今週ワシントンDCで開催されているIdentiverse 2019にきています。私はまだIdentiverseがCloud Identity Summitと呼ばれていた2016年から合わせて通算で3回目の参加となります。（昨年度はスピーカーとしての参加でしたが、今回は純粋にオーディエンスとしての参加なので、大いに楽しみたいと思います）
尚、今年は10周年ということで会場のあちらこちらに10周年を祝うモニュメントがあったり、毎年恒例のTシャツも10周年記念モデル？となっていたりしてお祭りムード全開です。（残念ながら例年おもしろTシャツのデザインをしていたPing Identityの方が退職されたとのことで、今年は1種類だけでした）
10周年記念オブジェ
10周年記念Tシャツ
しかし、何と言っても今回の目玉は最終日に予定されているスペシャルゲスト、Steve Wozniakのスペシャル・キーノートです。
こちらは最終日に改めてレポートします（体力が持てば・・・）
と、言うことで初日の参加メモ（と言うか旅行日記）です。
◆Identiverseとは
まず、Identiverse（旧Cloud Identity Summit）をご存知ない方のために簡単にイベント自体の説明をしておきます。詳細はこちらに書かれている通りですが、ざっくり言うと「デジタルアイデンティティやセキュリティ分野のリーダーやユーザーが集まって来るべきデジタル世界のVisionやテクノロジーについて語らう場」で、元々はPing Identityが主催するCloud Identity Summitとしてスタートして今年で10年、200以上のセッションがあり、2000名以上の方が参加するEuropean Identity & Cloud Conferenceに並ぶグローバルで最大規模のアイデンティティ・イベントです。
日本人も10名程度ではありますが、毎年参加されています。（ここでしかお会いしない方々もいたりして・・・）
また、グローバルなアイデンティティ界隈のリーダーの方々にも直接あって近況の交換をすることのできるIDマニアにとって非常に重要なイベントでもあります。
今年も初日のレジストレーションに並んでいる時にSalesforceのVPのIan Glazerに声をかけてもらったり、廊下でUnikenのNishantと話をしたり、MicrosoftからAuth0に移籍して早1年、我らがVittorio Bertocciと写真を撮ったり、と日本ではなかなかできない体験ができます。
◆Day1で参加したセッション
今回は奇跡的に時差ボケ解消に成功したので、初日から力つきることなく朝から晩まで通してセッション参加しました。
簡単な感想などを添えてそれぞれのセッションを紹介します。
ちなみにアジェンダはこちらから見ることができます。
- Introduction to Identity Part 1 / 2 by Ian Glazer, Pamela Dingle, Steve Hutchinson
- 言わずと知れた大御所によるデジタルアイデンティティとはなんぞや、と言う解説セッション。
- 標準技術から利用シーンまで網羅的かつわかりやすく解説してくれたので初学者に取っては非常に貴重な機会だったと思います。
- それなりに広めの部屋でしたが立ち見が出るほどの大盛況でした。
- かい摘んで解説すると、こんな感じでした。
- B2Eの世界における従業員IDの管理のようなトラディショナルなID管理から、B2Cの世界における顧客IDの管理のようなモダンなID管理への潮流があり、これからは「個人にフォーカスしたID管理」が主流になってくる
- B2E、B2B、B2Cのそれぞれの世界におけるID管理を「Admin-Time（管理時の目線）」と「Run-Time（実行時の目線）」で深掘り、関連するID管理の実施事項を解説してくと言うスタイル
- 管理と言う目線では以下のキーワードについて概要及び技術標準（SCIMなど）を解説（Ian Glazerが担当）
- Source of Truth（アイデンティティ情報の源泉）からディレクトリやアプリケーションなどの各種レポジトリへのプロビジョニングの流れ
- その前段にあるIdentity ProofingについてB2E、B2B、B2Cでの違い
- 権限管理、ロール管理、アイデンティティ・アナリティクス、特権ID管理
- 利用時の目線では同じく概要から標準を解説（Pamela Dingleが担当）
- 認証・認証要素（Active Factor/Passive Factor）とAdaptive Authenticationについて
- シングルサインオンとは
- APIセキュリティと委任（WS-Trust vs OAuth2.0）
