4OSS – ムービットのブログ

認証機能付きWebサーバーを自社運用 / SSO・SAML認証 / ワンタイムパスワード認証 / SSLクライアント認証に対応

wpadmin1 — Tue, 30 Jul 2019 08:38:08 +0000

Webサイトへのアクセス認証機能付きのWebサーバーを運用する場合の構成例です。

Webサーバーの認証機能としては、認証なし、OTP/ワンタイムパスワード認証、SSLクライアント認証、SSO/シングルサインオン/SAML認証や各種認証の組み合わせによる2要素認証・多要素認証などに対応。

セキュリティの要件や用途に合わせて、Webアクセス時に各種の認証機能を組み合わせて自社管理での運用が出来ます。

Webサーバーとしては、各種の認証機能に対応のWebアプライアンス　「Powered BLUE 」を利用します。

製品の特徴としては

OTP/ワンタイムパスワード認証
SSLクライアント認証
SSO/SMAL2.0認証
インターネットサーバー機能（Mail / Web / DNS )
WordPressに対応
Let’s Encrypt に対応
ひとり情シスでの運用に対応

などの機能を有したWebアプライアンスです。

製品の形態

仮想アプライアンスに加え、ハードウエア・アプライアンスにも対応しています。

仮想対応

VMware ESXi やHyper-Vに対応の仮想アプライアンスのイメージで提供。仮想アプライアンスのイメージを仮想基盤にインポートするだけですぐに運用が出来ます。

クラウド対応

AWSやAzure、ALTUS ( アルタス ) / GMOクラウド、WebARENA / NTTPC コミュニケーションズ、FUJITSU Cloud Service for OSS ( 富士通）、Enterprise Cloud ( NTT communications )、VPS他

AWSでの構築

　Powered BLUE のAWSでの構築＆設定例

Powered BLUE の各種認証

Powered BLUE のWebサーバーは、以下の6つのパターンでの認証＆運用に対応しています。各種の認証機能付きのWebサーバーを自社管理で運用出来ます

【１】基本	Web ＆認証なし
【２】OTP	Web ＆ワンタイムパスワード認証
【３】SSLクライアント認証	Web ＆ SSLクライアント認証
【４】SSO認証	Web & SAML2.0認証 ( idP連携）
【５】OTP＆SSLクライアント認証	Web & 多要素認証
【６】SAML&独自認証	Web & SAML+独自認証の組み合わせ ( idP連携）

各種の認証製品は　…..

自社WebやWordPressをSAML/SSO認証で構築（TrustLogin編)

wpadmin1 — Tue, 18 Jun 2019 14:05:23 +0000

自社のWebをSAML/シングルサインオンによる認証機能付きで構築＆運用する場合の構成です。WAN側の公開用のWebサイトはもちろん、LAN側に設置の社内ローカルなWebサイトもidP/IDaaSの「TrustLogin」を利用してSAML2.0認証で運用するすることが出来ます。

一般的な Webページや WordPress で作成のWebサイトをSAML2.0/SSOの認証で運用します。

SAML認証

シングルサインオンのSAML認証の場合には、ユーザーアカウント管理の機能を持つ　idP（アイデンティティ・プロバイダ）とその情報を利用するSP（サービス・プロバイダ）で構成されます。

ユーザーアカウント不要

SPとなるWebサーバーには個別ユーザーのアカウントを作成することなく、ゼロトラスト対応のSAML認証でWebへアクセスさせることが出来ます。また部門や社員、会員ごとにWebへのアクセスコントロールの設定・運用にも対応。Webサーバー側にユーザーアカウントがないため、SP側からアカウント漏洩の心配はありません。

SAML認証対応のWebサイト

自社Webをシングル・サインオンで運用できます

SP(サービス・プロバイダ）

今回はSPとして、ゼロトラスト＆SAML認証に対応のSSOのWebサーバー機能を持つ　「Powered BLUE Web for SSO/IDaaS」を利用します。

機能としては

ゼロトラスト対応＆SAML認証のWebサーバー機能
Webサーバー/SP側にユーザーアカウントを作成することなく、SAML認証&グループアクセスのコントロールでの運用に対応
インターネットサーバー機能（Mail/Web/DNS/ftp）
WordPress / Let’s Encrypt 対応 / php 7.x 対応
ひとり情シス対応

のオールインワンで運用出来るサーバーです。CentOSやRedHat 上で動作し、AWS/Azure/Fujitsu Cloud Service for OSS(4OSS) / Enterprise Cloud 、ALTUS (アルタス) / GMOクラウドなどのクラウド環境や、VMware/Hyper-Vなどの仮想環境で運用することが出来ます。またCentOS/RedHatで動作するアプリやサードパーティのソフトを組込んでの運用にも対応しています。

idP（アイデンティティ・プロバイダ）

idPとしてはSAMLに対応の　TrustLoginのほか、G Suite、Azure ADや、CloudGate、HENNGE ONE(旧HDE ONE)、OneLogin、Okta等のIDaaSと連携が出来ます。また自社で運用のidP （OpenAM / KeyCloak）などとの連携も出来ます。

SAML2.0でのネットワーク構成例

SAMLは仕様上、idPとSPの直接の通信を行わない構成が可能です（SP-initiated SAML)

