Page3これまで述べてきたように、クラウドのようなインターネットを絡めたネットワークでは、アイデンティティ管理テクノロジがセキュリティ上の課題解決に重要な役割を果たす。ここからは、そのアイデンティティ管理テクノロジについてマイクロソフトがどのようなビジョンを持ち、具体的にどのように製品として実装しているのかを解説する。Passportというサービスでインターネット上のアイデンティティ・プロバイダになろうとしていた。当時は、サービス・プロバイダへの開示範囲の制限などユーザーのアイデンティティ情報を保護する仕組みの欠如や認証強度の問題などにより、ユーザー、そして何よりも対応するサービス・プロバイダが増えず、結果として取り組みは失敗に終わった。Identity(インターネット世界におけるアイデンティティの7つの基本原則)という考え方/ビジョンを提唱した。アイデンティティ・システムは、公に使用する「全方位的」な識別子とプライベートで使用する「特定の方向性」を持った識別子の両方をサポートしなければならない。アイデンティティ・システムは、利用者たるユーザーを分散システムの1つのコンポーネントとして定義しなければならない。Cameron氏のブログに掲載されているPDF文書で閲覧できる。以後、マイクロソフトはこれらの基本原則にのっとってアイデンティティに関するソリューションを開発していくが、その全体像(アーキテクチャ)を示すのが次に紹介するアイデンティティ・メタシステムである。アイデンティティ・メタシステムとは?前述のビジョン実現のため、マイクロソフトもやはりフェデレーションという概念を中心に据えている。Passportの失敗やユーザー・エクスペリエンスを重視するという企業的な文化から、異なるアイデンティティ管理技術間の相互運用性やユーザー操作の単純化という点を重視しているのが特徴といえる。そのような相互運用性やユーザー・エクスペリエンスの単純化という点を踏まえ、マイクロソフトが提唱しているのが「アイデンティティ・メタシステム」である。これは、アイデンティティ管理システムのための「メタ」なシステムであり、デジタル・アイデンティティの相互運用のためのアーキテクチャを指す。アイデンティティ・メタシステムの概念サブジェクトとアイデンティティ・プロバイダ、リライング・パーティという3つの役割で構成される。若干の用語の違いはあるが、前のページで説明したフェデレーション(SAML)と各役割の構成が共通であることが分かる。■フェデレーションを中心としたアーキテクチャこのアイデンティティ・メタシステムは、前のページで解説したサブジェクト、アイデンティティ・プロバイダ、リライング・パーティという3つの役割で構成される。先に述べた言葉とはサービス・プロバイダがリライング・パーティというように若干用語が異なるが、ほぼ同義と考えて問題はない。同様にAssertion属性は、アイデンティティ・メタシステムにおいては「クレーム」と呼ばれる。Service(STS)と呼ぶ。Service(STS)から発行される。クレームは、前のページで説明したSAMLのAssertion属性に相当する。このようにクレームという形でアイデンティティ情報を表現するので、このモデルをクレームベースのアイデンティティ管理という。同様にクレームを基にリライング・パーティ側でアクセス権管理を行うので、併せてクレームベースのアイデンティティ&アクセス管理ということもある。いずれにせよ、情報の形や呼び方は多少異なるものの、IdPとSPの間で認証情報をやりとりしてアプリケーションを利用する、という意味でフェデレーションという概念が中心に据えられていることが分かる。Selectorというコンポーネントが定義されている。従来、ユーザーは、認証方式に応じてIDとパスワードを入力したり、デジタル証明書を提示したりするなど、認証の都度さまざまな操作を行う必要があった。アプリケーションAが動作するためにはメール・アドレスが必要だが、アプリケーションBは年齢が21歳以上でないと使えないなど、利用するリライング・パーティによって提示すべきクレームの種類も多種多様である。そのため、適切な情報を持つアイデンティティ・プロバイダで認証を受けてクレームの発行を受ける必要性がある。従来は、どのリライング・パーティを使う場合はどのアイデンティティ・プロバイダを使うべきかを、ユーザー自身が管理する必要があった。Card)の提示、というメタファを使って表現している。Selectorは、利用するリライング・パーティが要求するクレームの種類によって利用可能なカードの種類を自動的に絞り込み、ユーザーが実際にどのカードを利用するか(どのアイデンティティ・プロバイダで認証され、どのようなクレームを提示するか)を選択させる。これにより、ユーザーの同意の下でアイデンティティ情報を提示するという原則と、統一されたユーザー・エクスペリエンスという原則を同時に充足している。Selectorの利用イメージアイデンティティ・メタシステムでは、認証行為をカードというメタファで表している。Selectorによって選択候補としてリストアップされる(逆に「InfoCard(1)」は候補から外される)。ユーザーは選択候補からカードを選ぶという仕組みのため、IdPの種類に左右されることなく、統一されたユーザー・エクスペリエンスでこのシステムを利用できる。Selectorとユーザー同意によるアイデンティティ情報の提示と統一されたユーザー・エクスペリエンスの提供という大きな2つの考え方をベースに構築されるフェデレーションのアーキテクチャといえる。(2017/7/21)キーボード配列が異なる言語に誤認識された場合の対処方法を紹介。