富士通が運用するOpenStackのクラウド基盤「FUJITSU Hybrid IT Service FJcloud-O」上で、SAML認証-ワンタイムパスワ―ド認証-AD認証-SSLクライアント認証-生体認証-パスワードレス認証などの各種の認証に対応のリバースプロキシを運用する場合の構成例です。ロードバランサを利用してのHAなどでも運用できます。

【FUJITSU Hybrid IT Service FJcloud-Oの特徴】

回線費用は無償（ベストエフォート）
オブジェクトストレージからのダウンロードも無償（ベストエフォート）
Firewall無償
リモートコンソールでの管理画面へのアクセス
OpenStack準拠
API / Ansible / OpenStack Horizon からコントロール可能
単一ゾーンでのSLA 99.99%
アンチ・アフィニティをサポート
国内基盤で運用

などです。

回線費用が標準費用に含まれているため、通信費用を気にすることなく「予算内」での運用が可能です。

Powered BLUE リバースプロキシ / Reverse Proxyは、

リバースプロキシ＆ワンタイムパスワード認証
リバースプロキシ＆ SSLクライアント認証
リバースプロキシ＆ワンタイムパスワード認証＆ SSLクライアント認証
リバースプロキシ＆ SAML/OIDC認証（ idP連携）
リバースプロキシ＆ SAML/OIDC認証＆SSLクライアント認証
リバースプロキシ＆ Active Directory認証
リバースプロキシ＆ Active Directory&SSLクライアント認証
リバースプロキシ＆生体認証対応（ FIDO2 / WebAuthn ）
リバースプロキシ＆ HAやGSLB対応

に対応の認証機能付きリバースプロキシ・アプライアンスです。

リバースプロキシ経由での社内LAN側などのWebサーバーへのアクセスに際して、既存の社内Web側は変更することなく、リバースプロキシ上に各種の認証を設定しての運用に対応しています。

リバースプロキシと認証機能を1台で運用出来ます。仮想アプライアンスで提供しており、FUJITSU Hybrid IT Service FJcloud-O環境で認証機能付きのリバースプロキシの導入＆運用が可能です。

【構築方法】

「FUJITSU Hybrid IT Service FJcloud-O」で CentOS 7.x もしくはRedHat 7.x デフォルトのインスタンスを作成しておきます。

サーバー名指定
サーバータイプ選択
パブリックイメージ選択　例　CentOS 7.９
HDD サイズ指定　例　30GB

　FUJITSU Hybrid IT Service FJcloud-OにCentOS/RedHat対応インターネットサーバー Powered BLUEをセットアップする

【１】リバースプロキシ＆ワンタイムパスワード認証

対応のモデル
Powered BLUE 870 / OTP & Reverse Proxy

リバースプロキシにアクセス時にワンタイムパスワード認証を行います

ワンタイムパスワード認証は、google authenticatorの方式に対応しておりユーザー側では、利用するPCやスマフォ端末に応じて

●Google Authenticator
●Microsoft Authenticator
●WinAuth
●Authy
●IIJ SmartKey

などの無償のソフトウエアトークンなどを利用できます

簡単登録

QRコードを読み込むだけの簡単登録

ワンタイムパスワード認証のアクセス手順

ワンタイムパスワードを表示
リバースプロキシへアクセス（ワンタイムパスワード認証）
認証後にリダイレクト先のWebサイトが表示（例　SharePoint)

【２】リバースプロキシ＆ SSLクライアント認証

リバースプロキシへのアクセス時にSSLクライアント認証を行います

対応のモデル
Powered BLUE Private CA & Reverse Proxy

Private-CA機能＆SSLクライアント認証

Private-CA 機能によりSSLクライアント証明書を発行します
Public-CAで発行のSSLクライアント証明書でSSLクライアント認証を行います

特徴

リバースプロキシへのアクセス時にパスワードの入力不要
日時などでのリバースプロキシへのアクセスコントロールが可能

アクセスコントロール　例

組織や部門でのアクセス制限
曜日や時間帯でのアクセス制限
特定ユーザーでのアクセス制限
端末を紛失したので、ただちにＡさんのSSLクライアント証明書でのアクセスを禁止

有効なSSLクライアント証明書のない場合

リバースプロキシでアクセスが拒否されます

証明書　〇　　　　　　　　　証明書　✖

【３】リバースプロキシ＆ワンタイムパスワード＆ SSLクライアント認証の併用

リバースプロキシにアクセス時にSSLクライアント認証とワンタイムパスワード認証を行います

対応のモデル
Powered BLUE Web Station

特徴

多要素認証によりリバースプロキシの認証の強度が上がります

認証のステップ

１）ワンタイムパスワードを表示させる
２）SSLクライアント認証 (リバースプロキシ）
３）ワンタイムパスワードを入力 (リバースプロキシ）
４）認証後にリバースプロキシ先のWebが表示

【４】リバースプロキシ＆ SAMLやOIDC認証

リバースプロキシへのアクセス時にSAMLやOIDC認証を行います

idP / IDaaS

idPとしては、Azure AD / TrustLogin / OneLogin / Okta / CloudGate Uno / HENNGE ONE / G Suite / Azure AD / Keycloak / OpenAM 他などのSAML認証に対応しています。

既にこれらのiDaaSなどのサービスを利用されている場合に運用が出来ます

SAML-SP / OIDC-RP

Powered BLUE リバースプロキシは、SAML認証やOIDC認証に対応のSP(サービスプロバイダ）として動作します

対応のモデル
Powered BLUE Reverse Proxy for SSO / IDaaS

特徴

シングルサインオン/SAML認証やOIDC認証に対応のリバースプロキシとして運用が出来ます

認証のステップ

１） ID認識型リバースプロキシへアクセス
２）初回のみ idP へアクセス ( シングルサインオン）
３） idPの認証後にリバースプロキシ先のWebサイトの表示

【５】リバースプロキシ＆ SAMLやOIDC認証とSSLクライアント認証の併用

リバースプロキシへのアクセス時にiDaaS側のSAML認証やOIDC認証に加えて、社内ネットワークへのアクセスに際して、リバースプロキシ上で自社管理で運用が出来るSSLクライアント認証を行います。iDaaS/idPでは社内LANへのアクセスが厳しい場合でも、自社ポリシーによりSSLクライアント認証を行い社内側でのアクセスを行わせる事が出来ます。

特徴