ユーザーのブラウザを経由してidPとSP間の通信を行うので、ネットワークやセキュリティ面で制約がある場合でも運用が出来ます

SP（サービスプロバイダ）は任意の場所に設置＆運用が出来ます（LAN内の設置でもWAN側のidPでの認証が可能）

SPとIdPの通信手順

1)ユーザーがブラウザでSP(Web)へアクセス
2)SPで認証要求メッセージを作成
3)ブラウザは認証要求メッセージをidPへ転送
4)idPは認証要求メッセージを受信
5)idPは認証応答メッセージを作成
6)ブラウザはidPからの応答メッセージをSPへ転送
7)SPが認証応答メッセージを受信＆検証
8)ユーザーはSP上のWebサイトへログイン

LAN内に設置のWebサイト/spとidPの例

LAN側に設置のWeb・SP（サービスプロバイダ）へのアクセス認証をWAN側のidPやIDaaSで行う

こんな使い方が出来ます

１）LANでの運用例　SP/社内専用のWebサーバーをLAN内に設置

社内用のWebサーバーをLAN内に設置
総務部・技術部・営業部など部門ごとにWebサイトへのアクセス制限を設定
Webサーバー上には、ユーザーアカウントは不要

２）WANでの運用例　SP/公開用のWebサーバーをWAN側に設置

Webサイトを作成
トップページはワールドワイドに公開
特定のディレクトリは、社員・会員・代理店のみにアクセスを許可
Webサーバー上には、ユーザーアカウントは不要

3）利用例

アルバイト社員の勤怠表Webページ
社員向け連絡版のWebページ
代理店向けの製品資料の閲覧やダウンロードページ
会員向けの特定情報Webページ

こんなメリットがあります

Webサーバーにアカウントがないのでサーバーのメンテナンスが簡単
Webサーバーからのユーザーアカウント漏洩の心配は不要
自社のWebサイトをSAML認証でセキュアに運用

次は　SAML2.0の設定 …..

IDaaS/idPの代理入力を利用してリバースプロキシ経由で社内Webへ自動ログイン/HA対応

wpadmin1 — Fri, 07 Jun 2019 13:30:05 +0000

社内LAN側に設置のSSO/シングルサイオンに未対応のID/パスワード入力を要求するWebサーバーに、IDaaSなどの代理入力機能を使って社外からアクセスする方法です。オンプレミスの社内WebアプリへのアクセスにIDaaS/idPと連携が出来ます。

外部のIDaaSからLAN内のWebサーバへのアクセスには、代理入力やSAML-SP機能を有して中継できるリバースプロキシ/Reverse Proxyを利用します。

SMAL/SSOに対応していないアプリケーションにも、代理入力を利用することでシングルサインオンと同様にターゲットのWebアプリケーションにログインが出来ます。冗長化での運用もできます。

idPの認証とは別に、リバースプロキシ上でもSSLクライアント認証などを設定することが可能で社内LAN側のWebへのアクセスをセキュアにすることが出来ます。

社内Webへのアクセスに際して、VPNやモバイル端末用の閉域網は不要です。ブラウザのみでアクセスができます。

動作要件

IDaaS/idP側では、フォームベース認証やBASIC認証の代理入力機能をサポートしていること
リバースプロキシ側では、idPからの代理入力やSAML-SP機能を有してターゲットのWebサーバーへ中継出来ること

idPなど

フォームベース認証やBASIC認証の代理入力機能を有しているidP/IDaaSとしては

TrustLogin
CloudGate UNO
onelogin
okta
Azure AD

などがあります。

フォームベース認証の代理入力

フォームベース認証の代理入力は、idP側に登録したID/Passwdを他システムのログインフォームに代理入力することでログインする仕組みになります。

BASIC認証の代理入力

BASIC認証の代理入力はID/PasswdをHTTPヘッダに記載しサーバーに送信することでログインする仕組みになります。

SSOや代理入力対応のリバースプロキシ

リバースプロキシとしては、ID/パスワードの代理入力の中継に加えてSAML2.0のSP機能やリバースプロキシ独自でのSSLクライアント認証やワンタイムパスワード認証をサポートしている　「Powered BLUE Reverse Proxy for SSO/IDaaS」を利用します。

アプリケーション　例

Formbase認証のWebとしては、今回 Roundcube / Webmail とownCloud / オンラインストレージへアクセスします

ターゲット Web

roundcube https:// t-own.mubit.jp/webmail

owncloud https:// t-own.mubit.jp/owncloud

ネットワーク構成

idP －－＞＞ (Reverse Proxy ) t-ca.mubit.jp/webmail －－＞＞(Target Web) t-own.mubit.jp/webmail

idP －－＞＞ (Reverse Proxy ) t-ca.mubit.jp/owncloud －－＞＞(Target Wb) t-own.mubit.jp/owncloud

