HA – ムービットのブログ

Keycloakで自社システムやSaaSをシングルサインオン化で構成

wpadmin1 — Thu, 16 Nov 2023 10:36:15 +0000

Keycloakを利用して自社のメール・Web・チャットなどをシングルサインオンで運用する構成例です。idPのKeycloakをはじめ、連携するSP側もオープンソースの製品を利用することで費用を抑えての導入や運用が可能です。

KeycloakでのSSOシステム構成パターン

Keycloakを利用した自社システムやSaaSのシングルサインオン構成

Powered BLUE アプライアンスとは

Powered BLUE アプライアンスは、Linuxベースの統合型アプライアンスです。Keycloakをはじめ、各種のOSSソフトウェアがプリインストールされています。

Powered BLUE アプライアンスを利用することで、Keycloakの導入や運用を簡単に行うことができます。またWebサイトやWordPress、roundcubeやMattermostなどの各種のサービスをシングルサインオンで運用できます。

SSO未対応Webは代理認証のリバースプロキシで対応

SAMLやOIDC認証に対応していない既存のWebアプリケーションについては、代理認証機能のリバースプロキシを利用することで、Webサイトの改修をすることなくシングルサインオンのメンバーとして組み込むことでSSOを実現します。

各種の機能に対応のPowered BLUE アプライアンス

Keycloak / idP
Mail / Web / DNS / ftp
Web / WordPress
WebMail / roundcube
ビジネスチャット / Mattermost
代理認証対応リバースプロキシ
Private-CA (SSLクライアント証明書・発行・失効・認証）
シスログサーバー

項目	Web	WebMail roundcube	ブログ WordPress	リバースプロキシ	代理認証リバースプロキシ SAML / OIDC 未対応WebのSSO
SSO対応 SAML / OIDC 認証

Keycloakアプライアンス（冗長構成に対応）

セキュリティや管理者の負担などを考慮したKeycloakのアプライアンスとして

　「Powered BLUE idP for Keycloak」

を利用出来ます。

Keycloak 設定

データベース構成
スタンドアローンやクラスター構成

クラスター構成

Mail / Web / DNS アプライアンス

インターネットサーバー機能のアプライアンスとして

　「Powered BLUE アプライアンス」

を利用出来ます。

項目	Web	MAIL	DNS	Firewall
機能
概要	SNI HSTS SSL証明書登録機能	SMTP/SMTPS POP/POPS IMAP/IMAPS DKIM/DMARC ドメイン認証	TXT SRV SPF	TCP/UDP ポート設定

SSO対応のWebサイトは

一般的なコンテンツをアップロードのWebのサイト
WordPerssのWebサイト
roundcube / Webmail のWebサイト

の構築・運用に対応しています


一般的なWebサイト	WordPressのWebサイト	roundcubeのWebサイト
SSO	SSO	SSO

Keycloak でのSSO構成

WebサイトにSAML / OIDC認証を設定

Webmail / roundcubeとKeycloak 連携時のシングルサインオン

roudcube のログイン画面へアクセス
初回は、idP / Keycloak へリダイレクトされて認証を求められます
認証後に　roundcube のWebページが表示

代理認証対応リバースプロキシ・アプライアンス

idP連携のSAMLやOIDC認証の代理認証対応のID認識型リバースプロキシ

　「Powered BLUE Reverse-Proxy with SSO 」

を利用します。

代理認証対応のリバースプロキシでSSO

既存のWebサイトがSAMLやOIDC認証に未対応の場合、SAMLやOIDC認証対応の代理入力機能を持つリバースプロキシは、Keycloak / idPがユーザーの認証を行い、認証に成功するとリバースプロキシがWebアプリケーションにユーザー情報「ID / パスワード」を代理入力します。

これにより、既存のWebサイトを改修することなくSSOに対応させることができます。

特徴

ユーザーは、Webアプリの「ID / パスワード」の入力不要
ユーザーには、Webアプリの「ID / パスワード」の公開は不要
既存Webは改修不要
ブラウザのみで利用（プラグイン不要）

構成

既存の「Webサイト」は WAN / DMZ / LAN の任意の場所の設置に対応しています
サードパーティ製のWebアプリや他社のWebサービスなどのSSO化も対応可能です

代理認証時のSSO手順

代理認証のリバースプロキシへアクセス
初回のみ idP へアクセス
idP の認証後にリバースプロキシからWebへアカウント情報を代理入力
バックエンドのWebへ自動ログイン

ビジネスチャット・オープンソース版のMattermost でSSO

Slack 互換のMattermostは、オンプレ環境にも対応の高機能なチャットツールです。ただしSAMLやOIDC認証によるシングルサインオンに関しては有償版での提供となっており、標準の場合にはオープンソース版のTeam Edition ではSSO利用ができません。

オープンソース版のMattermost でシングルサインオンを構成する方法

代理認証対応のリバースプロキシ
WebサイトでのMattermostの構築・運用

を連携させてSSOを構成します

代理認証対応のリバースプロキシとMattermostを同一サイトで運用のSSO構成

ReverseProxy + Mattermost = オールインワンで運用

代理認証対応のリバースプロキシとWebアプリのMattermostの分離運用も可能

Powered BLUE Private-CAアプライアンス

Private-CAのアプライアンスとして

　「Powered BLUE プライベートCA」

を利用出来ます。

　Private-CA（SSLクライアント証明書の発行・失効）
　SSLクライアント認証

SSLクライアント認証で Keycloakへの多要素認証（MFA）

SSLクライアント認証
ID/パスワード認証

SSLクライアント認証　〇

SSLクライアント認証　

Keycloakではワンタイムパスワード認証も利用が出来ます。

ワンタイムパスワード認証は、毎回「入力する」必要があります
SSLクライアント認証は、SSLクライアント証明書をインストールすると認証操作は不要です

多要素認証の比較

認証	SSLクライアント認証	ワンタイムパスワード認証
認証操作	不要	毎回必要
判定のタイミング	ID / passwd 入力前に判定	ID / passwd 入力後に判定
リスト攻撃への対応	ブロック　〇	ブロック

Powered BLUE アプライアンスの基本構成

　OS RockyLinux / RedHat
　各種のアプリ
　GUIでのサーバーやアプリの設定

管理者の負担軽減での運用

Powered BLUE アプライアンスの統一的なGUIで、関連のアプライアンスはすべて「同一のGUI」での設定できるため、管理者の負担を軽減してシステムの構築や運用に対応しています。

　サーバーの自己監視やサービスの自動再起動機能
　パッチのスケジュールアップデート機能
　管理者への通知機能

クローズドネットワークでの運用

仮想アプライアンスのイメージでの提供により

仮想サーバーのイメージインポートやオンプレミスでの運用に対応

サーバーのセルフチェック機能により

外部の監視サービスを利用しない運用に対応

アプライアンスの運用先

オンプレミスやクラウド環境、仮想基盤など自社管理での運用に対応

VMware / Hyper-V
AWS / Azure / FUJITSU Hybrid IT Service FJcloud-O (富士通) / WebARENA / ALTUS / VPSなど

お問合せ

ご質問やご相談など

KeycloakでSAML認証のリバースプロキシ経由でターゲットWebへSSO / AD認証や多要素認証からHA構成にも対応

wpadmin1 — Wed, 31 Aug 2022 04:15:07 +0000

Keycloakと認証対応のリバースプロキシ経由でターゲットWebへアクセスをさせます。Keycloakとリバースプロキシの認証連携としては、

SAML認証
OpenID Connect / OIDC 認証

などが利用できます。

リバースプロキシ経由でのアクセスに際しては、ターゲットWeb側の改修は不要です。ターゲットWeb側の認証が脆弱もしくは認証機能が無い場合でも、リバースプロキシ側で認証を追加できます。今回はSAML認証で連携します。

【こんな場合に】

iDはKeycloak で管理をしたい
Azure ADやiDaaSは高額なので利用が出来ない
ターゲットWeb側の改修無しで導入したい
ブラウザのみで利用したい（VPNは利用したくない）

【リバースプロキシを中継してターゲットWebへアクセス】

必要な機器構成

Keycloak　⇔　< SAML > ⇔　リバースプロキシ ⇔ Web

Keycloak / idP
リバースプロキシ / SP
ターゲットWeb

【Keycloak / idP】

一般的なKeycloakを利用できます。

また

Keycloakとしては、　「Powered BLUE for idP 」のKeycloakアプライアンスを利用することも出来ます。

Keycloakのアプライアンスは、GUIからのサーバーの基本設定およびKeycloakの構成（スタンドアロン・クラスター・バックアップ）などの設定に対応しています。

サーバーの設定（Network / Firewall )
ウィザードによるKeycloakの構成や設定（スタンドアロンやクラスター）
DB 設定（ H2 / MariaDB ）
DB 構成 ( 内蔵もしくは外部サーバーのどちらの構成にも対応）
Keycloak のバックアップ、リストア、バージョンアップ
keycloak へのアクセスポート（ 80 / 443 )
リバースプロキシ内蔵＆連携
SSLクライアント認証
SSLサーバー証明書の登録
OSなどのパッチ適用
アクティブモニタ（サーバーやサービス監視・再起動・管理者への通知）

コマンドラインからのプログラムのインストールや設定は不要

( 画面のイメージをクリックで拡大表示）

【認証対応のリバースプロキシ（RP）】

リバースプロキシとしては、OIDC認証やSAML認証に対応の　「Powered BLUE Reverse-Proxy for SSO / iDaaS」を利用することも出来ます。

マルチドメイン・マルチサイトでのリバースプロキシでの運用に対応
サイト毎にOIDC認証やSAML認証の異なる認証での運用に対応
サイト毎に個別のサイト管理者に権限を委譲での運用に対応
ユーザーアカウント無しでの認証に対応
GUIからの設定の対応
自社環境での運用に対応
アプライアンスでの‘提供
OS　RockyLinux 8.x / RedHat 8.x に対応

