Shoeisha Technology Media

EnterpriseZine(エンタープライズジン)

EnterpriseZine(エンタープライズジン)

テーマ別に探す

Webアプリケーションの統合認証をソフトウェアで実現する

  2007/12/15 12:00

 さて、これまでWebアクセスの現状とWebアクセス製品に求められる機能のお話をしてきました。今回は、実際の製品であるCA SiteMinder Web Access Manager(以下、CA SiteMinder)を中心にWebアクセスマネジメントが実現される仕組みを解説します。

統合認証のための基盤を提供する「CA SiteMinder」

 CA SiteMinderとは一言で言うと、「Webアプリケーションの統合認証基盤製品」です。特徴としては以下三つの機能を担い、企業のWebアプリケーション環境を集中管理します。

  • Webシングルサインオン認証を実現
  • 一元化されたポリシーベースのWebアクセス管理
  • Webアプリケーションのアクセスログ収集

 以下、一つ一つの機能に分けて、見てみましょう。

Webシングルサインオン認証とは

 「シングルサインオン」とは、ユーザが一度の認証を受けるだけで、他のサービスも利用できるようになることです。CA SiteMinderが、どのような仕組みで、ユーザに一度のログインを求めるだけで他のWebアプリケーションにもアクセスさせることができるのでしょうか。図1の構成図を元に、実際の情報のやり取りを見てみます。

図1.CA SiteMinderの構成
図1.CA SiteMinderの構成

 まず構成の取り方として、既存のWebサーバに対してエージェントを導入する「エージェント型」と、既存のWebサーバに手を加えずにプロキシサーバを立てる「リバースプロキシ型」があります(それぞれ、図1の下段と上段)。

 図1では左端のユーザが右端のWebサーバにアクセスする場合を想定しています。まず始めにユーザがWebアプリケーションを利用しようとすると、CA SiteMinderのエージェントやプロキシサーバがそのリクエストをフックします(図中①)。次にエージェントやプロキシサーバがユーザに対して認証情報を求め(図中②)、入力された認証情報をCA SiteMinderのポリシーサーバ※に送信します(図中③)。受け取った認証情報を元に、ポリシーサーバは以下の順番で認証と許可の処理を行います(図中④)。

  • アクセス先のWebリソースは、CA SiteMinderの保護対象か?
  • アクセスしているユーザは、CA SiteMinderの管理対象か?
  • このユーザは、このWebリソースへのアクセスを許可されているか?

 これらの処理によって、三つ目のステップで「許可されていない」と判断されたユーザは、該当Webリソースにアクセスすることができません。

 ポリシーサーバが認証と許可の結果を返すと(図中⑤)、その情報はセッション情報としてブラウザで保存されます。その結果、ユーザは二度目以降Webアプリケーションを利用する際、認証を求められることなくアクセスできるようになるのです(図中⑥)。

ポリシーサーバ

 ポリシーサーバとは、ユーザ情報やポリシー情報を一元的に管理するコンポーネントです。

 図1で示した二種類の構成の取り方についてまとめると、その違いは表1のようになります。

表1.リバースプロキシ型とエージェント型
表1.リバースプロキシ型とエージェント型

 リバースプロキシ型では、既存環境にエージェントを導入する必要がない代わりにパフォーマンスの確保は難しくなったり、エージェント型では、パフォーマンス要件は満たしやすい一方、各Webサーバにエージェントを導入する必要があります。

 それぞれの構成方法によって一長一短がありますが、CA SiteMinderは環境に合わせて、両方の構成を混在させることが可能です。


著者プロフィール

  • 日本CA 兼岡 禎朗(カネオカ ヨシアキ)

    日本CA株式会社 ソリューション技術本部 プロダクトソリューション統括部 コンサルタント。 日本CAのアクセス管理製品であるCA Access Controlを担当したことが、セキュリティとの出会いとなる。現在はセキュリティソリューションのプリセールス活動に従事。最近特に注目されているア...

バックナンバー

連載:Webアクセス管理が実現する企業セキュリティとコンプライアンス
All contents copyright © 2007-2019 Shoeisha Co., Ltd. All rights reserved. ver.1.5