クラウドサービス利用に際して、フェデレーション技術を利用してクラウドサービス事業者が保有する利用企業のアイデンティティ情報をできる限り少なくすることは、利用企業が抱くセキュリティ面の不安を払しょくするための有効な手段のひとつと言えます。

但し、フェデレーション技術を企業向けIT環境で活用するには、コンシューマ向けIT環境とは異なり、アイデンティティ情報の管理主体が企業であることや、アクセス制御処理で利用する日本特有の組織情報についてプロビジョニング技術を利用して認証処理を行う前に予め連携しておく必要があるなど、企業向けIT環境の特性を考慮する必要があります。

本ガイドラインは、企業向けIT環境においてクラウドサービスを提供する事業者に対して、コンシューマ向けIT環境で普及しているフェデレーション標準プロトコルであるOpenID Connectと、現在標準化の検討が進んでいるアイデンティティ・プロビジョニング標準プロトコルであるSCIMを利用することの有用性と、その利用方法を説明したガイドラインです。

■『OpenID ConnectとSCIMのエンタープライズ利用ガイドライン』概要

1.エンタープライズITにおけるフェデレーション標準プロトコルと

　　アイデンティティ・プロビジョニング標準プロトコルの有用性

2.フェデレーション標準プロトコル～OpenID Connect解説

3.アイデンティティ・プロビジョニング標準プロトコル～SCIM解説

4.フェデレーションとアイデンティティ・プロビジョニング標準プロトコルの

　日本エンタープライズITへの適用

5.OpenID Connect/SCIMユースケース 　^※5

6.関連技術/概念

 引き続きEIWGでは、本ガイドラインをもとに、リファレンス実装開発などの技術検討を進めると同時に、フェデレーション普及を後押しするビジネスモデルの探索を行ない、OpenID ConnectとSCIMをより広くみなさんに活用していただくための環境実現を目指します。

OIDF-Jは今後も、OpenID Connectを活用して、ユーザー目線に立ったID社会の発展に貢献していきます。

■OpenIDファウンデーション・ジャパンについて　　https://www.openid.or.jp

OpenIDファウンデーション・ジャパンは米国OpenID Foundationの公認団体です。「OpenID Connect」をはじめとする技術の利用促進を図り、会員企業と共に啓蒙活動をしています。また、サービス事業者間の「トラストフレームワーク」の構築などの取り組みを通じて、インターネットをより信頼可能で安全なものにするための活動も行っています。

■NPO日本ネットワークセキュリティ協会について　　http://www.jnsa.org/

NPO日 本ネットワークセキュリティ協会は、ネットワーク社会の情報セキュリティレベルの維持・向上及び日本における情報セキュリティ意識の啓発に努めるととも に、最新の情報セキュリティ技術および情報セキュリティへの脅威に関する情報提供などを行うことで、情報化社会へ貢献することを目的としております。

　※1：エンタープライズ・アイデンティティ・ワーキンググループ(略称：EIWG)

エンタープライズIT市場でOpenID ConnectやSCIMなどの仕様をベースとした、IDフェデレーションやIDプロビジョニングの普及を推進し、その過程を通して新たなビジネスの創造・展開を図ることを目的としています。

　※2：NPO日本ネットワークセキュリティ協会のアイデンティティ管理ワーキンググループ

　　主にエンタープライズ分野のアイデンティティ管理の必要性の啓発および導入指針の提示などによる普及促進、標準化、市場活性化を目的としています。

　※3：OpenID Connect

　　OpenID Connectとは、サービス間において利用者が中心となってアイデンティティ情報（認証結果、属性情報）を流通させるための仕様です。利用者は、あるサイトのIDを用いて別のさまざまなサイトにログイン可能になるとともに、それらのサイトにパスワードを登録する必要がなくなり、利便性とセキュリティを向上させることができます。 同仕様はアクセス認可のフレームワークとして普及が進んでいるOAuth 2.0をベースとしていることから、API連携との親和性が高く、多くのサービス事業者にて採用が進んでいます。

　※4：SCIM

SCIM (System for Cross-domain Identity Management) とは、クラウドベースのアプリケーションやサービスのユーザー情報の管理を容易にすることを目的に、IETF (Internet Engineering Task Force) にて標準化中の仕様です。クラウドサービス事業者は同仕様を採用することにより、ユーザー企業向けにオープン標準準拠のアイデンティティ・プロビジョニングAPIを提供することが可能となり、サービスの付加価値向上が期待できます。また同仕様はRESTfulなAPIを指向し、かつメッセージ型式にJSONを採用していることから、開発者にとって理解しやすいものとなっています。

　※5：OpenID Connect/SCIMユースケース

　　本章は、OpenIDファウンデーション・ジャパン会員企業の限定公開コンテンツです。

■本リリースに関するお問い合わせ先

　担当：工藤・金城

　連絡先：03-6274-1451　（12/24以降は03-6706-0231へご連絡ください）

contact@openid.or.jp

by @nov

JSON Web Signature (JWS), JSON Web Encryption (JWE), JSON Web Token (JWT), JSON Object Signing and Encryption (JOSE) などの仕様の日本語版を、OpenID Foundation Japan の翻訳ワーキング・グループが作成しましたので、この場を借りてご紹介します。