【構成例】

今回のSAML認証連携の構成パターンです

Keycloak / idP 　⇔　Reverse-Proxy / SP 　⇔　Web
SAMLでの認証

【設定手順の概要】

1. リバースプロキシ / SP の設定
  - 1.1. リバースプロキシの仮想サイトの作成
  - 1.2. SP / SAML設定ファイルのダウンロード
2. Keycloak / idP の設定
  - 2.1. レルムの作成
  - 2.2. クライアントの作成
  - 2.3. ロールの作成
  - 2.4. ユーザーの作成とロールの割り当て
  - 2.5. idP / SAML設定ファイルのダウンロード
3. リバースプロキシ / SP の設定
  - 3.1. idP / SAML設定ファイルのアップロード
  - 3.2. SAML認証の適用ディレクトの指定
  - 3.3. リバースプロキシの設定

【 SP / 仮想サイトの作成】

リバースプロキシを運用する仮想サイト　「www.example.jp」　を作成します

【 SP / SAMLの初期設定】

認証方式としてSAML 2.0を設定します

設定例認証ルート　／　に設定

＊　この例では認証ルート　https:／／www.example.jp／　にSAML認証が設定されます

【SPメタデータのダウンロード】

リバースプロキシのSPのメタデータをダウンロードしてidPへ登録

【 idP / Keycloakの設定】

【設定のパラメータ】

レルム名　saml-demo
クライアントID　https://www.example/saml/endpoint/metadata
レルムロール　saml-demo-role
ユーザー名　demo

【レルムの作成】

レルム設定　例　「saml-demo」

作成後

【クライアントの作成】

クラアントメニューの右上を作成クリックして「クライアント」を作成します

ファイル選択をクリックして、ダウンロードしておいたSPのメタデータを指定して、アップロードします。

「アップロード」すると読み込んだファイルの保存します。SP側の情報が登録されます

【ロールの追加】

ロールを割り当てられたユーザーのみがアクセスできます

ロール名　例　「saml-demo-role」

【ユーザーの作成】

ユーザー名　「demo」
メールアカウント　「demo@example.jp」

【パスワードの設定】

作成したユーザーの「グレデンシャル」を選択してパスワードを設定します

【ユーザーへロールをアサイン】

例　ロール「saml-demo-role」を「demo 」ユーザーにアサインします

【idPメタデータのダウンロード】

idP側のエンドポイント情報が格納された「IdP メタデータファイル」をダウンロードします。

「クライアント」メニューの「クライアントID 」の https://xxx.—–/metadata の項を選択　「インストール」の「Mod Auth Mellon files]を選択してzipファイルをダウンロードします。

ダウンロードしたzip ファイルを展開します。

以下の3ファイルが含まれています

client-cert.pem
idp-metadata.xml
sp-metadata.xml

【SP側へのidPメタデータの登録】

上記でダウンロード&展開した、Keycloak側の「 idp-metadata.xml 」ファイルをインポートします

【SP側のSAML認証の有効化】

SAML 2.0 を有効にするに　　を入れて　「保存」　ボタンを押します

【SAML認証パスの設定】

【リバースプロキシを設定】

リバース元　/　（SAML認証）
リバース先　https://www.xyz.com/

「変更を適用する」ボタンを押して適用します

client ⇒　https://www.example.jp/　⇒　https://www.xyz.com/

【アクセス手順】

① https://www.example.jp/ にアクセス

② 初回は、Keycloak へリダイレクトされて認証を求められます

アカウント　demo@example.jp
パスワード　xxxxxxxx

③ 認証後にリバースプロキシ先の　https://www.xyz.com/　のWebページが表示

【AD連携の構成パターン】

Keycloak とActive Directoryの連携

【Keycloakの多要素人認証】

Keycloak へのアクセス認証強化として、ID / パスワード認証に加えて

ワンタイムパスワード認証
SSLクライアント認証

などでの運用が可能です

SSLクライアント認証の構成

有効なSSLクライアント証明書の場合

① SP （リバースプロキシ）にアクセス
② idP / Keycloakの認証
（初回のみ / SSO / SSLクライアント認証）
③ 認証の成功後　ターゲットSPのWebを表示

有効なSSLクライアント証明書の無い場合

ワンタイムパスワードの認証手順

① ワンタイムパスワードの表示
② SP（リバースプロキシ）にアクセス
③ idp / Keycloakの認証（初回のみ）
ID / パスワード / ワンタイムパスワード入力
④ 認証の成功後　ターゲットWebを表示

【Keycloakの冗長構成】

リバースプロキシの冗長化やKeycloakのクラスター構成での運用

【ターゲットWebへのユーザー情報の代理入力でのSSO】

SAML認証やOIDC認証（Open ID Connect）に未対応のターゲットWebへリバースプロキシから「ユーザー情報を代理入力」してシングルサインオンで運用する構成。

ユーザー操作でのターゲットWebへの「 ID / パスワード」の入力は不要。

【Webの改修不要でSSO】

SAML認証やOIDC認証に未対応のレガシーなターゲットWebを、改修不要でシングルサインオンのメンバーとして構成。

ターゲットWebは LAN / WAN の任意の場所に設置が出来ます。

【代理入力・SSOでの認証ステップ】

SAML / OIDC認証対応のリバースプロキシへアクセス
初回のみ idP / Keycloak へアクセス
Keycloak の認証後にリバースプロキシからターゲットWebへユーザー情報を代理入力
ターゲットWebへログイン

【Active DirectoryとKeycloakを連携】

Active DirectoryとKeycloakを連携

keycloakとActive Directoryの連携
Keycloakとリバースプロキシは、SAML / OIDC認証
リバースプロキシとWebは代理認証

【SSLクライアント認証の併用（多要素認証 / MFA）】

SSLクライアント認証でidPやリバースプロキシへの認証を強化

idPとのSAML / OIDC認証
SSLクライアント認証

【各種WebへのSSO】

一度のidP / Keycloakの認証で、複数のWebへシングルサインオン

【アプライアンスの簡単運用】

情シスの負担軽減での運用に対応

サーバーの自己監視やサービスの自動再起動機能
パッチのスケジュールアップデート機能
管理者への通知機能

【アプライアンスの運用先】

VMwareESXi / Hyper-V
AWS / Azure / FUJITSU Hybrid IT Service FJcloud-O (富士通) / VPSなど

【お問合せ】

ご質問やご相談など

社内のデスクネッツやサイボウズへAzure ADの生体認証やワンタイムパスワード認証などの多要素認証でアクセス / リバースプロキシを利用

wpadmin1 — Thu, 24 Mar 2022 11:47:12 +0000

社内設置のデスクネッツやサイボウズなどのWebへのアクセスに際して、Azure ADでの顔認証や指紋認証などの生体認証（Windows HelloやFIDO2）やワンタイムパスワード認証、SSLクライアント認証に連携したリバースプロキシ経由で、認証機能を強化してアクセスさせる構成例です。

既存で運用のデスクネッツやサイボウズなど社内Web側の変更不要
ターゲットWebは、WANやLAN側のどちらに設置の場合でもアクセス可能

こんな場合に有効

Azure ADを利用している
Azure ADで既存Webへのアクセス認証を強化したい
既存Webの改修はしたくない

Azure ADの認証方式

ID・パスワード認証に加えて、多要素認証での運用が可能です。

Azure ADで利用できる主な認証方式

認証方式	内容	認証操作
SMS 認証　*1	毎回異なるパスワード	入力が手間
ワンタイムパスワード認証	毎回異なるパスワード	入力が手間
SSLクライアント認証	SSLクライアント証明書の配布	操作は簡単
Windows Hello	認証器が必要	操作は簡単
FIDO2	認証器が必要	操作は簡単

*1　SIMスワップ攻撃に注意 / Salesforce ではSMS認証は禁止 / Google ではSMS 認証は非推奨に変更

ワンタイムパスワード認証

Azure ADへワンタイムパスワード認証でログインします。ソフトウエア・トークンなどを利用して、ワンタイムパスワードを表示させます。

無償で利用できるソフトウエア・トークンや対応の端末

製品名	iOS / Android	Windows	Mac	Linux
Google Authenticator
Microsoft Authenticator
IIJ SmartKey
Authy
WinAuth

ユーザーのQRコードの読み取り＆ワンタイムパスワードの表示

SSLクライアント認証

ユーザーに配布のSSLクライアント証明書でAzure ADへのアクセス認証を行います。

SSLクライアント証明書の発行＆SSLクライアント認証ができる製品としては、

　Powered BLUE Private CA

などが利用できます。

生体認証

MicrosoftのAzure AD ( idP ) へのログイン認証では、多要素認証として顔認証や指紋認証などの生体認証をサポートしています。Azure ADで生体認証を利用する場合には、

【A】Windows Helloの生体認証
【B】FIDO2の生体認証

の2方式が利用可能です。

【A】Windows Helloに対応の生体認証器

Windows Helloとは、Windowsへログインする際に顔認証や指紋認証などの生体認証機能を提供する機能です。Windows 10 / 11のPCに搭載されており、Windows Hello対応のWebカメラや指紋認証器などを使うことで利用が出来ます。Windows Helloの補完としてPINによる認証もサポートしています。

顔認証	ノートPCなどに付属のWindows Helloに対応のカメラ	マスク装着では認証不可
指紋認証	USB接続のWindows Helloに対応の指紋認証器	10本の指が登録できる

【A】Windows Hello＋Azure AD

Windows Helloの生体認証（顔認証や指紋認証）を利用してAzure ADの認証を行う場合には、Windows Hello for Business を使います。

【B】FIDO2に対応の生体認証器

FIDO2に対応の生体認証器は、主にUSB接続の指紋認証タイプの製品が多いです。静脈認証の製品もあります。Windows 10 / 11のPCでは、簡単にFIDO2機器への指紋の登録が出来ます。指紋の登録方法は、Windows Helloの場合と同様です。

指紋認証	USB接続のFIDO2に対応の指紋認証器	10本の指が登録できる
静脈認証	USB接続のFIDO2に対応の静脈認証器	非接触での認証が可能

FIDO2対応の静脈認証器　富士通 / PalmSecure Fシリーズ

【B】FIDO2＋Azure AD

FIDO2対応の生体認証（指紋認証や静脈認証など）を利用してAzure ADのログイン認証を行うことも出来ます。

*　Windows Hello やFIDO2ともに、ログイン認証時の操作方法は同一です

Windows HelloやFIDO2の特徴

Windows HellowやFIDO2で利用する認証器のセキュリティ

Azure ADとの認証には、公開鍵暗号方式を利用
生体情報はユーザー側の認証器に格納されAzure ADなどの外部へは漏洩しません

Azure ADの認証連携に対応のリバースプロキシ

Azure ADはSAML認証方式をサポートしており、SAML認証に対応のリバースプロキシやSaaSなどはAzure ADの認証連携でSSOでの運用が出来ます。

ユーザーは生体認証対応のAzure ADへのログイン
Azure ADとリバースプロキシはSAML認証連携
ユーザーはリバースプロキシ経由でターゲットWebへアクセス

