OAuth2.0によるWeb APIの保護

Deprecated: The each() function is deprecated. This message will be suppressed on further calls in /home/zhenxiangba/zhenxiangba.com/public_html/phproxy-improved-master/index.php on line 456
OAuth2.0によるWeb APIの保護

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

OAuth 2.0 による
Web API の保護
2016.12.21
Japan Web API Community #1
Naohiro Fujie
@phr_eidentity

自己紹介
• Blog
• IdM実験室：http://idmlab.eidentity.jp
• Modules（codeplex）
• Generic REST MA for FIM/MIM：https://restmafim.codepl...

Agenda
1. WebAPI に求められるセキュリティ
• 利用者から見た課題
• API 提供者から見た課題
2. OAuth 2.0 の概要と課題への対応
3. デモ
• Azure AD による WebAPI の保護
• ADAL に...

WebAPI に求められる
セキュリティ
© 2016 Naohiro Fujie 4

WebAPI 利用・提供時の課題
• いかにして API クライアントを信頼するか？
• 利用者の視点
• API を通して提供される自身のデータを悪用されたくない
• API 提供者の視点
• 誰が利用しているのかを明確にしたい（例：課金）
...

利用者から見た課題
© 2016 Naohiro Fujie 6

従来の Web アプリケーションの利用
• ユーザ自身によりコンテキストの使い分けが可能
• Facebookの友達からはアプリA、Twitter上のアイデンティティとの紐
づけをされても良いが、反対は嫌
• 情報は二重管理
© 2016 Na...

上手く API を使って二重管理をやめたい
• アプリにFacebookとTwitterのIDとパスワードを登録する？
© 2016 Naohiro Fujie 8
実名、電話番号を登録
ニックネームを登録
アプリA
（APIクラ
イアント）
...

パスワード？
• アプリ上に個人のパスワードを登録するのは・・・
© 2016 Naohiro Fujie 9
実名、電話番号を登録
ニックネームを登録
アプリA
（APIクラ
イアント）
ニックネームと
電話番号を使わせたい
ユーザのID/P...

コンテキストが混ざる
• せっかく分けていたコンテキストがアプリで混ざる
© 2016 Naohiro Fujie 10
実名、電話番号を登録
ニックネームを登録
アプリA
（APIクラ
イアント）
ニックネームと
電話番号を使わせたい
電話番...

課題：パスワード、コンテキスト
パスワードを使わずに
どうやってユーザの代わりに
「望んだ範囲に限定して」
アクセスさせるか？
© 2016 Naohiro Fujie 11
実名、電話番号を登録
ニックネームを登録
アプリA
（APIクラ
イ...

API 提供者から見た課題
© 2016 Naohiro Fujie 12

従来の Web アプリケーションの利用
• ユーザが直接アプリを利用していたので識別は簡単
• 個々に認証機能や UI 開発が必要
© 2016 Naohiro Fujie 13
直接ログイン
直接ログイン
アプリA
直接ログイン
個々に運用・...

API を公開してシンプルにしたい
• ユーザが直接アプリを利用していたので識別は簡単
• 個々に認証機能や UI 開発が必要
© 2016 Naohiro Fujie 14
アプリA
（APIクラ
イアント）シンプルな機能・データ提供
だけ...

アクセス元の特定・真贋が難しい
• アクセス元アプリの信頼性の担保が難しい
© 2016 Naohiro Fujie 15
アプリA
（APIクラ
イアント）誰がどのアプリ経由が使って
いるのかわからない？
利用
アプリ経由で利用
アプリ経由...

課題：利用元の特定と管理
• どうやって「許可された」
アプリからのみ
アクセスを許可
するか？
© 2016 Naohiro Fujie 16
アプリA
（APIクラ
イアント）
利用
アプリ経由で利用
アプリ経由で利用このアプリは信頼できる...

OAuth 2.0 の概要と
課題への対応
© 2016 Naohiro Fujie 17

OAuth の概要と基本的な考え方
• 目的
• リソースへのアクセスを安全に認可（委譲）すること
• 基本的な考え方
• リソース（API を通して提供される機能やデータ）の持ち主はユーザ
である
• ユーザの同意に基づき API クライアン...

構成要素
• 保護対象リソース
• API を経由して提供される機能やデータなどのリソース
• リソース・オーナー
• 保護対象となるリソースの持ち主（ユーザ）
• クライアント
• 保護対象リソースへアクセスする主体（API クライアント）
...

