SAP は、確立された業界標準に従うことで、企業戦略としてのシステム統合機能の改善を継続的に目指しています。これは、認証に SAML および OIDC を使用し、ハイブリッドランドスケープで ID およびアクセス管理のプロビジョニングに SCIM を使用およびサポートすることを意味します。以下のセクションでは、各標準を個別に説明します。これらの標準の使用を決定した結果、SAP がサポートを予定している新しいクラウドソリューションとのシステム統合の改善に向けたアプローチが簡単になりました。
SAML
認証に関して、Security Assertion Markup Language (SAML) は Web ベースの SSO 機能の広範な標準です。これは、アサーションを含むセキュリティトークンを使用して、アイデンティティプロバイダ (SAML 権限) とサービスプロバイダ (SAML コンシューマ) の間でエンドユーザ (プリンシパル) に関する情報を渡す XML ベースのプロトコルです。Organization for the Advancement of Structured Information Standards (OASIS) は SAML 2.0 仕様を提供しており、これは以前の SAML 1.1 仕様に取って代わりました。現在、SAP とそのカスタマは SAML2 を使用しています。
この標準を使用するための前提条件は、アイデンティティプロバイダとサービスプロバイダ間の既存の認証関係です。サービスプロバイダは、認証要求の送信先を認識する必要があり、この宛先 - サービスプロバイダがブラウザリダイレクトのターゲット情報を取得する場所が、認証済アイデンティティプロバイダとして設定されている必要があります。
OIDC
OpenID Connect (OIDC) は、ID レイヤで OAuth 2.0 プロトコルを拡張する OpenID Foundation のオープン標準です。認可サーバは、Web ベース、モバイル、またはネイティブクライアントに対するエンドユーザの ID を検証します。OIDC のコンテキストでは、アイデンティティプロバイダは OpenID プロバイダであり、クライアントは信頼するパーティです。
OpenID プロバイダは、OAuth 認証コードによるブラウザリダイレクトを使用して信頼するパーティに応答します。OAuth 認証コードは、信頼するパーティが OAuth アクセストークンと ID トークン (ID トークン) をバックチャネルで交換します。ID トークンは、エンドユーザに関する選択情報を信頼するパーティに直接伝達する JWT です。アクセストークンを使用すると、信頼するパーティは OpenID プロバイダのユーザ情報サービスを呼び出して、エンドユーザに関する追加情報 (ID トークンに含めるデータが大量すぎるなど) を取得できます。この情報により、認証が可能になります。OIDC プロトコルとそのステップの詳細については、OpenID Connect Core 1.0 を参照してください。
SAML では Web ベースのシナリオのみがサポートされ、OIDC プロトコルはモバイルシナリオとネイティブシナリオに対応しています。また、OIDC は OAuth に基づいているため、サービス間呼出などのシナリオをサポートするために、追加の OAuth 付与フローを適用することができます。そのため、OIDC は SAP Cloud アプリケーションの Identity Authentication との統合に推奨されるプロトコルです。サービス間呼出のためにコーポレートアイデンティティプロバイダから SAP Cloud Identity Services がトークンを取得する必要があるシナリオをサポートするには、OIDC を使用してコーポレートアイデンティティプロバイダとのトラストを確立する最適な結果を得ます。Identity Authentication によってプロトコルが変換され、期待されるトークン形式でトークンがアプリケーションに発行されます。
これらの高度なトークン交換フローが OIDC にあるため、SAP BTP とコーポレートアイデンティティプロバイダ間の直接統合に対する SAML のサポートは戦略的ではなくなりました。SAP は、OIDC を使用して SAP BTP と SAP Cloud Identity Services を統合することを選択します。SAML 認証または OIDC 認証を使用する設定では、ユーザのさまざまな識別属性を使用する異機種間システムを簡単に処理することができます。たとえば、ログオンに電子メールアドレス (user.name@sap.com など) を使用するシステムもあれば、JDOE などのユーザ名が必要なシステムもあります。SAML アイデンティティプロバイダまたは OIDC プロバイダの設定では、サービスプロバイダまたは信頼するパーティごとのマッピングがサポートされています。設定の目的で、ユーザの識別属性や SAML および OIDC 用語のサブジェクト名 ID などの特定の値を指定する必要があります。サービスプロバイダによっては、ユーザの国や名前など、他の属性を必要とする場合があります。ユーザストアから適切な情報を取得することで、サービスプロバイダとアイデンティティプロバイダの間の同期の労力が軽減されます。
SCIM
SCIM は、システムランドスケープにおけるユーザ情報の自動交換のためのオープン標準です。取得、作成、変更、削除など、ユーザアカウントに対する一般的な操作の標準形式が提供されます。ユーザは、特定の属性、属性スキーム、およびグループメンバーシップを使用して記述されます。属性には、連絡先情報、グループメンバーシップ、権限エンティティへの割当などを含めることができます。
この標準化されたプロトコルにより、ユーザ情報を含むシステムと、その情報を受信する必要があるシステム間の相互運用性が大幅に向上します。このようなプロトコルがない場合、送信システムと受信システムのすべてのペアがユーザ属性のマッピングに合意する必要があります。標準 SCIM プロトコルでは、両方の側ですでに情報を理解しているため、新しいアプリケーションがランドスケープに入り、ユーザ情報を即時に送受信できます。SAP では、標準 SCIM スキーマを、すべての SAP アプリケーションが最終的に理解するコア SCIM スキーマの拡張として定義します。これにより、SAP アプリケーションに対するユーザプロビジョニングがさらに簡素化されます。
SCIM はプロビジョニング用の SAP の標準プロトコルであり、SAP アプリケーション全体で共通の SAP 固有の SCIM スキーマが存在します。IDM から SAP アプリケーションへのポイントツーポイントの SCIM 接続が可能ですが、SAP Cloud Identity Services のアイデンティティディレクトリを使用してユーザおよびグループをプロビジョニングすることをお奨めします。そのリポジトリから、Identity Provisioning によってそれらがターゲット SAP アプリケーションに複製されます。
レッスンのまとめ
SAP Cloud Identity Services で使用される 3 つの標準 (SAML、OIDC、および SCIM) を記述できるようになりました。