組織におけるアイデンティティ管理の基本的な考え方

組織におけるアイデンティティ管理
に関する基本的な考え方
2019/02/09（土）
OpenIDファウンデーション・ジャパン
富士榮尚寛
（伊藤忠テクノソリューションズ株式会社）

自己紹介
• 役割
• OpenIDファウンデーション・ジャパン理事、KYC WGリーダー
• IDをコアとしたビジネス開発担当。大阪から全国をカバー
• 書き物など
• Blog：IdM実験室（https://idmlab.eidentity.jp）
• 監訳 : クラウド時代の認証基盤 Azure Active Directory 完全解説
• 共著 : クラウド環境におけるアイデンティティ管理ガイドライン
• その他活動
• 日本ネットワークセキュリティ協会アイデンティティ管理WG
• Microsoft MVP for Enterprise Mobility（Jan 2010 -）
• LINE API Expert （Feb 2018 -）
• Auth0 Ambassador（Sep 2018 -）
Copyright 2018 OpenID Foundation Japan - All Rights Reserved. 2

そもそもIDとは？
• IDは何の略？
• Identifier：識別子
• 特定の集合の中で実体を一意に識別するための属性情報（一つとは限らない）
• 日本の中に「富士榮」は複数いるので苗字は識別子にならないが、大阪府の中なら苗字で
識別できる
• Identity：アイデンティティ
• 実体を構成する属性の集合（ISO/IEC 24760-1より）
• 識別子もアイデンティティを構成する要素の一つ
要素解説例
属性後天的に取得された主体に関わる情報
（後から変化する）
名前、電話番号、社員番号、メールアド
レス、認証状態、位置情報
好み主体の嗜好に関わる情報甘いものが好き
形質主体の先天的な特有の性質
（後から変化しにくい）
生年月日、性別
関係性他の主体との関係に関わる情報（一部属性と重複） XX大学卒業、YY部所属
「ID管理」で言う
IDはこちら
日本大阪府
富士榮
富士榮
富士榮
富士榮

出典）@_NAT ZONE
https://www.sakimura.org/2011/06/1124/
• Entityを直接観測できない
• 自観：提供する属性を通じ、他人
に見てほしい「自己像」
• 他観：提供された属性を通じ、実
際に感じ取った「自己像」
• 提供する相手毎に提供する属性を
変えて「自己像」を形成
（コンテキストの切り替え）
Entity Identity Relationship

様々な自己像を形成して関係性を構築する
国
地域
現在の
職場
取引先
出身校
以前の
職場
家族
XX大学出身
YY社での実績
⇒採用
ZZ社所属
⇒取引
XX大学出身
⇒採用
A県出身
⇒入寮許可
家族構成
ZZ社所属
⇒補助金
XX大学出身
ZZ社所属
⇒結婚

重要な点①：プライバシー（コンテキスト侵害）
国
地域
現在の
職場
取引先
出身校
以前の
職場
家族
親戚関係の構造
⇒労働には無関係
A県出身
XX大学出身
⇒取引には不要
職場での姿
⇒家族に知られたく
ない？
学生時代の交友関係
○○地区出身
⇒採用には無関係
職場での姿
ない？

重要な点①：プライバシー（コンテキスト侵害）
国
地域
現在の
職場
取引先
出身校
以前の
職場
家族
親戚関係の構造
A県出身
XX大学出身
⇒取引には不要
職場での姿
ない？
学生時代の交友関係
○○地区出身
⇒採用には無関係
職場での姿
ない？
コンテキスト毎に自己像を
自身の意思で形成することが
必要

重要な点②：属性の信頼性
国
地域
現在の
職場
取引先
出身校
以前の
職場
家族
XX大学出身
YY社での実績
⇒採用
ZZ社所属
⇒取引
XX大学出身
⇒採用
A県出身
⇒入寮許可
家族構成
ZZ社所属
⇒補助金
XX大学出身
ZZ社所属
⇒結婚
本当に？
本当に？
本当に？
本当に？
本当に？
本当に？

属性付与主体による証明を求める
国
地域
現在の
職場
取引先
出身校
以前の
職場
家族
XX大学出身
YY社での実績
⇒採用
ZZ社所属
⇒取引
XX大学出身
⇒採用
A県出身
⇒入寮許可
家族構成
ZZ社所属
⇒補助金
XX大学出身
ZZ社所属
⇒結婚
大学への照会
卒業証明書
職歴（履歴書）
住民票
課税証明
会社への照会
身分証提示
家族への照会
住民票
大学への照会
卒業証明書
探偵？

