Identiverse 2024 Overview

2024/07/24 CNCJ: CNSCon + Identiverse recap ( https://cncj-security.connpass.com/event/324869/ ) で発表した、「Identiverse 2024 Overview」のスライドです。
イベント概況と注目したトピックとして「認可」について紹介しています。

Transcript

1. Identiverse 2024 Overview Cloud Native Security Japan / CNSCon + Identiverse recap 2024年07⽉24⽇ 株式会社野村総合研究所 ⽣産⾰新センター プラットフォームサービス開発⼆部 チーフエキスパート 和⽥ 広之
2. 1 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. n和⽥ 広之 @wadahiro nOSSを利⽤したシステム構築、技術コンサルティングなどを業務で⾏いつつ様々なOSSにコントリ ビューションを実施 nここ数年は認証・認可、ID管理・IGA分野のOSS（KeycloakやmidPointなど）を中⼼に活動中 ⾃⼰紹介 出所： https://atmarkit.itmedia.co.jp/ait/series/31623/ 出所： https://qiita.com/wadahiro/items/1b14fbf6f2b65283a2a9
3. 2 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. nIDに特化した世界的なカンファレンスであり、今年で15回⽬ l 開催⽇程： 2024/05/28 〜 05/31 l 開催場所： ⽶国ラスベガス アリア・リゾート＆カジノホテル CONVENTION CENTER n4⽇間に渡り最新の技術仕様、ベストプラクティス、業界のトレンドについて多数の講演 n世界中から1000⼈を超える、ID・セキュリティ専⾨家が⼀堂に介する （250⼈超のスピーカー、100超のトピック、150超ソリューションプロバイダー） n⽇本からの参加者は12名程度（弊社からは2名参加） Identiverse 2024
4. 3 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. nKeynote l ⼤ホールでの基調講演 nBreakout Session l 8部屋に分かれて並⾏開催 nExpo l 約130社のベンダー・標準化団体が出展 Identiverseの構成
5. 4 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. セッション概要 n認証 l パスキー関連のセッションが多数 • パスキーの基本、FIDOアライアンスによるデザインガイドラインの紹介、エンタープライズ向けの導⼊事例の話など l FedCM n認可 l OAuthとはレイヤーが異なる、モダンな認可に関するセッションが多数 n標準化関連 l OAuth 2.1 l OAuth 2拡張仕様 l FAPI l SCIM拡張仕様 l AuthZEN nID管理・IGA l IGA × ⽣成AI 出所： 配布されたスケジュール⼀覧
6. 5 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. 注⽬したトピック - 認可
7. 6 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. n参加した関連セッション（同僚による参加分も含む） lThe Authorization Conversation lNavigating the Intersection: IAM and OWASP in the Cybersecurity Landscape lEmbracing Zero Standing Privilege: A New Era of Authorization lThe State of Authorization 5 Years From Now lArchitectural Patterns for Distributed Authorization lUse Identity for Zero Trust API Security lOpenID AuthZEN Interop Read Out lGraph-Based Harmony: Simplifying ZTA in the Age of Data Breaches lThe Future of Authorization（キーノート） 認可
8. 7 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. nOWASP Top 10 (2021) / OWASP Top 10 API Security Risks (2023) において 認可は深刻なセキュリティリスク 認可はホットトピック 出所： 「Navigating the Intersection: IAM and OWASP in the Cybersecurity Landscape」セッションのスライド写真に加筆
9. 8 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. nWhat/How/Whenの切り⼝で説明 nFine-grained/Policy-based/Real-time であるものがモダン モダンな認可とは？ 出所： 「The Authorization Conversation」セッションのスライド写真より
10. 9 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. OAuthとここでいう「モダンな認可」の違い OAuth モダンな認可 OAuthで発⾏され るアクセストークン (RFC 6749) 外部化した認可サービスにて、各種 トークンやリクエスト情報などを元に 認可判断を実施 アプリ内での認可判断を 外部化した認可サービス に問い合わせて実施 出所： 「Use Identity for Zero Trust API Security」セッションのスライド写真に加筆 アクセストークンで該当 APIの認可判断をスコープ などをもとに実施 (RFC 6750)
11. 10 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. nPEP/PDPモデル l OASIS XACML（2001年） l NIST SP 800-162 「Guide to ABAC Definition and Considerations」（2014年） l NIST SP 800-207 「Zero Trust Architecture」（2020年） n違いは何か・・・？ 認可のアーキテクチャモデルは昔から変わっていない 出所：「NIST SP 800-162」 https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-162.pdf 出所：https://en.wikipedia.org/wiki/XACML 出所：「NIST SP 800-207」 https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf
12. 11 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. nCentral Application Authorization l 昔からあるパターン（XACML） l 中央で認可判断が実施されるため⼀貫性のある判断が可能 l ただしパフォーマンスは低くなり、PDPの⾼可⽤性が求められる nSidecar Application Authorization l k8sなどのコンテナ環境の登場により近年採⽤されているパターン l PDPをサイドカーコンテナで動かすことで、認可判断を1ms 以下で実現する l PDPは分散配置されるため⼀貫性は劣るが 単⼀障害点にはならない l コントロールプレーンを配置し、PDPが利⽤するポリシーや データを中央で⼀貫性のある形で統合管理しつつ、 各コンテナに配布するアーキテクチャを取る⽅式もある （PDPをOSSで提供し、このコントロールプレーンをサービス提供してマネタイズしているベンダーも） 認可アーキテクチャのデザインパターン 出所： 「Architectural Patterns for Distributed Authorization」セッションのスライド写真より
