第1回 「アイデンティティ管理」の周辺事情を整理しよう

日本電信電話株式会社
NTT情報流通プラットフォーム研究所
伊藤 宏樹
2009/11/5

OpenIDにSAML、Liberty AllianceにInformation Card ……。ここでもう一度、アイデンティティ管理をイチから学んでみませんか。ID管理の周辺情報をまとめ、新しい教科書として使える連載をスタートします（編集部）

　ID管理って何だったっけ？

　昨今のOpenIDの台頭や、マイクロソフトによる Windows CardSpaceの本格展開を契機として、「シングルサインオン（Single Sign-On）」や「連携アイデンティティ管理（連携ID管理）」といった単語がようやく日の目を見るようになってきました。また、いまあるID管理技術をどう使い分けるか、あるいは異なるID管理技術同士の相互運用は可能なのかといった議論がまさに起きつつあるところです。

　本稿では、これからWeb上の複数サービスを束ねるID管理である「連携ID管理」（以下、ID管理）を勉強する人向けに、ID管理とは何か、またID管理技術に関する最近の状況、今後の展望、そして2009年6月に生まれたID管理に関する新しい団体、「カンターラ・イニシアティブ」の目指すところを簡単にまとめてみたいと思います。

　“identity”と“identifier”の違いから知るID管理

　“identity”と“identifier”、よく混同されるこの2つの単語は、どちらも“ID”と略されますが、少し意味合いが違います。

	定義
identity	そのユーザーを特徴付ける、あらゆる情報 　例：氏名、住所、生年月日、クレジットカード番号、 　　　当該ユーザーのウェブサイトでの行動履歴
identifier	そのユーザーを特定するために用いる情報 　例：アカウント名、OpenID Identifier

表1　ID管理の世界におけるidentityとidentifierの定義

　ID管理の世界におけるidentityとは、「あるユーザーがユーザーの明確な意思の有無にかかわらず、あるサービス（あるウェブサイト）に対し提供した情報、および当該サービスがサービスを提供する上ですべて作成した、あるユーザーに関する情報すべて」を指し、それは、おそらくは皆さんの場合も、数え切れないほどのウェブサイトにすでに拡散していることでしょう。

　それらの情報は、これまでであれば相互に関係を持つことはまずなく、個々のウェブサイトごとに管理される性質のものでした。例えば、引っ越しをした場合には、電話会社、プロバイダ、クレジットカード会社、ポータルサイトなど、それまでに関係を持っていたすべてのウェブサイトのユーザープロファイルを、すべて別個に変更手続きをする必要があります。

図1　引っ越し手続きはさまざまな手続きを別個に行わなければならない

　そうやってインターネット上（あるいはイントラネット上）に散らばるユーザーのidentityを、どのように効率よく、かつ確実に管理していくか？ という命題に対する答えがアイデンティティ管理（ID管理）です。単に「ユーザーID（identifier）を管理すること」ではないことがお分かりいただけると思います。

　ID管理の3要素

　ID管理では、管理されるべき要素として、認証 (Authentication)、認可(Authorization)、属性交換 (Attribute Exchange) の3点セットがよく用いられます。

	定義
認証 （Authentication）	あるサービスが、ユーザーを特定する行為 　・OpenID 　・SAML
認可 （Authorization）	あるサービスが、特定のユーザーに対し、特定のリソースの利用許可を判断する行為 　・OAuth 　・ID-WSF
属性交換 （Attribute Exchange）	あるサービスが、ほかのサービスに対し、特定のユーザーにひも付けられた属性情報を提供すること 　・OpenID AX 　・OpenID SREG 　・ID-WSF

表2　ID管理の3要素

　一般的にAAAといえば、Authentication、Authorization、Accounting（アカウント管理）の3点ですが、特に連携ID管理の世界ではアカウント管理はユーザー・アイデンティティの発生／利用／消去というライフサイクルにおいて、認証、認可より上位に位置付けられるべきという思想に基づいています。すなわち、認証、認可はユーザー･アイデンティティの利用の1形態だと位置付けられています。

　その代わりといっては何ですが、3つ目の要素として挙げられている属性交換（attribute exchange）とは、Webサービス間でのユーザー情報の送受信方式のことです。Webサービス間の連携が進む中で、ユーザーの氏名、メールアドレス、クレジットカード番号などといった情報を安心、安全にサーバ間で共有する方式に注目が集まっています。

　次章以降で、連携ID管理を支えるさまざまな技術について見ていきましょう。

1/3

Index
「アイデンティティ管理」の周辺事情を整理しよう
	Page1 ID管理って何だったっけ？ “identity”と“identifier”の違いから知るID管理 ID管理の3要素
	Page2 主要なシングルサインオン方式 ID管理「技術標準」の普及
	Page3 仕様の一本化か、相互運用か

アイデンティティ管理の新しい教科書 連載インデックス

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）