WS-Federation のバックアップ(No.6)

WS-Federationは、
- 信頼されたドメイン間での識別子のフェデレーションサポートと、
- シングルサインオン・サインオフによるマッピングした識別子をサポートするために、
- WS-Security、WS-SecureConversation?、WS-Trustにもとづいて構築された仕様です。

パッシブリクエスタプロファイル:
- このプロファイルは、現在、PingFederate?やADFSといった製品によってサポートされています。
- ブラウザーをベースとしたシングルサインオン(SSO)やアイデンティティフェデレーション(ID連携)を可能にします。

アクティブリクエスタプロファイル:
- このプロファイルは、現在、PingTrust?によってサポートされており、将来的にはADFSでサポートされる予定です。
- Webサービス上のアイデンティティフェデレーションをサポートします。

WS-Federationは、SAML(Security Assertion Markup Language)2.0と類似した問題を解決しますが、他のWS*プロトコルで構成可能です。

従って、あなたがエンタープライズレベルのフェデレーションをソリューションとして組み込みたいのなら、
ドメイン内の参加者によってどのプロトコルが実装されているのかについて注意を払わなければならないでしょう。

WS-Federationのパブリックドラフトは、最近、OASIS WSFED 技術委員会へのインプットとして受け入れられました
- http://www.oasis-open.org/committees/tc_home.php?wg_abbrev=wsfed (英語)
- この委員会の下で、SAML 2.0とWS-Federationが標準化されることを期待します。

第2章　Windows Azureプラットフォーム概要　2.3.7　フェデレーション認証
http://www.atmarkit.co.jp/fdotnet/bookpreview/azureoverview_0203/azureoverview_0203_03.html

大まかな動作は以下の通りである。

セキュリティトークン（通常はクッキー情報により取り扱われる）を持たない状態で、社外（ここではAzure環境）のアプリケーションにアクセスを試みると、アクセスが拒否される。
そしてそれと共に、社内のフェデレーションサーバーにセキュリティトークンを取りに行くように指示される（社内のフェデレーションサーバーへのリダイレクトが行われる）。
エンドユーザーがフェデレーションサーバーにアクセスすると、ユーザー確認が行われ、セキュリティトークンが発行される。
このセキュリティトークンを持った形で社外のアプリケーションにアクセスすると、このセキュリティトークンの真贋判定が行われる。正しいものだった場合、アプリケーションにアクセスできるようになる。

アクティブ (WS-Trust) およびパッシブ (WS-Federation と SAML 2.0) をサポート。
アーキテクチャ上、.NET -> WCF -> WIFの上位に構築されている。
AD FS 2.0 はConfiguration Service, Card issuance Service, Security Token Service, Federation Metadata Serviceの集まりです。
1. AD FS 2.0 の中核となるのがSTS(Security Token Service)です。STS は、ID ストアに Active Directory を、LDAPを、属性ストアに SQL ストアやカスタムストアを使用します。
2. AD FS 2.0 の STS は、WS-Trust、WS-Federation、SAML (Security Assertion Markup Language) 2.0 などのさまざまなプロトコルを使用して、呼び出し元にセキュリティトークンを発行します。トークン形式としては、SAML 1.1 と SAML 2.0 の両方をサポートします。

目次 †