皆さん、こんにちは。技術開発グループのn-ozawanです。 寝違えました。首が痛いです。「寝違え 予防」と検索したら、「パソコン、スマホの使用時間を減らす」とありました。これも職業病なのかもしれません。 本題です。 Spring Security、難しいですよね。前回、KeycloakへのOIDC認証を行うコードを実装しました。その際、Spring Securityの動きについて簡単にしか触れていませんでしたので、今回はSpring Securityの動きを詳しく追っていきたいと思います。 Spring Security Spring Securityはフィルタで動く Spring Securityはフィルタで動作します。フィルタというのはサーブレットアプリの１つの機能です。通常、サーブレットによるWebアプリを構築する場合、業務ロジックをサーブレット(Servlet)に実装します。フィ
Spring Security 5の目玉であるOAuth 2.0(& OpenID Connect 1.0)の認可サーバと連携したログイン機能を、Spring Boot上で使う方法を紹介します。（今回はSpring Boot上で使う方法の紹介だけにとどめます→仕組みの話は乞うご期待！！） 動作検証バージョン Spring Boot 2.0.0.M7 Spring Security 5.0.0.RELEASE Tomcat 8.5.23 NOTE: 2017/12/2 : Spring Boot 2.0.0.M7 (Spring Security 5.0.0.RELEASE)ベースに書き換えました。 OAuthプロバイダ GitHub Note: ちなみに・・・Spring Securityは、GitHubの他に、Google、Facebook、Oktaをデフォルトでサポートしています。 デ
Copyright © 2005 - Broadcom. All Rights Reserved. The term "Broadcom" refers to Broadcom Inc. and/or its subsidiaries. Terms of Use • Privacy • Trademark Guidelines • Thank you • Your California Privacy Rights Apache®, Apache Tomcat®, Apache Kafka®, Apache Cassandra™, and Apache Geode™ are trademarks or registered trademarks of the Apache Software Foundation in the United States and/or other count
Spring Security は、包括的な OAuth 2.0 サポートを提供します。このセクションでは、OAuth 2.0 をサーブレットベースのアプリケーションに統合する方法について説明します。
2020年3月17日、株式会社Authleteが主催する「OAuth & OIDC 勉強会 リターンズ【入門編】」が開催。同社の共同創業者であり、プログラマー兼代表取締役でもある川崎貴彦氏が、OAuth 2.0 / OIDCの仕様について解説しました。本記事では、OAuth 2.0において、クライアントが認可サーバーにリクエストを行なってから、認可サーバーがクライアントにアクセストークンを発行するまでのやりとりの流れ（フロー）について、わかりやすく説明していきます。 認可サーバーが提供する2つのエンドポイント川崎貴彦氏：認可サーバーは基本的に2つのエンドポイントを提供します。その2つは、認可エンドポイントとトークンエンドポイントです。他にもさまざまな仕様があり、他のエンドポイントを定義している仕様もありますが今日は触れません。 このRFC 6749の仕様は、この2つのエンドポイントがどう動
version Spring Boot Starter Security 2.7.1 参考 まずは、下記の動画、documentを理解すると分かりやすいと思う。 https://www.youtube.com/watch?v=PKPj_MmLq5E https://qiita.com/TakahikoKawasaki/items/701e093b527d826fd62c また、下記のSpring Security OAuth2 LoginとLINEログインのdocumentも理解すると分かりやすいと思う。 https://spring.pleiades.io/spring-security/reference/servlet/oauth2/login/core.html#oauth2login-sample-redirect-uri https://developers.line.biz/
はじめに この記事は、シングルサインオン（SSO）を導入する人事部の方や、情報システム課の方に向けて、SAML（Security Assertion Markup Language）における『NameID』や『AttributeStatement』とは何か？を具体例を用いて解説します。専門用語が飛びかいますが、その都度言葉の意味を正確におさえながら読んで欲しいです。画像等も適宜追加していきます。 シングルサインオンとは？ シングルサインオン（SSO）は、ユーザーが一度のログインで複数のアプリケーションを利用できる便利な仕組みです。これにより、一度ログインすれば、社内の様々なツールやシステムに追加のログインなしでアクセス可能となります。 シングルサインオンは、実際に認証したいサービス（アプリ）と、認証管理を一元化している認証サーバーが存在することで成り立ちます。これらをService Pro
