Webアプリケーションの統合認証をソフトウェアで実現する

統合認証のための基盤を提供する「CA SiteMinder」

　CA SiteMinderとは一言で言うと、「Webアプリケーションの統合認証基盤製品」です。特徴としては以下三つの機能を担い、企業のWebアプリケーション環境を集中管理します。

• Webシングルサインオン認証を実現
• 一元化されたポリシーベースのWebアクセス管理
• Webアプリケーションのアクセスログ収集

　以下、一つ一つの機能に分けて、見てみましょう。

Webシングルサインオン認証とは

　「シングルサインオン」とは、ユーザが一度の認証を受けるだけで、他のサービスも利用できるようになることです。CA SiteMinderが、どのような仕組みで、ユーザに一度のログインを求めるだけで他のWebアプリケーションにもアクセスさせることができるのでしょうか。図1の構成図を元に、実際の情報のやり取りを見てみます。

図1．CA SiteMinderの構成

　まず構成の取り方として、既存のWebサーバに対してエージェントを導入する「エージェント型」と、既存のWebサーバに手を加えずにプロキシサーバを立てる「リバースプロキシ型」があります（それぞれ、図1の下段と上段）。

　図1では左端のユーザが右端のWebサーバにアクセスする場合を想定しています。まず始めにユーザがWebアプリケーションを利用しようとすると、CA SiteMinderのエージェントやプロキシサーバがそのリクエストをフックします（図中①）。次にエージェントやプロキシサーバがユーザに対して認証情報を求め（図中②）、入力された認証情報をCA SiteMinderのポリシーサーバ※に送信します（図中③）。受け取った認証情報を元に、ポリシーサーバは以下の順番で認証と許可の処理を行います（図中④）。

• アクセス先のWebリソースは、CA SiteMinderの保護対象か？
• アクセスしているユーザは、CA SiteMinderの管理対象か？
• このユーザは、このWebリソースへのアクセスを許可されているか？

　これらの処理によって、三つ目のステップで「許可されていない」と判断されたユーザは、該当Webリソースにアクセスすることができません。

　ポリシーサーバが認証と許可の結果を返すと（図中⑤）、その情報はセッション情報としてブラウザで保存されます。その結果、ユーザは二度目以降Webアプリケーションを利用する際、認証を求められることなくアクセスできるようになるのです（図中⑥）。

　図1で示した二種類の構成の取り方についてまとめると、その違いは表1のようになります。

表1．リバースプロキシ型とエージェント型

　リバースプロキシ型では、既存環境にエージェントを導入する必要がない代わりにパフォーマンスの確保は難しくなったり、エージェント型では、パフォーマンス要件は満たしやすい一方、各Webサーバにエージェントを導入する必要があります。

　それぞれの構成方法によって一長一短がありますが、CA SiteMinderは環境に合わせて、両方の構成を混在させることが可能です。