idP

今回はフォームベース認証やBASIC認証をidP側でサポートしているTrustLoginを利用します

またフォームベース認証やBASIC認証の入力機構であるTrustLoginの拡張機能を、事前にご利用のブラウザへ組込必要があります

TrustLoginで、拡張機能に現在対応のブラウザは

マイページ　 Chrome・Firefox・Internet Explorer 11
管理ページ　Chrome

※Safari、Edgeには順次対応予定

※TrustLoginの各ブラウザへの拡張機能のインストール方法は、TrustLoginのサイトを参照のこと

リバースプロキシの設定

Powered BLUE Reveese Proxy for SSO/IDaaSの設定をします

https://t-ca.mubit.jp

仮想サイト作成

リバースプロキシを運用する仮想サイトを構築します

例　https://t-ca.mubit.jp

Webサーバの有効化

Webサーバーを有効にする　にチェックを入れます

仮想サイトのSSL化

SSLのサーバー証明書としては

サイトのSSL自己証明
パブリックなSSLサーバー証明書
Let’s EncryptでのSSLサーバー証明書

に対応しています。

WebサイトのSSL自己証明の場合

SSLを有効にする　にチェックを入れます

パブリックなSSLサーバー証明書の場合

必要情報を記載して「署名リクエストの作成」ボタンで作成したテキストを、SSLサーバー証明書を発行する機関へ送付します。

「署名リクエストの作成」でファイルを保存
作成された「署名リクエスト」　ファイル　signig-request.txt を、公的なSSLサーバー証明書の発行機関へ送付

公的機関で発行された、サーバー証明書を　「インポート」　します
中間証明書のインポートにも対応しています

SSLサーバー証明書が発行されたら「インポート」ボタン操作でSSLサーバー証明書をインポートします

Let’s Encryptの場合

フリープラグイン機能を利用して、Let’s Encryptプログラムをインポートします

FreeSSLを選択

インストールボタンをクリック

Let’s Encryptインストール後に　有効にする　にチェックを入れます

リバースプロキシの設定

太字部分を設定します

https://t-ca.mubit.jp/owncloud/ ——->> https://t-own.mubit.jp/owncloud/

https://t-ca.mubit.jp/webmail/ ——->> https://t-own.mubit.jp/webmail/

TrustLogin の設定

社内WEBシステムやテンプレートにないアプリを登録する（独自アプリ登録の利用方法）
※ この機能はChrome版、Firefox版の拡張機能のみでご利用いただけます。Internet Explorer 11をお使いの場合は、Chrome、Firefoxでご対応ください。

① トラスト・ログインの管理ページの「設定＞トラスト・ログイン機能制限」メニューで「独自アプリ登録」を有効化します。

管理者のみ、メンバーのみ、両方の有効化をすることができます。(上段の2個）

「編集ボタン」を押さないと、パラメータが変更できないので注意

編集終了後は「保存ボタン」を押す

② アプリ登録をするログインページをブラウザで開き、拡張機能の左上にある「＋」マークをクリックします。

　※ 管理ページでの設定が有効になると「＋」マークが表示されます。設定が無効な場合や権限がないメンバーでログインしていた場合はマークが表示されません。

③ ログインページ内の入力フォームのいずれかをクリックします。

注意　登録するWebアプリのログインページにアクセスした状態で「＋」マークを押す必要あり

例　https://t-ca.mubit.jp/webmail/　のログインページにアクセスして、ユーザー名にカーソルを合わせた状態で　ブラウザ右上のTrustLogin のマークをクリックして　「＋」をクリック

roundcube のユーザー名のログインにカーソルを合わせてクリック

次にブラウザ右上の　TrustLogin のロゴマーク　をクリック

アプリの利用範囲

自分用　もしくは　自社用

アプリ名

例　Roundcube Webmail ログイン

アカウント test-user

パスワード xxxxxxx

などを入力して保存する

代理入力でアクセスした際に

ユーザー名 / パスワード　は入力されるが

リターンキーまでは入力出来ていない為に、ターゲットのWebへ自動でログインが出来ないケースがあります

修正方法は、

再度　ユーザー名 / パスワード　を登録して保存しなおすことでリターンキーまで入力されて、ターゲットのWebへのダイレクトログインが出来ます

アクセス

roundcubeへのログイン

自動代理入力

idP/TrustLoginによるフォームベース認証のroundcube Web メールへリバースプロキシ経由でのID/パスワードの自動代理入力

自動ログイン

roundcubeへの自動ログイン

owncloudの設定

ownCloudもroundcubeと同様にテンプレートを作成して　アカウント / パスワードやアプリの表示名などを設定します

ownCloudへのアクセス

TrustLoginのownＣloudをクリック

owncloudへの自動代理入力

idP/TrustLoginによるフォームベース認証のownCloudサイトへリバースプロキシ経由でのID/パスワードの自動代理入力

ownCloudへの自動ログイン

リバースプロキシでの独自認証

idPへのアクセス認証とは別に、自社で運用するリバースプロキシ上に独自にSSLクライアント認証を設定することが出来ます。社内LAN側のサーバーへのアクセスに際して、自社独自のアクセス基準などがある場合には、idPの認証とは別に自社の管理下で運用するリバースプロキシへのアクセスコントロールを設定出来るSSLクライアント認証は有効です。

リバースプロキシでのSSLクライアント認証の構築手順＆設定例

Private CAを構築
t-ca.mubit.jp のWebサイトに SSLクライアント認証を設定
SSLクライアント認証後にリバースプロキシでターゲットのWebサイトへの転送