SAML認証に対応のリバースプロキシ

Azure AD（idP)と連携するリバースプロキシ（SP）としては、SAML認証に対応した「Powered BLUE ReverseProxy for SSO / IDaaS 」を利用します。

* idP アイデンティ・プロバイダー（認証機能を提供する側）
* SP サービス・プロバイダー（認証機能を受ける側）

この製品は

SAML認証対応のリバースプロキシ機能（SP・サービスプロバイダ）
Web/Mail/DNS/ftp（インターネットサーバー機能）
仮想アプライアンス
ひとり情シスでの運用に対応

のアプライアンスです。

「Powered BLUE ReverseProxy for SSO / IDaaS 」はAzure AD側の「各種の認証方式」で認証連携できるリバースプロキシとして動作します。

Azure / AWSなどのクラウド環境や、VMware / Hyper-Vなどの仮想環境でオールインワンで運用することが出来ます。

ユーザーアカウント不要

SAML認証対応のリバースプロキシ側にはユーザーアカウントを作成することなくidP/Azure ADによるSAML認証を行い、リバースプロキシへアクセスさせることが出来ます。また「グループアクセス」でのコントロールに対応しています。

グループアクセスコントロール　例

営業部・開発部・支店のみにアクセスを許可
管理職のみにアクセスを許可
社員・会員・代理店のみにアクセスを許可

SP機能のリバースプロキシ側にはユーザーアカウントがないため、リバースプロキシ側からの「アカウント漏洩」の心配はありません。

ターゲットWebや設置場所

リバースプロキシ経由でアクセスさせるターゲットWebは

WAN側やLAN側など任意の場所に設置可能
リバースプロキシ経由でのアクセスに限定することで、セキュリティを確保

例　社内のグループウエアやWebへのアクセス


デスクネッツ		サイボウズ		SharePoint

必要な機器や環境

ユーザー側	汎用のPC
	ブラウザ
	ワンタイムパスワード認証ソフトウエア・トークン
	SSLクライアント認証 SSLクライアント証明書
	生体認証 Windows Hello / FIDO2
システム	Azure AD
	SAML認証対応リバースプロキシ
運用先	VMware / Hyper-V / AWS

生体認証器

生体認証として、Windows HelloやFIDO2対応の「指紋認証器」の登録手順です。

指紋登録の手順

利用者はUSBタイプの「指紋認証器」をPCへ接続
利用者の指紋を「指紋認証器」へ登録

指紋登録方法

* Windows 10 / 11 ユーザーは、Windows標準機能を利用しての登録に対応しています

Windowsの「アカウント」設定項目のサインイン・オプションのセキュリティキーの登録機能からセキュリティキーへの「指紋登録」が出来ます

アカウントを選択

サインインオプションを選択 ( 指紋認証を選択）

セキュリティキー（指紋認証器）にタッチ

「セキュリティキーの指紋」のセットアップを選択

セキュリティキー（指紋認証器）にpinコードを設定

新規使用時や初期化時にpinコードを設定します
pinコードは、指紋などの登録や再登録時にも使用します（重要）

本人の確認（指紋認証器に設定したPINコードの入力）

「指紋認証器」へ指紋の登録

指紋センサー（指紋認証器）にタッチ

同じ指でのタッチを、複数回繰り返し指紋を登録します

他の指も登録できます（合計10本まで）

顔認証の登録方法

Windowsの「アカウント」設定項目のサインイン・オプションのセキュリティキーの登録機能からセキュリティキーへの「顔認証の登録」が出来ます

アカウントを選択

サインインオプションを選択 ( 顔認証を選択）

PINコードを入力

セットアップ

登録終了

リバースプロキシ・SP側の設定

SAML認証に対応のリバースプロキシの設定

Powered BLUE Reverse Proxy for SSO/IDaaSにリバースプロキシを運用する仮想サイトを作成

例　https://wp-sam.mubit.jp

Webサーバの有効化

Webサーバーを有効にする　にチェックを入れます

リバースプロキシの設定

作成した仮想サイトにリバースプロキシを設定します

例　https://wp-sam.mubit.jp/blog/ ⇒ https://sni-1.mubit.jp/blog/

SAML設定

SAMLのエンドポイントを指定します　　例　/

idP側のxmlのメタデータをSPへインポートします

idP側のxmlのメタデータをインポートします

SP側のxmlのメタデータをダウンロードします

idP側で作成のメタデータ（xml）をアップロードします

SAMLの認証をかけたいdirを指定します

例　/blog

https://wp-sam.mubt.jp/blog/ 　にSAML認証が適用されます

Azure AD / idPの設定

Azure AD の前提条件

Azure AD Premium
Wndows Hello for Business ( Windows Helloの場合 )

エンタープライズアプリケーションブレード

自社独自のSAMLベースWebを登録の場合には、[エンタープライズアプリケーション] ブレードを使用して、アプリケーションを Microsoft ID プラットフォームに接続します。

お使いの Microsoft ID プラットフォーム管理者アカウントを使用して、Azure Active Directory ポータルにサインインします。
Azure Active Directory を選択
[エンタープライズアプリケーション] > [新しいアプリケーション] の順に選択します。
(省略可能だが推奨) [ギャラリーから追加する] 検索ボックスに、アプリケーションの表示名を入力します。検索結果にアプリケーションが表示されたら、それを選択し、この手順の残りをスキップします。
[ギャラリー以外のアプリケーション] を選択します。 [独自のアプリケーションの追加] ページが表示されます。

新しいアプリケーションの表示名を入力します。
[追加] を選択します。

この方法でアプリケーションを追加することにより、事前に統合されたアプリケーションに似たエクスペリエンスを提供します。まず、アプリケーションのサイドバーから、 [シングルサインオン] を選択します。次の画面 ( [シングルサインオン方式の選択] ) は、SSO を構成するためのオプションを示しています。

SAMLを選択

① 基本的なSAML構成を選択

SP側のxmlを読み込み

メタデータファイルをクリック

idPに読み込むメタデータファイルの指定（SP側のxmlファイル）

もしくは、以下の項目をxmlの内容に沿って記述します

Azure AD SAML の設定例

SAMLの項目

SP側のxmlの内容に従って、以下の項目を設定します。SP側のxmlファイルのアップロードでの登録も出来ます。

エンティティID

https://wp-sam.mubit.jp/endpoint/metadata

応答URL (Assertion Consumer Service URL )

https://wp-sam.mubit.jp/endpoint/postResponse

サインオンURL

https://wp-sam.mubit.jp/develop-dep/

リレー状態

空欄でも可能

ログアウトURL

空欄でも可能

② ユーザー属性とクレーム

必要に応じて設定

③ SAML署名

idP/Azure AD側のフェデレーションメタデータ(XML)をダウンロードして、SP側に登録します

Validate

idPおよびSP側の設定が正しければ、「Validate]　ボタンをクリックすると　SP側のWebページが表示されます。

例　現在のユーザーとしてサインイン

エラーが表示される場合には、メッセージをコピーします

エラーが表示される場合には、メッセージをクリップボードに貼り付けると修正方法が、サジェスチョンされます

エラーを適宜修正して、正常にアクセス出来ればセットアップは終了です。

ターゲットWebへのアクセス手順

① 認証対応のリバースプロキシへアクセス
② 初回のみ Azure AD へアクセス ( 生体認証＆シングルサインオン）
③　Azure ADの認証後にリバースプロキシ経由でターゲットWebサイトの表示

* SP initiated SAML および idP initiated SAMLに対応

HA構成

　シングルAZ + ロードバランサー

マルチリージョンでリバースプロキシの冗長構成での運用

リージョンA / 東日本データセンタ
リージョンB / 西日本データセンタ

◆運用先

SAML認証対応リバースプロキシ・アプライアンスの運用先など

VMwareESXi / Hyper-V
AWS / Azure / FUJITSU Hybrid IT Service FJcloud-O （富士通） / VPS

◆携帯端末の生体認証

アンドロイドやiPhone / iPad の指紋認証や顔認証に対応のリバースプロキシ

　携帯の生体認証に対応のリバースプロキシ

◆デモサーバー

　デモサーバー

終わりに

デモ環境で試してみたい方や詳しい話を聞いてみたい方などは、ムービットのお問い合わせフォームからご連絡ください。

Keycloakアプライアンスを国産クラウドFUJITSU Hybrid IT Service FJcloud-Oに構築運用 / SSL認証や生体認証からLGWANや閉域網での運用にも対応

wpadmin1 — Tue, 22 Feb 2022 11:21:25 +0000

富士通が運用するOpenStackベースの国内基盤でのクラウドサービスであるFUJITSU Hybrid IT Service FJcloud-O 上にID管理や認証機能を持つOSSのidP / Keycloak Quarkus対応版を構築運用する構成例です。

【FUJITSU Hybrid IT Service FJcloud-Oの特徴】

OpenStack準拠のクラウドサービス
API / Ansible / OpenStack Horizon からコントロール可能
回線費用は無償（ベストエフォート）
Firewall無償
リモートコンソールでの管理画面へのアクセス
単一ゾーンでのSLA 99.99%
フェイルオーバー機能　- 　標準装備
アンチ・アフィニティをサポート
国内リージョン2か所（東日本・西日本）
ISMAPに対応

などです。

【Keycloak アプライアンス】

サーバーやKeycloakの設定はすべてGUIから行え、KeycloakのDB設定やバックアップやリストア及びバージョンアップ機能などを有したKeycloakのアプライアンス

