物理世界では、身元を証明するために政府発行の ID を提示する必要があります。 これは、名前、居住地、その他の情報を確認するパスポートや運転免許証などです。 ただし、これらの ID はインターネットでは無効です。 代わりに、エンド ユーザーにはデジタル ID が必要です。 では、会社に一意の ID を生成するには、ID プロバイダーと提携するより良い方法があるでしょうか? したがって、この投稿では、AWS における ID プロバイダーとは何かを定義し、フェデレーション ID の例をいくつか挙げ、サービスと ID プロバイダーの違いに注目します。
アイデンティティプロバイダーとは
アイデンティティ プロバイダー (IdP) は、単一セットのログイン資格情報をエンド ユーザーまたはインターネットに接続されたデバイスに提供し、多数のプラットフォーム、アプリ、ネットワークにわたってエンティティが誰であるかを保証するシステム コンポーネントです。 サードパーティの Web サイトがエンドユーザーに Google アカウントを使用してログインすることを推奨する場合、Google サインインは ID プロバイダーとして機能します。
フェデレーション ID は、プラットフォーム、アプリ、ネットワーク全体で使用できる単一の一貫した ID です。 IDP の役割は、登録された資格情報を保護し、変換サービスを介してさまざまなディレクトリ サービスで利用できるようにして、フェデレーション ID を維持することです。 IdP がエンドポイント認証またはユーザー認証を提供する場合、それはサービスとしての認証 (AaaS) プロバイダーとも呼ばれます。
Microsoft の Active Directory (AD) などのディレクトリ サービスは、アイデンティティ プロバイダーと同じ基本的な役割を果たします。 これを使用すると、情報セキュリティ (infosec) 管理者がエンド ユーザー、デジタル デバイス、ネットワーク リソースの ID を整理および管理できるようになり、独自のネットワーク上で安全かつ確実に接続できるようになります。 ネットワーク リソースは、ソフトウェア アプリケーションやそれをサポートするデータベースから、電話、プリンター、センサー、アクチュエーターなどの実際のモノのインターネット (IoT) デバイスにまで及びます。
なぜ IdP が必要なのでしょうか?
ユーザーが組織のシステムまたはクラウド サービスにアクセスするためのアカウントを持っている場合、そのデジタル ID をどこかで追跡する必要があります。 特にクラウド コンピューティングにおけるユーザー ID は、どのアプリケーション機能またはデータにアクセスできるかを指定します。 クラウド サービスには、新しいユーザーを募集し、認証するための信頼できる方法が必要です。
さらに、ユーザー識別記録は、攻撃者が記録を侵害してユーザーになりすますために使用できないように、安全に保存する必要があります。 クラウド ID プロバイダーはユーザー データを保護するために追加の取り組みを頻繁に行っていますが、そのシステムはユーザー データと資格情報を保持するように設計されていない場合があります。 インターネット経由でアクセスできるサーバーなど、安全でない場所に意図せずデータを保存してしまう可能性があります。 IdP は、ユーザー データが適切に管理され、安全に保存され、不正アクセスから保護されることを保証します。
ID プロバイダーはどのように機能しますか?
IdP は、Security Assertion Markup Language (SAML) などの言語や Open Authorization (OAuth) などのデータ形式を使用して、相互に通信したり、他の Web サービス プロバイダーと通信したりします。
IdP は XNUMX 種類のメッセージの転送を担当します。要求側デバイスが誰であるか要求側デバイスが何であるかを示す認証アサーション、接続要求を行う際のすべての関連データを含む属性アサーション、およびユーザーか要求側かを示す認可アサーションです。デバイスはオンライン リソースにアクセスできます。
これらのアサーションは、多くの場合、ユーザーを認証するために必要なすべての情報をサービス プロバイダーに提供する XML ドキュメントです。
ID プロバイダーを使用するセキュリティ上の利点