Private CA

リバースプロキシ上にPrivate CAを構築します

SSLクライアント証明書発行

SSLクライアント証明書を発行して、ユーザーへ配布します

SSLクライアント認証

リバースプロキシへアクセス時のSSLクライアント認証の有効化

サイト全体にSSLクライアント認証を有効に設定

https://t-ca.mubit.jp

リバースプロキシのディレクトリ毎のSSLクライアント認証のオン・オフ設定も出来ます

SSLクライアント認証を有効に設定

https://t-ca.mubit.jp/xxxx

SSLクライアント認証を無効に設定

https://t-ca.mubit.jp/yyyy

SSLクライアント認証時のアクセスコントロール

有効なSSLクライアント証明書を有している場合でも、リバースプロキシへのアクセスコントロールを設定出来ます

●組織や部門でのアクセス制限
●曜日や時間帯でのアクセス制限
●特定ユーザーでのアクセス制限
●端末を紛失したので、ただちにＡさんのSSLクライアント証明書でのアクセスを禁止

グループウエアへのアクセス例

SSLクライアント証明書〇　　　SSLクライアント証明書 ✕

ログの出力先などの指定

SSLクライアント認証のログ出力先

冗長構成

シングルAZ + ロードバランサー構成

マルチAZ

異なるアベイラビリティゾーンでの運用により耐障害性の向上

ゾーンA / 東日本データセンター
ゾーンB / 西日本データセンター

終わりに

デモ環境で試してみたい方や詳しい話を聞いてみたい方などは、ムービットのお問い合わせフォームからご連絡ください。

IDaaS連携SAML対応のリバースプロキシで社内Webへアクセス/ゼロトラスト連携

wpadmin1 — Thu, 06 Jun 2019 00:53:38 +0000

社内LAN側に設置のシングルサインオンに未対応のWebサーバーに、SAML認証対応のID認識型リバースプロキシ/Reverse Proxy経由でアクセスする場合の構成例です。オンプレミスのWebサーバーへ社外からゼロトラスト連携でアクセスさせることが出来ます。

今回はIDaaSなどのidPと連携して、社内のWebサイトやWordPressで作成のWebサイト、Web mail、グループウエアなど、認証が弱い、もしくは認証のないWebサーバーへ、SAML対応のSP機能を持つID認識型リバースプロキシ経由でアクセスさせます。HAやマルチリージョンなどの冗長化構成での運用にも対応しています。

SAML認証対応のID認識型リバースプロキシ

WAN側のWebもセキュア・アクセス

またLAN内に設置のWebをWAN側のクラウド環境に移設の場合、認証対応のリバースプロキシ経由のみでのアクセスする運用により、WAN側に設置もWebサーバーもセキュアなアクセスで運用することが可能です。

対応のidP(アイデンティティ・プロバイダ）

idPとしてはSAML2.0に対応した　Azure ADやG suite、TrustLogin、CloudGate UNO、HENNGE ONE(旧HDE ONE)、OneLogin、Okta等のIDaaSやOpenAM、Keycloakなどと連携が出来ます。

SP/リバースプロキシにはユーザーアカウント不要

ユーザーアカウントはidP側のみに作成します。SPとなるリバースプロキシには個別ユーザーのアカウントを作成することなく、SAML認証でリバースプロキシへアクセスさせることが出来ます。

グループアクセスコントールに対応

SP対応のリバースプロキシへのアクセスをコントロールできます

運用例

営業部や開発部のみにアクセス許可
管理職のみにアクセス許可
社員・会員のみにアクセス許可

リバースプロキシには、ユーザーアカウントがないため、SP側からアカウント漏洩の心配はありません。

閉域網やVPN不要

社内Webへのアクセスに際して、モバイル用の閉域網やVPNなどは不要です。利用者はブラウザのみで、ストレスなくWebアクセスできます。

VPNのようなアクセス集中による遅延などもありません。

SP(サービス・プロバイダ）

SPとしては、SAML2.0に対応したSSOのID認識型リバースプロキシ機能を持つ「Powered BLUE Reverse Proxy for SSO/IDaaS」を利用します。

この製品は

SAML2.0対応のID認識型リバースプロキシ機能
Web/Mail/DNS/ftp（インターネットサーバー機能）
SSLクライアント認証
ワンタイムパスワード認証
ひとり情シスでの運用に対応
HA対応

のリバースプロキシ・アプライアンスです。CentOSやRedHatに対応しておりAWSなどのクラウド環境や、VMware/Hyper-Vなどの仮想環境でオールインワンでの運用が出来ます。

独自認証

自社で運用出来るリバースプロキシでは、idPへのアクセス時のSAML認証の他に、リバースプロキシ上で独自に、SSLクライアント認証やワンタイムパスワード認証を設定することが可能です。社内LAN側のWebへのアクセスに際して、iDaaSの認証とは別に自社のポリシーを個別に適用したい場合などには有効です。

設定構成

以下のようなリバースプロキシ構成での設定例です

一般のWebページへのリレイ

例　User —> https://wp-sam.mubit.jp/blog —-> https://sni-1.mubit.jp/blog/

Web Mailへのリレイ

例　User —> https://wp-sam.mubit.jp/webmail —> http://sni-1.mubit.jp/webmail/

SP側の設定は …..