　「Powered BLUE idP for Keycloak」

をFJCloud-O上で運用します。

【FUJITSU Hybrid IT Service FJcloud-Oでの構築】

リージョン　East3 / West3

「FUJITSU Hybrid IT Service FJcloud-O」でインスタンスを作成します。

サーバー名指定
サーバータイプ選択
イメージ選択
HDD サイズ指定例　30GB

【Powered BLUE サーバーの設定】

FUJITSU Hybrid IT Service FJcloud-OにPowered BLUEをセットアップする　例

セットアップウィザードから「Powered BLUE サーバー」の設定を行ないます。

【Keycloakの構成やDB設定】

GUIから

サーバーの設定（Network / Firewall )
ウィザードによるKeycloakの構成や設定（スタンドアロンやクラスター）
DB 設定（ H2 / MariaDB ）
DB 構成 ( 内蔵もしくは外部サーバーのどちらの構成にも対応）
Keycloak のバックアップ、リストア、バージョンアップ
keycloak へのアクセスポート（ 80 / 443 )
リバースプロキシ連携機能
SSLサーバー証明書の登録
アクティブモニタ（サービス監視・再起動・管理者への通知）

などに対応しており、コマンドラインからのプログラムのインストールや設定は不要

( 画面のイメージをクリックで拡大表示）

【Keycloakのバックアップ】

バックアップやリストア

【Keycloakのバージョンアップ】

ver 18.0.1 から　ver 19.0.1 へ　変更　（例）

【アクセスポート 80 / 443 】

リバースプロキシ経由やダイレクトにKeycloak (443 port) へのアクセスのどちらの構成にも対応

1) リバースプロキシ経由でKeycloakへアクセス　 ( リバースプロキシ＋Keycloak 1台で運用）

Client ⇒ 「 443 / リバースプロキシ　 ⇒ 80 / Keycloak 」

2) ダイレクトにKeycloak へアクセス(https/443)

Client ⇒ 443 / Keycloak (SSLサーバー証明書インストール）

【SSLサーバー証明書機能】

SSLサーバー証明書をインストールすることで、WANに設置の場合でもリバースプロキシを経由しない構成でhttps / 443 ポートへのダイレクト・アクセスでの運用に対応しています

自己証明のSSL証明書の作成機能
パブリックなSSL証明書や中間証明書のインポート機能

【サーバーの自己監視機能】

サーバーのモニタリングやサービスの自動再起動
パッチの自動適用機能
管理者への通知機能

【Keycloakへのアクセス】

https://xxx.yyy.zzz.ttt/

【idPとSPの構成】

　idP – SP の構成　例１

SP機能のWebアプライアンス　　Powered BLUE Web for SSO / IDaaS

・idP – SP の構成　例２

SP機能のリバースプロキシ・アプライアンス　　Powered BLUE Reverse-Proxy for SSO / IDaaS

【SSOのステップ】

① ターゲットWebやリバースプロキシ（SP）へアクセス
② 初回のみ idP / Keycloak へアクセス ( シングルサインオン）
③ idP / Keycloak の認証後にターゲットのWebサイトの表示

【HAの構成】

Keycloakのクラスター構成

GUIからDBやクラスタの設定が出来ます

FJcloud-O 標準のロードバランサーでのクラスター構成

【閉域網での構築＆運用に対応】

仮想アプライアンスのイメージのインポートにより、インストールなしでの運用が可能
サーバーの自己監視機能により、外部の監視サービスを利用しない運用が可能
LGWANなどでの運用に対応

【SSLクライアント認証で運用する】

Keycloakへの認証を

IDパスワード＋SSLクライアント認証

の多要素認証にする（Private-CAとの連携）

SSLクライアント証明書の発行及びSSLクライアント認証局として

「Powered BLUE プライベートCA」

を利用します。

【失効リストの入手＆自動同期】

Private-CAの失効リストをKeycloak側で入手＆自動同期する設定をします

【Keycloakの認証設定】

Keycloakを運用するサーバーのURL

例　https://auth.powered.blue/

このサーバーの keycloakのログイン dir /auth 以下にSSLクライアント認証を設定の場合

https://auth.powered.blue/auth

【SSLクライアント証明書が有効の場合】

１）ターゲットWeb（SP）にアクセス
２）idP / Keycloakの認証
（シングルサインオン・SSLクライアント認証）
３）認証の成功後　ターゲットWeb（SP）を表示

【FIDO2/生体認証での運用に対応】

指紋認証器の特徴

10本の指が登録でき、どの指でも認証ができる
認証精度が安定している
認証器が豊富
USBタイプはPCへの接続が簡単
汎用のPCで利用できる
Windows10 / 11 の標準機能で指紋登録ができる

指紋認証器の構成例

利用者はUSBタイプの「指紋認証器」をPCへ接続
利用者の指紋を「指紋認証器」へ登録

【指紋登録方法】

* Windows 10 / 11 ユーザーは、Windows標準機能を利用しての登録に対応しています

Windowsの「アカウント」設定項目のサインイン・オプションのセキュリティキーの登録機能からセキュリティキーへの「指紋登録」が出来ます

アカウントを選択

サインインオプション&セキュリティキーを選択

セキュリティキー（指紋認証器）にタッチ

「セキュリティキーの指紋」のセットアップを選択

セキュリティキー（指紋認証器）にpinコードを設定

新規使用時や初期化時にpinコードを設定します
pinコードは、指紋などの登録や再登録時にも使用します（重要）

本人の確認（指紋認証器に設定したPINコードの入力）

「指紋認証器」へ指紋の登録

指紋センサー（指紋認証器）にタッチ

同じ指でのタッチを、複数回繰り返し指紋を登録します

他の指も登録できます（合計10本まで）

【生体認証でWebへアクセス】

パスワードレス認証で運用のケース

（「認証器の所持認証」+「生体認証」の2要素認証）

１）生体認証対応Webへアクセス（IDのみ入力 / パスワードレス）
２）セキュリティキーにタッチ（指紋認証）
３）認証後にターゲットのWebサイトが表示されます

【こんな場合に】

iDaaSなどは社内規定で利用が出来ない
ユーザー数が多いので費用の抑えられるOSSのidPを利用したい
自社管理でidPを運用したい
メンテナンスの簡単なアプライアンスで‘運用したい
国内法が適用されるクラウド基盤で運用したい
LGWANやクローズドネットワークで運用したい
SSLクライアント認証や生体認証で運用したい

ご不明な点などは、ムービットのお問い合わせフォームからお問い合わせください

RockyLinuxで動作のKeycloak-Quarkus に対応のidPアプライアンス

wpadmin1 — Wed, 02 Feb 2022 09:56:17 +0000

RockyLinux 8.xやRedHat 8.x で運用できるQuarkus対応のKeycloakアプライアンスです。サーバーの設定はすべてGUIから行え、KeycloakのDB設定やバックアップやリストア及びバージョンアップ機能なども有しており、自社で簡単にidPの構築運用ができるオールインワンのidPアプライアンスです。キーストア、トラストストアへのSSL証明書の登録機能をはじめ、HA構成での運用やLGWANなどのクローズドネットワークでの運用にも対応しています。

【WildflyからQuarkusへ】

従来までのKeycloakはWildflyに対応
新規のKeycloakはQuarkusに対応

【Keycloak / Quarkus対応アプライアンス】

　「Powered BLUE idP for Keycloak」

【アプライアンスの構成】

　OS RockyLinux 8.x / RedHat 8.x
　Keycloak（アプリ）
　Quarkus
　GUIでのサーバーやアプリの設定

【Keycloakアプライアンス】

Keycloakアライアンスは、GUIからのサーバーの基本設定およびKeycloakの構成（スタンドアロン・クラスター・バックアップ）などの各種設定に対応しています。

サーバーの設定（Network / Firewall )
ウィザードによるKeycloakの構成や設定（スタンドアロンやクラスター）
DB 設定（ H2 / MariaDB ）
DB 構成 ( 内蔵もしくは外部サーバーのどちらの構成にも対応）
Keycloak のバックアップ、リストア、バージョンアップ
keycloak へのアクセスポート（ 80 / 443 )
リバースプロキシ連携機能
SSLクライアント認証
SSLサーバー証明書の登録
OSなどのパッチ適用
アクティブモニタ（サーバーやサービス監視・再起動・管理者への通知）

などに対応しており、コマンドラインからのプログラムのインストールや設定は不要

【Keycloakの構成】

( 画面のイメージをクリックで拡大表示）

【アクセスポート 80 / 443 】

リバースプロキシ経由やダイレクトにKeycloak (443 port) へのアクセスのどちらの構成にも対応

1) リバースプロキシ経由でKeycloakへアクセス（リバースプロキシ+Keycloakを1台運用）

Client ⇒ 443 / リバースプロキシ　 ⇒ 80 / Keycloak

2) ダイレクトにKeycloak へアクセス(https/443)

Client ⇒ 443 / Keycloak (SSLサーバー証明書インストール）

【SSLサーバー証明書機能】

自己証明のSSL証明書の作成機能
パブリックなSSL証明書や中間証明書のインポート機能
キーストアへのSSL証明書登録機能
トラストストアへのSSL証明書登録機能

【Keycloak のGUIパス】

WildFlyベースまでのKeycloak の管理GUIのパス　/auth

https://xxx.yyy.zzz.ttt/auth

QuarkusベースでのKeycloak の管理GUIのパス

https://xxx.yyy.zzz.ttt/

Powered BLUE idP アプライアンスは任意のパスおよびポート設定機能　例　/xyz

https://xxx.yyy.zzz.ttt/xyz

【Keycloakのバックアップ】

バックアップやリストア

【Keycloakのバージョンアップ】

ver 18.0.1 から　ver 19.0.1 へ　変更　（例）

アップデート後

【サーバーの自己監視機能】

サーバーのモニタリングやサービスの自動再起動
パッチの自動適用機能
管理者への通知機能

【Keycloakへのアクセス】

https://xxx.yyy.zzz.ttt/

【idPの構成】

　idP – SP の構成

【SSOのステップ】

① ターゲットWeb（SP）へアクセス
② 初回のみ idP / Keycloak へアクセス ( シングルサインオン）
③ idP / Keycloak の認証後にターゲットのWeb（SP）サイトの表示

【閉域網での運用に対応】

仮想アプライアンスのイメージのインポートにより、インストールなしでの運用が可能

サーバーの自己監視機能により、外部の監視サービスを利用しない運用に対応

例　LGWANでidPを運用

【HAの構成】

Keycloakのクラスター構成

【対応の運用先など】

VMware / Hyper-V
AWS / Azure / FUJITSU Hybrid IT Service FJcloud-O（富士通） / IndigoPro（NTTPC） / VPSなど

