IdPとしてSAML認証機能を自前実装した - BASEプロダクトチームブログ

はじめに みなさんはじめまして。BASEでエンジニアをしております田村 ( taiyou )です。 先日、BASEではショップオーナー向けのコミュニティサイト「BASE Street」にログインするための機能としてSSOログイン機能をリリースしました。 SSOログインを実現するための認証方式はいくつかあるのですが、弊社ではSAML認証方式を用いて実現しました。 そのため、この記事ではSAML認証機構のIdPとしてOSSを使わずにSAML認証機能を実装する方法を紹介します。 前回のテックブログで、このSSOログイン機能のフロント側を開発したPJメンバーの若菜が「サーバーサイドエンジニアがフロントエンドに挑戦して最高の経験になった話」を執筆したのでこちらも見てみてください！ SAML認証機能を提供しているOSSには、Keycloakなどがありますが、BASEでは以下の理由により自前実装すること

[kxn4t]

これは本当にそう “SAML認証についての資料が少なかった”

[roshi]

自前実装は脆弱性対策や担当者が退職した時が怖そう、、OSS使ったとしても中身把握してなきゃ同じではあるんだけど。

[ppppchan]

SAML入門-技術の泉シリーズ という本にまぁまぁ詳しく書いてあった気がする。とはいえ2022/7出版

[tengo1985]

エライけれどやりたくはないな。これはこれでやっぱきつい。Keycloakつらいのはわかる。かと言ってRed Hatから買うのも高いし。OIDCではなかったのはなんでなのかな？顧客要望な気はするが。

[mak_in]

SAMLやるのいつも辛いんだよね

[door-s-dev]

こうゆうセキュリティがコアビジネスじゃないとこが実装したのとかめちゃくちゃ攻撃対象にされそう。知らんけど

[syunnchang]

売る気がないならAuth0導入したほうが絶対いいやつ

[andalusia]

なんでSPだけじゃなくてIdPまでやる必要があるのかよくわからんけど、何かまだ書けないビジネス上の野望があるのかな。

[muuran16]

公開するの勇気あるなーメチャクチャ狙われることにならない？

[strawberryhunter]

本当に資料が少ないので既製品を使うのもハードルが高い。大抵はGoogleアカウントでログインしたいという程度なのでSAMLを使ったことは無い。IdPまで作ってしまうのは尊敬する。

[suitedJK]

“SAML認証機能”

[bluegold]

意味が分からん。lightSAML は OSS ではないと言いたいのか。lightSAML のソースをパクればいいから自前実装の難易度が低い、と言いたいのか。

[gfx]

IdP...IdP!? ゆくゆくはIDaaS業を始めるつもりなのかな。

[napsucks]

勉強のために実装するのはいいが、商用利用は勇気がいるね。

[launcher]

ライブラリを使用して実装なのね

[dltlt]

消費者向けで主流の各IdPを使うと（概ね同業であろうから）何らかの「縛り」がかかる恐れがあると判断した？……あるいは、将来データビジネスのほうへ行きたい？？

[ya--mada]

なぜ自分側IdPになりたいと思った？BASEの顧客ってパパママショップとそのユーザーなのでは？だとしたらy!jやGアカやLINEアカウントのSPになるのが正当なような…

[guntz]

SAML使いたいのはパスワードの自前管理したくないとか複数SPの認証をまとめるという目的が大きいのだけど、idp自前実装するメリットが全くわからんかった。SAML辛いってコメントも理解できないな、、、

[T-miura]

いまいち、idp側の機能実装する要件がわかってない…。コミュニティーサイトが、idp??spじゃなくて？

[tamanecoplus]

富○ゼロックスがアップを始めたようです

[wate_wate]

メモ

[ngsw]

わいわい :-)