Fujitsu Cloud Service for OSS（4OSS）上にSSLクライアント認証やワンタイムパスワード認証とリバースプロキシ機能を持つWebサイトの構築と運用

wpadmin1 — Wed, 30 Jan 2019 11:56:08 +0000

富士通が運用するOpenStackのクラウド基盤 Fujitsu Cloud Service for OSS（4OSS）上にWebアクセス時の多要素認証サーバーを構築します。

一般的なOpenStackでも、同様の構成でSSLクライアント認証＆ワンタイムパスワード認証およびリバースプロキシ機能付きのWebサーバーの構築&運用が出来ます。

Webアクセス時の多要素認証

働き方改革によりテレワークやリモートワークで社内のWebサーバーにアクセスする際に、利用者が多要素認証やセキュリティを確保した上でブラウザから簡単にアクセスが出来るWeb サーバーです。

ブラウザでのリモートアクセス

Webサイトへのアクセス時の認証としては、多要素認証（SSLクライアント認証やワンタイムパスワード認証 / Multi Factor Authentication ）を併用出来ます。PCやスマフォ、モバイル端末とブラウザのみで利用が可能です。VPNや閉域網などは使用しません。

また既存のWebサイトへのアクセスについては、多要素認証後にリバースプロキシ機能により既存のWebサーバーへリダイレクトさせます。既存のWebサイト側は変更することなく多要素認証機能の導入が可能です。ID/パスワードとSSLクライアント認証もしくはワンタイムパスワード認証などの2要素認証での運用も出来ます。

パスワードの流出時も安心

いつも使っている使いまわしのパスワードが流出した場合でも安心です。ワンタイムパスワードは毎回異なる「使い捨てパスワード」で認証を行ないます。またSSLクライアント認証ではSSLクライアント証明書のないユーザーはアクセスが出来ません。いつも使っている「使いまわしのパスワード」と「ワンタイムパスワード認証」や「SSLクライアント認証」などにより、出先から安全にアクセスさせることが出来ます。

利用する機器

多要素認証（SSLクライアント認証やワンタイムパスワード認証）を持つWebサーバーを簡単に構築＆運用が出来る機能とリバースプロキシ機能までを備えたオールインワンのWebアプライアンス「Powered BLUE Web Station」を利用します。

このアプライアンスサーバーは、自社独自の多要素認証機能付属のWebサーバーを簡単に構築＆運用することが出来ます。

Webサイトに多要素認証を設定したり、特定のディレクトリ以下に多要素認証を設定するなどの多彩な形態で運用ができます。

またリバースプロキシ機能も有しており、既存のWebサイトへのアクセス連携にも対応しています。

Powered BLUE Web Station

Powered BLUE Web Stationの機能

機能	有無
Web サーバー機能	〇
SSLクライアント認証	〇
ワンタイムパスワード認証	〇
リバースプロキシ	〇
インターネットサーバー機能 / Mail / DNS / ftp	〇
Let’s Encrypt & 自動更新	〇
WordPress (CMS)	〇
Roundcube (WebMail)	〇
ownCloud (オンラインストレージ）	〇
php 7.x 対応	〇
サードパーティソフト対応	〇
CentOS / RedHat 7.x 対応	〇

使用するもの

Powered BLUE Web Stationでの運用例

ウェブステーション上に仮想Webサイトを1サイト作成して、サイト内に

●WordPress を設定 (Web)
●WebサイトにLet’s Encryptを設定 (SSLのサーバー証明書 / 自動更新対応）
●ownCloud を設定 (オンラインストレージ）
●Roundcube を設定（Web Mail)
●グループウエアを設定 ( サイボウズ / デスクネッツ）
●WebサイトにSSLクライアント認証を設定
●Webサイトにワンタイムパスワード（OTP）認証を設定
●WebサイトにSSLクライアント認証＆ワンタイムパスワード認証を設定（多要素認証）
●リバースプロキシを設定
●DNSを設定
●メール送受信を設定

などを1台で運用することが出来ます。

Powered BLUEの構築&設定

　Fujitsu Cloud Service for OSS(4OSS)にCentOS/RedHat対応のPowered Blueをセットアップする

に沿って、「Powered BLUE 870」サーバーの設定します。

仮想サイトを作成

Webサイトを運用する仮想サイトを作成します

例　test-opt.mubit.com

ワンタイムパスワードの認証設定

仮想サイトのWebへアクセス時にワンタイム・パスワード認証を設定する

仮想サイト&ディレクトリを指定
例　サイトのトップdir　/ に　認証設定の場合
SSL接続強制の有無

などを指定します

共有鍵の表示

ユーザーアカウントの作成
OTP認証設定を有効にします
ユーザ側のソフトウエアトークンを起動して、QRコードをスマフォで読み撮り共有鍵を登録します
QRコード読み撮りのカメラの無いPCなどへもコード表示で共有鍵の登録が出来ます(文字列表示）

ソフトウエア・トークン

ユーザー側で利用するワンタイムパスワードを生成するトークンは、無償のソフトウエアトークンなどが利用できます
●Google Authenticator
●WinAuth
●Authy
●IIJ SmartKey

利用端末の設定

ユーザーが利用する端末へのソフトウエアトークンのインストールは

を参照下さい

OTP認証機能

ワンタイムパスワード認証対応のWeb サイトを構築＆運用
ワンタイムパスワード認証のユーザー管理機能

認証のステップ

１）ワンタイムパスワードを表示させる
２）アカウントやワンタイムパスワードを入力
３）認証後にWebが表示

プライベートCAの構築

プライベートCAを運用する仮想サイトを設定します。同一の仮想サイトに対して、SSLクライアント認証とワンタイムパスワード認証の併用（多要素認証）の設定での運用も出来ます。