【アプライアンスの提供形態】

運用環境に対応のアプライアンスでの提供

【KeycloakのSSLクライアント認証】

Keycloakへのアクセスは、デフォルトではID/Passwd認証です。認証機能を強化してKeycloakへのアクセスを　　「SSLクライアント認証」で運用することも出来ます。

ご不明な点などは、ムービットのお問い合わせフォームからお問い合わせください

認証対応のリバースプロキシを高帯域VPS WebArena IndigoProに構築運用する / HAや自動バックアップ対応

wpadmin1 — Tue, 25 Jan 2022 01:48:10 +0000

NTTPCコミニュケーションズ社が運用するクラウド基盤 WebARENA / IndigoProのVPSサーバーで、SAML認証-ワンタイムパスワ―ド認証-AD認証-SSLクライアント認証-生体認証-パスワードレス認証などの各種の認証に対応のリバースプロキシを運用する場合の構成例です。リモートワークなどで既存のWebへアクセスする際の、認証機能を強化したい場合に利用できます。

IndigoProでは、VPSの自動バックアップ機能やHA機能（フェイルオーバー）、SLA、自動監視機能などを備えており「ひとり情シス」などの「企業向け用途」での運用に対応しています。

【WebARENA / IndigoProの特徴】

10Gbpsの高速回線VPS（べストエフォート）
SLA
簡易Firewall
セルフ監視機能
フェイルオーバー機能（HA）- 標準装備
固定IP =1個
リージョン（東日本・西日本）
リモートコンソール
自動バックアップ
UTM
ヘルプデスク

など

各種サービスの月額費用の上限が決まっているので、予算内での運用が可能。また請求書での支払いに対応。

【Powered BLUE リバースプロキシ / Reverse Proxy】

各種の認証機能に対応のリバースプロキシ・アプライアンス

リバースプロキシ＆ワンタイムパスワード認証
リバースプロキシ＆ SSLクライアント認証
リバースプロキシ＆ワンタイムパスワード認証＆ SSLクライアント認証
リバースプロキシ＆ SAML認証（ Azure ADなどのidP連携）
リバースプロキシ＆ SAML認証＆SSLクライアント認証
リバースプロキシ＆ Active Directory認証
リバースプロキシ＆ Active Directory&SSLクラアイント認証
リバースプロキシ＆生体認証（ FIDO2 / WebAuthn ）

オールインワンでの運用に対応しています。

リバースプロキシ経由での社内LAN側などのWebサーバーへのアクセスに際して、既存の社内Web側は変更することなく、リバースプロキシ上に各種の認証を設定しての運用に対応しています。

リバースプロキシと認証機能を1台で運用出来ます。仮想アプライアンスで提供しており、WebARENA / IndigoPro 環境で認証機能付きのリバースプロキシの導入＆運用が可能です。

IndigoProは、標準機能としてフェイルオーバー機能の基盤上で運用されており、SLAなど企業向けのサービスで利用できるVPSです。

【WebArena IndigoProでの構築】

Powered BLUE リバースプロキシ / Reverse Proxyを WebArena IndigoPro 上に構築運用します

「WebArena IndigoPro」上にインスタンスを作成します

サーバータイプ選択
HDD サイズ選択

インストールするOSなどを選択します

任意の「持ち込みOSの ISO イメージ」からのインストールも選択できます

Powered BLUE のセットアップ

「Powered BLUE Reverse Proxy 」の設定

セットアップウィザードから「Powered BLUE アプライアンス」の設定を行ないます。

Networkなど

IP/Gateway/DNSなどは、IndigoProの基盤側からアサインされます

【リバースプロキシの設定】

リバースプロキシ先を登録します

複数のリバース先 / バックエンドの設定に対応
リバース先のポート( http / https / 任意のポート番号）に対応
終端までSSL通信での運用に対応
リバースプロキシーのWebサイトに「 Let’s Encrypt 」の利用が可能
TLSレベルの選択が可能

* Powered BLUE サーバー構築やリバースプロキシ設定後の引き渡しも対応可能

【１】リバースプロキシ＆ワンタイムパスワード認証

対応のモデル
Powered BLUE 870 / OTP & Reverse Proxy

リバースプロキシにアクセス時にワンタイムパスワード認証を行います

ワンタイムパスワード認証は、google authenticatorの方式に対応しておりユーザー側では、利用するPCやスマフォ端末に応じて

●Google Authenticator
●Microsoft Authenticator
●WinAuth
●Authy
●IIJ SmartKey

などの無償のソフトウエアトークンなどを利用できます

簡単登録

QRコードを読み込むだけの簡単登録

ワンタイムパスワード認証のアクセス手順

ワンタイムパスワードを表示
リバースプロキシへアクセス（ワンタイムパスワード認証）
認証後にリダイレクト先のWebサイトが表示（例　SharePoint)

【２】リバースプロキシ＆ SSLクライアント認証

リバースプロキシへのアクセス時にSSLクライアント認証を行います

対応のモデル
Powered BLUE Private CA & Reverse Proxy

Private-CA機能＆SSLクライアント認証

Private-CA 機能によりSSLクライアント証明書を発行します
Public-CAで発行のSSLクライアント証明書でSSLクライアント認証を行います

特徴

リバースプロキシへのアクセス時にパスワードの入力不要
日時などでのリバースプロキシへのアクセスコントロールが可能

アクセスコントロール　例

組織や部門でのアクセス制限
曜日や時間帯でのアクセス制限
特定ユーザーでのアクセス制限
端末を紛失したので、ただちにＡさんのSSLクライアント証明書でのアクセスを禁止

有効なSSLクライアント証明書のない場合

リバースプロキシでアクセスが拒否されます

証明書　〇　　　　　　　　　証明書　

【３】リバースプロキシ＆ワンタイムパスワード＆ SSLクライアント認証の併用

リバースプロキシにアクセス時にSSLクライアント認証とワンタイムパスワード認証を行います

対応のモデル
Powered BLUE Web Station

特徴

多要素認証によりリバースプロキシの認証の強度が上がります

認証のステップ

１）ワンタイムパスワードを表示させる
２）SSLクライアント認証 (リバースプロキシ）
３）ワンタイムパスワードを入力 (リバースプロキシ）
４）認証後にリバースプロキシ先のWebが表示

【４】リバースプロキシ＆ SAML認証

リバースプロキシへのアクセス時にSAML認証を行います

idP / IDaaS

idPとしては、Azure AD / TrustLogin / OneLogin / Okta / CloudGate Uno / HENNGE ONE / G Suite / Azure AD / Keycloak / OpenAM 他などのSAML認証に対応しています。

既にこれらのiDaaSなどのサービスを利用されている場合に運用が出来ます

SAML-SP

Powered BLUE リバースプロキシは、SAML認証に対応のSP(サービスプロバイダ）として動作します

対応のモデル
Powered BLUE Reverse Proxy for SSO / IDaaS

特徴

シングルサインオン/SAML認証に対応のリバースプロキシとして運用が出来ます

認証のステップ

１） ID認識型リバースプロキシへアクセス
２）初回のみ idP へアクセス ( シングルサインオン）
３） idPの認証後にリバースプロキシ先のWebサイトの表示

【５】リバースプロキシ＆ SAML認証とSSLクライアント認証の併用

リバースプロキシへのアクセス時にiDaaS側のSAML認証に加えて、社内ネットワークへのアクセスに際して、リバースプロキシ上で自社管理で運用が出来るSSLクライアント認証を行います。iDaaS/idPでは社内LANへのアクセスが厳しい場合でも、自社ポリシーによりSSLクライアント認証を行い社内側でのアクセスを行わせる事が出来ます。

特徴

リバースプロキシ上でのSSLクライアント認証では、自社の管理下で自社のポリシーに即した認証設定での運用が出来ます

【６】リバースプロキシ＆ AD認証

リバースプロキシへのアクセス時にActive Directory認証経由で、社内Webへのアクセスします。対応のモデル　Powered BLUE Reverse Proxy for AD

特徴

リバースプロキシにはユーザーアカウントが不要なため、簡単に運用ができます。

AD認証時の手順

１）リバースプロキシへアクセス
２）アカウントやパスワードを入力（AD認証）
３）ADの認証後にリバース先のWebを表示

【7】リバースプロキシ＆ SSLクライアント認証+AD認証

リバースプロキシへのアクセス時に「SSLクライアント認証とActive Directory認証」を併用します。対応のモデル　Powered BLUE Reverse Proxy for AD

特徴

リバースプロキシへのアクセスに際して、多要素認証で運用ができます。

SSLクライアント認証＆AD認証時の手順

１）リバースプロキシへアクセス
２）SSLクライアント認証
３）アカウントやパスワードを入力（AD認証）
４）ADの認証後にリバース先のWebを表示

【8】生体認証対応（FIDO2 / WebAuthn)

FIDO2の生体認証（指紋認証）機能により、「なりすまし防止」でのアクセスが出来ます

特徴

生体情報は覚える必要がない
パスワードレス認証に対応
生体情報は偽造しにくい

生体認証器

利用者はUSBタイプのセキュリティキー「指紋認証器」をPCへ接続

指紋を登録

構成

　https://www.mubit.co.jp/sub/products/blue/b870-sso-rev.html

指紋認証時のWebアクセス手順

例　生体認証を利用したパスワードレス認証
（「認証器の所持認証」+「生体認証」の2要素認証）

① 生体認証対応リバースプロキシへアクセス（IDのみ入力 / パスワードレス）
② 指紋認証 ( 2要素目の認証　生体認証）
③ 認証後にターゲットWebへリダイレクト

WAN側設置のWeb

クラウドやWAN側に設置のWebへのアクセス認証をリバースプロキシで代行させることもできます。

認証対応のリバースプロキシからのアクセスに限定することで、Webサーバー側に認証機能が無い、もしくは認証機能が弱い場合でも運用が可能です。

ひとり情シス対応

Powered BLUE アプライアンスは

サーバーの自己監視
サービスの自動再起動
パッチのスケジュールアップデート

などの機能を装備。ひとり情シスでの運用に対応しています。

ログの保存

シスログの保存 ( 任意期間の保存 )
シスログの転送 ( 同時に3カ所への送信 )
シスログのトラップ

などに対応 (オプション）

任意キーワードでのトラップ　& アラートメールの送信先の指定　例

こんな場合に

既存のWebサイトを変更せずに認証機能を強化したい
アプライアンスで運用したい
ひとり情シスで運用したい
高速な回線で運用したい
費用は安価＆固定で運用したい
冗長構成（HA）に予算をかけられないけど、HA機能はほしい
自動バックアップは必須
国内クラウド基盤で運用したい

