リバティ・アライアンスの中核をなす 『ネットワーク・アイデンティティ』 、 その技術的背景と戦略的な価値を分析する

　IPネットワークはグローバルな社会インフラとして、現在重要な位置付けを獲得している。当然、ネットワークを介した各種サービス群が近年、急速に増加したが、一方で多くの問題が噴出し始めた。その1つが、ネットワーク・アイデンティティの確立である。言い換えれば、ネットワーク上で「本人」であることを証明するにはどうすればいいのか、という問題だ。

　サン･マイクロシステムズは、この問題解決を目指す解として「ネットワーク・アイデンティティ（Network Identity）」戦略を打ち出している。同戦略は、将来的なネットワーク社会の姿をみすえ、最近技術の開発、実装、サービスとしての提供を展開していこうというものである。「ネットワーク・アイデンティティ」戦略の中核製品「Sun ONE Identity Server 6.0」「Sun ONE Directory Server 5.1」を軸に、同製品群に実装されるリバティ・アライアンス・プロジェクト（Liberty Alliance Project）の最新技術やアイデンティティ管理に関わる標準技術を解説する。

　現在では多くの人々がさまざまなサイトに出入りする。そのために各人、覚えきれないほどのユーザーIDとパスワードを保有し、その管理の煩雑さにあえいでいる。このことは、ネットワーク上のサービスを享受する一般的なエンドユーザーの悩みだが、企業という側面においても、分散化・複雑化する情報システムに、従業員の誰がアクセスできるのか、どこまでアクセスできるのかといったアイデンティティの管理という課題を抱えている。そもそも、従業員のアイデンティティ管理は、情報システムの統合化という企業にとっては最も頭の痛い問題に直結するのである。
　
　つまり、ネットワーク上における「アイデンティティの確立」という技術的課題をクリアすることは、企業、消費者双方が将来的なネットワーク社会の利益を享受する際の最優先事項とも言える。

　「ネットワーク・アイデンティティによって『紛れもない本人』であることを証明するとともに、一度サインオン（ユーザーIDとパスワードを入力）すれば、求めるサービスが次々と提示される」。サン・マイクロシステムズが、このようなネットワーク・アイデンティティの技術的な標準規格を確立するために、世界の160を超える企業・団体と推進するのが「リバティ・アライアンス・プロジェクト」である。

写真1　Sun ONE事業本部 本部長の杉本博史氏（左）と工藤達雄氏（右）

　サン･マイクロシステムズのSun ONE事業本部 本部長の杉本博史氏は、「複数のIDとパスワード管理は、サプライヤにとってもユーザーにとっても無駄な作業でしかない。結果的に、セキュリティ機能は弱まり、莫大なコストを生むことになる。Web上で新たなサービスを提供する基盤として、リバティ・アライアンス・プロジェクトの成果が存在する」と言う。

　サン･マイクロシステムズは、「リバティ・アライアンス・プロジェクト」を通じてネットワーク認証ソリューションの標準仕様を策定し、その仕様を自社製品に組み込むことで、将来的なネットワーク･コンピューティングのあるべき姿を模索し続けている。同社が考える「ネットワーク・アイデンティティが確立されたWebサービスのイメージ」を紹介しよう。

　ここに、ネットワーク・アイデンティティの確立されたJavaカードがある。このJavaカードを使って、あるミュージシャンのCDをインターネットで購入しようと思い立つ。その際、まずはある音楽CD販売店のWebサイトにアクセスし、JavaカードでCDを購入する。ログインする際には、IDとパスワードを入力する。ここまでは現在でもよくみられる光景だろう。

　では、次にチケット予約サイトから先ほどWeb上で購入したアーティストのコンサートチケットを購入するとしよう。通常なら、再度ログインをし直し、IDとパスワードを入力する必要がある。登録をしていなければ、氏名、住所、電話番号、Javaカード番号など一連の個人属性情報を最初から入力しなければならない。しかし、ネットワーク・アイデンティティが確立されており、CD販売店とチケット予約サイトの間で認証および属性情報の受け渡しが可能な状態であれば、ユーザーは再度パスワードとIDを入力することなく、チケットを購入できる。