何故信じられるのか？
国
地域
現在の
職場
取引先
出身校
以前の
職場
家族存在する大学か？
レベルは？
存在する会社か？
財務状態は？
存在する大学か？
レベルは？
存在する国か？

国
地域
現在の
職場
取引先
出身校
以前の
職場
家族存在する大学か？
レベルは？
存在する会社か？
財務状態は？
存在する大学か？
レベルは？
存在する国か？
属性付与主体の有効性
（人の前に組織の信頼性）

国
地域
現在の
職場
取引先
出身校
以前の
職場
家族
採用時に身元確認
をしているか
ちゃんと試験をして
卒業させているか
行政システムが有効
に働いているか？

国
地域
現在の
職場
取引先
出身校
以前の
職場
家族
採用時に身元確認
をしているか
ちゃんと試験をして
卒業させているか
行政システムが有効
に働いているか？
取得する属性の有効性
（本人確認、身元確認）

国
地域
現在の
職場
取引先
出身校
以前の
職場
家族
身分に変更はないか
家族構成、雇用状態
に変化はないか？
継続的な属性の有効性

信頼モデル：トラストフレームワーク
出典）OpenIDファウンデーション・
ジャパン/トラストフレームワークWG
登場人物概要
ポリシー策定
者（Policy
Maker）
トラストフレームワークのポリ
シー策定者
トラストフ
レームワー
ク・プロバイ
ダ（TFP）
ポリシーに基づいてトラストフ
レームワークを策定しIdP、RP
の信頼関係構築の仲介を行う事
業者
認定監査人
（Assessor）
TFPによって認定され、IdP、
RPがトラストフレームワーク
に沿って運営されているか監査
する事業者
Identity
Provider
（IdP）
利用者のアイデンティティを保
持・管理し提供する事業者
Relying Party
（RP）
IdPの認証結果を受け入れ、ア
イデンティティ情報の提供を受
ける事業者

出典）JICS2013
学認トラストフレームワーク
東京大学佐藤先生
学生、教職員
大学、機関
電子ジャーナル
などのアプリ
国立情報学研究所
（NII）が運営

運用と得られるモノ
• 運用
• LoA（Level of Assurance/ID保証レベル）の認定
• 大学（IdP）がトラストフレームワーク（実施要領、運用基準）に沿って適切運用されてい
ることをアセスメント・認定（学認アンケート）
• LoP（Level of Protection/ID保護レベル）の認定
• 電子ジャーナル等のアプリケーション（RP）が安全にアイデンティティ情報を利用しているか検
査・認定
• 得られるモノ
• 大学（IdP）、利用者は安心してアプリケーション（RP）を利用できる
• 自分のIDが不正に利用されていない
• アプリケーション（RP）は安心してアプリケーションを利用させられる
• 不正な利用者がアクセスしに来ていない

信頼を得るために組織が行うID管理
• IDの利用用途
• 業務に必要なITシステムや情報を利用させること
• ID管理の目的
• 正しい利用者に業務に必要なITシステムや情報を正しく利用させること
• ITシステムを利用させるために必要なプロセス
• 「正しい利用者に」
• 識別（Identification）：利用者を他者と区別する
• 認証（Authentication）：利用者の正当性を検証する
• 「正しく利用させる」
• 認可（Authorization）：利用者応じた権限を与える
18
これらのプロセスを
管理・制御すること
が必要

管理とは？
• 2つの管理
• Management（マネージメント）
• Do Right Things
• 何が正しい状態なのかを定義する
• ルール化、手順化
• Control（コントロール）
• Do Things Right
• 正しい状態へ持っていく
• 制御、統制
• 予防的：抑止力、違反できないようにする仕組み
• 発見的：証拠、違反したことを気づけるための仕組み
19
ルールの定義
プロセスの実行
ルールどおりにプロ
セスを実行させる
（予防と発見）
この道は60km/h制限
制限速度で運転する
予防
- 監視ｶﾒﾗ
ポリシー道路交通法
目標交通事故を減らす
マネジメント・システム
発見
- 取締り