デモサイト

Powered BLUE のデモサイトを用意しています

各種操作や認証設定、リバースプロキシなどの動作を確認することが出来ます

デモサイト

自動バックアップやSLA対応の高速回線 / フェイルオーバー機能のWebArena IndigoProのVPS構築運用方法

wpadmin1 — Mon, 24 Jan 2022 08:21:11 +0000

NTTPCコミニュケーションズ社の提供する仮想専用のVPSサービス WebARENA / IndigoPro は、10Gbps の高速回線で使えることやHA機能、SLAを有しており企業向けの用途で利用できる国内基盤で運用のVPSです。セルフ監視機能や自動バックアップ機能など、管理画面も専門の知識を必要としないシンプルな構成で「ひとり情シス」に対応の仕様です。

【WebARENA / IndigoProの特徴】

10Gbpsの高速回線VPS（べストエフォート）
利用できるOS ( RockyLinux / CentOS / Ubuntu / Windows – Server )
GUIはシンプル
簡易Firewall
サーバーにはグローバルIPが直接アサイン（IPは1個のみ）
サーバースペックの変更可能
SLA対応
セルフ監視機能
フェイルオーバー（HA）機能　- 標準装備
リージョン（東日本・西日本）
リモートコンソール
任意の ISO からのインストールに対応
自動バックアップ
大容量ストレージ
UTM
ヘルプデスク

などです。

WAFやロードバランサー機能を使いたい場合には、UTMの利用が可能です。

【費用】

各種の費用は月額の「上限金額が設定」されており、予算内での運用ができます。また、企業向けにはクレジットカードの他に請求書での支払いにも対応しています。

【WebArena IndigoProでの構築】

「WebArena IndigoPro」上にインスタンスを作成します

サーバースペック選択
HDD サイズ選択（デフォルト100GB）

( 画面のイメージをクリックで拡大表示）

【インストールするOSなどを選択】

OSのイメージを選択
パスワードを設定
任意の「持ち込み ISO イメージ」からのインストール対応

＊アップロードISOイメージ（ ISO ファイルは30個まで　トータル10GBの容量 )
＊持込み ISOからインストールの場合、基盤側からアサインされた固定IPをサーバーに設定
（ dhcp では IP がアサインされません）

【インストール後】

【リモートコンソールからのログイン　（VNC）】

CentOS　アカウント　root　/　password はOSインストール時に設定
RockyLinux アカウント　rocky /　password はOS選択時に設定

【sshでのログイン設定】

CentOS 7.1 の場合

当該サーバーへWAN側からアクセスする場合、当該サーバーの　/etc/hosts.allow に　ssh でアクセスする際に許可するIPを指定します

例　IP=123.123.0.10 を許可の場合

[root]#  cat /etc/hosts.allow
sshd : 123.123.0.10

RockyLinux 8.4 の場合

sshでのアクセスの制約はありません

【Firewall機能】

IndigoPro の管理画面からFirewall機能の設定で、ssh でのアクセスを許可します

【sshでのアクセス】

RockyLinux 8.4

# ssh  xxx.yyy.zzz.ttt  -l  rocky
# passwd: xxxxxx
# sudo su -l

CentOS 7.1

# ssh  xxx.yyy.zzz.ttt  -l  root
# passwd: xxxxxx

【キーボードの指定】

日本語や英語のキーボードなどを選択できます
コンソールからログインする場合には、適切な設定が必要です

【ポート監視】

標準でサーバーのポート監視サービスを利用できます（監視ポートは固定）
指定のポートを監視して、異常時には指定のメールアドレスへ通知（3アドレス登録可能）

【バックアップ】

自動バックアップ（オプション）を設定できます

バックアップスケジュール（毎日・毎週・毎月）
3世代

【バックアップ結果】

特定のバックアップは削除しない設定が可能

例　初期セットアップのバックアップは削除せずに「保護」しておく

【swapの設定前】

RockyLinux デフォルトのHDD構成は、1パーティションでメモリスワップがありません。SWAPがないとメモリを使い切った場合には、サーバーが停止します。( CentOS 7.1はswapが設定されています）

RockyLinux 8.4　のディスク構成など

[root]# free 　　　　　 total 　　used 　　free 　　shared 　　buff/cache 　　available
　Mem:　 3880168 　351856 　2981896 　　25348　　 546416　　　　 3274084
　Swap: 　　　0         0         0

[root]# df -k
Filesystem     1K-blocks    Used Available Use% Mounted on
devtmpfs         1877904       0   1877904   0% /dev
tmpfs            1913160       0   1913160   0% /dev/shm
tmpfs            1913160    8776   1904384   1% /run
tmpfs            1913160       0   1913160   0% /sys/fs/cgroup
/dev/vda1      104846316 2089444 102756872   2% /
tmpfs             382632       0    382632   0% /run/user/1000

【swapの設定方法】

/etc/rc.d/rc.local に設定の例　（ RockyLinux 8.4 )

[root]# cat  /etc/rc.d/rc.local
#!/bin/bash
# --- add swapfile 4GB ---
SWAPFILE=/swapfile
if [ -e $SWAPFILE ] ; then
  swapon $SWAPFILE
else
  dd if=/dev/zero of=$SWAPFILE bs=1024K count=4096
  chmod 600 $SWAPFILE
  mkswap $SWAPFILE
  swapon $SWAPFILE
fi
 
[root]# chmod  755  /etc/rc.d/rc.local
[root]# reboot

再起動後にSWAPが有効
[root]# free
　　　　　 total 　　used 　　free 　　shared 　　buff/cache 　　available
　Mem:　 3880168 　351856 　2981896 　　25348　　 546416　　　　 3274084
　Swap:  3997692        0  3997692

【フェイルオーバー機能・HA】

システムとして、フェイルオーバー機能を有しています。利用者側では運用に際して特別な設定などは不要です。

【その他】

network インターフェース名は　 ifcfg-eth0 です

CentOS 7.1
デフォルトでは　exclude=kernel* が設定されており、kernelのアップデートが出来ません
cloud-init はインストールされていません

RockyLinux　8.4
cloud-init はインストールされています

【こんな場合に】

ひとり情シスで運用したい
高速な回線で運用したい
費用は安価＆固定で運用したい
冗長構成（HA）に予算をかけられないけど、フェイルオーバー機能はほしい
自動バックアップは必須
サービス監視の費用は捻出できないけど、監視は必要
国内法が適用される国内クラウド基盤で運用したい

FIDO2の生体認証を利用パスワードレス認証のリバースプロキシをHA対応VPS WebArena IndigoProに構築運用する

wpadmin1 — Fri, 21 Jan 2022 07:32:52 +0000

既存のWebサイトへアクセスする際に、FIDO2/WebAuthn対応のリバースプロキシの生体認証（指紋認証）で「本人確認」を行った後に、既存のWebへアクセスさせる構成です。

生体認証に対応のリバースプロキシは、NTTPCコミュニケーションズが提供する10Gbpsの広帯域VPSサーバーの　「WebArena IndigoPro 」環境に構築＆運用します。

リモートワーク時にWebサイトへアクセスする場合に「なりすまし」を防止するために、生体認証機能のリバースプロキシを利用します。リバースプロキシを利用することでターゲットWeb側を改修することなく導入できます。生体認証を利用することでパスワードレス認証でターゲットWebへアクセスが出来ます。

【必要な機器や環境】

ユーザー側	PC（汎用）
	ブラウザ
	生体認証器
システム	生体認証対応リバースプロキシ
運用先	WebArena IndigoPro

【FIDO2規格】

FIDO2は、Webサービスで生体認証を行いパスワードレス認証に対応の統一規格です。FIDO2は、CTAPとWebAuthnの2つの規格から構成されています。

CTAP（利用者側の認証機器とブラウザ間の規格）
WebAuthn（ブラウザとRPサーバー間の規格）

FIDO2では、

認証器（セキュリティ・キー）を利用することにより「なりすましを防止」してパスワードレス認証を行います。

【生体情報の保護】

FIDO2では生体情報が保護されます

生体情報は、利用者側が保有する「認証器」内に保存＆保護されます
公開鍵暗号化方式（公開鍵・秘密鍵）を利用、生体情報は「認証器」外へ漏洩しません

【FIDO2生体認証のメリット】

FIDO2による生体認証の特徴は

パスワードを覚える必要がない ( パスワードレス認証 )
生体情報はユーザー側の「認証器」内に保護 ( 生体情報の漏洩防止 )
第3者がユーザー側の「認証器」を利用しても、認証されません（なりすまし防止）

【FIDO2対応のブラウザ】

現在の主要なブラウザはFIDO2に対応しており、ご利用のブラウザをそのまま利用できます。FIDO2に対応のブラウザは

Chrome
Edge
Firefox
Safari

【生体認証】

FIDO2対応の生体認証には

指紋認証
静脈認証
顔認証
虹彩認証

などがあります。これらの認証方式から、使いやすい「指紋認証」を選択して利用します。

【指紋認証の特徴】

10本の指が登録でき、どの指でも認証ができる
認証精度が安定している
認証器が豊富
USBタイプはPCへの接続が簡単
汎用のPCで利用できる
Windows10の標準機能で指紋登録ができる

【今回の構成】

生体認証対応のリバースプロキシ・システムとしては、「Powered BLUE Reverse Proxy for Biometrics」を利用して「WebArena IndigoPro」上で運用します。

【WebArena IndigoProの特徴】

10Gbpsの高速回線（ベストエフォート）
固定IP=1個
セルフ監視機能
フェイルオーバー機能（HA）- 標準装備
SLA
簡易Firewall
リモートコンソールでのサーバーへのアクセス
VPSのスペック変更可能
リージョン（東日本・西日本）
自動バックアップ
大容量ストレージ
UTM
ヘルプデスク

などです。

VPS費用や自動バックアップなど月額上限費用が決まっているため、予算内でのVPSの運用が可能です。またセルフ監視機能により「ひとり情シス環境」での運用にも対応しています。

