シングルサインオンの導入

Y社は, 医療機器販売会社であり, 都内に本社を構えている。受発注業務システムのサーバ(以下, 業務サーバという), 営業活動支援システムのサーバ(以下, 営業支援サーバという)など, 複数のサーバを本社で運用している。
Y社では, IT活用の推進によって社員が利用するシステムが増加した結果, パスワードの使い回しが広がり, セキュリティリスクが増大した。また, サーバの運用を担当する情報システム部(以下, 情シスという)では, アカウント情報の管理作業が増大したことから, アカウント情報管理の一元化が課題になった。
このような状況から, Y社は, 社内のシステムへのシングルサインオン(以下, SSOという)の導入を決定した。情シスのZ課長は, SSOの導入検討を部下のX主任に指示した。

最初に, X主任は, 本社のネットワーク構成及び機器の設定と利用形態をまとめた。
X主任が作成した, 本社のネットワーク構成を図1に示す。

現状の機器の設定と利用形態を次に示す。

• (i)社内DNSサーバは, 内部LANのゾーン情報を管理し, 内部LAN以外のゾーンのホストの名前解決要求は, 外部DNSサーバに転送する。
• (ii)外部DNSサーバは, DMZのゾーン情報の管理及びフルサービスリゾルバの機能をもっている。外部DNSサーバは, 社外からの再帰問合せ要求は受け付けない。一方, 社内DNSサーバ及びDMZのサーバからの再帰問合せ要求は受け付け, 再帰問合せ時には, 送信元ポート番号のランダム化を行う。
• (iii)PCには, プロキシ設定でプロキシサーバのFQDNが登録されているが, (a)業務サーバ及び営業支援サーバへのアクセスは, プロキシサーバを経由せずWebブラウザから直接行う。
• (iv)PCのスタブリゾルバは, 社内DNSサーバで名前解決を行う。
• (v)PC, サーバセグメントとDMZのサーバでは, マルウェア対策ソフトが稼働している。マルウェア定義ファイルの更新は, プロキシサーバ経由で行う。
• (vi)(b)PCには, L3SWで稼働するDHCPサーバから, PCのIPアドレス, サブネットマスク及びその他のネットワーク情報が付与される。

図1中のFWに設定されている通信を許可するルールを表1に示す。

注記 FWは, ステートフルパケットインスペクション機能をもつ。
注¹⁾ TCP/8080は, 代替HTTPのポートである。

次に, X主任は, アカウント情報の一元管理をDSによって行い, DSの情報を利用してSSOを実現させることを考え, ケルベロス認証によるSSOについて検討した。

X主任が調査して理解した, ケルベロス認証の概要と通信手順を次に示す。

• ケルベロス認証では, 共通鍵暗号による認証及びデータの暗号化を行っている。
• PCとサーバの鍵の管理及びチケットの発行を行う鍵配布センタ(以下, KDCという)が, DSから取得したアカウント情報を基にPC又はサーバの認証を行う。
• KDCが管理するドメインに所属するPCとサーバの鍵は, 事前に生成してPC又はサーバに登録するとともに, 全てのPCとサーバの鍵をKDCにも登録しておく。
• チケットには, PCの利用者の身分証明書に相当するチケット(以下, TGTという)と, PCの利用者がサーバで認証を受けるためのチケット(以下, STという)の2種類があり, これらのチケットを利用してSSOが実現できる。
• PCの電源投入後に, 利用者がID, パスワード(以下, PWという)を入力してKDCでケルベロス認証を受けると, HTTP over TLSでアクセスする業務サーバや営業支援サーバにも, ケルベロス認証向けのAPIを利用すればSSOが実現できる。
• KDCは, 導入予定のDSで稼働する。

X主任は, 内部LANにDSを導入したときの, SSOの動作をまとめた。PCの起動から営業支援サーバアクセスまでの通信手順を図2に示す。

図2中の, ①~⑧の動作の概要を次に示す。
① PCは, DSで稼働するKDCにID, PWを提示して, 認証を要求する。
② KDCは, ID, PWが正しい場合にTGTを発行し, PCの鍵で暗号化したTGTをPCに払い出す。PCは, TGTを保管する。
③ 省略
④ 省略
⑤ PCは, KDCにTGTを提示して, 営業支援サーバのアクセスに必要なSTの発行を要求する。
⑥ KDCは, TGTを基に, PCの身元情報, セッション鍵などが含まれたSTを発行し, 営業支援サーバの鍵でSTを暗号化する。さらに, 暗号化したSTにセッション鍵などを付加し, 全体をPCの鍵で暗号化した情報をPCに払い出す。セッション鍵は, 通信相手の正当性の検証などに利用される。
⑦ PCは, 全体が暗号化された情報の中からSTを取り出し, ケルベロス認証向けのAPIを利用して, STを営業支援サーバに提示する。
⑧ 営業支援サーバは, STの内容を基にPCを認証するとともに, アクセス権限をPCに付与して, HTTP応答を行う。

TGTとSTには, 有効期限が設定されている。(c)PCとサーバ間で, 有効期限が正しく判断できていない場合は, 有効期限内でも, PCが提示したSTを, サーバが使用不可と判断する可能性があるので, PCとサーバでの対応が必要である。

次に, X主任は, ケルベロス認証を導入するときのネットワーク構成について検討した。ケルベロス認証導入時には, DNSのリソースレコードの一つであるSRVレコードの利用が推奨されているので, SRVレコードについて調査した。
DNSサーバにSRVレコードが登録されていれば, サービス名を問い合わせることによって, 当該サービスが稼働するホスト名などの情報が取得できる。
SRVレコードのフォーマットを図3に示す。

X主任は, 図1に示したように, 内部LANにDSを2台導入して冗長化し, それぞれのDSでケルベロス認証を稼働させる構成を考えた。
図3中の, Serviceには, ケルベロス認証のサービス名である, kerberosを記述する。Priorityは, 同一サービスのSRVレコードが複数登録されている場合に, 利用するSRVレコードを判別するための優先度を示す。Priorityが同じ値の場合は, WeightでTargetに記述するホストの使用比率を設定する。Portには, サービスを利用するときのポート番号を記述する。
X主任は, 2台のDSでケルベロス認証を稼働させる場合の, SRVレコードの設定内容を検討した。
X主任が作成した, ケルベロス認証向けのSRVレコードの内容を図4に示す。ここで, DS1とDS2は, 本社に導入予定のDSのホスト名である。

X主任は, 調査・検討結果を基にSSOの導入構成案をまとめ, Z課長に提出した。導入構成案が承認され, 実施に移されることになった。