　さらに、コンサート会場に行くためには、航空会社から航空チケットを購入しなければならない。空港からコンサート会場までレンタカーを予約する必要もあるだろう。このような別々の企業から提供されるサービスが、一度のログイン（シングル・サインオン＝SSO）で可能になるには、前述したようなネットワーク・アイデンティティの確立が不可欠となる。

　上記のSSOによる電子商取引を可能にするには、当然、技術的な基盤の確立が求められる。現時点では、多くの電子商取引が1ユーザー対1企業というシンプルなモデルの上に成立しているが、上記の状況を実現するには、1人のユーザーの認証情報を複数の企業が連携して管理する体制を構築しなければならない。さらにこのような連携した企業群同士が相互に連携しながらアイデンティティを管理するというステージに進む必要がある。

　つまり、将来実現し得るソリューションには2つのタイプがあるということだ（図1）。現時点の電子商取引がアイデンティティ情報の一極集中管理を行う「中央集権型モデル」（左）であるのに対し、将来的には個々に管理されたアイデンティティ情報を連携する「連携（Federation）型のモデル」（右）を実現しなければならない。

図1　実現し得るソリューション

　リバティ・アライアンス・プロジェクトでは、このような「連携（Federation）型のモデル」を実現するため、各企業の相互運用を可能にする仕様およびプロトコルの策定作業を行っており、Liberty Version1.1（2003年1月）が最新版である。

　では、リバティ・アライアンス・プロジェクトで実現される機能を段階的にみてみよう。現段階でリリースされている第1段階（フェイズ1）の機能は、シングル・サインオン（SSO）とアカウント・フェデレーションだ。一部先進的な企業（ISPを含む）間では、アイデンティティの一極集中管理を行いながら、SSOによるサービス提供をしている。アカウント・フェデレーションとは、各サイト間でアカウント情報を交換する機能であり、実際のアカウントとは無関係な文字列（opaque handle）を使用して、ユーザーのプライバシーを保ったままアカウント情報のリンクが可能となる。これは、例えばあるISPで登録したアカウントで、ほかのISPのサービスが受けられる技術的な仕様である。異なるアカウントのフェデレーションが行える点で、横断的なSSOを実現する。

　なお、「リバティ・アライアンス・プロジェクトは現時点で「連携ネットワーク・アイデンティティへ進化（図2）」としてフェイズ3までの計画が公表されている」とSun ONE事業本部 ソフトウェアビジネス推進部 ネットワーク・アイデンティティ・ビジネス担当の工藤達雄氏は話す。フェイズ2はアイデンティティ・ベースのWeb サービスを実現するためのフレームワークとなる。具体的にはアイデンティティ・サービスのサイト情報を提供する「Identity Discovery Service」や属性情報を交換するための「Permission Based Attribute Sharing」などを標準化した機能を提供する。

図2　リバティ・アライアンス・プロジェクトの目指す方向

　フェイズ3ではフェイズ2までのフレームワーク上に、アイデンティティ管理ベースの各種サービスを実現するフレームワークの標準を仕様化することを想定している。現在、該当するサービスとして「Wallet Service」や「Calendar Service」などが挙げられている。

　このようなリバティ・アライアンス・プロジェクトの成果を実際の製品にいち早く実装したベンダがサン･マイクロシステムズである。同社のユーザー・アイデンティティ管理プラットフォーム「Sun ONE Identity Server 6.0」には、Liberty Version1.0仕様が実装されている。同製品は、企業内または企業間のバリュー・チェーンにおいて、アクセス・ポリシーの徹底、認証処理の集中化、およびユーザー情報管理の効率化を実現する標準ベースの製品である。Webベースのインフラを通してパートナーや顧客とビジネスを行い、また従業員に社内サービスを提供する場合などにアイデンティティ管理基盤を提供する。
　
　アクセス管理機能では、多重化されたロール（役割）の指定を可能とすることで組織内におけるアクセス・ポリシーの柔軟な定義を実現する。また、認証サービスとしてLDAP、RADIUS、X.509 v3の電子証明書、SafeWordトークン・カード、UNIXなどを標準として提供する。C、Java、XMLのAPIを備え、ポリシーの定義と評価、認証サービスの開発と利用、監査レポート生成およびクライアント・インターフェイスのカスタマイズと統合などが行える。