ロードバランサー機能を使いたい場合には、UTMの利用が可能です。

【WebArena IndigoProでの構築】

「WebArena IndigoPro」上にインスタンスを作成します

サーバータイプ選択
HDD サイズ選択

インストールするOSなどを選択します

任意のISOからのインストールも選択できます

Powered BLUE のセットアップ

「Powered BLUE Reverse Proxy for Biometrics」の設定

セットアップウィザードから「Powered BLUE サーバー」の設定を行ないます。

Networkなど

IP/Gateway/DNSなどは、IndigoPro基盤側から自動でアサインされます

【リバースプロキシの設定】

「Powered BLUE Reverse Proxy for Biometrics」へリバースプロキシ先を登録します

複数のリバース先 / バックエンドの設定に対応
リバース先のポート( http / https / 任意のポート番号）に対応
終端までSSL通信での運用に対応
リバースプロキシーのWebサイトに「 Let’s Encrypt 」の利用が可能
TLSレベルの選択が可能

【生体認証器】

生体認証としては、FIDO2対応の「指紋認証器」を利用します。USBタイプの指紋認証器は接続が簡単で便利です。

【指紋認証器の登録手順】

利用者はUSBタイプの「指紋認証器」をPCへ接続
利用者の指紋を「指紋認証器」へ登録

【Windowsでのセキュリティキー（指紋認証器）への指紋登録】

* Windows10/11ユーザーは、「Windowsの標準機能」を利用しての登録に対応しています

Windowsの「アカウント」設定項目のサインイン・オプションの「セキュリティキー」の登録機能から「指紋登録」が出来ます

１）アカウントを選択

２）サインインオプション&セキュリティキーを選択

３）セキュリティキー（指紋認証器）にタッチ

４）「セキュリティキーの指紋」のセットアップを選択

５）セキュリティキー（指紋認証器）にpinコードを設定

新規使用時や初期化時にpinコードを設定します
pinコードは、指紋などの登録や再登録時にも使用します（重要）

６）本人の確認（指紋認証器に設定したPINコードの入力）

７）「指紋認証器」へ指紋の登録

８）指紋センサー（指紋認証器）にタッチ

同じ指でのタッチを、複数回繰り返し指紋を登録します

９）他の指も登録できます（合計10本まで）

【Webへのアクセス手順】

パスワードレス認証で運用のケース

（「認証器の所持認証」+「生体認証」の2要素認証）

１）生体認証対応リバースプロキシへアクセス（IDのみ入力 / パスワードレス）

２）セキュリティキーにタッチ（指紋認証）

３）認証後にターゲットのWebへリダイレクト

3要素認証で運用のケース

（「パスワード認証」＋「認証器の所持認証」+「生体認証」　の3要素認証）

１）生体認証対応リバースプロキシへアクセス（ID & パスワード認証）

２）セキュリティキーにタッチ（指紋認証）

３）認証後にターゲットのWebへリダイレクト

【こんな場合に】

Webアクセス時に確実な「本人確認」を行いたい
パスワードレスでのWeb認証を行いたい
既存のWebサーバー側の変更はしたくない
アプライアンスで運用したい
ブラウザから利用したい
海外や出張先のホテルからも安全にアクセスしたい
VPNは負荷が高いので使いたくない
ひとり情シスで運用したい
HAに費用はかけられないが、HA機能は必要
国内法が適用されるクラウド基盤で運用したい

【デモサイト】

Powered BLUE のデモサイトを用意しています

操作や動作を確認することが出来ます

　Powered BLUE のデモサイト

ご不明な点などは、ムービットのお問い合わせフォームからお問い合わせください

各種の認証対応のリバースプロキシをFUJITSU Hybrid IT Service FJcloud-Oに構築する

wpadmin1 — Fri, 14 Jan 2022 02:59:40 +0000

富士通が運用するOpenStackのクラウド基盤「FUJITSU Hybrid IT Service FJcloud-O」上で、SAML認証-ワンタイムパスワ―ド認証-AD認証-SSLクライアント認証-生体認証-パスワードレス認証などの各種の認証に対応のリバースプロキシを運用する場合の構成例です。ロードバランサを利用してのHAなどでも運用できます。

【FUJITSU Hybrid IT Service FJcloud-Oの特徴】

回線費用は無償（ベストエフォート）
オブジェクトストレージからのダウンロードも無償（ベストエフォート）
Firewall無償
リモートコンソールでの管理画面へのアクセス
OpenStack準拠
API / Ansible / OpenStack Horizon からコントロール可能
単一ゾーンでのSLA 99.99%
アンチ・アフィニティをサポート
国内基盤で運用

などです。

回線費用が標準費用に含まれているため、通信費用を気にすることなく「予算内」での運用が可能です。

Powered BLUE リバースプロキシ / Reverse Proxyは、

リバースプロキシ＆ワンタイムパスワード認証
リバースプロキシ＆ SSLクライアント認証
リバースプロキシ＆ワンタイムパスワード認証＆ SSLクライアント認証
リバースプロキシ＆ SAML/OIDC認証（ idP連携）
リバースプロキシ＆ SAML/OIDC認証＆SSLクライアント認証
リバースプロキシ＆ Active Directory認証
リバースプロキシ＆ Active Directory&SSLクライアント認証
リバースプロキシ＆生体認証対応（ FIDO2 / WebAuthn ）
リバースプロキシ＆ HAやGSLB対応

に対応の認証機能付きリバースプロキシ・アプライアンスです。

リバースプロキシと認証機能を1台で運用出来ます。仮想アプライアンスで提供しており、FUJITSU Hybrid IT Service FJcloud-O環境で認証機能付きのリバースプロキシの導入＆運用が可能です。

【構築方法】

「FUJITSU Hybrid IT Service FJcloud-O」で CentOS 7.x もしくはRedHat 7.x デフォルトのインスタンスを作成しておきます。

サーバー名指定
サーバータイプ選択
パブリックイメージ選択　例　CentOS 7.９
HDD サイズ指定　例　30GB

　FUJITSU Hybrid IT Service FJcloud-OにCentOS/RedHat対応インターネットサーバー Powered BLUEをセットアップする

【１】リバースプロキシ＆ワンタイムパスワード認証

対応のモデル
Powered BLUE 870 / OTP & Reverse Proxy

リバースプロキシにアクセス時にワンタイムパスワード認証を行います

ワンタイムパスワード認証は、google authenticatorの方式に対応しておりユーザー側では、利用するPCやスマフォ端末に応じて

●Google Authenticator
●Microsoft Authenticator
●WinAuth
●Authy
●IIJ SmartKey

などの無償のソフトウエアトークンなどを利用できます

簡単登録

QRコードを読み込むだけの簡単登録

ワンタイムパスワード認証のアクセス手順

ワンタイムパスワードを表示
リバースプロキシへアクセス（ワンタイムパスワード認証）
認証後にリダイレクト先のWebサイトが表示（例　SharePoint)

【２】リバースプロキシ＆ SSLクライアント認証

リバースプロキシへのアクセス時にSSLクライアント認証を行います

対応のモデル
Powered BLUE Private CA & Reverse Proxy

Private-CA機能＆SSLクライアント認証

Private-CA 機能によりSSLクライアント証明書を発行します
Public-CAで発行のSSLクライアント証明書でSSLクライアント認証を行います

特徴

リバースプロキシへのアクセス時にパスワードの入力不要
日時などでのリバースプロキシへのアクセスコントロールが可能

アクセスコントロール　例

組織や部門でのアクセス制限
曜日や時間帯でのアクセス制限
特定ユーザーでのアクセス制限
端末を紛失したので、ただちにＡさんのSSLクライアント証明書でのアクセスを禁止

有効なSSLクライアント証明書のない場合

リバースプロキシでアクセスが拒否されます

証明書　〇　　　　　　　　　証明書　

【３】リバースプロキシ＆ワンタイムパスワード＆ SSLクライアント認証の併用

リバースプロキシにアクセス時にSSLクライアント認証とワンタイムパスワード認証を行います

対応のモデル
Powered BLUE Web Station

特徴

多要素認証によりリバースプロキシの認証の強度が上がります

認証のステップ

【４】リバースプロキシ＆ SAMLやOIDC認証

リバースプロキシへのアクセス時にSAMLやOIDC認証を行います

idP / IDaaS

idPとしては、Azure AD / TrustLogin / OneLogin / Okta / CloudGate Uno / HENNGE ONE / G Suite / Azure AD / Keycloak / OpenAM 他などのSAML認証に対応しています。

既にこれらのiDaaSなどのサービスを利用されている場合に運用が出来ます

SAML-SP / OIDC-RP

Powered BLUE リバースプロキシは、SAML認証やOIDC認証に対応のSP(サービスプロバイダ）として動作します

対応のモデル
Powered BLUE Reverse Proxy for SSO / IDaaS

特徴

シングルサインオン/SAML認証やOIDC認証に対応のリバースプロキシとして運用が出来ます

認証のステップ

【５】リバースプロキシ＆ SAMLやOIDC認証とSSLクライアント認証の併用

リバースプロキシへのアクセス時にiDaaS側のSAML認証やOIDC認証に加えて、社内ネットワークへのアクセスに際して、リバースプロキシ上で自社管理で運用が出来るSSLクライアント認証を行います。iDaaS/idPでは社内LANへのアクセスが厳しい場合でも、自社ポリシーによりSSLクライアント認証を行い社内側でのアクセスを行わせる事が出来ます。

特徴

リバースプロキシ上でのSSLクライアント認証では、自社の管理下で自社のポリシーに即した認証設定での運用が出来ます

【６】リバースプロキシ＆ AD認証

リバースプロキシへのアクセス時にActive Directory認証経由で、社内Webへのアクセスします。対応のモデル　Powered BLUE Reverse Proxy for AD

特徴

リバースプロキシにはユーザーアカウントが不要なため、簡単に運用ができます。

AD認証時の手順

１）リバースプロキシへアクセス
２）アカウントやパスワードを入力（AD認証）
３）ADの認証後にリバース先のWebを表示

【7】リバースプロキシ＆ SSLクライアント認証+AD認証

リバースプロキシへのアクセス時に「SSLクライアント認証とActive Directory認証」を併用します。対応のモデル　Powered BLUE Reverse Proxy for AD

特徴

リバースプロキシへのアクセスに際して、多要素認証で運用ができます。

SSLクライアント認証＆AD認証時の手順

１）リバースプロキシへアクセス
２）SSLクライアント認証
３）アカウントやパスワードを入力（AD認証）
４）ADの認証後にリバース先のWebを表示

【8】生体認証対応（FIDO2 / WebAuthn)