ユーザーは、複数のログインを覚えておく必要がなくなるため、アイデンティティ プロバイダーを使用することで恩恵を受けます。 サービス プロバイダーの観点から見ると、次の理由により、この戦略はより安全である可能性があります。
- IdP はすべてのアクセス イベントの一元的な監査証跡を維持するため、誰がどのリソースをいつ使用したかを簡単に示すことができます。
- IdP は、シングル サインオン (SSO) を使用して複数の ID とパスワードを作成および管理する負担からユーザーを解放します。 パスワード疲労は、多くのパスワードを保持したり再入力したりすると発生します。 パスワード疲労は危険であると同時に不便です。 ユーザーがログインする必要がある回数や、新しいパスワードをどこかに書き込むなどして覚えておく必要がある回数が増えるほど、攻撃者がそのパスワードを盗む機会が増えます。
- 個人識別情報 (PII) の保護は IdP の義務であるため、サービス プロバイダーは責任を負いません。
ID プロバイダーのリスト
一般的な ID プロバイダーのリストは次のとおりです。
- でログイン: Google サインインは、ユーザーが Google アカウントを使用して Web サイトやアプリにサインインできるようにする ID プロバイダー サービスです。
- Facebook: Facebook ログインは、ユーザーが Facebook プロフィールを使用して Web サイトやアプリにサインインできるようにする ID プロバイダー サービスです。
- Microsoft: Microsoft Azure Active Directory は、Microsoft が提供する ID プロバイダー サービスで、ユーザーが Microsoft アカウントを使用して Web サイトやアプリにサインインできるようにします。
- : Okta は、企業が Web アプリやモバイル アプリのユーザー認証と許可を管理するのに役立つクラウドベースの ID サービスです。
- OneLogin: OneLogin は、シングル サインオン (SSO) と多要素認証 (MFA) を備えた Web アプリケーションとモバイル アプリケーションを提供するクラウドベースの ID プロバイダーです。
- Auth0: Auth0 は、Web およびモバイル アプリケーションの認証と認可を提供するクラウドベースの ID プロバイダーです。
- pingのアイデンティティ: Ping Identity は、エンタープライズ ID およびアクセス管理ソリューションを提供するクラウドベースの ID プロバイダーです。
これらは、市場にある ID プロバイダーのほんの一例にすぎません。 組織のニーズに応じて、多くの代替 ID プロバイダーがユースケースに適している可能性があります。
サービスプロバイダーとアイデンティティプロバイダー
フェデレーション ID 管理パラダイムは、アイデンティティ プロバイダー (IdP) とサービス プロバイダー (SP) に大きく依存しています。 どちらもユーザー ID の管理において重要ですが、両者の間にはいくつかの重要な違いがあります。
IdP は、ユーザーの認証と認可を担当し、ユーザーにさまざまなサービス プロバイダーへのアクセスを提供します。 一方、SP は、ユーザーが使用したい Web ベースのアプリケーションまたはサービスです。 例として ID プロバイダーを見てみましょう。Google は、Gmail、Google ドライブ、Google ドキュメントなどのサービスにアクセスしたいユーザーに認証サービスを提供する IdP です。 この状況では、さまざまな Google サービスが SP とみなされます。
IdP パラダイムには、ユーザーがアクセスしたいサービスごとに異なるアカウントを作成する必要がなくなるという大きな利点があります。 ユーザーは、複数のユーザー名とパスワードを記憶する代わりに、既存の IdP 資格情報を使用して複数のサービスにアクセスできます。
IdP アプローチのもう XNUMX つの利点は、セキュリティとユーザー ID の制御が向上することです。 ユーザー ID の管理を個々の SP に依存するのではなく、IdP モデルは ID 管理を一元化することで、ユーザーの自律性を高め、データ侵害のリスクを軽減します。
AWS アイデンティティプロバイダーとは何ですか?
