F5ネットワークスジャパンは9月13日、同社の「Access Policy Manager」（APM）の活用したシングルサインや認証に関する説明会を開催した。
APMは、同社の中核プラットフォーム「BIG-IP」上で稼働するモジュール。ユーザーがアプリケーションやデータにアクセスする際のトラフィックを、コンテキストを踏まえてポリシーベースで制御できるアクセスゲートウェイになる。認証プロキシとして動作し、ユーザー認証はもちろん、ユーザー単位で接続情報を保持することにより、アプリケーションごとの煩雑なパスワード管理からユーザーを解放するシングルサインオン（SSO）環境としても運用できる。
BIG-IP AMPの概要
F5ネットワークスジャパン ソリューション・マーケティング・マネージャーの臼澤嘉之氏
概要を説明したソリューション・マーケティング・マネージャーの臼澤嘉之氏は、クラウドアプリケーションの利用が拡大している現状を踏まえ、パスワードポリシーの異なる複数のアプリケーションを使い分けることがユーザーに負担を強いていると指摘する。
ユーザーが記憶できるID／パスワードの組み合わせは「1～5個程度まで」という調査結果も紹介。セキュリティの強化を目的に、複雑なパスワードを強いるポリシーを設定するアプリケーションも増えているが、ユーザーはパスワードを憶え切れなくなることから、メモ用紙に書き込んで目立つ場所に置いておくなどの対処に走ってしまうことで、逆にセキュリティの低下につながっている例もあるとした。
APMの詳細についてプロフェッショナルサービスコンサルタント セキュリティスペシャリストの鈴木賢剛氏は、認証プロキシミドルウェアであるBIG-IP APMを「認証・認可のファイアウォール」として新たに位置付けることで、安全かつ柔軟な運用が可能なSSO環境を実現し、パスワード管理の煩雑さからユーザーを解放できると説明した。
単純なファイアウォールでは、ポートの開け閉めといった制御によってトラフィックの通過の可否をコントロールするが、APMを経由することで、ユーザーの認証情報を踏まえ、認可されたトラフィックのみを通過させるファイアウォール的な動作によってアプリケーションへのアクセスをコントロールすることができる。同時に、BIG-IPが元々は大規模なトラフィックに対応するロードバランサであることから、多数のユーザーからのアクセスが集中するような場合にも問題なくトラフィックをさばくことができ、さらに監査証跡となる詳細なアクセスログを保存できるなど、さまざまなメリットが期待できるとした。
ユーザー側の環境は、PCに加えて各種のモバイルデバイスなども使われるようになっている。ウェブアプリケーション側もさまざまなパスワードポリシーやアクセスプロトコルに対応し、組み合わせの複雑さが増している。APMはこの両者を仲立ちし、アプリケーションに接続するためのIDやパスワードその他の認証要素をユーザーごとに保持して代理入力することでSSO環境を実現する。
APMの活用例
自社開発のアプリケーションの場合は、APMの段階でユーザー認証が確実に行われていることを前提とすれば、多要素認証などの複雑な認証システムをアプリケーション側で実装する負担を避けられ、開発コストの削減が実現できるなど、さまざまなメリットが派生することも期待できるという。
クラウド活用が拡大することにより、ユーザーの利便性とセキュリティのバランスについても、従来とは異なる状況が生じつつある。F5はAPMをSSOのためのインフラとして位置づけることで、セキュリティを低下させることなくユーザーの利便性を大幅に向上させることも可能としている。
