第1回「アイデンティティ管理」の周辺事情を整理しよう

日本電信電話株式会社
NTT情報流通プラットフォーム研究所
伊藤宏樹
2009/11/5

OpenIDにSAML、Liberty AllianceにInformation Card ……。ここでもう一度、アイデンティティ管理をイチから学んでみませんか。ID管理の周辺情報をまとめ、新しい教科書として使える連載をスタートします（編集部）

　ID管理って何だったっけ？

　昨今のOpenIDの台頭や、マイクロソフトによる Windows CardSpaceの本格展開を契機として、「シングルサインオン（Single Sign-On）」や「連携アイデンティティ管理（連携ID管理）」といった単語がようやく日の目を見るようになってきました。また、いまあるID管理技術をどう使い分けるか、あるいは異なるID管理技術同士の相互運用は可能なのかといった議論がまさに起きつつあるところです。

　本稿では、これからWeb上の複数サービスを束ねるID管理である「連携ID管理」（以下、ID管理）を勉強する人向けに、ID管理とは何か、またID管理技術に関する最近の状況、今後の展望、そして2009年6月に生まれたID管理に関する新しい団体、「カンターラ・イニシアティブ」の目指すところを簡単にまとめてみたいと思います。

　“identity”と“identifier”の違いから知るID管理

　“identity”と“identifier”、よく混同されるこの2つの単語は、どちらも“ID”と略されますが、少し意味合いが違います。

	定義
identity	そのユーザーを特徴付ける、あらゆる情報　例：氏名、住所、生年月日、クレジットカード番号、　　　当該ユーザーのウェブサイトでの行動履歴
identifier	そのユーザーを特定するために用いる情報　例：アカウント名、OpenID Identifier

表1　ID管理の世界におけるidentityとidentifierの定義

　ID管理の世界におけるidentityとは、「あるユーザーがユーザーの明確な意思の有無にかかわらず、あるサービス（あるウェブサイト）に対し提供した情報、および当該サービスがサービスを提供する上ですべて作成した、あるユーザーに関する情報すべて」を指し、それは、おそらくは皆さんの場合も、数え切れないほどのウェブサイトにすでに拡散していることでしょう。

　それらの情報は、これまでであれば相互に関係を持つことはまずなく、個々のウェブサイトごとに管理される性質のものでした。例えば、引っ越しをした場合には、電話会社、プロバイダ、クレジットカード会社、ポータルサイトなど、それまでに関係を持っていたすべてのウェブサイトのユーザープロファイルを、すべて別個に変更手続きをする必要があります。

図1　引っ越し手続きはさまざまな手続きを別個に行わなければならない

　そうやってインターネット上（あるいはイントラネット上）に散らばるユーザーのidentityを、どのように効率よく、かつ確実に管理していくか？という命題に対する答えがアイデンティティ管理（ID管理）です。単に「ユーザーID（identifier）を管理すること」ではないことがお分かりいただけると思います。

　ID管理の3要素

　ID管理では、管理されるべき要素として、認証 (Authentication)、認可(Authorization)、属性交換 (Attribute Exchange) の3点セットがよく用いられます。

	定義
認証（Authentication）	あるサービスが、ユーザーを特定する行為　・OpenID 　・SAML
認可（Authorization）	あるサービスが、特定のユーザーに対し、特定のリソースの利用許可を判断する行為　・OAuth 　・ID-WSF
属性交換（Attribute Exchange）	あるサービスが、ほかのサービスに対し、特定のユーザーにひも付けられた属性情報を提供すること　・OpenID AX 　・OpenID SREG 　・ID-WSF

表2　ID管理の3要素

　一般的にAAAといえば、Authentication、Authorization、Accounting（アカウント管理）の3点ですが、特に連携ID管理の世界ではアカウント管理はユーザー・アイデンティティの発生／利用／消去というライフサイクルにおいて、認証、認可より上位に位置付けられるべきという思想に基づいています。すなわち、認証、認可はユーザー･アイデンティティの利用の1形態だと位置付けられています。

　その代わりといっては何ですが、3つ目の要素として挙げられている属性交換（attribute exchange）とは、Webサービス間でのユーザー情報の送受信方式のことです。Webサービス間の連携が進む中で、ユーザーの氏名、メールアドレス、クレジットカード番号などといった情報を安心、安全にサーバ間で共有する方式に注目が集まっています。

　次章以降で、連携ID管理を支えるさまざまな技術について見ていきましょう。

1/3

Index
「アイデンティティ管理」の周辺事情を整理しよう
	Page1 ID管理って何だったっけ？ “identity”と“identifier”の違いから知るID管理 ID管理の3要素
	Page2 主要なシングルサインオン方式 ID管理「技術標準」の普及
	Page3 仕様の一本化か、相互運用か

アイデンティティ管理の新しい教科書連載インデックス

Security&Trust フォーラム新着記事

Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。
WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。
Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
　代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する
侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。