OpenAM製品紹介

OpenAM製品紹介

OpenAM詳細機能

シングルサインオン（SSO）機能

OepnAMで認証されたユーザは、OpenAMで管理したリソースに再度認証（パスワードを再入力する）必要なくアクセスできます。
SSOの方式としてエージェント方式、リバースプロキシ方式をサポートしています。
代理認証によるSSO

独自の認証機構を持つパッケージ製品に対して、アプリケーションの改修を加えることなく、代理認証と呼ばれる仕組みを用いて擬似的にシングル・サインオンを実現することができます。代理認証の仕組みでは、OpenAMがエンドユーザに成り代わり、Form認証及びBasic認証を備えたアプリケーションへの擬似シングル・サインオンを実現します。

Windows Desktop SSO

Kerberos認証の仕組みを使い、WindowsのADドメイン認証とOpenAMの認証の仕組みを連携させる方法です。Windowsドメイン認証により認証を受けたユーザは、その端末上でウェブブラウザを起動すると、再度パスワードを入力することなくウェブアプリケーションに即座にアクセスすることができるようになります。

複数の認証ディレクトリに対応

OpenAMは標準でディレクトリサーバーOpenDSを組み込んでおり、設定情報を格納するだけでなく、ユーザ情報（認証情報）を保持することが可能です。加えてOpenAMの認証バックエンドとしてWindows Active DirecotioryやOpenLDAPなどの一般的なディレクトリサーバーを利用でき、ID（パスワード）情報を一元管理することが可能です。

多要素認証

IDとパスワードだけでなく、社員証（フェリカなどのICカード）や生体認証（指紋認証や静脈認証）、OTP（ワンタイムパスワード）などの認証も併せて行うことでセキュリティレベルを上げることができます。

クロスドメイン・シングル・サインオン

複数のDNSドメインをまたがるシングル・サインオンであるクロスドメイン・シングル・サインオンに対応しています。

アクセス制御機能

ユーザが利用できるアプリケーションをレルムというグルーピング機能を使って制御することができます。
管理者は1つの集中管理コンソールから、エージェントとサーバの構成およびエージェントが適用するポリシーを設定することができます。
開発者は様々な統合開発環境やアイデンティティ・サービスを介し、OpenAMのサービスへ直接アクセス可能できます。
ポリシーを定義して企業/組織全体に適用できる業界規格のフレームワークであるXACMLベースのポリシー管理を適用できます。
アクセス制御対象はURLで指定することができるため、ドメインやサーバレベルだけでなくフォルダやファイル単位で細かく制御できます。さらに、認証方式、認証時間、クライアントアドレス等の認証コンテキストによっても制御可能です。
自動ログオフ機能
一定時間ユーザからのアクセスがなかった場合に自動的に接続を切断することが可能です。
アクセスログ
OpenAMでは認証ログや代理認証やリバースプロキシ型の認証時などユーザのログイン、ログアウト時刻、アイドルタイムアウト後の自動ログオフ時、アクセス元、アクセス先のログなど様々な事象のログを採取可能です。（ただし、ログアウトのログに関してはログアウト処理をせずにブラウザを終了すると記録されないことがあります）

フェデレーション機能

OpenAMは、フェデレーションを実現するための軽量なパッケージであるFedletを提供します。
軽量なFedletをアイデンティティ・プロバイダーからサービス・プロバイダーへ提供することで、他のフェデレーション製品を追加することなく、容易に企業へのフェデレート・バックが行えます。
サービス・プロバイダーは、Fedletをアプリケーションに追加し、アプリケーションを実装するだけでフェデレーションを有効にすることができます。
FedletはJavaと.NETの両方のアプリケーションで利用可能です。加えてPHPアプリケーションなどとの連携も可能です。
フェデレーションでサポートされる機能には以下が含まれます。
- SAML 1.0／1.1／2.0 （OASIS Security Assertion Markup Language）Google AppsやSalesForceと連携可能です
- Liberty ID-FF 1.1／1.2 （Liberty Alliance Project Identity Federation Framework ）
- WS-Federation （Passive Requestor Profile）
- WS-Trust
- WS-Security
- WS-Policy
- WS-I BSPなどに対応
フェデレーションでは、シングル・サインオンだけでなく、ユーザの属性情報（アイデンティティ）や認証コンテキスト（認証方法や認証日時等）も受け渡すことが可能です。従って、フェデレーション環境下のアプリケーションではアクセスするユーザに応じたコンテンツを配信できます。
マルチ・プロトコル・フェデレーション・ハブ異なるフェデレーション・プロトコルを「翻訳」し、アイデンティティ・プロバイダーとサービス・プロバイダーは複数のプロトコルを利用してSSOの確立が可能です。
集中化されたFederation Validator