HP IceWall SSO

これだけは覚えておきたいSAML用語 - 1 -

アサーション

• assertion。直訳すると"主張"。
• 「このユーザは認証済です。」（認証ステートメント）、「このユーザの属性情報はxxxです。」（属性ステートメント）等の"主張"を伝えるメッセージ。
• 他のサイトが発行したアサーションを「信用する」ことでSAMLによるサイト間の連携が成り立ちます。←これが一番大事！

アサーションによる認証の連携

アサーションによる認証の連携の利点
ユーザは自分のアカウントが登録されているサイトで直接、認証を受けます。他のサイトには、アサーションが渡されるだけです。ここがポイントです。
つまり、

1. ユーザID/パスワードといったセキュリティートークンが連携する他のサイトに流れることがありません。
2. 2. 本人確認の方式が、ICカード、ワンタイムパスワード、指紋による生体認証他、どんな認証方式であろうとも、連携する他のサイトの仕組みには一切影響を及ぼしません。

アサーションを使わない例

これだけは覚えておきたいSAML用語 - 2 -

アーティファクト

• アサーションへのリファレンスです。
• 使い捨てのランダムな文字列と発行したサイトの識別子で構成されます。
• ブラウザのリダイレクト経由でアサーションをサイト間で引き渡すことを避けるため、アーティファクトを介しています。
• アーティファクトを使う最大の理由は、アサーションのサイズです。（アサーションはでかい！）
• なお、SAML仕様では、アサーションをブラウザのリダイレクト経由で直接引き渡す方式（Browser/POST profile)も規定されていますが、アーティファクトを使う方式（Browser/Artifact profile)の方が一般的です。

1. 1. ユーザは自分のアカウントが登録されているサイトAにログインします。
2. ポータル画面から、サイトBのWebアプリケーションへのリンクをたどります。
3. サイトAはユーザにアーティファクトを発行してユーザをサイトBにリダイレクトします。
4. ユーザは、アーティファクトをサイトBに提示します。
5. サイトBは、アーティファクトをサイトAに提示します。
6. サイトAは、自分がどのユーザに発行したアーティファクトであるかわかるため、対応するユーザのアサーションを発行して返信します。
7. サイトBは、アサーションの中身をチェックします。そのユーザがサイトAで「認証済であること」、および、送られてきた属性情報を信用して、ユーザにセッションを発行します。
8. サイトBは、ユーザにWebアプリケーションへのアクセスを許可します。

GSSOのアクセスパターン
前記の例ではポータルからリンクをたどっていますが、アクセスパターンは以下の2つに分類されています。

1. Source-Site First
   • "ポータル型"アクセス。
   • ユーザは、自分がアカウントを持つサイトにログイン後、リンクをたどって連携先のサイトにアクセスします。
   • リンクはSAMLを意識したURLになっています。
2. Destination-Site First
   • "直打ち"アクセス。
   • ユーザは、未認証のまま、URLを直打ちする等して連携先のサイトのアプリケーションにアクセスします。

1. ユーザは、未認証のまま、URLを直打ちする等して連携先のサイトのアプリケーションにアクセスします。
2. 未認証であるため、ユーザは一旦、アカウントを持つサイトにリダイレクトされて認証を受ける必要があります。

• ユーザのアカウントが登録されたサイトを判定します。（選択画面やクッキーの利用等。）
• ユーザがもともとアクセスしようとしていたアプリケーションのURLをTARGETパラメータとしてセットしてから、アーティファクトを発行するサービスにリダイレクトします。

Destination-Site First

アサーションは信用できるか？
繰り返しになりますが、SAMLによるGSSOは、アサーションを信用することで成り立ちます。このため、SAML仕様ではアサーションに対する攻撃については特に考慮されています。例として、以下のような規定があります。

• アーティファクトの一意性、有効期限。（リプレイ攻撃防止）
• 発行者によるXML署名。（改ざん防止）
• SSLによる通信経路の暗号化。（盗聴防止）

ログアウトは？
ここまで読んでいただくと、では、ログアウトはどうなるのか、という疑問がわくと思います。残念ながら、SAML1.1では、「シングルサインオン」はできますが、「シングルログアウト」という概念はありません。シングルログアウトは、SAML1.xから発展したLiberty ID-FFやSAML2.0で規定されています。

おまけ - IDフェデレーション（account linkage）
サイト間の認証の連携のバリエーションとして、「ＩＤフェデレーション」（account linkage）があります。ユーザが各サイトに既にアカウントを持っている場合に、１つをマスターアカウントとして他のサイトのアカウントをそれに結びつける機能です。一旦アカウントを結びつけた後は、マスターアカウントでログインをすることでGSSOが実現できます。これは、SAML1.x仕様の拡張仕様であるLiberty ID-FFではじめて規定された機能です。SAML2.0にも取り込まれました。