丁度SAMLを勉強中す。

お仕事の関係で現在Azure ADをDeepdiveしまくってる状況でして、その課程でSAMLが面白いなーと思い始めて一人でズブズブ沼に潜ってます。今回実装までこぎ着けたのがいくつか出てきたのでそれをかこうかなと思いまして。その内一つがMastodonです。

Mastodonって？

もうすっかり表舞台から消えてしまったんじゃないか？と言う不安も感じたので簡単に言うと、

見た目ちょいと昔のTwitterっぽいかんじの連合SNS

です。

このSNS、自分でサーバを立てたりするケースが多く、メッセージの通信プロトコルとしてActivity Pubと言うものを使ってるんですが、この同じプロトコルを使用しているSNSサーバと連携して、複数サーバのタイムラインなんかが組めたりします。自前で立てたサーバが世界中のActivity Pub SNSサーバと連携できると言うことで、生きたトラフィックを自前サーバに流して遊べるという所が魅力でして、技術的な意味で暫くかなりどハマりしました。

今でもこんな構成で稼働中です。

SAMLとは

シングルサインオンと言うものがあります。
これは、認証情報を一元管理する仕組みの一つで、1つのアカウントで複数のサービスを横断するが如くアクセスできるようになるものを指しています。

サービスから見ると、自前で一生懸命多要素認証とか構成しなくても信頼の出来るよその認証サービスにその認証処理を委託することによって、セキュリティにツヨツヨな認証をさせることが可能になり、セキュリティレベルの向上、サインイン操作の省力化ができたりするので、最近だーいぶ流行ってきております。

SAMLにおける認証シーケンスとしては以下の図のような感じです。

今回、上図にあるとおりMicrosoft Azure Active Directory (AzureAD)をIdentity Provider(IdP), MastodonをService Providerとして構成してAzure ADを通じて認証を行えるように設定変更を行いました。

Azure ADでやること

Azure ADでやるのは、以下のようなことです。

SAMLボタンが登場

特に何もユーザ名・パスワードを入れずにSAMLボタンをクリックします。
もし、まだAzure ADにログインしてない場合は、MicrosoftのAzureADへのログオンプロンプトが表示されますので、そこで認証を行います。
既にAzure ADにログオンしている環境ではSAMLボタンをクリックしたらすぐにMastodonのおなじみの画面が表示され、アクセスできるようになります。

認証の処理は完全にAzure ADへ委任している

この構成を取ってSAMLボタンをクリックすると、認証処理は完全にAzure ADへ委任した状態となり、サインインをすることによってそのユーザ情報がMastodonへ引き渡されます。その引き渡し情報は②にて設定したクレームルールという設定に従っています。

今回の設定では、基本的にメールアドレスの連携しか行っていません。私の場合、メールアドレスがユーザアカウントに設定しているメールアドレスと一致したため、従来使用している私のアカウント賭してログオンすることが出来ました。

このときMastodonはMicrosoftから私のブラウザを通じて提示されたSAML Responseと言うデータを受領しており、「認証が成功したと言うこと」「私のEmailアドレスは○○と言うこと」「正式にMSから払い出された情報であることを示す証明書と署名情報」がそこには記載されています。

証明書の照合を行い確かに認証したことをMastodonは確認し、引き渡されたメールアドレス情報を素に、要素が合致する私のアカウントと紐つけて無事ログインできた・・・ということになります。

これにより、SPであるMasotdonは自身のサーバにパスワード情報をやり取りする必要なく、その情報のやり取りをよりセキュリティのしっかりしたIdPに限定させることでよりセキュリティが向上するというわけでして。

ちゃんと技術を理解すると視野が広がる

今回これを久々に体感することが出来ましたﾔﾀ───ヽ(･∀･)ﾉ───!!
没頭できるから楽しいし、OASISのドキュメントをDeeplで翻訳しながらではありますが読んでいくと仕様を読むことの面白さをすこしだけ思いだしたような気がします。

仕事で拾ったキーワードとかちょっと心に留め置き、こうしてチャレンジしてみるのも面白いのではないかな？とか。色々便利に扱える機能だというのが良く分かったので、もう少し深く掘り下げていこうと思っております。