FIDO in Windows10

Deprecated: The each() function is deprecated. This message will be suppressed on further calls in /home/zhenxiangba/zhenxiangba.com/public_html/phproxy-improved-master/index.php on line 456
FIDO in Windows10

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

FIDO in Windows10
MVP for Forefront Identity Manager
Naohiro Fujie / @phr_eidentity / http://idmlab.eidentity.jp
1

自己紹介
2
 Blog
 IdM実験室（Identityに関することを徒然と）：http://idmlab.eidentity.p
 Social
 Facebook Page : eIdentity（Identityに関するFeed...

FIDO Support in Windows 10?
3
http://blogs.windows.com/business/2015/02/13/microsoft-announces-FIDO-support-coming-to-wind...

Agenda
 True SSOの実現に向けて
 Windows 10 + FIDO 2.0 = Azure AD Join
 まとめ
4

True SSOの
実現に向けて
5

True SSOの実現に向けて - 過去～現在
 Active Directoryドメイン（AD DS）で
の組織内PCの管理
 Windows統合認証 / Kerberosによる
PCとアプリケーション間のSSO
 ドメインネットワーク...

True SSOの実現に向けて – 目指す姿
 どこにからでも、どんなデバイスからでも、デバ
イス～アプリケーション間でのSSOを実現
 必要な要素
 どこからでも使えるID管理基盤
 どこからでも使えるデバイス管理基盤
 各基盤に対...

キーワード
 Microsoft Azure Active Directory（Azure AD）
Device Registration Service（DRS）
 Windows 10
Microsoft Passport
Web...

Microsoft Azure Active Directory
 Microsoft提供のIDaaS
 IdP機能
 Office365等、SAML/OIDC対応アプリ
ケーションとの連携、プロビジョニング
 OAuth2.0によるW...

Windows 10
 2015年夏～リリース予定
 PC向け、モバイル向けのエディション
 ユニバーサル・アプリケーション・プラット
フォームによるアプリケーションの共通化
 Azure ADとの統合の実装
 Microsoft P...

Azure AD と Windows 10で実現する姿
11
Internal Services Azure Active Directory Cloud Services
Office365
SAML/OIDC SP
WebAPI
AD FS...

Windows 10 +
FIDO 2.0
=Azure AD Join
12

Azure AD Join～アプリケーション利用の流れ
- Microsoft Passport / Windows Hello
 Device Registration（Azure AD Join）
 Azure AD DRSによるデバイ...

Device Registration
14
IdP Store / TPM
Azure AD
Other IdP
Private Key
Windows 10 Device
Azure AD
AuthN Service
Device Regi...

Device Registration
15

16<RepLookup v="5">
<G>D576978E-9DC9-4D48-8E03-479391E35482</G>
<O>00000000-0000-0000-0000-000000000000</O>
<D>10.0.8110.6...

17
<RepLookup v="5">
<G>D576978E-9DC9-4D48-8E03-479391E35482</G>
<O>00000000-0000-0000-0000-000000000000</O>
<D>10.0.8110....

$18 { "issuer":"https://sts.windows.net/{tenantid}/", "authorization_endpoint":"https://login.windows.net/common/oauth2/aut...$

19
HTTP/1.1 302 Found
Location: https://clouddomainjoin.azurewebsites.net//9/join.html#id_token=xxx&session_state=yyy
6. G...

20
<RepLookup v="5">
<G>D576978E-9DC9-4D48-8E03-479391E35482</G>
<O>00000000-0000-0000-0000-000000000000</O>
<D>10.0.8110....

21
<RepLookup v="5">
<G>D576978E-9DC9-4D48-8E03-479391E35482</G>
<O>00000000-0000-0000-0000-000000000000</O>
<D>10.0.8110....

Azure AD
Other IdP
Private KeyNGC KEY-ID
Keys …
User Login
22
IdP Store / TPM
Windows 10
Azure AD
AuthN Service
1.Obtain N...

Azure AD
Other IdP
Private KeyNGC KEY-ID
Keys …
Access to Application
24
IdP Store / TPM
Windows 10
Azure AD
AuthN
Service...

25https://login.microsoftonline.com/common/oauth2/authorize?
resource=https%3a%2f%2fmanagement.core.windows.net%2f¥u0026
r...

26{
"aud": “xxxx",
"iss": "https://sts.windows.net/xxx/",
"iat": 1429925228,
"nbf": 1429925228,
"exp": 1429929128,
"ver": ...

まとめ
27

まとめ
 遂にKerberosを捨てる時が来た？
 ドメイン内SSOとWebSSOの間の大きな溝をようやく越えられるか？
 過渡期をどうやって乗り越えるかがインテグレータの腕の見せ所かも
 標準化に期待
 Windows 10以外への...

参考情報
 [Microsoft Virtual Academy]クラウド時代の Active Directory 次の一手シリーズ
 http://goo.gl/Lh7rhi
 [Microsoft Virtual Academy]Wi...