- UXについて（Discovery時のNASCAR問題、同意取得、プロファイル管理、登録やリカバリのセルフサービス化など）
- 最後にSteve HutchinsonがAdmin-TimeとRun-Timeを合わせて全体像を語る、と言う締め
- Modern Identity for Developers 101 by Vittorio Bertocci
- 言わずと知れたVittorioのセッション
- 旧来のIdentityシステムからモダンなアーキテクチャへの移り変わってきた理由をわかりやすく解説
- 旧来はネットワーク境界の中にシステムがあり、各システムがアイデンティティ関連の機能（ユーザーストア、認証機能など）を持っていた
- その後、複数のシステムを横断的に使いたい、と言う要望に答えてディレクトリシステムやKerberosなどネットワークレイヤに近い層でシングルサインオンを実現
- しかしクラウドやB2Bなどネットワークの境界を超える必要が出てきたので、Federationテクノロジーが必要になってきた（モダン・アイデンティティの世界）
- Developer向けのセッションなので、モダン・アイデンティティの世界を支える各種要素（Identity ProviderやRelying Party、id_token、access_tokenとセッション管理など）の基本的な考え方を実際のデモ（Auth0とASP.NET Coreアプリ）をFiddlerでトレースしながら解説
- Google master class: Enabling BeyondCorp in your organization today by Google
- ベンダーセッションなので製品・サービスに特化した解説
- Vittorioのセッションでもあった通り、もはやネットワーク境界がセキュリティの境界となり得ない世界（Identity is the new perimeter）となってきているので、VPNやFirewallではなくアイデンティティ・アクセス管理とデバイス管理を統合的に行うことでセキュアな世界を作りましょう、と言うのがBeyondCorpの基本的な考え方
- Identity、Context、Rules Engine、Enforcement pointを経てアプリケーションやデータへ到達できる、と言う流れ（以下、概要）
- Identity : 利用者のアイデンティティ。Cloud Identityが該当
- Context : 利用者がどのような状態なのか（デバイス状態やネットワーク）。Device Trustの設定など
- Rules Engine : IdentityとContextに応じて必要な認証や認可ポリシーを判断するためのエンジン。Access Control Managerで設定
- Enforcement point : 判断結果の応じたポリシーを実行する。Cloud IAP、Cloud IAM、VPC Service Controlなどで対象システムやAPIに応じて制御を行う
- 最後にデモとして特定のバージョン以上のMacOSからでないとGmailが開けなくなる、と言うようなシナリオを紹介
- US Army: The secrets of a Successful ABAC Deployment by Accenture Federal Service, NextLabs
- 事例セッション
- US ArmyのSAPシステムの権限管理をNextLabsのソリューションを使ってABACで最適化したよ、と言う話
- ABACの基本的な考え方はNIST SP800-162の通り。XACMLベースです。
- やりたいことはRealtime SoD、Realtime continues authentication/Risk-aware authorization
- ベストプラクティスは以下の通り
- 属性のクオリティは大事
- ポリシーは100個以下におさめて再利用可能な設計をすること
- RBACとABACは共存できる
- US ArmyではNextLabsのソリューションを使い、SAPの標準の権限管理のさらに上位のレイヤーで権限管理を行った
- 最終的にはこんな感じ
- 権限管理に使った属性は5つ未満
- ポリシーは10〜20個の間
- 属性はGRCで管理
- Decentralized Identity: Intersection of Identity and Distributed Ledger by Microsoft
- マイクロソフトによるDIDのオーバービュー
- 今日のアイデンティティに関する3つの課題
- Too many passwords
- Data ownership, privacy