Spring Boot にて、Azure Active DirectoryのOAuth2認証を利用してみます。 Azure Active Directory用の Spring Boot Starterが用意されているので簡単に実装することができます。 Azure Active Directory 用の Spring Boot Starter の使用方法 | Microsoft Learn 今回確認に利用したプロジェクト全体は、下記に配置しています。 https://github.com/onozaty/spring-boot-sandbox/tree/master/spring-boot-27-azure-ad-oauth Azure Active Directory側での準備 Azure Active Directory側で下記を用意しておく必要があります。 (テナントが未作成なら)テナ
はじめに なぜこんな記事を書こうと思ったかというと、認証・認可について僕がなあなあになっている気がしたので、改めて自分の中で整理したかった為です。 認証 (Authentication) あるウェブサイトにユーザがログインした際に誰なのかを確認することを指します。 本人確認をイメージすると分かりやすいかもです。 認可 (Authorization) 認証したユーザに対して、リソースのアクセス権限をどこまで与えるか決定することです。 フェデレーテッドログイン これは、例えばあるサービスがあった場合にそのサービス以外が管理するIDを利用してログインする方法です。 実装パターン 以下に実装パターンをいくつか紹介しますが、だいたい今はOAuth 2.0かOpenID Connect(別記事で書きます。)ですねw シングルサインオン シングルサインオンは、各システム間のアカウント管理を別々に行わず、
学習資材 Azure ADのエディション Free・Apps・P1・P2が存在する。 Freeだと、ユーザやグループの管理、SaaSへのSSOアクセスなど、基本的な操作のみになる。 P1とP2の違いは、Identity Protection(後述）とPrivileged Identity Management (PIM)(後述）がP2では提供される。 詳細は以下の通り。 Identity Protectionとは その名の通り、ID保護に関するサービス。IDベースで、リスクの検出/管理/保護を行ってくれるサービスと考えればよい。 機械学習を使って、例えば、接続元IPアドレスを隠蔽してアクセスしてきた通信をブロックするといった保護ができる。 詳細は以下の通り。 脅威に対しての自己修復/管理者修復のフローの違いのイメージ。 以下の図が参考になった。自己修復とはいっても、脅威をAzure側で完全
みなさん、お疲れ様です。 インフラエンジニアのもりっちです。 今回は初心者の方が引っかかる、「認証・認可」の違いについてご紹介したいと思います。 私も普段から、Microsoft Entra ID を使用しておりますが、昔上司に Microsoft Entra ID は認証・認可を行うサービスであると教わり、混乱をしていました。 結構、この認証・認可の概念をとらえるまでに苦労するので、極力わかりやすく説明をしていきたいと思います。 １．認証とは？「認証」とは、通信の相手が「誰（何）であるのか」を利用者本人の確認・特定することです。 正直、上の書き方では難しく理解できないですよね💦 みなさんが身近に使っているもので例えてみましょう！ それは、、、メールアドレスやパスワードを使ってログインをする作業です！ 例えば、Youtubeアカウントにログインするときは、あらかじめ持っているGmailア
はじめに この記事では、OAuth 2.0 の認可サーバーが返す認可レスポンスと、それに伴うリダイレクト処理について説明します。 動画解説のほうがお好みであれば、オンライン勉強会『OAuth & OIDC 勉強会 【認可リクエスト編】』の『3. リダイレクション』をご覧ください。 認可レスポンス RFC 6749（The OAuth 2.0 Authorization Framework）には、アクセストークン発行フローが幾つか定義されています（参考：OAuth 2.0 全フローの図解と動画）。 それらのうち、認可コードフロー（RFC 6749, 4.1. Authorization Code Grant）とインプリシットフロー（RFC 6749, 4.2. Implicit Grant）では、クライアントアプリケーションが Web ブラウザを介して認可サーバーの認可エンドポイント（RFC