AWS (アマゾン ウェブ サービス) のアイデンティティ プロバイダー (IdP) は、ユーザーを認証し、ユーザーのアイデンティティに関する情報を AWS に配信するサービスです。 AWS は、Google、Facebook、Amazon などのソーシャル ID プロバイダーや、Microsoft Active Directory、Okta、Ping Identity などのエンタープライズ ID プロバイダーを含む、さまざまな ID ソースをサポートしています。
ユーザーが AWS リソースまたはサービスにアクセスしようとすると、IdP を使用してユーザーの ID を認証するように AWS の IAM サービスを構成できます。 IdP はユーザーの ID を検証し、ユーザー名やグループ メンバーシップなどの情報を含むセキュリティ トークンを発行します。 次に、AWS はセキュリティ トークンを使用して、要求されたリソースまたはサービスへのユーザーのアクセスを承認します。
AWS で IdP を使用すると、次のようないくつかの利点があります。
- 集中管理: IdP を使用すると、企業はユーザー ID とアクセス制御ポリシーを XNUMX か所で管理できるため、セキュリティ ポリシーの実装や、さまざまな AWS アカウントやサービスにわたる権限の管理が容易になります。
- SSO: IdP は SSO 機能を提供できるため、ユーザーは一度ログインすれば、認証情報を何度も入力せずにさまざまな AWS アカウントやサービスにアクセスできます。
- セキュリティの強化: IdP は認証と許可の追加レイヤーを追加し、AWS リソースへの不正アクセスの防止に役立ちます。
全体として、アイデンティティプロバイダー (IdP) は、企業がユーザー ID とアクセス制御ポリシーを一元管理できるようにする AWS Identity and Access Management (IAM) の重要なコンポーネントです。
フェデレーション ID プロバイダー
複数の企業またはドメイン間でシングル サインオン (SSO) を可能にするフェデレーション ID サービスを提供する ID プロバイダー (IdP) は、フェデレーション ID プロバイダー (IdP) として知られています。 別の言い方をすると、フェデレーション IdP を使用すると、ユーザーは自分の ID を一度認証すれば、再度ログインすることなく、複数の組織やドメインにまたがる多くのリソースやサービスにアクセスできるようになります。
フェデレーション IdP は、多くの企業またはドメインが ID 管理システムを維持しながらリソースを共有したり、プロジェクトで共同作業したりする必要がある場合に一般的に使用されます。 たとえば、企業はフェデレーション IdP を利用して、従業員がサービスごとに個別のアカウントやパスワードを作成しなくても、パートナー企業が提供するリソースやサービスにアクセスできるようにすることができます。
フェデレーション IdP は、Security Assertion Markup Language (SAML) や OpenID Connect (OIDC) などの標準プロトコルを使用して、企業またはドメイン間で ID 情報を配布します。 ユーザーが別の組織またはドメインによって提供されるリソースまたはサービスにアクセスしようとすると、フェデレーション IdP はユーザーの ID を認証し、ユーザーの ID および要求されたリソースに関する情報を含むセキュリティ トークンを生成します。 その後、セキュリティ トークンはリソース プロバイダーまたはサービス プロバイダーに配信され、プロバイダーはそれを使用してユーザーのアクセスを検証します。
Microsoft Active Directory Federation Services (ADFS)、Okta、PingFederate、ShibbolethなどはフェデレーションIdPの例です。 フェデレーション ID プロバイダー (IdP) は、企業またはドメイン間の安全で摩擦のない協力とリソース共有を促進するために不可欠です。
フェデレーション IdP を使用する利点は何ですか?
フェデレーション ID プロバイダー (IdP) を使用すると、次のようなさまざまな利点があります。
- シンプルなユーザー エクスペリエンス: フェデレーション IdP を使用すると、ユーザーは一度認証すれば、再度ログインすることなく、さまざまな企業やドメインにまたがる多数のリソースやサービスにアクセスできるため、スムーズで合理化されたユーザー エクスペリエンスが実現します。
- セキュリティの向上: フェデレーション IdP は、多数のリソースまたはサービスにわたって一貫したアクセス コントロール ポリシーを適用できる集中型の認証および認可システムを提供することで、セキュリティを向上させることができます。
- 管理オーバーヘッドの削減：組織は、フェデレーション IdP を使用するときにリソースまたはサービスごとにユーザー アカウントとパスワードを作成および管理する必要がなくなるため、管理オーバーヘッドを削減できます。
- より良いコラボレーション: フェデレーション IdP を使用すると、さまざまな企業またはドメイン間の安全かつスムーズなコラボレーションが可能になり、パートナーがリソースを共有し、より効率的に共同作業できるようになります。
- 規制の遵守: 一般データ保護規則 (GDPR) と医療保険の相互運用性と責任に関する法律 (HIPAA) は、企業に効果的なアクセス制御システムと ID 管理システムを実装することを義務付けています。 ユーザー ID とアクセス制御ポリシーを管理するための一元化された監査可能なシステムを提供することで、フェデレーション IdP は企業がこれらの標準に準拠するのを支援できます。
フェデレーション ID プロバイダー (IdP) を使用すると、セキュリティの向上、管理コストの削減、コラボレーションの向上、法律や標準への準拠など、さまざまな利点が得られます。
デジタル ID プロバイダーを選択する際の考慮事項
#1. 一貫した顧客サービス
ID プロバイダーに依存する場合、アクセシビリティを促進し、セキュリティ侵害を防ぐために 24 時間年中無休のカスタマー サービスを提供することが重要です。 カスタマー サービスの応答がないと、アクセス問題の解決が困難になり、スタッフと顧客の生産性が低下する可能性があります。 セキュリティ インシデントの疑いがある場合は、IdP サポートに迅速にアクセスできる必要があります。
#2. 高保証 IdP
ユーザーが新しいアカウントを登録すると、高保証のデジタル ID プロバイダーが、政府と重要な公共部門の機関の両方に適した高水準で識別されることを保証します。 IdP がアカウント アクセスを提供すると、デジタル ID がこれらの標準を満たしていることが保証されます。 生体認証、強力なパスワード、QR コード、その他の方法が組み込まれたスマート デバイスは、これを実現するのに役立ちます。
#3. 優れた認証
多要素認証 (MFA) をサポートする IdP を選択します。 スマート IdP ソリューションは、プッシュ通知、ワンタイム パスワード、生体認証など、自分自身を識別するためのさまざまな簡単な方法をユーザーに提供することで、パスワードを超えています。
#4. 世界的なカバレッジ
世界中をカバーする IdP ソリューションを選択することが重要です。 これにより、サービスを必要とする従業員、顧客、または第三者が、世界中のどこからでもサービスにアクセスできるようになります。 グローバル IdP は、個人データの保管と複数の管轄区域におけるユーザーの認証に関する法的およびコンプライアンスの側面にも役立ちます。
ID プロバイダーの例は何ですか?
