「IDaaS」カテゴリーアーカイブ

既存のroundcubeへidP連携のリバースプロキシでシングルサインオン対応 / LAN内のroundcubeにもSSOアクセス

roundcubeは、広く使われているWebメールです。Ajaxを用いていることが特徴的で、ブラウザ上でメールソフトと同等の機能を使うことができます。標準では「iD/パスワード」認証を利用しており、SSOには未対応です。

既存で運用のroundcube へSSOでアクセスする場合には、Keycloak やMicrosoft Entra ID ( 旧名称 Azure AD ) などのidPとSAMLやOIDC認証連携のリバースプロキシ経由で代理認証を行いシングルサインオン（SSO）でアクセスさせます。LANに設置のroundcubeへの対応も可能です。

 

roundcubeの変更不要でSSO

既にroundcubeを運用のケースでは、リバースプロキシを利用してSSO化に対応させます。既存で運用中の roundcubeの改修や設定変更は不要です。

 

 

 

 

 

 

idP 連携・roundcubeへ代理入力のシングル・サインオン構成

Keycloak / Microsoft Entra IDなどのidPと認証連携で運用するには、SAML / OIDC認証に対応したID認識型のリバースプロキシを利用して、代理認証を行いroundcubeへのシングルサインオンを構成します。

* バックエンドの「roundcube」は WANや LAN の任意の場所での運用に対応
*「roundcube」以外のWebアプリにも対応

 

代理認証

SAML / OIDC認証に対応のリバースプロキシが代理認証を行うため、

  1. 利用者から roundcube への「ID / パスワード」の入力不要
  2. 利用者から「ID/パスワード」漏洩リスクを低減

*  SP機能のリバースプロキシと代理入力のリバースプロキシを分離して多段構成の運用にも対応

 

 

SSOで利用する機器

 

  1. idP
  2. SAML / OIDC認証に対応のリバースプロキシ（ ユーザー情報の代理入力機能 ）
  3. roundcube（改修不要）
  4. ブラウザ（ プラグイン不要 ）

 

 

 対応のidP

SAML / OIDC認証をサポートの 一般的なidP に対応しています

  • Microsoft Entra ID （旧名称 Azure AD　* ）
  • GMOトラストログイン
  • Keycloak
  • 他

idPとリバースプロキシはSAML認証やOIDC認証で接続

* Azure AD はMicrosoft Entra IDに名称変更になります（機能は同一）

 

 

代理入力＆代理認証のリバースプロキシ

リバースプロキシは、SAML / OIDC認証に対応のID認識型リバースプロキシ

➡「Powered BLUE ReverseProxy for SSO / IDaaS」

で構築運用します。

 

 

 

リバースプロキシ・アプライアンスの機能

  • リバースプロキシ機能
  • SAMLやOIDC認証（SP / RP 機能  *1 ）
  • バックエンドのWebへユーザー情報の代理入力機能
  • GUIから設定や運用機能

を有しており、任意の場所で自社管理でオールインワンでの運用を行うことが出来ます。

*1 　SAML認証時はSP （Service Provider）  OIDC認証時はRP（Relying Party）という名称です

 

 

 

代理認証のSSO利用ステップ
  1. 代理認証対応のリバースプロキシへアクセス
  2. 初回のみ idP へアクセス（シングルサインオン）
  3. idP の認証後にリバースプロキシから roundcube へユーザー情報を代理入力
  4. バックエンドの roundcube へ自動ログイン

 

 

 

 

 

 

 

 

各種Web アプリへのSSO

一度のidP認証で、複数のWebアプリへSSOでアクセスできます

 

 

 

 

 

 

 

 

 

 

SSLクライアント認証を追加（多要素認証 / MFA）

SSLクライアント認証でidPやリバースプロキシへの認証を強化できます

 

 

 

 

 

 

 

 

 

 

SSLクライアント証明書 〇　　　SSLクライアント証明書 ✕

 

 

 

 

 

 

 

 

 

既存の認証方法とSSOの併用

アクセス元によりデスクネッツへの認証方法を変えることも出来ます。

  1. 従来の ID / パスワード認証（社内からのアクセス）
  2. SSOでの認証（社外からのアクセス）

の併用など柔軟な運用が可能です。

 

 

 

 

 

ID / パスワード認証 SSO

 

ユーザーが利用の各種のメールクライアント・ソフト
  • Thunderbird
  • Becky!
  • 他

との併用での運用に対応しています

 

アプライアンスの運用先

クラウド環境や仮想基盤、オンプレミスなど自社管理で運用が出来ます

 

 

 

 

  • VMware / Hyper-V
  • AWS / Azure / FUJITSU Hybrid IT Service FJcloud-O (富士通) / WebARENA / ALTUS / VPSなど

 

お問合せ

 

 

 

 

ご質問やご相談など