ID管理・制御をシステム化する必要性
20
ルールの定義
ルールどおり
にプロセスを
実行させる
ポリシー
目標正しい利用者に業務に必要なITシステムや情報を正しく利用させる
例）企業に在籍する者に、役職に応じて情報を開示する
管
理
制
御
・社員番号を使って識別
する
・入社～退社の間のみ利用
させる
・パスワードで認証する
・パスワードは8文字以上
とする
・有効期限は90日とする
・利用者の役職属性に応じ
て情報を開示する
識別認証認可
・社員番号を人事システム
から取得し、ITシステム
へ登録する
・入社時に有効化、退社時
に無効化する
・パスワードが間違って
いると認証しない
・8文字未満のパスワード
を登録させない
・有効期限間近に通知する
・人事システムから最新の
役職属性の値を取得し、
ITシステムへ登録する予防
・人事システム以外から登
録されたIDの有無を棚
卸・確認する
・在籍状態以外のIDの有無
を棚卸・確認する
・パスワード間違い履歴
を確認する
・パスワード期限切れの
ユーザ一覧の棚卸をする
・アクセス履歴と利用
者の権限の棚卸する
発見
手動での管理・制御は
不確実かつ煩雑
システム化（ID基盤の整備）が必要

・パスワードが間違って
いると認証しない
・8文字未満のパスワード
を登録させない
・有効期限間近に通知する
・パスワード間違い履歴
を確認する
・パスワード期限切れの
ユーザ一覧の棚卸をする
ID基盤を構成する要素と役割分担
21
ルールの定義
ルールどおり
にプロセスを
実行させる
ポリシー
目標正しい利用者に業務に必要なITシステムや情報を正しく利用させる
例）企業に在籍する者に、役職に応じて情報を開示する
管
理
制
御
・社員番号を使って識別
する
・入社～退社の間のみ利用
させる
・パスワードで認証する
・パスワードは8文字以上
とする
・有効期限は90日とする
・利用者の役職属性に応じ
て情報を開示する
識別認証認可
・社員番号を人事システム
から取得し、ITシステム
へ登録する
・入社時に有効化、退社時
に無効化する
・人事システムから最新の
役職属性の値を取得し、
ITシステムへ登録する予防
・人事システム以外から登
録されたIDの有無を棚
卸・確認する
・在籍状態以外のIDの有無
を棚卸・確認する
・アクセス履歴と利用
者の権限の棚卸する
発見
統合認証システム
ID管理システム
＋ログ管理システム
アプリケーション

棚卸・ログ管理機能（ID管理システム、ログ管理システム）
• 各システムのID状態を棚卸しし、意図した状態でない場合は警告を出す
• 各システムのID状態、運用ログ情報を収集する
ID基盤の構成要素
と役割分担
22
管理者
源泉情報（人事DB等）
（クラウド/オンプレ）
- IDライフサイクル管理機能
（人事業務/イベントに合わせた
アカウント管理）
- ID同期機能
（認証用IDの同期）
- ID棚卸し
SSO
利用者
IDメンテナンス
- PWDリセット
- ID作成/更新/削除
- PWDリセット、
- プロファイルメンテナンス
認証/ID管理に関連する機能
認証機能（統合認証システム）
• ID/PWDなどでログオン制御を行う
• アプリケーションの認証機能を外出し、共同で利用することでシングルサインオ
ンを実現する
• 一般に、認証に使うID情報（社員番号やパスワード）はID管理システムを使っ
て管理される
認可機能（アプリケーション）
• ログオン後、ユーザの権限（メニューを出す・出さない等）制御を行う
• 一般に制御自体はアプリケーション側で行い、認可に必要な情報（役職や所属組
織）はID管理システムを使って管理される
ID同期機能（ID管理システム）
• ID管理システムから認証システムへ、認証に使うID情報（社員番号やパスワー
ド）を同期する
• ID管理システムからアプリケーションへ、認可に使うID情報（役職や所属組
織）を同期する
- ID同期機能
（認可用IDの同期）
- ID棚卸し
IDライフサイクル管理機能（ID管理システム）
• ID情報を源泉（人事等）から取り込み、人事イベントに応じて認証システムや
各アプリケーションへ必要なID情報を同期する
• 管理者や利用者自身でIDのメンテナンスを行う（パスワード・リセット、プロ
ファイルメンテナンス等）
ログ管理システム
ログ収集機能
一般的な認証/ID管理システムのスコープ

