政府機関は、ユーザー認証を必要とするすべての一般公開Webサイト、Webアプリケーション、APIについて、検証済みの一覧をOMBに提出する必要があります。
• 240日以内（デジタルアイデンティティのリスク評価）：各政府機関は、一般公開されているすべてのエントリーポイントを対象に、認証のレジリエンス、本人確認ワークフロー、不正行為につながる脆弱性を評価する必要があります。
• 1年以内（複数プロバイダーの共存）：各政府機関は、General Service AdministrationのLogin.govに関するベストプラクティスを採用し、Login.govをデフォルトの選択肢として設定するとともに、特定のユーザー層向けに、承認済みの商用CSP（ID.meやCLEARなど）との共存を維持する必要があります。
• 2年以内（本格運用の全面展開）：各政府機関は、対象となるすべての一般向け連邦政府システムにLogin.govを全面導入する必要があります。

F5とともに移行を円滑に進める

F5は、IDブローカー機能とエッジセキュリティアーキテクチャをF5 Application Delivery and Security Platform (ADSP)に直接統合することで、コンプライアンス対応を簡素化します。政府機関がアプリケーションのアーキテクチャを手作業で再設計する必要はありません。F5がデータパス内で一元的なポリシー適用ポイントおよびプロトコルブリッジとして機能し、政府機関による以下の実現を支援します。

1. 自動検出とアタックサーフェスのマッピング（60日以内のマイルストーン）： F5 API securityとF5 Distributed Cloud Web App Scanning を使用すると、ハイブリッド環境とマルチクラウド環境全体で、外部公開されているWebアプリケーション、エンドポイント、シャドーAPIを自動的に検出し、カタログ化できます。さらに、F5 Insight for ADSPのテレメトリと組み合わせることで、基盤となるコードを変更することなく、認証対象のアタックサーフェスについて、監査済みの包括的なインベントリを作成できます。
2. 認証前の不正行為およびボットの管理（240日目のマイルストーン）：F5 Distributed Cloud Bot Defenseは、アプリケーションエッジで行動AIテレメトリを活用し、トラフィックがLogin.govまたは政府機関のサーバーに到達する前に、自動化されたクレデンシャルスタッフィング、ブルートフォース攻撃、不正な登録試行を阻止します。F5 WAAPは、トラフィックを継続的に監視してAPI認証フローを検査し、政府機関のリスク評価に使用できる定量的なテレメトリを提供します。
3. IDブローカーと複数IdPのフェデレーション（1年後のマイルストーン）：F5 BIG-IP Zero Trust Accessは、インテリジェントなIDフェデレーションゲートウェイとして機能します。このソリューションは、新規ユーザーをデフォルトでLogin.govに誘導する一方、特定の高保証ワークフローやレガシーワークフローを承認済みの商用CSPにルーティングし、異なる上流プロバイダー間で統一された認可ポリシーを適用します。
4. 再設計を伴わないレガシープロトコルのブリッジング（2年目のマイルストーン）：BIG-IP Zero Trust Accessは、イングレスプロキシでLogin.govのOIDCおよびSAMLアサーションを終端し、レガシーバックエンドに必要なKerberos（KCD）、HTTPヘッダー、またはRADIUSセッションに変換します。高保証が求められる機関、防衛機関、情報機関向けには、F5 VELOS とF5 rSeriesのシャーシが、主権環境およびエアギャップ環境への導入に対応する、FIPS 140-2/3およびDoDIN APL認証済みのパフォーマンスを提供します。

タイムラインに適したツール

OMBの指令から明らかなことは、デジタルアイデンティティの統合が直ちに取り組むべき運用上の優先課題だという点です。認証エンドポイントの一覧化、エッジでのボット対策の自動化、アイデンティティを考慮したプロトコルブリッジの実装に早期から取り組む政府機関は、コンプライアンス期限を迎えるよりもはるか前に、こうした移行を円滑に進められます。

これらをはじめとするF5の公共部門向けソリューションが、進化するコンプライアンス要件への対応とインフラストラクチャのモダナイゼーションの加速において、連邦政府機関をどのように支援するかをご覧ください。

著者について

Steve Wallace連邦政府担当フィールドCTO | F5

Steve Wallaceのその他のブログ記事