CAMの概要
製品機能
適用シーン
基本概念
使用制限
ユーザータイプ
概念 | 説明 |
身分プロバイダ（IdP） | 外部身分プロバイダに関するメタデータを含むエンティティであり、身分プロバイダは身分管理サービスを提供できます。 企業オンプレミス IdP：Microsoft Active Directory Federation Service (ADFS)、シボレスなどがあります。 クラウドIdP：Azure AD、Google Workspace、Okta、OneLoginなどがあります。 |
サービスプロバイダ（SP） | IdPの身分管理機能を利用して、ユーザーに具体的なサービスを提供するアプリケーションであり、SPはIdPが提供するユーザー情報を使用します。一部の非SAMLプロトコルの身分システム（例：OpenID Connect）でも、サービスプロバイダをIdPの依拠当事者と呼びます。 |
セキュリティアサーションマークアップ言語(SAML 2.0) | エンタープライズレベルのユーザー認証を実現する標準プロトコルであり、SPとIdP間のコミュニケーションを実現する技術方式の一つです。SAML 2.0は現在、エンタープライズレベルのSSOを実現するデファクトスタンダードとなっています。 |
SAMLアサーション（SAML assertion） | SAMLプロトコルにおいて認証リクエストと認証レスポンスを記述するために使用される核心要素です。例えば：ユーザーの具体的な属性は認証レスポンスのアサーションに含まれています。 |
信頼（Trust） | SPとIdPの間で構築される相互信頼機構は、通常、公開鍵と秘密鍵によって実現されます。SPは、信頼できる方法でIdPのSAMLメタデータを取得し、メタデータにはIdPがSAMLアサーションを発行するための署名検証用の公開鍵が含まれています。SPは公開鍵を使用してアサーションの完全性を検証します。 |
OIDC | OIDC（OpenID Connect）はOAuth 2.0に基づく認証プロトコルです。 OAuthは権限付与プロトコルであり、一方でOIDCはOAuthプロトコル上にアイデンティティ層を構築します。OAuthが提供する権限付与機能に加えて、また、クライアントがエンドユーザーの身元を検証できるようにし、およびOIDCプロトコルのAPI（HTTP RESTful形式）を通じてユーザーの基本情報を取得できます。 |
OIDCトークン | OIDCはアプリケーションに対してログインユーザーを代表するアイデンティティトークン、すなわちOIDCトークン（OIDC Token）を発行できます。OIDCトークンはログインユーザーの基本情報を取得するために使用されます。 |
クライアントID | 外部IdPにアプリケーションを登録する際、クライアントID（Client ID）が生成されます。外部IdPからOIDCトークンの発行を申請する場合、このクライアントIDを使用する必要があり、発行されたOIDCトークンはaudフィールドを通じてこのクライアントIDを保持します。OIDC身分プロバイダを作成する際にこのクライアントIDを設定します。その後、OIDCトークンを使用してSTSトークンと交換する場合、Tencent CloudはOIDCトークンのaudフィールドに含まれるクライアントIDとOIDC身分プロバイダに設定されたクライアントIDが一致するかどうかを検証します。一致する場合にのみ、ロール引き受けが許可されます。 |
フィンガープリント検証 | 発行者URLが悪意のあるハイジャックや改ざんを受けるのを防ぐため、外部IdPのHTTPS CA証明書から生成される検証用フィンガープリントを設定する必要があります。Tencent Cloudは自動的にこの検証用フィンガープリントを計算するお手伝いをしますが、ローカル環境で自身でも一度計算する（例：OpenSSLを使用したフィンガープリント計算）ことをお勧めします。Tencent Cloudが計算したフィンガープリントと比較し、異なる場合は発行者URLが攻撃を受けている可能性があるため、必ず再度確認の上、正しいフィンガープリントを入力してください。 |
身分プロバイダ URL | OpenID Connect身分プロバイダ識別子。
身分プロバイダが提供するOpenID Connectメタデータドキュメント内の「issuer」フィールドの値に対応します。 |
マッピングフィールド | OpenID Connect身分プロバイダにおいてTencent Cloud CAMサブユーザー名とマッピングされるフィールドです。
身分プロバイダが提供するOpenID Connectメタデータドキュメントの"claims_supported"の値から選択可能で、この例ではnameフィールドを使用してCAMのusernameとマッピングします。 |
署名公開鍵 | OpenID Connect身分プロバイダのIDトークン署名を検証するための公開鍵です。
身分プロバイダが提供するOpenID Connectメタデータ文書内の「jwks_uri」フィールドのリンク先の内容（ブラウザでリンクを開いて内容を取得）に対応します。 お客様のアカウントセキュリティのため、署名公開鍵を定期的にローテーションすることをお勧めします。 |
SSO方式 | SP開始のSSO | IdP主導のSSO | サブユーザーアカウントとパスワードによるログイン | IdPと複数のTencent Cloudアカウントを一回の設定で連携 | 複数のIdP |
ユーザー SSO | 対応 | 対応 | 非対応 | 非対応 | 非対応 |
ロール SSO | 非対応 | 対応 | 対応 | 対応 | 対応 |
フィードバック