20180803_Security JAWS 【第10回】#1「すぐ出来る！デスクトップSSOはサーバレスで」

Slide 1

Slide 1 text

Slide 2

Slide 2 text

©2018 T3Realize LLC 2 自己紹介横堀達也よこぼりたつや 1985年7月6日生まれ大阪府大阪市出身 2009年～2014年 NEC入社 2014年～2017年 CTC入社 2017年～ T3 Realize起業好き：スーツ、革靴最近：1年かけて25kgのダイエットに成功！ユーザーが自分で実装するコンサルが実装までやっちゃう *ITコンサルタント* [email protected]

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

©2018 T3Realize LLC 8 識別とは？ SSOで考慮が必要なアクセス制御 1/3 • SSOと言えど、ログインされる各システム側のIDは必要です。識別認証認可システム利用開始パソコンには「[email protected]」でログインし、 SSO連携先のWebを開いた場合 Instagram側で事前に作成済みのID 「holly_rex」でログインされる。初回ログイン時にAWS側のIDが自動作成される。事前に作成済み自動作成も出来る

Slide 9

Slide 9 text

Slide 10

Slide 10 text

©2018 T3Realize LLC 10 認可とは？ SSOで考慮が必要なアクセス制御 3/3 • SSOしてきたユーザへの、権限の割り当てを考える必要があります。識別認証認可システム利用開始 SSOの仕組み SSOからの連携情報が無い場合、特に権限は割り当てらない。又は、IDの作成時に指定した権限に従う。 SSOで連携された情報を元に、 AWSのロールを割り当てる。 SSOでは特に権限を指定しないとき SSOする際に権限も指定することが出来る。

Slide 11

Slide 11 text

Slide 12

Slide 12 text

©2018 T3Realize LLC 12 主なSSOの仕組みについて • SSOの仕組みは沢山あり、選択が必要です。代行入力リバースプロキシ統合Windows認証 SAML OpenID Connect ・パソコン上で動作するモジュールが、人の代わりに入力してくれる。・近年はブラウザのプラグインとして動作する。・認証情報をXMLで連携する。・最近の業務システムは対応してることが多い。新しい昔からある・サーバ上で動作するモジュールが代理で認証する。・Windowsへの認証情報を連携する。・他システムのID情報／権限を使って認証する。例：InstagramにFacebookのIDでログイン Agent ・パソコンとサーバの間に設置されたプロキシが代理で認証する。概要

Slide 13

Slide 13 text

©2018 T3Realize LLC 13 で、どのやり方が良いの？ • 代行入力とSAMLです！ ※個人の独断と偏見に基づく代行入力リバースプロキシ統合Windows認証 SAML OpenID Connect ・基本的に、全てのシステムに対応できる。 ※FLASHとか苦手・・・応用の幅が広い（プラグイン活用やクラウド連携等）理由・各種SaaSのデファクトスタンダード・応用の幅が広い（権限割当の分担やID自動作成等）新しい昔からある・他システムを全面信頼するため、セキュリティ的に懸念になる。・FacebookのIDを業務で利用するか否か？ Agent イントラネット前提の仕組み

Slide 14

Slide 14 text

©2018 T3Realize LLC 14 AWS なに使えば、すぐに出来るの？ • AzureADです！ ※まさかのNot AWS VS  サーバレスSSO基盤  SAMLのみ対応  ユーザ管理にAD必須 IAM Cognito  SSO基盤（IdP）としての機能無し  サーバレスSSO基盤  SAML、代行入力に対応  単独でユーザ管理できる  Office365についてくる  なんなら、Freeもある  代行入力はIE、Chromeで可 AzureAD ※大規模に使う場合、要AzureAD P1

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

©2018 T3Realize LLC 23 実演前半 AzureAD側の設定 7/8 名前：RoleSessionName 値：user.userprincipalname 名前空間：https://aws.amazon.com/SAML/Attributes 名前：Role 値：user.assignedroles 名前空間：https://aws.amazon.com/SAML/Attributes 名前：SessionDuration 値：43200 名前空間：https://aws.amazon.com/SAML/Attributes 以下の3つの属性を追加で入力します。 SessionDurationは必須では無いですが、コレを設定しないとDefaultの3600sでセッションが切断されて使い辛いです。こうなればOK！

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Slide 29

Slide 29 text

Slide 30

Slide 30 text

Slide 31

Slide 31 text

Slide 32

Slide 32 text

Slide 33

Slide 33 text

Slide 34

Slide 34 text

Slide 35

Slide 35 text

Slide 36

Slide 36 text

Slide 37

Slide 37 text

Slide 38

Slide 38 text

Slide 39

Slide 39 text

Slide 40

Slide 40 text