マイクロソフトが提供するSaaSであるBPOSが次期リリースよりOffice365という名称になるのはある程度周知の事実かと思います。
提供されるサービス自体ももちろん色々とエンハンスされていますが、ここではアイデンティティ管理に関する機能に着目してみます。（ネタ元は殆どTechEd Europeです）
■Office365におけるアイデンティティ管理
まず、Office365のエディションとそのアイデンティティ管理に関する特徴を見てみます。
参考サイト：http://office365.microsoft.com/en-US/office365-beta.aspx
Office365のエディションとして提供されるのは大きく分けると
・Office365 for small business
・Office365 for enterprises
・Office365 for education
の3種類です。
また、アイデンティティ管理については以下の3つのパターンが存在します。
1.MS OnlineIDのみ
2.MS OnlineID + DirSync
3.Federated ID + DirSync
これらのうち、1番目と2番目については以前のBPOSと変わらないので新しいオプションである3番目のフェデレーション＋ディレクトリ同期について見ていきますが、この機能（フェデレーション）はfor enterpriseとfor educationについてのみサポートされます。
■フェデレーションの構成
基本的には、AD FS2.0とOffice365側にあるFederation Provider（Microsoft Federation Gateway / MFG）を使ってOffice365上のアイデンティティ情報とオンプレミス（Active Directory）のアイデンティティのひも付けを行う（フェデレーション）という考え方です。
この際Office365側のアイデンティティストアとオンプレミスのアイデンティティストア（Active Directory）の情報の同期を行うのがDirSyncというツール、というわけです。
また、フェデレーションについてはブラウザを使う場合はPassiveプロファイルが使えますが、Outlook等のリッチクライアントを使う場合はActiveプロファイルでのアクセス（自らがIdPのエンドポイントをあらかじめ知っている必要がある）を行うため、初回のみService Connectorというツールのインストールが必要になります。
関連するコンポーネントをまとめると以下のようになります。
ちなみにMFGは現段階ではSAML2.0をサポートしていないので、オンプレミスのフェデレーションサーバにAD FS2.0以外を持ってくる場合は注意が必要です。（AD FS2.0以外を使う構成がサポートされるかどうかはわかりませんが）
ちなみにBPOSにおいては各クライアントにサインインツールをインストールして擬似的なシングルサインオンを実現していましたが、Office365においては非推奨となっています。（継続的に使えるのかどうかは不明です）
■フェデレーションの構成
基本的には、AD FS2.0とOffice365側にあるFederation Provider（Microsoft Federation Gateway / MFG）を使ってOffice365上のアイデンティティ情報とオンプレミス（Active Directory）のアイデンティティのひも付けを行う（フェデレーション）という考え方です。
この際Office365側のアイデンティティストアとオンプレミスのアイデンティティストア（Active Directory）の情報の同期を行うのがDirSyncというツール、というわけです。
また、フェデレーションについてはブラウザを使う場合はPassiveプロファイルが使えますが、Outlook等のリッチクライアントを使う場合はActiveプロファイルでのアクセス（自らがIdPのエンドポイントをあらかじめ知っている必要がある）を行うため、初回のみService Connectorというツールのインストールが必要になります。
関連するコンポーネントをまとめると以下のようになります。
| コンポーネント | 役割 |
| AD FS2.0 / MFG | フェデレーションを行う |
| DirSync | オンプレミスのアイデンティティストアとオンライン（Office365）のアイデンティティストアの情報を同期する |
| Service Connector | リッチクライアント（Outlook等）へのActive SSO設定を行う |
ちなみにMFGは現段階ではSAML2.0をサポートしていないので、オンプレミスのフェデレーションサーバにAD FS2.0以外を持ってくる場合は注意が必要です。（AD FS2.0以外を使う構成がサポートされるかどうかはわかりませんが）
ちなみにBPOSにおいては各クライアントにサインインツールをインストールして擬似的なシングルサインオンを実現していましたが、Office365においては非推奨となっています。（継続的に使えるのかどうかは不明です）
■ディレクトリ同期ツール（DirSync）
仕組み自体はBPOSのころと変わりませんが、このツールのバージョンもVersion 2に上がっており、例えば大きいところではセキュリティグループの同期などもサポートしています。
ちなみにこのツールはILM2007をベースとして構成されているツールなのですが、今後はこのような独立したツールとしてではなく、FIM2010用の管理エージェントとしても提供される見込みです。そうなるとある程度カスタマイズの余地も出てきますし64bit環境メリットもフルに活用することが可能になると思われます。
いずれにしてもbeta版の一般公開はしばらく先の様なので、実際の動きについては継続的に情報を収集していく必要がありそうです。
とりあえずbeta利用の応募は先のサイトからも可能なので、応募はしてみました。待ち行列に入っているようですが・・・
仕組み自体はBPOSのころと変わりませんが、このツールのバージョンもVersion 2に上がっており、例えば大きいところではセキュリティグループの同期などもサポートしています。
ちなみにこのツールはILM2007をベースとして構成されているツールなのですが、今後はこのような独立したツールとしてではなく、FIM2010用の管理エージェントとしても提供される見込みです。そうなるとある程度カスタマイズの余地も出てきますし64bit環境メリットもフルに活用することが可能になると思われます。
いずれにしてもbeta版の一般公開はしばらく先の様なので、実際の動きについては継続的に情報を収集していく必要がありそうです。
とりあえずbeta利用の応募は先のサイトからも可能なので、応募はしてみました。待ち行列に入っているようですが・・・
■参考セッション（TechEd Europe）
・COS301 - Microsoft Office 365 Directory Synchronization
・COS302 - Office 365: Identity and Access Solutions
0 件のコメント:
コメントを投稿