保護対象リソース
（API 、データ）
各構成要素の関係性
© 2016 Naohiro Fujie 20
クライアント
認可サーバ
リソース・オーナー
所有
登録
認可利用
登録
保護
利用

保護対象リソース
（API 、データ）
実際の動き（認可コードグラント）
© 2016 Naohiro Fujie 21
クライアント
認可サーバ
リソース・オーナー
所有
登録
認可利用
登録
保護
利用
１．利用したい
２．認可要求
３．...

シーケンス（認可コードグラント）
© 2016 Naohiro Fujie 22
リソース・オーナー
（利用者/UserAgent）
クライアント
（アプリケーション）
認可サーバ
（OAuthサーバ）
保護対象リソース
（API・データ）
フ...

ポイント
• スコープの指定とオーナーによる同意
• スコープが変わると再同意とアクセス・トークンの再取得が必要
• 登録されたクライアントだけにトークンを発行
• クライアントIDとクライアントSecretによる認証
• 期限付きのコード・ト...

デモ
Azure Active Directory による WebAPI の保護
Active Directory Authentication Library による API クライアントの実装
© 2016 Naohiro Fujie 24

保護対象リソース
（ASP.NET WebAPI）
デモ構成
© 2016 Naohiro Fujie 25
クライアント
（ASP.NET MVC
＋ADAL）
認可サーバ
（Azure AD）
リソース・オーナー
（Azure AD 利用者...

Azure AD の OAuth と ADAL
• Azure AD（Azure Active Directory）の OAuth
• Facebook などコンシューマの OAuth 実装との差は「Azure AD 以
外のリソース」へのアク...

WebAPI の作成
© 2016 Naohiro Fujie 27

プロジェクトの作成
© 2016 Naohiro Fujie 28

Web API を選択
© 2016 Naohiro Fujie 29

Azure ADドメインを指定
© 2016 Naohiro Fujie 30

完成
© 2016 Naohiro Fujie 31

Azure ADに自動で登録される
© 2016 Naohiro Fujie 32

※テスト用）非HTTPS化しておく
© 2016 Naohiro Fujie 33

API Client の作成
© 2016 Naohiro Fujie 34

プロジェクトの作成
© 2016 Naohiro Fujie 35

MVC を選択
© 2016 Naohiro Fujie 36

Azure ADドメインを指定
© 2016 Naohiro Fujie 37

完成
© 2016 Naohiro Fujie 38

Azure ADに自動で登録される
© 2016 Naohiro Fujie 39

取り敢えず実行するとユーザ認証
© 2016 Naohiro Fujie 40

プロファイル取得に関する同意
（Azure AD リソースへのアクセス）
© 2016 Naohiro Fujie 41

サインイン完了
© 2016 Naohiro Fujie 42

API アクセス
© 2016 Naohiro Fujie 43

API Client ⇒ WebAPI へアクセス許可
© 2016 Naohiro Fujie 44

登録された WebAPI を選択
© 2016 Naohiro Fujie 45

スコープを選択
© 2016 Naohiro Fujie 46

許可設定
© 2016 Naohiro Fujie 47

API Client のキーを生成（client_secret）
© 2016 Naohiro Fujie 48

保存するとキーが表示される
© 2016 Naohiro Fujie 49

nuget で ADAL をインストール
© 2016 Naohiro Fujie 50

Web.config に必要な情報を入れる
© 2016 Naohiro Fujie 51

Web.config に設定する情報
• appSetting に以下を追加
• Azure AD ポータルで取得したAPI Client のキー
• <add key="ida:ClientSecret"
value="WrVNTezVxZB...

Startup.Auth へのコード追加
• Using ディレクティブ
• using Microsoft.IdentityModel.Clients.ActiveDirectory;
• OpenIdConnectAuthenticatio...

HomeController へのコード追加
• Using ディレクティブ
• using System.Configuration;
• using Microsoft.IdentityModel.Clients.ActiveDirecto...

HttpClient httpClient = new HttpClient();
httpClient.DefaultRequestHeaders.Authorization =
new AuthenticationHeaderValue("...

API Client を起動すると WebAPI への
アクセスについて同意を求められる
© 2016 Naohiro Fujie 56

サインイン完了
© 2016 Naohiro Fujie 57

WebAPI を実行
© 2016 Naohiro Fujie 58

参考資料
• 脱オンプレミス! クラウド時代の認証基盤 Azure Active
Directory 完全解説
• 著 : Vittorio Bertocci
• 監訳 : 安納順一、富士榮尚寛
• ¥3,996
• Kindle 版もあり...

まとめ
• OAuth を使って安全に API を使いましょう
• 利用者にとって
• パスワードの氾濫を防ぐ
• 権限の絞り込みを適切に行う
• API 提供者にとって
• 適切な API クライアントへ提供する
• Azure AD、ADA...