Shibboleth (ソフトウェア)

シボレス

タイプ	シングルサインオンシステム
ライセンス	アパッチ2.0
Webサイト	当サイトについて

Shibbolethは、コンピュータ ネットワークとインターネット用のシングル サインオンログイン システムです。これにより、ユーザーは 1 つの ID のみを使用して、さまざまな組織や機関の連合によって運営されるさまざまなシステムにサインインできます。連合は、多くの場合、大学や公共サービス組織です。

Shibboleth Internet2 ミドルウェアイニシアチブは、セキュリティ アサーション マークアップ言語(SAML)に基づくID 管理およびフェデレーション IDベースの認証と承認(またはアクセス制御) インフラストラクチャのアーキテクチャとオープン ソース実装を作成しました。フェデレーション ID を使用すると、フェデレーション内の 1 つのセキュリティ ドメインから他の組織にユーザーに関する情報を共有できます。これにより、ドメイン間のシングル サインオンが可能になり、コンテンツ プロバイダーがユーザー名とパスワードを管理する必要がなくなります。IDプロバイダー(IdP) はユーザー情報を提供し、サービス プロバイダー (SP) はこの情報を使用して、セキュリティで保護されたコンテンツへのアクセスを許可します。

Shibboleth プロジェクトは Internet2 から生まれました。現在、このプロジェクトは Shibboleth コンソーシアムによって管理されています。Shibboleth コンソーシアムによって管理されている最も人気のあるソフトウェア コンポーネントの 2 つは、Shibboleth Identity Provider と Shibboleth Service Provider で、どちらもSAMLの実装です。

このプロジェクトは、エフライム人が「sh」を発音できなかった ため、聖書（士師記12:4–6）で使用されている識別パスフレーズにちなんで名付けられました。

Shibboleth プロジェクトは、互換性のない認証および認可インフラストラクチャを持つ組織間でのリソースの共有を容易にするために 2000 年に開始されました。ソフトウェア開発の前に 1 年以上にわたってアーキテクチャ作業が行われました。開発とテストの後、Shibboleth IdP 1.0 は 2003 年 7 月にリリースされました。 ^[1]その後、2005 年 8 月に Shibboleth IdP 1.3 がリリースされました。

Shibboleth ソフトウェアのバージョン 2.0 は、2008 年 3 月にリリースされたメジャー アップグレードです。^[2] IdP と SP の両方のコンポーネントが含まれていましたが、さらに重要なのは、Shibboleth 2.0 が SAML 2.0 をサポートしていたことです。

Shibboleth プロトコルと SAML プロトコルは、同時期に開発されました。当初から、Shibboleth は SAML をベースとしていましたが、SAML に欠けている部分については Shibboleth が改良し、Shibboleth の開発者はSAML 1.1で欠けている機能を補う機能を実装しました。これらの機能の一部は後にSAML 2.0に組み込まれ、その意味で Shibboleth は SAML プロトコルの進化に貢献しました。

おそらく最も重要な貢献機能は、従来の Shibboleth AuthnRequest プロトコルです。SA​​ML 1.1 プロトコルは本質的に IdP ファースト プロトコルであったため、Shibboleth は SAML 1.1 を SP ファースト プロトコルに変えたシンプルな HTTP ベースの認証要求プロトコルを発明しました。このプロトコルは最初に Shibboleth IdP 1.0 で実装され、その後 Shibboleth IdP 1.3 で改良されました。

この初期の取り組みを基に、Liberty Alliance は完全に拡張された AuthnRequest プロトコルを Liberty Identity Federation Framework に導入しました。最終的に、Liberty ID-FF 1.2 が OASIS に寄贈され、OASIS SAML 2.0 標準の基礎となりました。^{[重要性? ]}

Shibbolethは、 SAMLのHTTP/POSTアーティファクトと属性プッシュプロファイルを実装するWebベースのテクノロジーで、アイデンティティプロバイダー（IdP）とサービスプロバイダー（SP）の両方のコンポーネントが含まれています。Shibboleth 1.3には、SAML 1.1仕様に基づいて構築された 独自の技術概要^[3]、アーキテクチャドキュメント^[4]、および適合ドキュメント^{[5]があります。}

