外部IDプロバイダとの認証連携で実現する管理コンソールのセキュリティレベル向上と運用コスト削減

SAP CIAMではGUIベースで認証基盤を管理することができる管理コンソールを提供しています。この管理コンソールでは、認証画面の構築、アプリケーションの各種設定などに加え、顧客の登録情報へアクセスすることが可能です。

そのため、管理コンソールを利用する認証基盤管理者のアカウント管理やアクセス制御はとても重要な課題です。
本記事では、管理コンソールのアカウント管理やアクセス制御をより効果的に実施するための外部IDプロバイダとの認証連携機能について、認証連携機能の一つであるSAML Console Login機能を例にご紹介します。

概要

SAML Console Login機能は、Secure Assertion Markup Language (SAML)2.0の規格に基づいて、SAP CIAMの管理コンソールへのシングルサインオン (SSO)を実現する機能です。これにより、ユーザーは企業のIDプロバイダ (IdP)の認証情報を使って、SAP CIAMが提供する管理コンソールにログインできるようになります。

外部IDプロバイダと認証連携をする利点

セキュリティ面での利点

本機能を利用し、認証プロセスを企業で利用しているIDプロバイダ (IdP)に集約することで、IdP側で設定されたIPアドレス制限などのセキュリティ機能を管理コンソールにも適用することができます。
また、ユーザーのパスワードなどの認証情報が管理コンソール側では取り扱われず、IdP側でのみ管理されるため、情報漏洩のリスクが低減します。さらに、IdPでアカウントが無効化されると、管理コンソールへのアクセスも即座に停止されるため、退職者などによる不正アクセスをリアルタイムで防ぎ、監査証跡の集中管理も容易になります。

運用面での利点

Google WorkspaceやMicrosoft Entra IDなど企業で利用しているIDプロバイダ (IdP)の認証情報を使って管理コンソールにログインできることで、IdP側でアカウントを一元管理することが可能となります。これにより、アカウントの作成、権限管理、削除などアカウントの管理にかかる工数が削減されます。
また、ユーザー側も普段利用しているアカウントで管理コンソールにログインできるため、管理コンソールの利便性が向上します。

UXイメージ

初回ログイン時

SAMLログイン専用URLにアクセスする
IdPサイトのログイン画面に遷移するため、IdPサイトのログイン画面でログイン
SAP CIAMの管理コンソールのログイン画面へリダイレクトされるため、二要素認証の認証方式を設定
※認証方式（認証コード受信方法）は、SMS認証とGoogle Authenticatorなどを使用したワンタイムパスワードでの認証方式を選択可能
②で選択した認証方法で、認証コードを受信
③で受信した認証コードを入力することで、ログインが完了

ログイン時

SAMLログイン専用URLにアクセスする
IdPサイトのログイン画面に遷移するため、IdPサイトのログイン画面でログイン
初回ログイン時に選択した方式にて認証コードを受信
SAP CIAMの管理コンソールのログイン画面にて、②で受信したコードを入力後ログイン完了

設定方法

SAML Console Login機能では、管理コンソール上で下記の各種項目を設定することで利用可能です。

・SAML IdP Settings

SAML IdP Settingsでは、SAML Console Login機能で管理コンソールへログインする場合のURLや利用するIDプロバイダの各種エンドポイントを設定します。
SP Metadataをインポートすることも可能です。

・Attribute Map

Attribute Mapでは、SAP CIAMのユーザープロファイルフィールドをIdPのユーザープロファイルフィールドとマッピングさせることが可能です。

・Permission Groups

Permission Groupsでは、管理者アカウントの権限の制御方法を設定します。
ログイン時にIdPから権限情報を受け取り、その情報に紐づいた管理コンソール権限をユーザーに付与することも可能です。

・Additional Setting

Additional Settingsでは、SP 証明書署名アルゴリズムや管理コンソール側で二要素認証を実施するかの設定が可能です。

おわりに

本記事では、認証基盤を利用する際には必要不可欠な管理コンソールに、外部のIDプロバイダの認証情報を用いてログインする認証連携機能をご紹介しました。
本記事では認証連携機能の１つであるSAML Console Login機能をご紹介しましたが、SAP CIAMの管理コンソールでは、OIDCの規格に基づいた認証連携も可能です。
これらの認証連携機能を利用することで、管理コンソールのセキュリティレベルの向上や運用コストの削減が可能となります。
本機能について詳しく知りたい方やSAP CIAMのその他の機能にも興味がある方は、ぜひ弊社までお問合せください。