Google サインインは、アイデンティティ プロバイダー (IdP) の例です。 ユーザーは、Google サインインを使用して、Google 資格情報を使用して Web サイトやアプリにサインインできます。 ユーザーが Google サインインを使用する Web サイトまたはアプリにサインインしようとすると、Google の認証サービスに送信され、Google 資格情報 (電子メール アドレスやパスワードなど) の入力を求められます。
ユーザーの身元が確認されると、Google はユーザーの身元と権利に関する情報を含むセキュリティ トークンを生成します。 その後、セキュリティ トークンが Web サイトまたはアプリに返され、そこでユーザーのアクセスを認証するために使用されます。
SSO の ID プロバイダーとは何ですか?
シングル サインオン (SSO) に使用されるアイデンティティ プロバイダー (IdP) は、使用中の SSO システムまたはソリューションによって決まります。 SSO は、ユーザーが一度認証すると、再度ログインすることなくさまざまなリソースやサービスにアクセスできるようにするシステムです。 SSO システムでは、多くの場合、アイデンティティ プロバイダーを使用してユーザーの ID を検証し、さまざまなサイトやサービスへのアクセスに使用されるセキュリティ トークンを生成します。
ID プロバイダーにはどのような種類がありますか?
さまざまな形式の ID プロバイダー (IdP) を使用して、さまざまな設定で安全な認証と認可を促進できます。 最も一般的なタイプの IdP のいくつかは次のとおりです。
- ソーシャルアイデンティティプロバイダー
- エンタープライズ ID プロバイダー
- フェデレーション ID プロバイダー
- クラウドベースのアイデンティティプロバイダー
- 生体認証 ID プロバイダー
- 自己主権型アイデンティティプロバイダー
一方、アイデンティティ プロバイダーの選択は、特定の使用例と、アプリケーションまたはサービスのセキュリティ要件によって決まります。
ID プロバイダーを作成できますか?
はい、必要な技術的専門知識とリソースがあれば、独自の ID プロバイダー (IdP) を構築できます。 一方、独自の IdP の作成は、認証プロトコル、セキュリティのベスト プラクティス、およびソフトウェア開発を完全に理解する必要がある、高度で困難な操作となる場合があります。
Microsoft は ID プロバイダーですか?
はい、Microsoft Azure Active Directory (Azure AD) はアイデンティティ プロバイダー (IdP) サービスを提供します。 Azure AD は、Web およびモバイル アプリケーションの認証と承認をサポートするクラウドベースの ID およびアクセス管理ソリューションです。
まとめ
適切な ID プロバイダーを選択して統合すると、会社に長期的なメリットがもたらされる可能性があります。 ユーザーのログインプロセスが簡素化されるだけでなく、追加のスタッフを雇うことなく顧客のアカウント、データ、パスワードを追跡できるようになります。
関連記事
- イベントマーケティング: 定義、戦略、ガイド
- 2023 年の国際医療保険プロバイダー
- 在庫管理会社: ベスト サービス プロバイダーおよびソフトウェア 2023
- 銀行所有の不動産とは何ですか? 知っておくべきことすべて
- 2023 年のウェブサイトのコストはいくらですか? (完全ガイド)
参考文献