CA証明書の作成

CA証明書の有効期限を設定
CAのパスワードを設定

以上でCAの構築は終了

SSLクライアント証明書の発行

プライベートCAでSSLクライアント証明書を発行。クライアント証明書は、会社や部門全体での一括発行や、１ユーザーごとの個別の発行が出来ます。

SSLクライアント証明書を個別発行の場合（1枚発行の場合）

例　suzuki@mubit.com ユーザーのクライアント証明書を作成

有効期限などを指定して発行します

有効期間やポリシーを設定して、「部門や全社員の一括発行」なども対応しています。

SSLクライアント証明書をダウンロードします

ユーザーが個別に、発行されたSSLクライアント証明書をURL通知でダウンロードさせることも出来ます。

SSLクライアント証明書のブラウザへのインストール(IEの場合）

ツール　－　インターネットオプション　－　コンテンツ　－　証明書　を選択

個人のタグを選択

個人の証明書ストアへインポートします

SSLクライアント認証の設定

Private CAとWebサーバーを同一の仮想サイトで運用の場合

例　ca-test.mubit.jp　で運用の場合

SSLサーバー証明書の登録

Webサーバーを運用するサイトへSSLのサーバー証明書を登録します
「自己署名デジタル証明書の作成」　または　「署名リクエストの作成」または Let’s Encrypt対応で作成します。

自己署名デジタル証明書の作成の場合　(プライベートSSLサーバー証明書の場合）

「自己署名デジタル証明書の作成」から必要事項を記入して、SSLを有効にします
自己署名によるSSLのサーバー証明書が登録されます。

署名リクエスト / CSR で作成の場合 (パブリックSSLサーバー証明書の場合）

公的なSSLサーバー証明書を登録の場合には、ブラウザへの警告メッセージ

「このWebサイトで提示されたセキュリティ証明書は、信頼された証明機関から発行されたものではありません」

を抑制することが出来ます

SSLのサーバー証明書は

ドメイン認証証明書（DV:Domain Validation）
組織認証証明書（OV:Organization Validation）
EV証明書（EV:Extended Validation）

が登録出来ます

必要事項を記入して、　「署名リクエストの作成」　ボタンを押します

SSLサーバー証明書のインポート公的機関で発行された、サーバー証明書を　「インポート」　します

中間証明書のインポートにも対応しています
Let’s Encrypt対応（Let’s EncryptのSSLサーバー証明書も組み込めます
SNI対応　(IPアドレス1個で複数のWebサイトのSSL化）

SSLクライアント認証を有効

https://ca-test.mubit.jp へアクセス時のSSLサイトのクライアント認証を有効にします

SSLクライアント認証の構成

SSLクライアント認証対応のWebサイトを構築＆運用
SSLクライアント証明書の発行・失効やSSLクライアント認証の機能

SSLクライアント認証例

Web Page 　https://ca-test.mubit.jp へのアクセス

SSLクライアント認証が有効の場合 / Web ページへアクセスが出来ます

SSLクライアント証明書　〇　SSLクライアント証明書　✕

SSLクライアント認証&ワンタイムパスワード認証の併用例

ワンタイムパスワードを表示させる

Web Page 　https://test-otp.mubit.com へのアクセス

SSLクライアント認証が有効の場合 / ワンタイムパスワード認証ページへアクセスが出来ます

ワンタイムパスワードの認証後にターゲットのWebページが表示されます

SSL VPN & SSLクライアント認証

SSL VPN機器と連携して、ブラウザからSSLクライアント認証を利用してセキュアにアクセスさせることが出来ます。

運用例

SSL-VPNへアクセス時のSSLクライアント端末認証
SSL-VPN経由で社内の RDP Sever へアクセス
SSL-VPN経由で社内の Web Server へアクセス
SSL-VPN経由で社内の File Server へアクセス

多要素認証 & Reverse Proxy

１）多要素認証（SSLクライアント認証やワンタイムパスワード認証）
２）認証後にリバースプロキシでリダイレクト
３）ターゲットのWebが表示

リバースプロキシの設定例

既存Webサイトの認証強化

Powered BLUE Web Stationは、仮想サイト上でのリバースプロキシの同時運用にも対応しており、認証後に既存で運用のWebサイトへリダイレクトさせることも出来ます。

多要素認証&リバースプロキシ連携　例

MosP勤怠管理 / MosP人事管理 / MosP給与計算
NTTデータイントラマートワークフロー
エイトレッド X-point
NIコラボスマート
楽々Workflow II
eValue NS
サイボウズ
デスクネッツ
Active! mail
Powere egg
RoundCube
Aipo
WaWaOffice
Seagull Office
OpenWebMail
Zabbix
Proself
FileBlog
社内Web
他

