統合認証のための基盤を提供する「CA SiteMinder」
CA SiteMinderとは一言で言うと、「Webアプリケーションの統合認証基盤製品」です。特徴としては以下三つの機能を担い、企業のWebアプリケーション環境を集中管理します。
- Webシングルサインオン認証を実現
- 一元化されたポリシーベースのWebアクセス管理
- Webアプリケーションのアクセスログ収集
以下、一つ一つの機能に分けて、見てみましょう。
Webシングルサインオン認証とは
「シングルサインオン」とは、ユーザが一度の認証を受けるだけで、他のサービスも利用できるようになることです。CA SiteMinderが、どのような仕組みで、ユーザに一度のログインを求めるだけで他のWebアプリケーションにもアクセスさせることができるのでしょうか。図1の構成図を元に、実際の情報のやり取りを見てみます。
まず構成の取り方として、既存のWebサーバに対してエージェントを導入する「エージェント型」と、既存のWebサーバに手を加えずにプロキシサーバを立てる「リバースプロキシ型」があります（それぞれ、図1の下段と上段）。
図1では左端のユーザが右端のWebサーバにアクセスする場合を想定しています。まず始めにユーザがWebアプリケーションを利用しようとすると、CA SiteMinderのエージェントやプロキシサーバがそのリクエストをフックします（図中①）。次にエージェントやプロキシサーバがユーザに対して認証情報を求め（図中②）、入力された認証情報をCA SiteMinderのポリシーサーバ※に送信します（図中③）。受け取った認証情報を元に、ポリシーサーバは以下の順番で認証と許可の処理を行います（図中④）。
- アクセス先のWebリソースは、CA SiteMinderの保護対象か？
- アクセスしているユーザは、CA SiteMinderの管理対象か？
- このユーザは、このWebリソースへのアクセスを許可されているか？
これらの処理によって、三つ目のステップで「許可されていない」と判断されたユーザは、該当Webリソースにアクセスすることができません。
ポリシーサーバが認証と許可の結果を返すと（図中⑤）、その情報はセッション情報としてブラウザで保存されます。その結果、ユーザは二度目以降Webアプリケーションを利用する際、認証を求められることなくアクセスできるようになるのです（図中⑥）。
ポリシーサーバとは、ユーザ情報やポリシー情報を一元的に管理するコンポーネントです。
図1で示した二種類の構成の取り方についてまとめると、その違いは表1のようになります。
リバースプロキシ型では、既存環境にエージェントを導入する必要がない代わりにパフォーマンスの確保は難しくなったり、エージェント型では、パフォーマンス要件は満たしやすい一方、各Webサーバにエージェントを導入する必要があります。
それぞれの構成方法によって一長一短がありますが、CA SiteMinderは環境に合わせて、両方の構成を混在させることが可能です。
