ebibibiのブックマーク - はてなブックマーク

[Azure AD B2C]カスタムドメインのサポートがPublic Preview

いろんなアイデンティティ管理系製品やサービスの実験の記録をしていきます。後は、関連するニュースなどを徒然と。こんにちは、富士榮です。 Azure AD B2Cの各種エンドポイントってxxx.microsoftonline.comなので、Azure ADを使ってるってモロにわかってしまいます。企業内で利用するシナリオだとそれほど問題にならないかも知れませんが、B2Cシナリオでは外部へのプロモーションに使ったりするので問題になることもしばしばあります。また、同様にB2Cシナリオではログイン画面のカスタマイズを行う前提になると思うので、ドメイン名の問題でJavaScriptを仕込めない、などの機能面での不具合も出てきます。そこで、しばらく前からPrivate Previewが行われていたカスタムドメインによるJavaScriptのサポートがようやくPublic Previewとして公開さ

ebibibi 2018/05/08

w
c
aad

リンク

Microsoft Authenticatorアプリが設定のバックアップ・リカバリをサポート、しかし・・・

こんにちは、富士榮です。みなさん、多要素認証してますか？アイデンティティは不正利用されている、という前提で運用しないといけない世の中になってきているので、IDとパスワードが盗難されても不正にログインされない様に多要素認証を有効にするのは大人のマナーです。もしくは、少なくともログイン・アラート（知らないログインがあったら通知してくれる機能）が使える認証システムを使う、くらいはいしないとダメな世の中です。そういえば昨年のde:codeでもこんな話をしてました。結局、ID盗難って本人が気が付きにくいところが一番の問題なんですよね。と、言うことでMicrosoftもAuthenticatorアプリをiOS/Android/Windows Mobile向けに提供しており、私もAzure ADアカウント、Microsoftアカウントに加えてGoogleやFacebook、Amazonなどのア

ebibibi 2018/04/28

リンク

[SAML脆弱性] 外部IdPと連携している場合は要対応

いろんなアイデンティティ管理系製品やサービスの実験の記録をしていきます。後は、関連するニュースなどを徒然と。こんにちは、富士榮です。 #コメント部分が本ポストの中でもコメントとして扱われて消えてしまっていたので修正しました。tkudoさんご指摘あざーす＃その他、もろもろ修正しました。酔っぱらって夜中に斜め読みしたらダメですねｗ DuoがSAMLの実装に関する脆弱性に関するレポートをしています。 ZDNetの日本語版記事 https://japan.zdnet.com/article/35115353/ ＃しかし、中身は「SAMLプロトコルの」脆弱性じゃなくて、SP実装の不具合なので、「プロトコルの脆弱性」は言い過ぎだなぁ、、と思います。例によって記事になると何のことかさっぱりわからないので、元ネタとなるDuoのレポートを読んでみました。（実際に実験は出来ていないので、また時間があ

ebibibi 2018/03/05

リンク

「OAuthの仕組み丸分かり体験サイト」に見るOAuthとアイデンティティの関係

いろんなアイデンティティ管理系製品やサービスの実験の記録をしていきます。後は、関連するニュースなどを徒然と。こんにちは、富士榮です。明治大学の情報セキュリティ研究室が公開している「OAuthの仕組み丸分かり体験サイト」が話題になっているので、少し内容を見ていこうと思います。 ※決してディスっている訳ではありません。敬遠されがちなOAuthなどの仕組みを簡易に解説しようとする取り組みは非常に大切だと思いますし、私も常に悩むポイントの一つです。 OAuthの仕組み丸分かり体験サイト https://www.saitolab.org/oauth/ 尚、最初の公開後、かなり修正が入っていて誤解を招く部分はかなり減っており、投稿するのをやめようかと思ったのですが、逆に課題認識の部分がぼやけてしまったところもあるので、あえて投稿してみます。中身ですが、元々は所謂OAuth認証問題です。一番残念