MosP勤怠管理への認証例

サイボウへの認証例

デスクネッツへの認証例

Active! Mailへの認証例

Roundcubeへの認証例

NTTデータイントラマートへの認証例

X-pointへの認証例

楽々ワークフローＩＩへの認証例

eValue NSへの認証例

FileBlogへの認証例

Aipoへの認証例

Power eggへの認証例

デモサイト

　Powered BLUE 870 のデモサイト

Fujitsu Cloud Service for OSS (4OSS) の設定＆構築

4OSS GUIからの操作

　超簡単 Fujitsu Cloud Service for OSS (4OSS)を初期設定する

4OSS リモートコンソールの利用設定

　4OSS上のサーバーへパスワードログインをする

4OSS Ansibleでの操作

　Ansibleで4OSSのNetWork構築やサーバー設定を行なう

4OSS メモリスワップの追加

　4OSSのLinuxサーバーにmemory swap を設定する

4OSS Webサーバーを構築

　Powered BLUE 870 の構築

4OSS SSLクライアント認証Webを構築

　Powered BLUE Private CA の構築

4OSS ワンタイムパスワード認証Webを構築

　Powered BLUE 870/OTPの構築

4OSS Webをロードバランスする

　4OSSでWeb/https (443) をロードバランスする

4OSS SSLクライアント認証＆リバースプロキシ

　4OSSでクライアント認証後に既存Webへリバースプロキシ転送する

4OSS ロードバランサ＆SSLクライアント認証＆リバースプロキシ

　4OSSでロードバランサー配下でクライアント認証後に既存Webへリバースプロキシ転送する

4OSS 多要素認証&リバースプロキシ対応のWebを構築

　多要素認証&リバースプロキシ対応のWebサーバーを構築

富士通マーケットプレース

Fujitsu MetaArc Marketplace / Fujitsu Cloud Service for OSS (4OSS)

Fujitsu Cloud Service for OSSのマーケットプレイス

4OSS/OpenStackでSSLクライアント認証とリバースプロキシの運用/はじめの一歩

wpadmin1 — Wed, 05 Dec 2018 06:25:43 +0000

富士通が運用するOpenStackのクラウド基盤「Fujitsu Cloud Service for OSS」略称 4OSS （旧名称 K5)で稼働のWebサーバーでSSLクライアント認証を行い、既存のWebサーバーへリバースプロキシによりリダイレクトさせる構成例です。リバースプロキシ先のWebサーバを外部から隠ぺいし安全性を高めることが出来ます。SSLクライアント認証時のアクセスログも取得します。一般的なOpenStackでも同様の構成での運用も可能です。

Client — ( 443 ) —SSLクライアント認証＆リバースプロキシ — ( 443 / 80 ) — Web

4OSS/OpenStack基盤上に稼働のリバースプロキシーサーバーを利用してSSLクライアント認証経由で既存のWebサーバーに安全にアクセスさせる事が出来ます。

今回はプライベートCA、SSLクライアント認証とReverse Proxyを1台のサーバー上で運用するケースです。

既存のWebサーバーへのアクセスは、
１）SSLクライアント証明書による認証(プライベートCA)
２）ID/パスワードによる認証(既存のWebサーバー）
との多要素認証のため、ID/パスワードの漏えいによるWebへの不正アクセスに効果を発揮します。

プライベートCAとSSLクライアント認証&リバースプロキシーを1台で運用するサーバとしては、

Powered BLUE プライベートCA

を利用します。

公的な認証局 ( Public CA )が発行したSSLクライアント証明書を利用してのSSLクライアント認証を行なう運用も出来ます（例　グローバルサイン / UPKI ）

Powered BLUE プライベートCAを利用すると

CA機能 / SSLクライアント証明書発行・失効・認証
SSLクライアント認証
リバースプロキシ
インターネットサーバー機能（Web/Mail/DNS)

を1台の仮想サーバーで運用することが出来ます。

構築方針

PrivateCAサーバーとSSLクライアント認証&リバースプロキシを1台で運用
ターゲットのWebサーバーも4OSS/OpenStack上で運用
設定はGUIから行なう

使用するもの

Fujitsu Cloud Service for OSS (4OSS)
Powered BLUE プライベート CA 1台 ( 認証局 / 4OSSで運用 )
Powered BLUE Web サーバー　3台（ Web / 4OSSで運用）
SSLサーバー証明書

ネットワーク構成（最終形）

LAN 10.0.5.0 / 24
ルーター / gw 　IP=10.0.5.1
B870-CA IP=10.0.5.20 / IP=133.162.67.42 / B870-CA.mubit.com
Web1 / B870-WEB1 IP=10.0.5.31 / IP=133.162.67.53 / B870-LBC1.mubit.com
Web2 / B870-WEB2 IP=10.0.5.32 / IP=133.162.67.54 / B870-LBC2.mubit.com
Web3 / B870-WEB3 IP=10.0.5.37 / IP=133.162.67.57 / B870-LBC3.mubit.com
運用するゾーン　 east-3 or west-3

設定&構築

今回は4OSSのGUIからの操作で構築します。尚OpenStack 標準のGUI / Horizonからの操作やAPI , Ansibleでの構築も可能です。

Networkの設定

OpenStack / 4OSSのネットワークなどの基本設定を行ないます。

4OSS/OpenStack上にNetworkなどを初期設定します

Webサーバーの設定

この例ではWebサーバーとしては、CentOS/RedHat 7.x 対応のPowered BLUE Web サーバーを利用します。一般的なWebサーバーを利用することも出来ます。

