ID連携における仮名
•
11 recomendaciones•16,465 vistas
CLR/H Tokyo vol.7向け資料 ID連携とプライバシーの話をSAMLの仮名の仕組みを通して解説しました。
Recomendados
Más contenido relacionado
La actualidad más candente
La actualidad más candente (20)
Destacado
Destacado (11)
Similar a ID連携における仮名
Similar a ID連携における仮名 (20)
Más de Naohiro Fujie
Más de Naohiro Fujie (20)
Último
Último (12)
ID連携における仮名
- 1. カソウカDayだけに
- 2. 自己紹介 • Blog • IdM実験室（Identityに関することを徒然と）：http://idmlab.eidentity.p • Social • Facebook Page : eIdentity（Identityに関するFeed）：https://www.facebook.com/eidentity • 記事 • Windowsで構築する、クラウド・サービスと社内システムのSSO環境 （http://www.atmarkit.co.jp/fwin2k/operation/adsf2sso01/adsf2sso01_01.html） • クラウド・サービス連携の基本と最新トレンド （http://www.atmarkit.co.jp/fwin2k/operation/idftrend01/idftrend01_01.html） • 開発者にとってのWindows Azure Active Directoryの役割と今後の展開 （http://www.buildinsider.net/enterprise/interviewvittorio/01） • その他 • 日本ネットワークセキュリティ協会（JNSA）アイデンティティ管理WG（書籍：「クラウド環境におけるアイデンティティ管理 ガイドライン」etc） • OpenID Foundation Japan 教育・翻訳WG（OAuth/OpenID Connect仕様翻訳）、エンタープライズ・アイデンティティWG
- 12. その前に。「実名・仮名・匿名」 •時間軸、コンテキスト（サービスなど）内外でのリンクの可否で分類 種別 時間軸 コンテキスト内 コンテキスト外 実名 永続的 本名など⇒リンク可 仮名 （pseudonymous） 永続的 ハンドルネームなど ⇒リンク可 コンテキストごとに 異なる名前 ⇒リンク不可 一時的 毎回異なる名前⇒リンク不可 匿名（anonymous） - 毎回異なる名前⇒リンク不可
- 13. SAMLにおける仮名 •NameID Formatで表現 •永続的仮名（Persistent Pseudonym） •永続（何度Assertionを発行しても同じ値になる） •urn:oasis:names:tc:SAML:2.0:nameid-format:persistent •一時的仮名（Transient Pseudonym） •非永続（Assertionを発行するたびに異なる値になる） •urn:oasis:names:tc:SAML:2.0:nameid-format:transient
- 14. AD FSでの仮名（永続ID） •ビルトインの「_OpaqueIdStore」を利用 •Claim発行ルール① c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windo wsaccountname"] => add(store = "_OpaqueIdStore", types = ("http://mycompany/internal/persistentId"), query = "{0};{1};{2}", param = "ppid", param = c.Value, param = c.OriginalIssuer);
- 15. AD FSでの仮名 •Claim発行ルール② c:[Type == "http://mycompany/internal/persistentId"] => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameide ntifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/clai mproperties/format"] = "urn:oasis:names:tc:SAML:2.0:nameid- format:persistent");
- 16. AD FSでの仮名（永続ID） •発行されるAssertion（NameID） • 何度発行しても同じ値が永続 <NameID Format="urn:oasis:names:tc:SAML:2.0:nameid- format:persistent">Eh1as1gTWtagxAk+ECEuTnu/dzUS2fyOnx3 ER/NMCeg=</NameID>
- 17. AD FSでの仮名（一時ID） •同じく「_OpaqueIdStore」を利用 •Claim発行ルール① c1:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountna me"] && c2:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationinstan t"] => add(store = "_OpaqueIdStore", types = ("http://mycompany/internal/sessionid"), query = "{0};{1};{2};{3};{4}", param = "useEntropy", param = c1.Value, param = c1.OriginalIssuer, param = "", param = c2.Value);
- 18. AD FSでの仮名 •Claim発行ルール② c:[Type == "http://mycompany/internal/sessionid"] => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameide ntifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/clai mproperties/format"] = "urn:oasis:names:tc:SAML:2.0:nameid- format:transient");
- 19. AD FSでの仮名（一時ID） •発行されるAssertion（NameID） • 毎回違う値が発行される <NameID Format="urn:oasis:names:tc:SAML:2.0:nameid- format:transient">TqHpmI1BmkVhh8SGu7n+JCC2/oeo6kykYii pRRFbGic=</NameID>
- 21. 待て！本当にその属性は必要か？ いくら仮名でも同じ属性を使ってたら意 味はない ⇒アプリケーションに本当に必要な属性 情報は何か？の見極めが重要 • 18禁サービス ⇒ 年齢情報があれ ば良いはず • グループ会社向け共有サービス ⇒ グループ会社の認証システムで認証 されている事実だけで良いはず ⇒「手軽にメアドとか連携してません か？？」
- 23. 参考情報など • SAMLについて（プロトコルから見るID連携） • http://www.slideshare.net/naohiro.fujie/id-42157018 • 実名、仮名、匿名について（ビッグデータ時代にプライバシーを保護する方策を考える －－Suica事例は何が問題だったのか / ITPro） • http://itpro.nikkeibp.co.jp/article/Watcher/20131117/518482/ • フリー素材（MIKA☆RIKA、インド人） • http://mika-rika-free.jp/ • http://study-abroad.misao.in/india-2/indianlife/freeindian/