グローバル認証基盤構築サービス

グローバル企業のグループ企業間において、各企業の独自性を優先していたため、認証基盤すなわちActive Directory（AD）が統合されていないケースが多くあります。昨今、グループで共通のコラボレーション基盤を作りたい、あるいはグローバルでガバナンスを効かせたいといった要求により、グループで統合化された認証基盤が必要になってきました。しかし、ADの統合化は多くの時間と費用と多くの制約を必要とするため、実現性は困難を極めていました。この大きな問題をユニアデックスは統合ではなく連携という方法により解決策を提案します。

グローバルに進出していた企業は、これまでは各地域での最適化を優先してきたため、各地域で独立したIT基盤が構築されてきました。しかし、昨今のクラウドの発展によりグローバルで共通のSaaSを導入し、グローバル間の情報共有やコミュニケーションの最適化が優先されるようになってきました。グローバルで共通のSaaSを利用するということはグローバルで認証基盤の統制が取れている必要があるという課題に直面します。その解決策として認証基盤の統合化、すなわちActive Directory(AD)のグローバル統合に着手する必要に迫られます。しかしながらADはあらゆるシステムの中心となっており、レガシーシステムから剥がして新たなADに移すということは大変な時間と労力を要するものです。経営のスピード化に逆行した無理のある解決策といわざるを得ません。また、グローバル企業にとってはGDPR（EU一般データ保護規則）への対応も視野に入れる必要があり、課題解決はより複雑になってきています。では、どのようにしてこれらの課題を解決すべきでしょうか。

Office 365を利用するためにはAzure ADの構築が必要となります。Azure AD Connectorを利用することで簡単に既存のAD情報をAzure ADに同期することができます。パスワードも同期することができますので社内のADもしくはネットワークがシステムダウンしても認証することができます。しかし、クラウド上にパスワードを置くことはまだ敬遠される傾向にあります。ADがひとつ（正確にはフォレストがひとつ）であれば、それほど難しいことではないので、すぐにでもAzure AD Connectorを導入できます。しかし、海外等の各地に点在するADに対してAzure AD Connectorを利用する場合、注意が必要です。Azure AD Connectorはマルチフォレストに対応しておりWANでつながる範囲であれば各地のADから情報を吸い上げてAzure ADに書き込むことが可能です。しかし、グローバルに点在するADはユーザー名の付与の方法が各地域に依存されているケースが多く、ユーザー名が重複しコンフリクトを起こす可能性があります。このような課題をコントロールして意図した情報をAzure ADに同期させる必要があります。

Office 365の認証は各地域毎にフェデレーションドメインを分ける。ユーザーがサインイン画面でメールアドレスもしくはUPNを入力するとドメインサフィックスを判断し、各地域のフェデレーションドメインを指定したフェデレーションサーバーにアクセスする。ユーザーはそこでID/パスワードを入力する。統合Windows認証の設定をしていれば入力は不要。

システムの構成は以下の段階を踏む

Office 365の認証は各地域毎にフェデレーションドメインを分ける。ユーザーがサインイン画面でメールアドレスもしくはUPNを入力するとドメインサフィックスを判断し、各地域のフェデレーションドメインを指定したIDaaS内のフェデレーションサービスにアクセスする。ユーザーはそこでID/パスワードを入力する。統合Windows認証の設定をしていれば入力は不要。その他のSaaSにもシングルサインオンが可能。社内ソースIPではないアクセスの場合、多要素認証を要求する。

Oktaは米国Okta, Inc.社のサービスです。上記IDaaSの機能に加え、モバイル管理機能も有しています。シングルサインオンに関してはあらかじめ登録されたアプリケーションが5000以上用意されています。また、プロビジョニング対応アプリケーションもメジャーなSaaSには既にいくつも対応が完了しています。社内ADとの連携も容易にできるようになっており、Okta AD Agentを社内のWindowsサーバーにインストールすることでADのユーザー情報プロビジョニングとADでのパスワード照合を実現します。多要素認証機能も充実しておりスマートデバイス用専用アプリケーションのOkta Verifyを利用することで多要素認証のプッシュ通知に対してタップするだけで認証を行うことができます。他にもSMS、Yubikey、秘密の質問などにも対応しています。