なぜSAMLの脆弱性は今でも報告されるのか。そしてOIDCやVCは大丈夫なのか
こんにちは、富士榮です。 故Craig Burtonが”SAML is Dead”という名言を放ってから永らく経つわけですが、まだまだ現役のSAMLには今でもたまに脆弱性のレポートが出てきます。 * SAML is Dead 決してSAMLが悪いとか使えない、という意味ではない。これからのアイデンティティシステムはRESTfulなもの（OpenID ConnectやOAuthなど）を使う方が良い、と言う意味。参考https://www.kuppingercole.com/blog/burton/saml-is-dead-long-live-samlhttps://www.kuppingercole.com/blog/kearns/the-death-and-life-of-a-protocol 昨日もSilver SAML Attackに関するレポートが出ていました。 （図は記事より） h
SAML入門 - @kyanny's blog
自社製品が SAML 認証をサポートしている関係でたまに問い合わせ対応するのだが、SAML の基礎知識も実用経験もないまま雰囲気で触っている状態だったので、理解を深めるために買った。 ちなみに仕事で触れ始めるまでは「SAML？Memcached の認証方式の一つで、なんか設定がめっちゃ難しいやつだっけ？一度も使ったことない」という前提知識しかなかった、とこれを書いてる最中に「ん？SAML だっけ？」と調べたら SASL の間違いだった。十何年もこんな勘違いを放置してたくらい SAML を知らなかった。 概要をつかむのが目的だったので、仕様の細かい解説、SAML Request/Response の詳細などはざっと流した。それでもいくつか有益な内容があり、読んで良かった。 SP-initiated と IP-initiated という二種類の認証フローがある。 SP-initiated はシ
IdPとしてSAML認証機能を自前実装した - BASEプロダクトチームブログ
はじめに みなさんはじめまして。BASEでエンジニアをしております田村 ( taiyou )です。 先日、BASEではショップオーナー向けのコミュニティサイト「BASE Street」にログインするための機能としてSSOログイン機能をリリースしました。 SSOログインを実現するための認証方式はいくつかあるのですが、弊社ではSAML認証方式を用いて実現しました。 そのため、この記事ではSAML認証機構のIdPとしてOSSを使わずにSAML認証機能を実装する方法を紹介します。 前回のテックブログで、このSSOログイン機能のフロント側を開発したPJメンバーの若菜が「サーバーサイドエンジニアがフロントエンドに挑戦して最高の経験になった話」を執筆したのでこちらも見てみてください！ SAML認証機能を提供しているOSSには、Keycloakなどがありますが、BASEでは以下の理由により自前実装すること
IdPとシングルサインオンを実装するときに考えるステップ
これは何？ IdPでSCIM等プロビジョニングとセットで考える時のお助けマニュアルです。 まずは、実装時と、実装後の運用プランはワケて考える必要があります。 用語の整理 SP : サービスプロバイダー、SaaS側の事 IdP : IDプロバイダー、OktaやOnelogin,AzureAD等 SSOを実装する前の確認すること SSO連携した時のSP側のふるまいを確認する。 必ずSSO経由じゃないと駄目なのか。 特定アカウントをバイパスする事ができるのか？ 管理者アカウントのログインのふるまいが変わるのか？ 一般ユーザのID、パスワードによるログインを拒否できる 必ずSSO経由の場合 一番厄介なのは、「必ずSSO経由」が強制化される時。後述するけど 共有アカウント の扱いを決めるのに難易度が高くなる。 管理者もIdP側で障害発生した場合にアクセスできなくなってしまうので、できる限り避けたい。
SAML入門 - かなめりぜ - BOOTH
【累計3500部突破（商業版含む）🎉】 SAMLaiの道は果てしなく険しい。 Zennで好評を博した本が電子書籍で手にとっていただけるようになりました🎉 本書では、SAML2.0で一般的に多く使用されるフローであるWeb Browser SSOのSP-initiatedとIdP-initiatedと呼ばれるものを中心に、SP側の目線でなるべく簡潔に解説します。 SAML認証に対応してほしいと言われても、もう頭を抱える必要はありません。 筆者自身も何もわからない状態からもがき苦しみながらSAML SPを実装し、数年間サービスを運用してきました。 そのつらい経験を踏まえて、SPを実装する上で今まで触れられることのなかった ・どういう設計が必要か？ ・何を気をつけなければならないか？ のエッセンスを詰め込みました。 SAMLはエンタープライズ用途では求められることが非常に多く、歴史もそれなり
なぜWebサービスの選定においてSAML/SSOが重要なのか
この記事は corp-engr 情シスSlack（コーポレートエンジニア x 情シス）Advent Calendar 2020 #3 の最終日（25日目）です。 今年情シスSlackは3本のアドベントカレンダーが実施されておりますので、是非3本とも覗いていってください！ 【初心者優先枠】corp-engr 情シスSlack（コーポレートエンジニア x 情シス） Advent Calendar 2020 #2corp-engr 情シスSlack（コーポレートエンジニア x 情シス）Advent Calendar 2020 #3また、情シスSlackはこちらの参加リンクから参加可能です 目次TL;DRクラウドネイティブな時代のビジネスではWebサービス活用は必須Webサービスをセキュアに利用していくには管理やセキュリティ面での工数・コストが増えるこの工数・コストを下げることこそがWebサービス
完全無料のIDaaS！？Google Cloud Identity Freeを試してみる
Google Cloud Identity Services昨日開催された「リーグオブ情シス #7」でも紹介されていた、Google Cloud Identity Freeを試してみます。 Google Cloud Identity Freeとはデバイス管理やディレクトリ管理、SAMLを利用したSSOなどGoogle Cloud Identityのほとんどの機能を無料で利用できるライセンス体系です。 閲覧だけに限って言えば、Google Driveの共有ドライブも利用することが可能です。 作成できるユーザー数は「50」までに制限され、プロビジョニングなどはできませんが、ユーザーの組織管理という観点においてはほとんどのことを十分にこなすことが可能です。 Google Workspaceを利用している場合は、同じ組織内にユーザーを共存させることも可能なので、小さな組織でパート・アルバイトの方な
SAML Security - OWASP Cheat Sheet Series
SAML Security Cheat Sheet¶ Introduction¶ The Security Assertion Markup Language (SAML) is an open standard for exchanging authorization and authentication information. The Web Browser SAML/SSO Profile with Redirect/POST bindings is one of the most common SSO implementation. This cheatsheet will focus primarily on that profile. Validate Message Confidentiality and Integrity¶ TLS 1.2 is the most com
Shibbolethの開発環境を整えてShibbolethをアナタ色に染めてみよう！！ | SIOS Tech. Lab
◆ Live配信スケジュール ◆ サイオステクノロジーでは、Microsoft MVPの武井による「わかりみの深いシリーズ」など、定期的なLive配信を行っています。 ⇒ 詳細スケジュールはこちらから ⇒ 見逃してしまった方はYoutubeチャンネルをご覧ください 【5/21開催】Azure OpenAI ServiceによるRAG実装ガイドを公開しました 生成AIを活用したユースケースで最も一番熱いと言われているRAGの実装ガイドを公開しました。そのガイドの紹介をおこなうイベントです!! https://tech-lab.connpass.com/event/315703/ Shibbolethとは？Shibbolethとは、大学などでよく使われる学術系オープンソースシングルサインオンシステムです。SAMLをベースとしており、認証のデータソースにはOpenLDAPやRDBなどを使うことが
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Whimsical - The iterative workspace for product teams