2008/07/18 Identity management
Identity management
Identity management
- the management of the identity life cycle of entities (subjects or objects). (Wikipedia)
関連仕様メモ
ディレクトリ
- X.500シリーズ(ITU-T), ISO/IEC 9594
- Last 2005-08
- ネットワークを利用する上で必要な情報（コンピュータ名、プリンタ名、ユーザ名など）を得る。
- ユーザが検索しやすい方法で名前とプロパティの一式を提供する。
- クライアント・サーバ方式で動作する。
- DNSもディレクトリサービスの一つ
ディレクトリ・アクセス、ディレクトリ・データベース
- LDAP v3 (IETF)
- Lightweight Directory Access Protocol
- v3、RFC4510～RFC4519(2006/01～06)他
- X.500 DAPより軽量、TCP/IPのモデルに対応。
- IETF: Internet Engineering Task Force
- OpenLDAP
- DBはBDB
- ActiveDirestory
- DBはJet
認証・認可サービス
規格
- SAML 2.0 (OASIS*)
- Security Assertion Markup Language
- OASIS: Organization for the Advancement of Structured Information Standards
- 2.0は2005-03-15承認
- SAMLで相互運用
- AuthXMLとS2ML(Security Services Markup Language)を統合
- 同一IDによる名寄せ防止、プライバシーに配慮し他の認証サービスから最低限必要な属性だけ取得する。利用者の認証、属性、属性に対するアクセス制限を分けて管理する。
- アサーションはユーザの認証情報や属性情報。SAMLオーソリティで発行される認証・許可情報が記述された証明書。IdPからSPに提供されるID情報
- ID-FF 1.2 (Liberty)
- 元はSunが立ち上げたコンソーシアム
- OpenSAML 1.1 (Internet2)
- WS-Federation
- 元はMicrosoft、IBM、Verisignらが2004年に発表
- OpenID (OpenID Foundation)
- OpenID 2.0は2007-12
- 元はSix ApartのBrad Fitzpatrick
- ID発行サイト運営はBlogger (Google), Yahoo, LiveDoor, AOL, Flickr, LiveJournal, Orange (France Telecom), SmugMug, Technorati, Vox, WordPress.com, はてな, OpenID.ne.jp
- サービス連携統一の流れ
- [Internet2] SAML 1.0 --> OpenSAML 1.0 --> OpenSAML 1.1 --> SAML2.0
- [OASIS] SAML 1.0 --> SAML 1.1 --> SAML 2.0
- [Liberty Alliance] SAML 1.0 --> Liberty1.0 --> ID-FF 1.1 --> SAML 2.0
- [Microsoft] WS-Federation --> SAML 2.0
- Liberty AllianceとWS-Federation
- 2004-04
- WebSSO MEX Protocal, WebSSO Interop Profile
- Project Tango（Javaと.NETの互換）へ
SAMLの実装
- Shibboleth (Internet2)
- Libety Alliance
- OpenSSO (Sun)
- 元はSun Access ManagerのOSS版、現在はOpenSSOの成果をAccess Managerとして商用化
- JOSSO
- Java Open Single Sign-On Project
- .NET Passport (Microsoft)
- Windows Live ID (Microsoft)
- GetAccess (Entrust)
- IceWall SSO (HP)
- Tivoli Access Manager (IBM)
- SUN/Java System Access Manager (Sun)
- ADFS: Active Directory Federation Services (Microsoft), Windows 2003 R2
- SiteMinder (CA)
- Netegrityを2004年に買収
アクセス制御
定義言語
- XACML 2.0 (OASIS)
- eXtensible Access Control Markup Language
- 2.0は2005-02-01承認
- Rule要素
- Subject（主体）
- Resources（資源）
- Action（動作）・・・Read, Write, Delete, ...
- Condition（条件）
- ポリシー
- 複数のRule、Ruleの集合
- Policy要素の子にTarget Rule、Obligations（責務）などを記述。
- 責務の例）アクセスログを取る、注意事項を伝える
- 実装方法
- ポリシー名、リソースの場所（URL等）、Action（GET,POST等）を決め、ユーザやグループを選択する。
- Role（役割）
- 複数の権限と名前を紐づける。
- 例）システム管理者Role、編集者Role、フォルダ作成者Role、オペレータRole、承認者Role（読込可、編集不可、承認可）
プロビジョニング
- SPML 2.0 (OASIS)
- Service Provisioning Markup Language
- 2.0は2006-04承認
- プロビジョニング情報の交換、主にリソース割り当て管理（ディスク割当など）に使う。
- HWリソースのプロビジョニング
- DMTF: Distributed Management Task Force
- OVF: Open Virtual Machine Format
次世代リソース識別
- XRI 2.0 (OASIS)
- Extensible Resource Identifier
- XML文書を取得するために、DNSでなくXRI Proxy Resolverで名前解決する。
- 分散ディレクトリでのURIスキーマとURNの仕様。
- URI（統一資源識別子）
- URL（場所）
- URN（名前）
Liberty Alliance仕様
- ID-FF
- Identity Federation Framework
- アイデンティティ連携と管理、セッション管理、SSO
- ID-WSF
- Web Services Framework
- Webサービスと認証のフレームワーク、属性共有、記述、ディスカバリ、セキュリティ、プライバシー
- ID-SIS
- Identity Service Interface Specifications
- 個人プロファイル、位置情報サービス、コンタクト、プレゼンスなどのサービス
- 国際ローミング
WS-Security / WS-SX
- OASIS Web Services Secure Exchange (WS-SX) TC
- 枠組み、位置付け
- サービス統合 : WS-BPEL (OASIS)
- サービス品質 : WS-Security / WS-SX (OASIS)
- サービス品質 : WS-Reliability / WS-RX (OASIS)
- サービス記述 : WSDL (W3C)
- メッセージング : SOAP, WS-Addressing (W3C)
- トランスポート : HTTP (IETF)
認証
- いろいろあり選択可能
- 認証プロトコルap1.0～5.0
- 鍵配送と認証
- Kerberos [RFC 1510]
- 対象鍵暗号技術と鍵配送センター（KDC）を利用
- V.5で複数認証サーバ、アクセス権委任、継続可能チケット
- 公開鍵認証（CA)
- ITU X.509 [ITU 1993]
その他
- ワークフロー（汎用）
- Wf-XML, XPDL (WfMC)
- Workflow Management Coalition
- OpenWFE
- Engine, Worklist, Webclient, Apre, Droflo(WF Design Tool)
- WWF
- .NET3.0 + WWF + BPEL for WWF
- ログ形式
- CBE (OASIS WSDM)
- Common Base Event
- ログ統合（CBEへの変換）
- ログ分析
- 関連付け（時間順並べ替えなど）
- 表示（ヒューマンインターフェース）
- アクション（型通りのアクションがあれば実行）
- ログ収集サーバ、ログ管理サーバ（分散DB、改ざん対策）、ログ検索サーバ（一元検索）
コメント
コメントを投稿