棚卸・ログ管理機能（ID管理システム、ログ管理システム）
• 各システムのID状態、運用ログ情報を収集する
• 各システムのID状態を棚卸しし、意図した状態でない場合は警告を出す
ID基盤の構成要素
と役割分担
23
管理者
源泉情報（人事DB等）
（クラウド/オンプレ）
- IDライフサイクル管理機能
（人事業務/イベントに合わせた
アカウント管理）
- ID同期機能
（認証用IDの同期）
- ID棚卸し
SSO
利用者
- PWDリセット
- ID作成/更新/削除
- PWDリセット、
- プロファイルメンテナンス
認証/ID管理に関連する機能
認証機能（統合認証システム）
• ID/PWDなどでログオン制御を行う
• アプリケーションの認証機能を外出し、共同で利用することでシングルサインオ
ンを実現する
• 一般に、認証に使うID情報（社員番号やパスワード）はID管理システムを使っ
て管理される
認可機能（アプリケーション）
• ログオン後、ユーザの権限（メニューを出す・出さない等）制御を行う
• 一般に制御自体はアプリケーション側で行い、認可に必要な情報（役職や所属組
織）はID管理システムを使って管理される
ID同期機能（ID管理システム）
• ID管理システムから認証システムへ、認証に使うID情報（社員番号やパスワー
ド）を同期する
• ID管理システムからアプリケーションへ、認可に使うID情報（役職や所属組
織）を同期する
- ID同期機能
（認可用IDの同期）
- ID棚卸し
IDライフサイクル管理機能（ID管理システム）
• ID情報を源泉（人事等）から取り込み、人事イベントに応じて認証システムや
各アプリケーションへ必要なID情報を同期する
• 管理者や利用者自身でIDのメンテナンスを行う（パスワード・リセット、プロ
ファイルメンテナンス等）
ログ管理システム
ログ収集機能
認証/シングルサインオン
プロビジョニング
ID連携/フェデレーション

ID管理）プロビジョニング
• 認証/認可の大前提となるIDの登録
• 「認証の8プロセス」（出典：2015年のIDビジネス/野村総合研究所著）
24
存
在
確
認
身
分
証
明
書
発
行
シ
ス
テ
ム
用
の
ID
コ
ー
ド
と
認
証
手
段
の
デ
ー
タ
ベ
ー
ス
登
録
ユ
ー
ザ
ー
認
証
認
証
結
果
表
明
発
行
認
証
結
果
表
明
送
付
認
証
結
果
表
明
確
認
リ
ソ
ー
ス
使
用
の
認
可
関連キーワード解説
IDと認証手段を認証システムへ
登録しないと認証はできない
認可に使用する属性をアプリへ
登録しないと認可はできない
余談）分散システム構成で認証
結果を受け渡すのがID連携

• 認証/認可の大前提となるIDの登録
• 認証/認可を正しく行うために信頼できるID情報を登録する必要がある
• 人事DBからID情報を取得し、認証システムや各種アプリケーションへ配信する
（企業において最も信頼できるID情報の源泉が人事である場合が多いため）
25
人事DB
入社、異動、退社などの
イベントに合わせて人事
情報を取込み
利用ポリシーに合わせて
各システムへ ID を配信
認証システム
配信されたIDを利用して
認証を行う
配信されたIDを利用して
認可を行う
プロビジョニング
配信に利用できる方式がポイント
例）LDAP/JDBC/CSVなど

• プロビジョニングの重要性
• ID管理システムが正しく、信頼できるプロビジョニングを行うことにより識別、認証、
認可が正しく実行できる状態になる
26
信頼信頼
信頼
認証用属性の提供
（クレデンシャル）
認可用属性
の提供
認証結果の提供
ID管理
システム
統合認証
システム
アプリ
ID管理システムの役割
- 他のシステムに信頼に足るID情報を提供する
実現方法の例）
人事情報など信頼できる情報ソースと連携する
認証システムの役割
- ユーザの正当性を検証する
実現方式の例）IDとパスワードのマッチング、SMS
通知への応答
アプリケーションの役割
- 認可コントロールを行う

