sidebarIdM実験室いろんなアイデンティティ管理系製品やサービスの実験の記録をしていきます。後は、関連するニュースなどを徒然と。Service)について考えてみます。クラウドの潮流の中でXaaSというキーワードで「何でもサービス化」というのが流行って?いますが、アイデンティティをサービス提供する形態として「IDaaS」というのもしばしば耳にする様になってきました。・アイデンティティストアアイデンティティ情報の保持ライフサイクル管理機能(セルフサービスポータル等)といった機能が提供されることになります。場合によっては他のクラウドサービスへのプロビジョニングを行ったりすることもあり得ると考えられます。■IDaaSのメリットIDaaSのメリットとして主に以下の事項が挙げられます。サービスプロバイダにとって・認証機能やアイデンティティ管理機を自前で開発しなくてよい・アイデンティティ情報などのセンシティブな情報を自前で保持しなくてよい利用者/利用企業にとって・(サービスが対応していれば)複数のサービスで横断的に利用できる認証基盤となり、シングルサインオンが出来る・複数のサービスと個別に信頼関係を結ぶ必要がなくなる(フェデレーション・ゲートウェイとしての利用)・STSのトークン変換機能を使うことで自前(オンプレミス)のIdPを使うことができる(クラウド上にアイデンティティ情報をおく必要が必ずしもなくなる)もちろん使い方や利用するサービスによってすべてのメリットを享受できるわけではありませんが、特にフェデレーション・ゲートウェイとしての機能はクラウド・オンプレミスのアイデンティティ連携を行う上では非常に有用な機能となりえると思われます。LiveIDなどOpenIDプロバイダとしてサービスを提供しているものや、FacebookやTwitterなどOAuth対応という形で一部の認証や認可の機能をサービスプロバイダに提供しているものなどが挙げられます。Gateway)くらいがメジャーどころだと思います。■IDaaSを立ち上げるには?これはIDaaSに限りませんがGoogleやAmazonの様に自前でサービスを提供するためにシステムを開発するプロバイダやマイクロソフトの様に元々製品を持っていたものをベースにサービスを提供するプロバイダと違って、OSS以外の既製品を組み合わせてサービス化していくのは採算的に中々厳しいと思われます。(AmazonやGoogleの実装を元としてEucalyptusやHadoopが出てきていますが、あくまでリファレンス実装ですし、AmazonやGoogle自身が販売してるモノではありません。仮に彼らが自身のサービスに使っているツールを製品として販売したら相当な価格になるんじゃないかと思います)例えばIDaaSを立ち上げるのに、市販のシングルサインオン系の製品を使ってしまうと、それらの殆どはユーザ数でライセンス課金なので、1ユーザあたり数千円~数万円の値付けをしないと採算が合わないでしょうが、ユーザが単なる認証機能にそれだけの金額を払うことはないでしょう。(Novell製品で米VerizonなどはIDaaSをやっているといいますから、それなりにベンダの値引きがあるんでしょうが・・・)となると、自前でIdPを実装するかWSO2やOpenSSO/OpenAMなどのOSSをベースとして独自のサービスを実装するという覚悟が必要になるのかも知れません。価格面以外にも認証や認可などセキュリティの根幹を担う機能を外部に委託する事になるので、ユーザからも提携するサービスプロバイダからも信頼される必要があります。Framework(IAF)やGSA(米国調達庁)とICAMの例の様に第3者による認定制度の様な仕組みも必要になってくるでしょう。IAFの認定アセスメントのイメージGSA/ICAM/OIXによる認定のイメージこのように色々とハードルが高い世界ではありますが、出来れば日本でもPingIdentityの様にIDaaSプロバイダが出てくると面白いと思っています。2.0)はクラウド連携というビッグキーワードも手伝ってかなり注目されているのか、最近は色々なところでセミナーやデモを見かけるようになってきました。シングルサインオンのデモって非常に地味なんですよね。FS2.0を使っているかどうかが全然見ている人には伝わりません。FS2.0のサーバやドメインを削除したりしましたが、ベーシック認証が走ってしまったりしてやはりあんまりうまくありませんでした。FS2.0のログインページにIDとパスワードを入力する、というステップがあった方が良いと思ったので、デフォルトでフォーム認証を使うようにしてみました。Foundation)を使ったASP.NETアプリケーションである、という点に着目してログインページのweb.configファイルを直接編集します。デフォルトインストールだと「C:\inetpub\adfs\ls\web.config」が編集対象となります。編集箇所は59行目から始まるmicrosoft.identityServer.webセクションのlocalAuthenticationTypesです。/>という形でFormsつまりフォーム認証を優先する形に行を入れ替えてみます。FS2.0の認証ページにリダイレクトされた際にIDとパスワードを入力するフォーム認証画面が表示されます。※web.configのバックアップは忘れずに!これで少しはイメージのしやすいデモが出来ると思います。Resetのトラブルシュートに関する記事がアップされていたので紹介したいと思います。http://blogs.technet.com/b/aho/archive/2010/09/29/troubleshooting-fimservice-fimportal-password-reset-client.aspxかなり詳細にトレースが出来るので、トラブルが発生した際はこの方法でトレースしてみるのもありかもしれません。方法は簡単で、各サービスの構成ファイルの中のコメントアウトされている部分を有効にしてサービスを再起動するだけです。***注意点***・トレースを出力する設定を行うと動作がとっても重たくなります。・一部構成ファイルを手動で書き換えるので、環境のバックアップを取得しておくことをおすすめします。・XMLのタグを表記上全角にしていますが、実際は半角です。Portalを例に実際にやってみます。Manager\2010\Service以下のMicrosoft.ResourceManagement.Service.exe.xmlです。・まずはログ出力レベルを変更します。41行目のswitchValueをErrorからVerboseに変更します。switchvalue="Verbose">・svclogファイルにdiagメッセージを出力する設定を行います。52行目~56行目のコメントアウトを外します。type=""></add>・diagリスナーがファイルへ情報を出力する設定を行います。64行目~69行目のコメントアウトを外します。type=""></add>・ログの自動フラッシュを設定します。※必須ではありません。この設定を行うとリアルタイムにログファイルに出力されますがパフォーマンスが低下します。77行目のコメントアウトを外します。Service)を再起動すれば先ほどのフォルダの中にfimDiagnostics.svclogというファイルが出来ます。ポータルの操作などを行うと、ファイルの中にプロセスのトレース等の情報が書き込まれます。Resetのトレース方法などの情報も載っていますので、トラブルの時は参照してください。よりアクセス解析を行っています。品質向上のみを目的とし、個人の特定などを目的とはしておりません。中で公開されることはあります。問い合わせ不明点等は管理人までご連絡ください。本プライバシーポリシーは予告なく変更/削除することがあります。プライバシーに関するトラブルについては一切の責任を負いかねますのでご了承ください。