OpenAMを使ったシングルサインオン（SSO）の仕組み ＜OpenAMによるシングルサインオン（第1回）＞

WebサーバーやアプリケーションサーバーにOpenAMの「エージェント」ソフトウェアを導入し、シングルサインオン(SSO)を実現する方式です。

「エージェント」がブラウザとアプリケーションの通信の間に入り込み、SSOサーバー(OpenAM)と認証状態を確認することで、シングルサインオン(SSO)を実現します。

エージェント方式では、認証済みユーザーの情報はHTTPリクエストに付加され、アプリケーションに連携されます。

アプリケーションがこの情報を取得してセッションを管理することで、シングルサインオン(SSO)が実現され、アプリケーションでの個別のパスワード管理も不要となります。

ブラウザとWebサーバーの間に「リバースプロキシ」サーバーを設置し、リバースプロキシサーバーにOpenAMのエージェントソフトウェアを導入することで、シングルサインオン(SSO)を実現します。

個々のWebサーバーやアプリケーションサーバーへのエージェント導入が不要のため、複数のアプリケーションへ展開しやすいメリットがあります。

また、システムの外部公開が必要な場合、リバースプロキシサーバーを介することでより安全にシステムを公開できる方式になります。

リバースプロキシ方式でも、認証済みユーザーの情報はHTTPリクエストに付加され、アプリケーションに連携されます。

アプリケーションがこの情報を取得してセッションを管理することで、シングルサインオン(SSO)が実現され、アプリケーションでの個別のパスワード管理も不要となります。

代理認証方式では、対象アプリケーションのログインページに対して、ユーザーの代わりにIDとパスワードを送信し、ログインを完了させることで、シングルサインオン(SSO)を実現する方式です。

古いアプリケーションや、パッケージソフトウェアを利用している場合、シングルサインオン(SSO)を実現するためのアプリケーション側の修正対応ができない場合があります。そのようなアプリケーションに対応するための方式として使われます。

この方式では、アプリケーションが管理しているIDとパスワードと、OpenAMが管理しているIDとパスワードが完全に同期されている必要があったり、アプリケーションの仕組みにより対応ができない場合があるなどの制約があります。

クラウドサービスの活用が進むことで注目されている方式が、フェデレーション方式です。異なるドメイン間で、パスワード等の情報を渡すことなく、安全に認証されたユーザーの情報を連携することで、シングルサインオン(SSO)を実現します。

フェデレーション方式に使えるプロトコルは標準化が進められており、現在ではSAMLやOpenID Connectが使われています。