　Sun ONE Identity Server 6.0はLiberty Version1.0仕様で標準化されたフェデレーション・サービスも実現できるが、リバティ・アライアンス仕様に加え、SAML（Security Assertion Markup Language）仕様にいち早く対応している。

　SAMLとはアイデンティティ情報交換のためのフレームワークである。 2002年11月にSAML Ver1.0がOASIS（Organization for the Advancement of Structured Information Standards）によって標準化されており、各ベンダが対応製品をリリースしている。サン・マイクロシステムズも、「Sun ONE Identity Server 6.0」でSAML1.0にいち早く対応し、認証ドメイン（「トラストサークル」または「信頼できるパートナー」とも呼ぶ）間での認証情報の共有を可能にした。

1. 認証情報交換の標準化（サイト間で個別に管理されている認証情報の相互連携）
2. アイデンティティ属性情報交換の標準化（あるエンティティの属性値を安全に他のサイトへ提供する）
3. ポリシー情報／認可情報交換の標準化（一括管理されたポリシーを外部システムに提供）

　 1. の機能を活用すれば、サイトをまたがったSSOのサービスが可能となり、2. の機能を活用すれば、企業内のユーザー・アカウント情報管理システムの構築が行え、3. の機能では例えば、ライセンス管理システムへの応用が実現できる。

図3　SAMLサービス・アーキテクチャ

　リバティ・アライアンス・プロジェクトが目指す連携ネットワーク・アイデンティティへの進化モデル（フェイズ0〜フェイズ3）におけるフェイズ2以降を実現するには、図3のSAMLのサービス・アーキテクチャが示すようなアサーション交換機能の標準化がどうしても必要なのだ。

　ここまで、アイデンティティの確立をテーマとしてきたが、実は、ネットワーク上でアイデンティティを確立し、アプリケーションやサービスに対する認証／認可の定義を実施することは、アイデンティティ情報のリポジトリであるディレクトリ･サービスを抜きにして語ることはできない。

　ネットワークサービスにおける重要課題の1つは大量のユーザーの管理である。ネットワークサービスや eコマースサイトの利用者数は、エンドユーザーやパートナー企業、サプライヤ企業を含め、数十万〜数百万人の規模になってしまうのが現状である。一方で、企業内にはレガシーシステムやクライアント／サーバシステム、イントラネットのサーバなどに、膨大な数のコンテンツやデータ、アプリケーションが散在しており、それぞれ個別にユーザー管理／認証機構を持っているため、利用者の情報アクセスを複雑にし、情報の活用やシステムの統合を阻害する要因となっている。

　結局、SSOを始めとしたアプリケーションレベルでのサービスをスムーズに実現するには、バックエンドでユーザー情報やポリシー情報の集中化を行わなければいけない。その基盤となるのが、ディレクトリ・サービス（図4）だ。

図4　ディレクトリ・サーバで社内資源とサービスの統合が始めの一歩となる

　サン･マイクロシステムズの「Sun ONE Directory Server 5.1」は大規模なネットワークを利用するユーザーや接続するデバイスのアイデンティティを集中的に管理し、複数のサーバに散在するコンテンツやアプリケーションの認証／アクセス制御情報の統合データベースとして機能するディレクトリ・サーバだ。同製品は、「世界のISPや企業を中心に、累計約9億5000万ライセンスの実績を持つ」（杉本氏）。機能面では、次世代ネットワークサービスにおける必須要件の1つである「24時間、週7日、年365日継続サービス提供」を可能にするための新機能 「マルチマスターレプリケーション」を標準で搭載。加えて、大規模ユーザーの効率的な管理のための数々の新機能も標準搭載している。