結局のところ、組織におけるID管理とは
• 以下を組織の望む要件に基づき管理すること
• IDの生成～破棄までのライフサイクル（入社～退社など）
• IDを構成する属性のライフサイクル（所属、役職など）
• 組織が主体となりID情報を管理する
• 情報の生成、付与は組織が行う
• 前提は組織（人事部など）が構成員の属性値の正確性を「悪意なく」保証して
いる（在籍状態、役職など）
• 職務分掌と運用ルールによって担保されている

大きな課題とブロックチェーン等への期待
• 過去の所属組織への照会は想像以上に面倒・・・
• 卒業証明書をもらいに大学を訪問したり郵送で取り寄せ
• 所属組織（元・現行）が無くなってしまったら？
• RP⇒IdP：この人はオタクの構成員ですか？
• IdP⇒RP：Request timeout
• 所属組織（元・現行）に身元を否認されたら？
• RP⇒IdP：この人はオタクの構成員ですか？
• IdP⇒RP：404 Not Found

海外事例）学位の電子化
• 大学で発行され、DIDで署名された学位を就職先やプロフェッショナル・ネットワークへ提示する
• 就職先の企業やプロフェッショナル・ネットワークは発行元の検証を行う
出典）Decentralized Identity for a Decentralized World
Alex Simons, Microsoft, EIC2018

海外事例）研修医の身元確認の電子化
控えめに見積もってもドク
ターは年間25,000人日かけて
55,000人の研修医の身元確認
を行っている。
出典）The world's first digital self sovereign identity for Doctors:
Where trust meets trust / Dr Manreet Nijjar, Microsoft, EIC2018

31 31
Legal Identity
Accepted Identity
Proved Identity
No
約20億人が正式な金融サービスを使っておらず、貧困
層の大人の約半数が銀行口座を持っていない。
出典）World Bank Group

背景）無戸籍者、移民の話
戸籍がない人は確実に存在するのです。きちんとした統計はどこにもないので、1
万人というのは「最低限、確実にそのぐらいはいる」という数字です。実際には
もっとたくさんいると思います。出生届が出せないなどの事情で、一時的に無戸籍
になったことのある人を含めて累計すれば、20年間で6万人いることになるんです。
出典）日本の無戸籍者/井戸まさえ著
厚生労働省の集計によると、いま日
本では約128万人の外国人が働いて
いる（2017年10月時点）。これは届
出が義務化されてから過去最高の人
数であり、この10年で倍増している。
出典）
http://gendai.ismedia.jp/articles/-
/56296

海外事例）LIGHTest+UNHCRの難民支援
難民が対象文書を
DAFIプログラム
へ持ち込み
DAFIとUNHCR職員による
確認とデジタル化（電子署名の付与）
UNHCRのトラスト・ス
キームと統合され検証
可能な状態へ
出典）Lightweight Infrastructure for Global Heterogeneous Trust management in
support of an open Ecosystem of Stakeholders and Trust schemes, CIW APAC 2018

UNHCRによって確認されていれば信頼

レピュテーション、ソーシャルメディアによる信頼
• 他者からの評判
• ソーシャルメディア上でのアクティビティ

考慮すべき事項
• 「忘れられる権利」と「忘れられない権利」
• 個人の意思でアイデンティティを削除できる
• 組織の意思でアイデンティティを削除されない
• アイデンティティへのアクセス
• 認証情報のロストによりオンライン・アイデンティティへアクセスできなくなる
• アイデンティティを利用する側の存在
• 安全かつ簡単にアイデンティティを利用してもらうか

まとめ
• 人は相手を属性を通してみている
• 自身の意思でコンテキスト毎の自己像を形成できるようにすることが大切
• 個人への信頼は主に組織等の他者によって付与される属性の信頼性に依拠
している
• 属性の信頼性は組織の信頼性に依拠している
• 組織は信頼性を向上するためにアイデンティティ管理を行う
• 組織自体の消滅、組織による個人の否認は無視できない課題となっている
• ブロックチェーン等の技術要素による解決が望まれる

組織におけるアイデンティティ管理の基本的な考え方

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Similar to 組織におけるアイデンティティ管理の基本的な考え方

Similar to 組織におけるアイデンティティ管理の基本的な考え方 (20)

More from Naohiro Fujie

More from Naohiro Fujie (16)

Recently uploaded

Recently uploaded (11)

組織におけるアイデンティティ管理の基本的な考え方