FIDO2の生体認証（指紋認証）機能により、「なりすまし防止」でのアクセスが出来ます

特徴

生体情報は覚える必要がない
パスワードレス認証に対応
生体情報は偽造しにくい

生体認証器

利用者はUSBタイプのセキュリティキー「指紋認証器」をPCへ接続

指紋を登録

構成

　https://www.mubit.co.jp/sub/products/blue/b870-sso-rev.html

指紋認証時のWebアクセス手順

例　生体認証を利用したパスワードレス認証
（「認証器の所持認証」+「生体認証」の2要素認証）

【9】HA ＆マルチリージョン

ロードバランサー配下での運用やGSLB、Route53との組み合わせによるマルチAZでの運用にも対応しています。

ロードバランサー配下での運用

認証対応のリバースプロキシはシングルリージョン（シングルAZ）のロードバランサー配下に設置・運用

マルチAZでの運用

認証対応のリバースプロキシの設置・運用先

リージョンA　東日本データセンター
リージョンB　西日本データセンター

【10】WAN側設置のWeb

クラウドやWAN側に設置のWebへのアクセス認証をリバースプロキシで代行させることもできます。

【11】ひとり情シス対応

サーバーの自己監視
サービスの自動再起動
パッチのスケジュールアップデート

などの機能を装備。ひとり情シスでの運用に対応しています。

【12】ログの保存

シスログの保存 ( 任意期間の保存 )
シスログの転送 ( 同時に3カ所への送信 )
シスログのトラップ

などに対応 (オプション）

任意キーワードでのトラップ　& アラートメールの送信先の指定　例

デモサイト

Powered BLUE のデモサイトを用意しています

各種操作や認証設定、リバースプロキシなどの動作を確認することが出来ます

デモサイト

AD/LDAP認証とSSLクライアント認証の対応のリバースプロキシをFUJITSU Hybrid IT Service FJcloud-OのHAで運用

wpadmin1 — Fri, 01 Oct 2021 10:02:25 +0000

Active DirectoryのLDAP認証やSSLクライアント認証に対応のリバースプロキシを富士通が運用するOpenStackのクラウド基盤 FUJITSU Hybrid IT Service FJcloud-O 上に構築＆運用します。全通信経路でSSL通信を行う運用が出来ます。

◉ AD認証に対応のリバースプロキシ

Active Directroy認証に対応の　「Powered BLUE Reverse Proxy for AD」アプライアンスを利用します。AD認証とSSLクライアント認証を併用しての多要素認証での運用もできます。

機能

リバースプロキシ機能
リバースプロキシのAD認証
リバースプロキシのSSLクライアント認証
リバースプロキシのHA対応
ポータルサイト機能

GUIからすべての設定ができます。

運用構成

LAN側に設置のWebへのアクセス
全通信経路でSSL通信を行うことが可能（リバースプロキシ＆LDAP）

運用先

FUJITSU Hybrid IT Service FJcloud-Oの特徴は

OpenStack準拠
単一ゾーンでのSLA 99.99%
アンチ・アフィニティをサポート
回線費用は無償（ベストエフォート）
オブジェクトストレージからのダウンロード費用は無償（ベストエフォート）
Firewallは無償
Ansible対応
OpenStackの標準GUI Horizon対応

などです。

OpenStack準拠

FUJITSU Hybrid IT Service FJcloud-Oはアベイラビリティゾーンとして、OpenStackに準拠のjp-east3 / jp-west3 が選択出来ます。

jp-east3 / jp-west3ではansibleからの操作やOpenStack標準のGUIコンソールHorizonなどからも使用可能です。ansibleでのネットワーク構築からサーバー構築や設定までを一気通関で行なうことが出来ます。

また単一ゾーン構成でのSLA 99.99%をサポートしています。HA構成時に特定の仮想マシンが常に違うホストで実行されるアンチ・アフィニティ機能もサポート。特に支障が無ければ、アベイラビリティゾーンとして jp-east3 / jp-west3 での運用を推奨します。

「FUJITSU Hybrid IT Service FJcloud-O」で CentOS 7.x もしくはRedHat 7.x デフォルトのインスタンスを作成しておきます。

サーバー名指定
サーバータイプ選択
パブリックイメージ選択　例　CentOS 7.９
HDD サイズ指定　例　30GB

Fujitsu Cloud Service for OSS（4OSS）上にCentOS7のインスタンス構築設定　例

ご利用者側では、セットアップウィザードからPowered BLUE サーバーの設定を行ないます。

セットアップウイザード開始

http://xxx.yyy.zzz.xyz:444/

クラウド基盤のインスタンスのデフォルトの言語で表示されます（例　英語）

基本設定

サーバー名（Host名　Domain名を指定）
DNS (デフォルトでは、クラウド基盤からアサインされたIPが入っています）
管理者のパスワード
言語の表示切り替え設定 ( 例 Language で Japaneseを選択）
タイムゾーン

などを設定

プライマリインターフェースのIPアドレスやgatewayは、クラウド基盤側からアサインされたものを変更せずにそのまま利用します

DNSなどは適宜変更可能です。

GUI表示を英語版から日本語へ切り替えます

ウイザードの終了後に、サーバーへ再ログインします

Powere BLUE へログインをします

admin のパスワードは、セットアップウイザードで指定したパスワードを入力します

◉ LDAPサーバー

LDAPサーバーとして

389 Directory Server
OpenLDAP
Active Directory

などと連携させます。

リバースプロキシ側の設定　LDAP認証

LDAPサーバーへの接続先URLを指定（ ldaps / SSL通信）

◉SSLクライアント認証設定

リバースプロキシ側でのSSLクライアント認証設定

Private-CA 機能により、SSLクライアント証明書を発行
SSLクライアント証明書でのSSLクライアント認証

SSLクライアント認証のアクセスコントロール

時間帯や曜日によるアクセス制限
部門によるアクセス制限

例　月曜日から金曜日　9時から18時　までの時間帯のみリバースプロキシへのアクセス許可

◉リバースプロキシでのリダイレクト設定

リバースプロキシ設定　リダイレクト先の指定

・複数のリバース先/バックエンドの設定に対応
・リバース先のポート ( http / https / ポート番号）を指定に対応
・終端までSSL通信での運用に対応 ( End-to-EndでのSSL通信 )
・リバースプロキシーのWebサイトにLet’s Encryptの適用に対応

◉アクセス

SSLクライアント認証＋LDAP認証でのアクセス手順

リバースプロキシへアクセス（ SSLクライアント認証）
LDAP認証（ ID / Password入力）
ターゲットWebへリダイレクト

◉冗長構成

冗長構成での運用
FJCloud-O 標準で提供のロードバランサーに対応。複数の認証機能対応＆自動同期のリバースプロキシで処理を行い冗長構成での運用が可能です。

デモサイト

Powered BLUE 870 のデモサイト

HA – ムービットのブログ

Keycloakで自社システムやSaaSをシングルサインオン化で構成

KeycloakでのSSOシステム構成 パターン

Powered BLUE アプライアンスとは

SSO未対応Webは代理認証のリバースプロキシで対応

各種の機能に対応のPowered BLUE アプライアンス

Keycloakアプライアンス（冗長構成に対応）

Mail / Web / DNS アプライアンス

Webmail / roundcubeとKeycloak 連携時のシングルサインオン

代理認証対応リバースプロキシ・アプライアンス

特徴

ビジネスチャット・オープンソース版のMattermost でSSO

Powered BLUE Private-CAアプライアンス

Powered BLUE アプライアンスの基本構成

管理者の負担軽減での運用

クローズドネットワークでの運用

アプライアンスの運用先

お問合せ

KeycloakでSAML認証のリバースプロキシ経由でターゲットWebへSSO / AD認証や多要素認証からHA構成にも対応

【こんな場合に】

【リバースプロキシを中継してターゲットWebへアクセス】

【Keycloak / idP】

【構成例】

【 SP / 仮想サイトの作成 】

【 SP / SAMLの初期設定】

【SPメタデータのダウンロード】

【 idP / Keycloakの設定】

【設定のパラメータ】

【レルムの作成】

【クライアントの作成】

【ユーザーの作成】

【SP側へのidPメタデータの登録】

【SP側のSAML認証の有効化】

【SAML認証パスの設定】

【代理入力・SSOでの認証ステップ】

社内のデスクネッツやサイボウズへAzure ADの生体認証やワンタイムパスワード認証などの多要素認証でアクセス / リバースプロキシを利用

こんな場合に有効

Azure ADの認証方式

Azure ADで利用できる主な認証方式

認証方式

内容

認証操作

ワンタイムパスワード認証

無償で利用できるソフトウエア・トークンや対応の端末

ユーザーのQRコードの読み取り＆ワンタイムパスワードの表示

SSLクライアント認証

生体認証

【A】Windows Helloに対応の生体認証器

【A】Windows Hello＋Azure AD

【B】FIDO2に対応の生体認証器

【B】FIDO2＋Azure AD

Windows HelloやFIDO2の特徴

Azure ADの認証連携に対応のリバースプロキシ

SAML認証に対応のリバースプロキシ

ユーザーアカウント不要

グループアクセスコントロール 例

ターゲットWebや設置場所

必要な機器や環境

ユーザー側

システム

運用先

生体認証器

指紋登録の手順

指紋登録方法

アカウントを選択

サインインオプションを選択 ( 指紋認証を選択）

セキュリティキー（指紋認証器）にタッチ

「セキュリティキーの指紋」のセットアップを選択

セキュリティキー（指紋認証器）にpinコードを設定

本人の確認（指紋認証器に設定したPINコードの入力）

「指紋認証器」へ指紋の登録

指紋センサー（指紋認証器）にタッチ

他の指も登録できます（合計10本まで）

顔認証の登録方法

アカウントを選択

サインインオプションを選択 ( 顔認証を選択）

PINコードを入力

セットアップ

登録終了

リバースプロキシ・SP側の設定

KeycloakでのSSOシステム構成パターン

【 SP / 仮想サイトの作成】

　認証方式

　内容

　認証操作

グループアクセスコントロール　例

1) リバースプロキシ経由でKeycloakへアクセス　 ( リバースプロキシ＋Keycloak 1台で運用）