例えば、社員向けグループウェアとしてパブリック・クラウド上のグループウェアを利用する場合、パブリック・クラウド上のグループウェアでもログインID・パスワードによる認証が必要になります。
パブリック・クラウド上のグループウェアのログインID・パスワードは社外で管理される情報になるため、ログインID・パスワードの流出や不正アクセスのリスクが高まります。また、管理対象のログインID・パスワードが増えることで、社内システム部門の問い合わせ対応等の運用負荷が増えてしまいます。

さらに、パブリック・クラウドへは、インターネット上のどこからでもアクセスが可能なため、社員は社内ネットワークを経由せずに社外から直接利用することも可能になり便利になった反面、情報漏えいのリスクも生じることになります。

このようなの課題は、「認証連携」の仕組みを取り入れることで解決することができます。

【用語解説】

*1：パブリック・クラウド

インターネット経由の不特定多数の利用者を対象に広く提供されるクラウド・サービスのこと。

*2：プライベート・クラウド

業界内や企業内などの特定の利用者を対象として提供されるクラウド・サービスのこと。

*3：ハイブリッド・クラウド

パブリック・クラウドとプライベート・クラウドを組み合わせた利用形態のこと。

「認証連携」の仕組みとして、最近ではSAML2.0 *4 がよく利用されるようになってきました。SAML2.0を利用することで、1回の認証で複数のサービスへ認証無しでアクセスすることが可能な「シングル・サインオン *5 」、および異なるサービス間のログインIDを紐付ける「アイデンティティ連携 *6 」を実現できます。

企業側のメリット

「アイデンティティ連携」により、プライベート・クラウドのログインIDと、パブリック・クラウドのそれとを事前に紐付けておくことで、さまざまな業務を効率化できます。

まず、管理者はこれまでどおり、プライベート・クラウドの認証情報であるログインID・パスワードだけを管理しておけばよくなります。パブリック・クラウドのログインID・パスワードを社員に通知する必要もありません。また、退職社員のアカウントは社内システム1箇所で利用停止（削除）すれば、すべての業務が利用不可とすることができます。

また、セキュリティ面でもメリットがあります。パブリック・クラウド上のサービスを利用する際には、必ず社内システムにログインしてからになるので、社外から直接利用されることはありません（「入り口」を1箇所にすることにより監視が容易になります）。そのため、ログインID・パスワードの認証情報が社外ネットワークに流れることを防げます。

利用者（社員）のメリット

「シングル・サインオン」により、社内システムにログインさえすれば、パブリック・クラウド上のサービスへは個々にログインすることが不要となり、シームレスにサービスを利用できるようになります。もちろん、利用者はパブリック・クラウド上のサービスのログインID・パスワードを覚えておく必要もありません。

【用語解説】

*4：SAML2.0

Security Assertion Markup Language 2.0の略。マルチドメイン間での信頼ベースのセキュリティサービスの技術であり、認証情報を安全に交換するための仕様。

*5：シングル・サインオン

一度の認証で複数のWebサイトやサービスが利用できること。

*6：アイデンティティ連携

SAML2.0における、認証サーバ（IDP）とサービス（SP）の間で、ユーザID（アイデンティティ情報）を関連付けること。

なぜ「認証連携」の仕組みとして、SAML2.0が利用されるのでしょうか？
SAML2.0は認証連携の標準仕様として規定されており、主に社内・社外や、企業間といった、異なるドメインをまたがった認証連携が可能な仕様であるからです。また、「アイデンティティ連携」による異なるシステム・サービス間のID情報を紐付けることにより、各システム・サービスに閉じてID管理を行いつつ、認証連携もできる、という特長もあります。

さらにSAML2.0では、サービスのセキュリティレベルに応じて認証連携時に行う認証の方式を選択・要求することができます。例えば、通常はログインID・パスワードを要求し、機密性の高いサービスではICカード認証を要求する、といった構成が可能です。

SAML2.0の「アイデンティティ連携」では、異なるサービス間のログインIDを「仮名」と呼ばれる文字列を用いて紐付けを行います。「仮名」を用いることで、連携システム間でお互いのログインIDを公開する必要が無くなります。

認証連携はログインIDではなく「仮名」を流通して行いますので、ログインIDやパスワードが外部に漏れません。「仮名」からはログインIDを推測できない仕組みになっており、たとえ「仮名」が漏れたとしてもユーザを特定することは不可能です。また、「仮名」は認証サーバ(IDP)と1つのサービス(SP)との間でのみ有効な文字列ですので、複数のサービス(SP)が結託しても名寄せができないようになっています。そのため、仮に1つのサービス(SP)から情報が漏えいしたとしても、他のサービス(SP)にまでその影響が波及することはありません。

今後、企業のコスト削減や戦略的な目的により、アウトソーシング分野を拡大させて、社内のプライベート・クラウドから社外のパブリック・クラウドへのシフトが加速すると予測されます。しかし、多くの企業はコア・コンピタンスに関する分野のアウトソーシングが難しく、ハイブリッド・クラウドでの運用を余儀なくされることでしょう。

プライベートとパブリックのクラウド連携にSAML2.0による認証連携を使うことで、安全で利便性の高いハイブリッド・クラウド環境を実現してみてはいかがでしょうか。NTTソフトウェアの 「TrustBind/Federation Manager(トラストバインド/フェデレーションマネージャ)」 では、SAML2.0に完全対応しており、Google Apps *7 やSalesforce CRM *8 といったパブリック・クラウド上のサービスとの連携を簡単に実現可能です。

なお、SAML2.0に準拠している製品一覧はこちらを参照ください。

*7：Google Apps

Google Appsは、Google Inc,の登録商標または商標です。

*8：Salesforce CRM

Salesforce CRMは、米国その他の国における株式会社セールスフォース・ドットコムの登録商標です。