ebibibi 2017/03/03

リンク

[Windows 10]Azure ADに参加したPCへリモートデスクトップ接続する

こんにちは、富士榮です。 Windows 10がリリースされてから、Azure ADへの参加やHybrid構成など検証したいことはたくさんあるのですが、いかんせんクライアントOSなので都度手元の端末をセットアップしなおして、、というのが非常に煩雑です。そんな時のAzure VMなのですが、Windows 10のイメージをVMで作っても接続がリモートデスクトップになるので、Azure ADへの参加するところまでは行けてもAzure AD上のユーザでどうやってログインしたら？？？という疑問がわいてきます。単純にAzure AD上のユーザを入力してもログインできません。と、いうことで、今回はちょっとした工夫をしてみます。（Morgan Simonsen氏が検証していましたのでその方法の紹介です） ◆接続先コンピュータでの作業流れとしては、リモート接続設定の構成変更およびAzure AD

ebibibi 2015/11/19

リンク

[Azure MFA]新Azure AuthenticatorアプリでGoogle2段階認証を使う

Azure Active Directory（AzureAD）やOffice365を使っている方ならみんな使っている（はずの）、多要素認証ですが、SMS、電話、アプリケーションといった選択肢がある中、みなさんどんな方法で多要素認証してますか？

ebibibi 2015/07/06

リンク

[AzureAD]エンドユーザによるアプリケーション利用申請と承認

いろんなアイデンティティ管理系製品やサービスの実験の記録をしていきます。後は、関連するニュースなどを徒然と。 ※今回紹介する機能にはPreview機能を含みます。今後の機能変更などが発生する可能性があるので、ご注意ください。こんにちは、富士榮です。組織のID管理の設計をしていると必ず出てくるのが「アプリケーションの割り当てをどのようなフローで行うか」という課題です。パターンとして、 ①特定のユーザ属性をみて機械的に割り当てる（例えば正社員は自動的に割り当て等） ②管理者による手動割り当て ③既存のワークフローシステムとの統合 ④ID管理システム自体に申請～承認フローを組み込むなどがありますが、それなりに複雑化しやすく工数もかさむのでスタート時点では①の方法である程度自動化しておいて②の方法で例外ユーザを登録していく、という形で決着することが経験上は多い気がします。ただ、アプリケ

ebibibi 2015/07/05

w
azuread

リンク

[Office365/ADFS/AAD]クラウドIDのアクセス制御にAD FSを利用する

ebibibi 2015/06/01

リンク

[Office365]AD FS2.0以外でSSOに挑戦

いろんなアイデンティティ管理系製品やサービスの実験の記録をしていきます。後は、関連するニュースなどを徒然と。先日の MS 安納さんのポスト「【IDM】Windows Azure Active Directory と Office 365 と外部 IdP の関係（予想）」を見て、ちょうど Windows Azure Active Directory（WAAD）の中身を調査していたところだったので、色々と試してみました。やろうとしたことは、WAAD の Access Control Service（ACS）を経由して Facebook や Google アカウントを使った Office365 へのシングルサインオンです。結果、失敗するのですが、その過程で色々と仕組みが想像できたのでメモとして上げて起きます。 ■まずは情報収集現在、サードパーティ IdP での WAAD / Offic

ebibibi 2015/05/29

id

リンク

[WAAD]Windows 8 の PowerShell で ServicePrincipal 関連の操作を行う

既出情報ですが、意外と引っかかるのでメモとして書いておきます。 Windows 8 / Windows Server 2012 では Microsoft Online Services Module for PowerShell をインストールして ServicePrincipal 関連のコマンドレット（例えば Get-MsolServicePrincipal）を実行しても ObjectNotFound と言われてしまいます。これは ServicePrincipal 関連のコマンドレッドが含まれるモジュール（MSOnlineExtended）を実行するのに PowerShell 2.0 のエンジンが必要なためです。※コントロールパネルの Windows の機能から見ると PowerShell 2.0 とありますが実際は Version 3.0 が実行されているからです。（プロンプトから

ebibibi 2012/11/30

リンク

Kerberos 認証の設定を確認する

Forefront Identity Manager 2010 （FIM 2010）に限らず Microsoft の製品群は Active Directory を使った Kerberos 認証を多用しています。こいつです↓（違これは、いわゆる「ダブルホップ」と言われる認証の委任を行うことが多いためです。 ※もちろん他の理由もありますが。ダブルホップを知らない方に向けたおさらいですが、Windows ネットワークの世界での認証は一般に NTLM 認証と Kerberos 認証が利用されます。そして、Windows サーバで構成される Web システムといえば、IIS -> SQL Server での2層構造が主流です。 ※ブラウザから IIS へアクセスし、IIS が SQL Server へアクセスするという形でホップが2重になっていることからダブルホップと呼ばれます。この時、NT