* なお、「SaaS（Cybozu.com、JTB-CWT、BAZA CLOUD）での実装ユースケース」の発表資料については、諸事情により会場での配布のみになります。ご了承ください。

Enterprise Identity Working Groupについて
ワーキンググループの今後の活動と参加方法について 山中進吾

■パネル・ディスカッション：
モデレータ：杉浦 宣彦氏（中央大学ビジネススクール 教授）
パネリスト：折田 明子氏（慶應義塾大学SFC 特任講師）
下道 高志氏（カンターラ・イニシアチブ ジャパンWG セクレタリー）
高橋 伸和氏（日本ベリサイン株式会社 フェロー）
山中 進吾（OpenIDファウンデーション・ジャパン）

■中継アーカイブ

■ツイッターでのまとめはこちら
http://togetter.com/li/167555

まず山中より「トラストフレームワーク最新動向」というテーマで、トラストフレームワークとは何かといったところから最新動向までの説明がありました。
昨今のサイバー犯罪増加やサイバーテロ、PlayStation ネットワークへの侵入事件等をあげ、トラスト[信頼]の考え方、トラストフレームワークとはなにか、なぜトラストフレームワークが必要か、トラストフレームワークのあり方といった部分をわかりやすく解説しています。
またユースケース4件の紹介や、アメリカ政府のサイバースペース戦略、ID戦略にも言及していました。
面白かったのはJAS≒トラストフレームワーク の解説で、身近な問題に置き換えると理解しやすくなる良い例でこれは導入として使いやすいと感じました。
山中は、トラストフレームワーク成功のためのヒントを「利用者/提供者に複数の選択肢を用意すること」ともしていました。お仕着せではなく、選んで利用できることが大事だということは共感も呼びます。

次に折田氏から「US政府のID戦略に関するワークショップNSTIC Privacy Workshop参加報告」がありました。
折田氏も、米国でのID盗難、なりすましやフィッシングの増加がが大きな問題になっていることを強調。サービスごとにアカウントを作成してアカウントが増えていき、管理が大変となって同一のパスワードを使ってしまうことがセキュリティホールとなることを指摘されています。
そして、6月にMITメディアラボにて開催されたワークショップの様子を伝えて頂きました。誰でも参加できるというワークショップの自由な雰囲気やマイクに行列して発言する方式など、実際に体験しないと感じることのできないライブ感が伝わります。
ディスカッションの様子、休憩エリアの使われ方など、まさにアンカンファレンス(決まった様式のないカンファレンス)の様子が伺えました。

National Institute of Standards and Technology による NSTICに関するビデオがYouTubeにもアップロードされています。

後半は、各パネラーから信頼(トラスト)、信頼フレームワークの最新動向についてのプレゼンテーション、そしてディスカッションへと進みます。
下道氏からはまず「IDとは属性情報の集合体である」という解説。これにより、参加者のIDについての理解の度合いを日本語訳にとらわれずに同じレベルへの到達をはかっています。
さらに、高橋氏よりトラストフレームワークを初期の頃から振り返っての解説。E-commerceの始まりの頃、そして構築されたフレームワークからIDを配布しようとしていた当時の動きから、
FacebookやGoogleのようなID有りきでのフレームワークの必要性、またFB,Googleはどちらもアメリカ企業なのですが、日本はコレに対してどうしていけば良いのかを考える時期であるとの提言がありました。

[b]パネルディスカッション[/b]
トラストフレームワークのメリットについては、各パネラーよりいくつかの意見が出されました。
山中「ユーザメリットは経済活動などがオンラインで行えること。それを普段利用しているIDで使えること。」
高橋氏「プライバシーの保護、ユーザが自分の情報をコントロールできる。新しいサービスがいろいろ出てくるが、いくつかのIDでまとめることができるようになる。」
折田氏「情報の開示対象と範囲のコントロール、人同士の関係、情報の部分をきちんと整理して考える必要がある」
下道氏からは国民IDに期待することとして「住所氏名等の情報を重要という事もあれば、年賀状に載せたりもする。国民がまず理解する事が重要」との意見。
さらに、情報を安全に管理するガバナンスの方向性について「制度や仕組みに信頼性が必要である」との視点があり、現状、実現方法についても議論が交わされました。
このルールを守らせる仕組みについて「日本は自粛をする文化があるから守れるのではないか」「インターネットではオープンであれば、何かあったときにすぐわかるだろう」という見方も示されました。
昨今では法律の制定に時間がかかるため、ソフト・ローというものについてハーバードで議論がなされているそうで、いわば業界ルールを作ることが行われたりするとのこと。

活発な意見交換はときおり質問の枠を超えて現状の説明、提言などを含め時間いっぱいまで行われました。

幅広い業種のみなさまにご参加いただき、関心の高さをうかがい知ることができるセミナーとなりました。
次回開催も企画しておりますので、ご期待ください。