Slack Enterprise Grid with multiple IdP

Slack Enterprise Grid with multiple IdP Slack Enterprise Grid with
multiple IdP ISOBE Kazuhiko CloudNative Inc. 第14回セキュリティ共有勉強会 2018-05-10

自己紹介 ISOBE Kazuhiko CloudNative Inc. 所属 Twitter: muramasa64 最近は認証関連を中心にやってます

今日のお題 Slack Enterprise Gridに対する認証みんな大好きSlackのEnterprise版企業内の色々な組織ごとにワークスペースが使えるワークスペース間でチャンネルを好きなだけ共有できる長いので、この資料ではGridと省略します。

Gridの導入要件 SAMLを使ったシングルサインオンが必須

SAMLとは何か？知っている人✋

SAMLとは（ざっくりな説明）シングルサインオンを実現するためのプロトコル認証はIdPで行う IdP: Identity Provider SPは認証結果だけ受け取る SP: Service Provider
認証は一回だけで複数のSPにサインインできる

SAMLのシーケンス図

SAML使ってますか？使っている人✋

SAML便利ですよねということでGridはSAML必須です

Gridを導入したい！グループ会社がいくつかある企業の例それぞれSlackを利用中 Gridを使うと会社間連携ができて嬉しい

しかし、ここで立ちふさがる問題 Gridの認証に使えるIdPは1つだけ

Gridの認証に使えるIdPは1つだけ一般的には、会社ごとにIdPを持っている子会社やグループ会社は別組織複数会社間ではGridは使えない？この制限で諦めてしまった会社は実在するらしい

何かが仲介すればいいのでは？ Proxy? Delegate? Broker?

ということで Keycloakを使って実現してみました

Keycloakとは "Identity and Access Management solution" Red Hatが中心となって開発している Apache License
2.0 https://www.keycloak.org

Keycloakでできること Single-Sign On SAML, OpenID Connect, OAuth2.0, Kerberosに対応 User
Federation LDAPやActive Directory、RDBMSと連携する Identity Brokering 外部のIdPとの連携いわゆるSocial Loginに対応

Identity Brokering ID仲介 GoogleとかTwitter, FacebookのIDを使ってアプリにサインインできるようにするやつ SAMLも対応しているこの機能を使うことで、Gridに対して複数のIdP による認証を仲介する

連携設定1 GridとKeycloak Gridに対してKeycloakからSAMLでサインインできるように連携する KeycloakにClientとしてGridを登録するこの時点で、Keycloakに作成したローカルアカウントで Gridにサインインできるようになる

連携設定2 Keycloakと外部IdP Identity Providerとして各会社のIdPを登録する Keycloakは、複数のIdPに対応している ID/Passwordを入力するのではなく、IdPに対応したボタンを押す認証は各IdPで行いSAMLでサインインする

連携設定3 IdP Link Keycloakのユーザーと外部IdPで認証したユーザーのリンクを設定する Emailアドレス、ユーザーIDなど、ユニークなことが保証できる値を使う

DEMO 時間があればデモします

結論 Gridに複数IdPを使ってサインインできたこれはGridに限らず他のサービスでも応用可能 OSSなIdPとしてKeycloakは使いやすい今日紹介したのは機能のほんの一部 Keycloak便利 SSOしたい人は使ってみよう

Slack Enterprise Grid with multiple IdP

Slack Enterprise Grid with multiple IdP

Isobe Kazuhiko

More Decks by Isobe Kazuhiko

Other Decks in Technology

Featured

Transcript