13. 12 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. nCentral Application Authorization l 昔からあるパターン（XACML） l 中央で認可判断が実施されるため⼀貫性のある判断が可能 l ただしパフォーマンスは低くなり、PDPの⾼可⽤性が求められる nSidecar Application Authorization l k8sなどのコンテナ環境の登場により近年採⽤されているパターン l PDPをサイドカーコンテナで動かすことで、認可判断を1ms 以下で実現する l PDPは分散配置されるため⼀貫性は劣るが 単⼀障害点にはならない l コントロールプレーンを配置し、PDPが利⽤するポリシーや データを中央で⼀貫性のある形で統合管理しつつ、 各コンテナに配布するアーキテクチャを取る⽅式もある （PDPをOSSで提供し、このコントロールプレーンをサービス提供してマネタイズしているベンダーも） 認可アーキテクチャのデザインパターン 出所： 「Architectural Patterns for Distributed Authorization」セッションのスライド写真より
14. 13 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. n近年、「モダンな認可」を実現するOSSが多数登場し、乱⽴状態 l この中でも、OPA（Open Policy Agent）は汎⽤ポリシーエンジンであり、幅広い分野で使われている nAuthZEN l OpenID FoundationのWorking Groupとして2023年に発⾜し、現在認可APIの標準化作業を進めている l PEP-PDP間のAPIのみを規定し、アクセスコントロール⽅式はスコープ外（将来はポリシー定義標準化も？） nCNCF・IETF・OpenID Foundationで認可に関するエコシステムを構成していく OSS実装の登場と標準化 出所： 「The Authorization Conversation」セッションのスライド写真より 出所： 「The Future of Authorization」キーノートのスライド写真より OPA、OpenFGAは CNCFプロジェクト
15. 14 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. nPEP-PDP間の呼び出し（Evaluation API）の標準化を⾏う最初のImplementer’s Draftが 5⽉に登場 l これにより、アプリケーションはそのままで異なる認可プロダクトへの対応が可能となる n今後は以下のAPIの標準化を検討中 l Evaluation APIの強化（Box-carring multiple requests） l Resource Search API（サブジェクトがアクセス可能なリソース⼀覧を取得） l Subject Search API（あるリソースにアクセス可能なサブジェクト⼀覧を取得） AuthZENの取り組み状況 出所： 「OpenID AuthZEN Interop Read Out」セッションのスライド写真より
16. 15 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. nIdentiverse開催時にIteropを実施： https://authzen-interop.net/ AuthZENの取り組み状況 出所： 「OpenID AuthZEN Interop Read Out」セッションのスライド写真より 出所： https://authzen-proxy.demo.aserto.com/
17. 16 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. nGoogleの認可基盤であるZanzibarの論⽂（2019年）からインスパイアを受け、ReBACのプロ ダクトが多数登場 l CNCFプロジェクトだと、OpenFGAがその実装のひとつ nただし、AuthZENのInteropに参加しているReBACプロダクトはまだ少ない状況 Relationship / Graph-based Access Control（ReBAC） 出所： 「Graph-Based Harmony: Simplifying ZTA in the Age of Data Breaches」セッションのスライド写真より作成 OPAによるRBAC ReBACのイメージ 出所： https://www.slideshare.net/slideshow/openid-authzen-interop-read-out-authorization/269554745
18. 17 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. n技術⾯ l Sidecar Application Authorization ⽅式による分散型認可アーキテクチャ l OSS実装の登場、汎⽤ポリシーエンジンOPAの台頭 l PEP-PDP間のAPIに絞った標準化の開始（AuthZEN） l RBAC/ABACとは異なる、新しいアクセスコントロール⽅式であるReBACの登場 nニーズ l ABACのような⾼度なアクセスコントロールが実際に求められるようになってきた（Zero Trust） これまでの認可との違い（まとめ）
19. 18 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. nSAPのような旧来アプリにモダンな認可を適⽤するにはどういうアプローチがあるか？ l 現状だと、API GWで認可制御したり、アプリケーションが備える権限情報をプロビジョニングして認可制御 l 標準化が進めば、アプリケーション側での対応に期待できる （SalesforceがSAML/OIDCに対応していったように） n認証のように⼀般に使われるようになるティッピングポイントはいつ頃と考えているか？ l 2020年までに80%の企業がABACを使うようになっていると いう予測もあったが・・・ l SSOも15年くらいかかっている l そうすると2034年にはそのような状況になっているのでは？ パネルディスカッションでの議論 出所： 「The Authorization Conversation」セッションのスライド写真より
20. 19 Copyright （C） Nomura Research Institute, Ltd. All rights reserved. n残念ながら、Identiverseとしてセッションのスライド・動画などは現時点では公開されていない （今年はないのかも？） n2022年、2023年に関しては動画公開あり l https://identiverse.com/videos/videos2022/ l https://identiverse.com/videos/videos2023/ n2024年 l 公式コンテンツ：Webinarコンテンツのみが少しあり • https://identiverse.com/idv24/content-resources/ l セッションによっては個別にアップロードされているものもあり • OpenID AuthZEN Interop Read Out • https://www.slideshare.net/slideshow/openid-authzen-interop-read-out-authorization/269554745 参考情報 出所： https://identiverse.com/idv24/content-resources/