[論文レビュー] Towards an Interoperable Identity Management Framework: a Comparative Study

Samia El Haddouti, Mohamed Dâfir Ech-Cherif El Kettani|arXiv (Cornell University)|Feb 28, 2019

Access Control and Trust参考文献 8被引用数 12

ひとこと要約

本論文は、異種システム間の相互運用性課題に対処するため、アイデンティティ管理（IdM）フレームワークの比較分析を提案する。体系的レビューを通じて、SAML、OAuth、OpenID Connect などの既存の標準およびプロトコルを評価し、アーキテクチャ上のギャップを特定。複数のアイデンティティプロバイダー間でのシームレスな属性共有を可能にする統合的かつ拡張可能なIdMフレームワークを提案。これにより、フェデレーション環境におけるユーザーのアクセス制御が向上する。

ABSTRACT

The development of services and the growing demand for resources sharing among users from different organizations with some level of affinity have motivated the creation of Identity Management Systems. Identity Management has gained significant attention in recent years in the form of several projects producing many standards, prototypes and application models both in the academia and the industry. However, the interoperability between different Identity Management Solutions is still a complex challenge yet to achieve. The user can only use one Identity Provider within a single Service Provider session, when in many scenarios the user needs to provide attributes from multiple Identity Providers. This paper presents the state of the art of our researches and it focuses on two main topics: first, to provide a detailed study about the Identity Management and the integrated disciplines and technologies in general; secondly, to summarize the main approaches that have been proposed to overcome the interoperability challenge.

研究の動機と目的

• アイデンティティ管理（IdM）システムの現状と、アクセス制御やシングルサインオンなどの関連技術との統合状況を分析すること。
• 既存のIdMソリューションにおける主な相互運用性課題、特に1回のセッション内で複数のアイデンティティプロバイダーからの属性を集約できないという問題を特定すること。
• SAML、OAuth、OpenID Connect などの代表的なIdM標準およびプロトコル（例：SAML、OAuth、OpenID Connect）を、セキュリティ、スケーラビリティ、拡張性の観点から評価・比較すること。
• 複数のIdPからの属性フェデレーションと、サービスプロバイダー間でのシームレスなユーザー認証を支援する統合的かつ相互運用可能なアイデンティティ管理フレームワークを提案すること。
• クラウドおよび分散コンピューティング環境における進化する要件をサポートする、標準的かつ拡張可能なIdMアーキテクチャの基盤を構築すること。

提案手法

• 学術的および産業的IdMソリューションの体系的レビューを実施し、標準、プロトコル、デプロイメントモデルに焦点を当てる。
• 認証メカニズム、属性交換プロトコル、信頼モデル、複数アイデンティティフェデレーション支援の観点から、既存のIdMフレームワークを基準で分類・比較する。
• SAML、OAuth 2.0、OpenID Connect の技術的構成要素を分析し、トークン形式、承認フロー、セキュリティ制御を検討する。
• 現在のシステムにおけるアーキテクチャ上の制限、たとえば特定のアイデンティティプロバイダーに強く結合されていること、標準化された属性集約機能が欠如していることなどを同定する。
• アイデンティティプロバイダーとサービスプロバイダーを分離し、複数のソースからの動的属性バインディングを可能にする、相互運用可能なIdMフレームワークの参照アーキテクチャを提案する。
• セキュリティ、パフォーマンス、拡張性の観点から各アプローチの長所と短所を評価するための比較評価マトリクスを用いる。

実験結果

リサーチクエスチョン

• RQ1 既存のアイデンティティ管理システム間での相互運用性の主な技術的およびアーキテクチャ的障壁は何か？
• RQ2 SAML、OAuth 2.0、OpenID Connect といった広く採用されている標準は、複数のアイデンティティおよび複数属性フェデレーションのサポートにおいて、どのように異なるか？
• RQ3 組織間のアイデンティティ共有を支援する際、現在のIdMフレームワークにおける主なセキュリティとスケーラビリティのトレードオフは何か？
• RQ4 複数のアイデンティティプロバイダー間でシームレスなユーザー認証と属性交換を実現する統合的アイデンティティ管理フレームワークは、どのように設計できるか？
• RQ5 フェデレーテッドアイデンティティ管理における拡張可能で標準ベースの相互運用性を実現するために、必要なアーキテクチャパターンとプロトコル拡張は何か？

主な発見

• SAML は強固なセキュリティと標準化を提供するが、構成が複雑で、現代のWebおよびモバイルアプリケーションへの対応が限定的である。
• OAuth 2.0 は柔軟な承認フローを提供するが、ネイティブな認証意味論が欠如しているため、完全なアイデンティティ管理を実現するには OpenID Connect との統合が必要である。
• OpenID Connect は OAuth 2.0 を拡張し、標準化されたアイデンティティレイヤーを提供することで、シングルサインオンとユーザー情報交換を可能にするが、依然として複数IdPからの属性集約に課題を抱えている。
• 既存のIdMフレームワークのいずれにも、1回のサービスセッション内で複数のアイデンティティプロバイダーからの属性を動的かつポリシー駆動で集約する機能はネイティブに存在しない。
• 提案されたフレームワークは、アーキテクチャモデリングを通じて実現可能性を示しており、アイデンティティプロバイダーとサービスプロバイダーを分離することで、スケーラブルかつ安全な複数アイデンティティフェデレーションが可能になる。
• 標準化されたトークン形式、拡張可能な属性マッピング、複数プロトコルをサポートするモジュラーよりもプラグイン可能なアーキテクチャが、相互運用性を最も効果的に実現する。