サーバーは、受け取ったクライアント証明書の主体識別情報が事前登録されているものと一致することを確認し、もってクライアント認証とします。 このクライアント認証方式には tls_client_auth という名前が与えられています（MTLS, 2.1.1. PKI Method Metadata Value）。 なお、クライアント証明書には OAuth 2.0 の文脈におけるクライアント ID は入っていないので、クライアント証明書だけではクライアントを特定することはできません。そのため、クライアント証明書を用いるクライアント認証をおこなう際は、別途クライアント ID をリクエストに含める必要があります。通常は client_id リクエストパラメーターが使用されます。 1.8. self_signed_tls_client_auth クライアント証明書を用いるクライアント認証において、PKI
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
RFC 6749 (The OAuth 2.0 Authorization Framework) で定義されている 4 つの認可フロー、および、リフレッシュトークンを用いてアクセストークンの再発行を受けるフローの図解及び動画です。動画は YouTube へのリンクとなっています。 English version: Diagrams And Movies Of All The OAuth 2.0 Flows 追記 (2019-07-02) 認可決定エンドポイントからクライアントに認可コードやアクセストークンを渡す方法については、別記事『OAuth 2.0 の認可レスポンスとリダイレクトに関する説明』で解説していますので、ご参照ください。 追記（2020-03-20） この記事の内容を含む、筆者本人による『OAuth & OIDC 入門編』解説動画を公開しました！ 1. 認可コードフロー RF
※この記事は別アカウント(hyiromori)から引っ越しました はじめに 最近、個人的に認証認可周りを学習していて、その過程でOAuth2.0について学習している内容をまとめた記事です。 世の中には既にOAuth2.0に関する優れた書籍やブログ記事が沢山ありますが、自分が学習する過程で色々なものを読むことでより理解が深まったと思うので、自分も学習したものをアウトプットすることで同じように学習している人の理解の助けになればと思い書きました。 まだ私も学習中なので、もし間違ったところなどあればコメント頂けるとありがたいです。 注意点 この記事内ではOAuth2.0で定義されているフロー の1つ、認可コードによる付与（Authorization Code Grant）についてまとめています。 たくさんの仕様をいきなり網羅的にまとめるのは難しいので、1つに絞って今回はまとめています。 OAuth
SAML（サムル：Security Assertion Markup Language）とは、異なるドメインとドメインの間でもユーザー認証が可能になるマークアップ言語です。 本記事では、シングルサインオンを実現するための技術の1つであるSAMLと、OAuthとの違いについて解説します。 目次 SAML（サムル：Security Assertion Markup Language）とは、異なるドメインとドメインの間でもユーザー認証が可能になるXMLをベースとした標準規格です。 近年、効率化とセキュリティ強化のために注目されているシングルサインオン（SSO：Single Sign On）を実現するための技術の1つで、ユーザーを認証する際に属性情報（例えば所属の部門など）も付与できるという特徴があります。したがって、シングルサインオンだけでなくアクセス制限も可能にします。 SAMLの仕組み SA
Note 本記事は、2018 年公開の以下の Blog の内容が、現在の機能/技術にマッチしない内容になってきたことを踏まえ、2023 年現在の機能/技術を元に改めて考え方をおまとめしたものとなります。以前に公開した Azure AD が発行するトークンの有効期間について (2018 年公開) の記事は参考のためそのまま残し、新しく本記事を執筆しました。 こんにちは、Azure & Identity サポートの金森です。 Azure AD (AAD) は、Microsoft 365 をはじめ様々なクラウド サービスの認証基盤 (Identity Provider / IdP) として利用されています。その重要な機能としてユーザーの認証が完了したら、アプリケーションに対してトークンを発行するというものがあります。あるサービス (Teams や Exchange Online、他に Azure
自己紹介 現在はエンジニアとして株式会社メタップスでSaaS一元管理ツールであるメタップスクラウドの開発やSAMLを使ったSSOを簡単に導入できるようなライブラリ(sp-rails-saml)の開発を行っています。 その中でSAMLに関して勉強を行ったので、現状理解している範囲でSAMLの仕組みや、SAMLを使って認証を行う際のフローを関してまとめてみました。 特にSAMLによってやりとりされるSAML ResponseやSAML Requestの中身に関して結構複雑だと思ったので、そこに重点を置いて書いてみました。 SAMLとは SAMLは「Security Assertion Markup Language」のことで、セキュリティ情報の伝達を目的としてOASISが定義したXMLベースの認証情報の仕様のことです。 電子署名を行うことで異なるインターネットドメイン間でも信頼できる情報のやり
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く