Slack Enterprise Gridに対して複数の会社がそれぞれのIdPをつかって認証するための方法

1. Slack Enterprise Grid
with multiple IdP
Slack Enterprise Grid
with multiple IdP
ISOBE Kazuhiko
CloudNative Inc.
第14回セキュリティ共有勉強会
2018-05-10

2. 自己紹介
ISOBE Kazuhiko
CloudNative Inc. 所属
Twitter: muramasa64
最近は認証関連を中心にやってます

3. 今日のお題
Slack Enterprise Gridに対する認証
みんな大好きSlackのEnterprise版
企業内の色々な組織ごとにワークスペースが使える
ワークスペース間でチャンネルを好きなだけ共有でき
る
長いので、この資料ではGridと省略します。

4. Gridの導入要件
SAMLを使ったシングルサインオンが必須

5. SAMLとは何か？
知っている人✋

6. SAMLとは（ざっくりな説明）
シングルサインオンを実現するためのプロトコル
認証はIdPで行う
IdP: Identity Provider
SPは認証結果だけ受け取る
SP: Service Provider
認証は一回だけで複数のSPにサインインできる

7. SAMLのシーケンス図

8. SAML使ってますか？
使っている人✋

9. SAML便利ですよね
ということでGridはSAML必須です

10. Gridを導入したい！
グループ会社がいくつかある企業の例
それぞれSlackを利用中
Gridを使うと会社間連携ができて嬉しい

11. しかし、ここで立ちふさがる問題
Gridの認証に使えるIdPは1つだけ

12. Gridの認証に使えるIdPは1つだけ
一般的には、会社ごとにIdPを持っている
子会社やグループ会社は別組織
複数会社間ではGridは使えない？
この制限で諦めてしまった会社は実在するらしい

13. 何かが仲介すればいいのでは？
Proxy? Delegate? Broker?

14. ということで
Keycloakを使って実現してみました

15. Keycloakとは
"Identity and Access Management solution"
Red Hatが中心となって開発している
Apache License 2.0
https://www.keycloak.org

16. Keycloakでできること
Single-Sign On
SAML, OpenID Connect, OAuth2.0, Kerberosに対
応
User Federation
LDAPやActive Directory、RDBMSと連携する
Identity Brokering
外部のIdPとの連携
いわゆるSocial Loginに対応

17. Identity Brokering
ID仲介
GoogleとかTwitter, FacebookのIDを使ってア
プリにサインインできるようにするやつ
SAMLも対応している
この機能を使うことで、Gridに対して複数のIdP
による認証を仲介する

18. 連携設定1 GridとKeycloak
Gridに対してKeycloakからSAMLでサインインでき
るように連携する
KeycloakにClientとしてGridを登録する
この時点で、Keycloakに作成したローカルアカウントで
Gridにサインインできるようになる

19. 連携設定2 Keycloakと外部IdP
Identity Providerとして各会社のIdPを登録する
Keycloakは、複数のIdPに対応している
ID/Passwordを入力するのではなく、IdPに対応した
ボタンを押す
認証は各IdPで行いSAMLでサインインする

20. 連携設定3 IdP Link
Keycloakのユーザーと外部IdPで認証したユーザ
ーのリンクを設定する
Emailアドレス、ユーザーIDなど、ユニークなこ
とが保証できる値を使う

21. DEMO
時間があればデモします

22. 結論
Gridに複数IdPを使ってサインインできた
これはGridに限らず他のサービスでも応用可能
OSSなIdPとしてKeycloakは使いやすい
今日紹介したのは機能のほんの一部
Keycloak便利
SSOしたい人は使ってみよう