4OSS/OpenStack上に3台のPowered BLUE Web サーバーをセットアップします。

Web1 / B870-WEB1 IP=10.0.5.31 / IP=133.162.67.53 / B870-LBC1.mubit.com
Web2 / B870-WEB2 IP=10.0.5.32 / IP=133.162.67.54 / B870-LBC2.mubit.com
Web3 / B870-WEB3 IP=10.0.5.37 / IP=133.162.67.57 / B870-LBC3.mubit.com

Web サーバーには、ホームページデータ、サイボウズ、デスクネッツ、Active! Mail 他を適宜インストールしておきます。

Private CAの設定

Private CAとしては、Powered BLUE Private CAを利用します

4OSS/OpenStack上にPowered BLUE Private CA サーバーをセットアップします。

B870-CA / B870-CA.mubit.com / IP=10.0.5.20 / IP=133.162.67.42

グローバルIPのアサイン

CA / B870-CA IP=10.0.5.20 / IP=133.162.67.42 / B870-CA.mubit.com
Web1 / B870-WEB1 IP=10.0.5.31 / IP=133.162.67.53 / B870-LBC1.mubit.com
Web2 / B870-WEB2 IP=10.0.5.32 / IP=133.162.67.54 / B870-LBC2.mubit.com
Web3 / B870-WEB3 IP=10.0.5.37 / IP=133.162.67.57 / B870-LBC3.mubit.com

Private CAへのグローバルIPのアサイン

ターゲットのWeb サーバー(Web1/Web2/Web3)についても、同様の操作でグローバルIPをアサインしておきます

SSLクライアント証明書の発行

プライベートCAでSSLクライアント証明書を発行。クライアント証明書は、会社や部門全体での一括発行や、１ユーザーごとの個別の発行が出来ます

SSLクライアント証明書を個別発行の場合（マニュアルで1枚発行の場合）

例　suzuki@mubit.com ユーザーのクライアント証明書を作成

有効期限などを指定して発行します

有効期間やポリシーを設定して、部門や全社員の一括発行も出来ます

SSLクライアント証明書をダウンロードします

ダウンロードURLを通知して、ユーザーが個別にダウンロードすることも出来ます

SSLクライアント証明書のブラウザへのインストール(Firefoxの場合）

「証明書を表示」をクリック

あなたの証明書」のインポートをクリック

SSLクライアント証明のパスワード入れてインストールします

正常にインポート時の表示

証明書マネージャーにインストールしたクライアント証明書が表示されます

SSLクライアント認証を設定

Webアクセス時の「SSLクライアント認証」を有効にします

アクセスコントロール

有効なSSLクライアント証明書を有している場合でも、Webサイト毎に各種のアクセスコントロールが設定出来ます
失効リスト(CRL)に関わらず、ただちにWebへのアクセス禁止を設定できます
SSLクライアント証明書を失効させることなく、Webへのアクセスを禁止できます

・組織や部門でのアクセス制限
・曜日や時間帯でのアクセス制限
・特定ユーザーでのアクセス制限
・端末を紛失したので、ただちにＡさんのSSLクライアント証明書でのアクセスを禁止

ログの出力先などの指定

SSLクライアント認証時のアクセスログの出力先を指定出来ます

リバースプロキシの設定

設定例　（複数のリダイレクト先を指定できます　）

activemail/am_bin －－－＞＞　https://10.0.5.31/activemail/am_bin/
cybozu/cbag －－－＞＞　http://10.0.5.32/cybozu/cbag/
desknets/dneo －－－＞＞　http://10.0.5.37/desknets/dneo/
owncloud －－－＞＞　https://10.0.5.31/owncloud/
proself －－－＞＞　https://10.0.5.31/proself/
roundcube －－－＞＞　https://10.0.5.31/roundcube/
mosp －－－＞＞　https://10.0.5.32/dm_time4/srv/
mubit －－－＞＞　http://www.mubit.com/dir/

SSLサーバー証明書

リバースプロキシサーバーに、SSLサーバー証明書を入れます
SSLサーバー証明書は、自己証明書やLet’s Encrypt、パブリックなサーバー証明書を登録出来ます

自己証明書の場合

同一のSSLのサーバー証明書を作成します（1台目のhttpsサーバー）

「自己署名デジタル証明書の作成」　または　「署名リクエストの作成」　で作成します

自己署名デジタル証明書の作成の場合

「自己署名デジタル証明書の作成」から必要事項を記入して、SSLを有効にします

パブリックなSSLサーバー証明書を利用の場合

署名リクエスト(CSR)で作成の場合
必要事項を記入して、「署名リクエストの作成」　ボタンを押します

作成された　「署名リクエスト」　ファイルを保存
この「署名リクエスト」ファイル signig-request.txt を、公的なSSLサーバー証明書の発行機関へ送付

公的機関で発行された、SSLサーバー証明書を「インポート」します

Let’s Encryptの場合

Let’s Encryptは、無償で利用できる公的なSSLサーバー証明書です。Powered BLUE 870 へはフリープラグインを利用して、WebサーバーへSSLサーバー証明書をインストールします。

　Let’s Encryptのインストール＆セットアップ方法

DNSへ登録

IP=133.162.67.42 / B870-CA.mubit.com

アクセス例

SSLクライアント認証&リバースプロキシ経由での active! mail へのアクセス

https://B870-CA.mubit.com/activemail/am_bin/