標準的な使用例では、次のようになります。

1. ユーザーはまず、Shibboleth コンテンツ保護が有効になっている Web サーバー (サービス プロバイダー) によってホストされているリソースにアクセスします。
2. SP は、URL クエリ パラメータを使用してブラウザに渡される独自の認証要求を作成し、要求者の SAML エンティティ ID、アサーションの消費場所、およびオプションでユーザーを返す終了ページを提供します。
3. ユーザーは、ホーム IdP または WAYF (Where Are You From) サービスにリダイレクトされ、そこでさらにリダイレクトするホーム IdP を選択します。
4. ユーザーは、Shibboleth 外部のアクセス制御メカニズムに対して認証を行います。
5. Shibboleth は、一時的な「ハンドル」を含む SAML 1.1 認証アサーションを生成します。このハンドルにより、IdP は特定のブラウザ ユーザーに関するリクエストを、以前に認証されたプリンシパルに対応するものとして認識できます。
6. ユーザーは、SP のアサーション コンシューマ サービスに POST されます。SP はアサーションを消費し、そのユーザーに関する属性を取得するために IdP の属性サービスに AttributeQuery を発行します。この属性には、ユーザーの ID が含まれる場合と含まれない場合があります。
7. IdP は、ユーザーに関する信頼できる情報を含む属性アサーションを SP に送信します。
8. SP は、属性に基づいてアクセス制御の決定を行うか、アプリケーションに情報を提供してアプリケーション自体が決定できるようにします。

Shibboleth は、こ​​の基本ケースのさまざまなバリエーションをサポートしています。これには、IdP が SP への初期アクセスで配信される非請求アサーションを作成するポータル スタイルのフローや、アプリケーションが必要に応じて任意の方法でコンテンツ保護をトリガーできるようにする遅延セッション開始が含まれます。

Shibboleth 1.3 およびそれ以前のバージョンでは、組み込みの認証メカニズムは提供されていませんが、任意の Web ベースの認証メカニズムを使用して、Shibboleth が使用するユーザー データを提供できます。この目的で使用される一般的なシステムには、CASや Pubcookie などがあります。IdP が実行される Java コンテナー (Tomcat など) の認証機能とシングル サインオン機能も使用できます。

Shibboleth 2.0 はSAML 2.0標準に基づいて構築されています。Shibboleth 2.0 の IdP は、SAML 2.0 のパッシブ認証および強制認証リクエストをサポートするために追加の処理を実行する必要があります。SP は IdP に特定の認証方法を要求できます。Shibboleth 2.0 は追加の暗号化機能をサポートします。

Shibboleth のアクセス制御は、IdP によって提供される属性を SP によって定義されたルールと照合することによって実行されます。属性とは、ユーザーに関する情報の 1 つで、「このコミュニティのメンバー」、「Alice Smith」、「契約 A に基づいてライセンスを取得」などがあります。ユーザー ID は属性と見なされ、明示的に必要な場合にのみ渡されるため、ユーザーのプライバシーが保護されます。属性は Java で記述することも、ディレクトリやデータベースから取得することもできます。標準の X.520 属性が最も一般的に使用されていますが、トランザクションで IdP と SP が同様に理解および解釈できる限り、新しい属性を任意に定義できます。

ドメイン間の信頼は、公開鍵暗号化 (多くの場合、単にTLSサーバー証明書) とプロバイダーを説明するメタデータを使用して実装されます。渡される情報の使用は、契約によって制御されます。フェデレーションは、共通のルールと契約を使用することに同意する多数のプロバイダーを集約することで、これらの関係を簡素化するためによく使用されます。

Shibboleth はオープンソースであり、Apache 2 ライセンスに基づいて提供されています。多くの拡張機能は他のグループによって提供されています。^{[引用が必要]}

SAMLおよび Shibboleth ソフトウェアを使用して情報を交換するための信頼構造を構築するために、世界中の多くの国で連合が形成されています。多くの主要なコンテンツ プロバイダーが Shibboleth ベースのアクセスをサポートしています。

2006 年 2 月、イングランド、スコットランド、ウェールズ、北アイルランドの高等教育資金協議会の合同情報システム委員会(JISC) は、アテネ認証システムからShibboleth 技術に基づくアクセス管理システムに移行すると発表しました。^[6]その後、同委員会は立場を更新し、Shibboleth 自体ではなく、連合アクセス管理ソリューションを支持しています。^{[引用が必要]}

• オープンアテネ

• 公式サイト
• 公式 Shibboleth 1.x Wiki
• 公式 Shibboleth 2.x Wiki
• 公式 Shibboleth IdP 3.x Wiki
• 公式 Shibboleth IdP 4.x Wiki
• 公式 Shibboleth IdP 5.x Wiki