- Data oversharing
- DLTはこれらの課題を解決できるのか？と言う問いに答えるのが、Identityと分散台帳をとり持つDecentralized Identity
- DID AuthやVerifiable Credentialsを使うことである程度上記の課題が解決できそう。MSも最近IONを出したよ
- しかし残課題として、UXやRP側から見たExperienceの改善や、アカウントリカバリーや鍵のローテーションの問題があるので、頑張って対応していく
- そして、DIDはPIIなのか？という話も今後議論されていく問題。。。
- Delivering a Trusted Digital Identity System by Mastercard
- この辺りになると疲労度マックスなのであまり頭に入ってこなかったです。。。
- 金融機関と言うよりテック企業になってきていて、デジタル空間での信頼を従来の社会と同様に作っていく、と言う話。
- マスターカードのロゴのオレンジの丸は信頼を表している？と言うような話をしていた気がします
- Throwing away the Clipboard : Digital Identity & Blockchain for Healthcare by Aetna, TrustedKey
- 医療に関連する情報のポータビリティをTrustedKeyを使って実現しよう、と言う話（ただし、電子カルテの代わりになったり、ブロックチェーン上に医療履歴を載せようと言う話ではない）
- 解決したい課題はユーザの利便性。
- 保険証や本人確認書類を何度も提示しないといけない状態を解消したい。実際の医療行為を受けている時間より手続きを待っている時間の方が長いのは勘弁してほしい。
- 医者に行く前のオンライン予約
- 病院の受付
- 薬局の受付
- 医療履歴を管理するWebサイトへの登録
- 医療機関、薬局などがIdentity Issuerとなり、TrustedKeyの提供するウォレットに情報をストア（ブロックチェーンベース）
- 各種機関やオンラインサービスへQRコードを使って情報を提示することでUXを改善できる
- Fastfed - A new standard to make SSO easy by AWS
- OpenID FoundationのFastFed WGの発表
- 現状、SSOを有効化しようとすると、IdP側に設定をした値をコピーしてRP側に設定、RP側の設定結果をIdP側にまたコピーして、、と言う流れになり非常に煩雑
- FastFed WGでは設定や属性マッピングの自動化を行うための標準を検討している
- AWSへのSSOをGoogle IdPで実施するデモを披露
- AWSコンソールからGoogleアカウントを入れるだけで自動ディスカバリ〜自動設定が行われる
- 個人的に非常に期待しているWGだったりするので、本格的に実装されてくるのが楽しみです
- Self Sovereign OpenID Connect - a ToDo List by Nat Sakimura
- 米国OpenID Foundationの理事長である崎村さんのセッション。
- Self Sovereignってみんな騒いでるけど、ブロックチェーン＝Self Sovereignじゃないよ、OpenID Connectでもいいよ、と言う話
- モデルとしては、こんな感じ
- SIOPを中心とした世界観
- CP（Claims Provider）とIdP（SIOP）を明確に分離して、間をAggregated ClaimとかDistributed Claimで繋ぐ
- ただ、まだまだやることもあって、以下がToDo List
- SIOPを簡単にCPへレジストレーションできる仕組み（Dynamic Client Registration）
- SIOPが発行するSelf IssuedなIdentifier（公開鍵のハッシュ）とCPの属性のバインディングの方法
- 過去に遡った署名の管理（ブロックチェーンの出番かも）
- 鍵のリカバリの仕組み
- SIOPがオフラインでもRPが属性を取得できる仕組み
- 基本的な考え方はDistributed Claimの利用。RPが直接CPへ問い合わせできる
- SIOPのアドレスの解決
- ブラウザ設定とリクエストヘッダーで解決できるような仕組みが良いのではないか？
とりあえず初日はこんなところです。
ちなみにワシントンDCの街中は結構坂もあるので、電動スクーターや電動自転車のシェアリングサービスがそこら中にあります。以前はカーシェアだけしかやっていなかったLyftがスクーターに手を出したりしていてまさにMaaS元年って感じなのかも知れません。（写真はBird）
投稿
