Authd OIDCでUbuntuのID連携を拡張

新しいAuthd OIDCブローカーでUbuntuがさらに多くのIDプロバイダーに対応

Canonicalは本日、Authdに対応する新しい汎用OpenID Connect（OIDC）ブローカーの一般提供を開始しました。企業がアクセス管理のコントロールを一元化する上で、自社のアイデンティティソリューションを選択できることは極めて重要です。そのニーズに応えるのがCanonicalの新しいブローカーsnapです。これにより、標準的なOIDCフローに対応する任意のIDプロバイダーをUbuntu DesktopとUbuntu Serverに統合できます。そしてKeycloakのような自社運用型ソリューションを利用するコミュニティユーザーも、Oktaのようなプラットフォームを活用するエンタープライズユーザーも、インフラストラクチャとアプリケーションすべてに同じ認証機能を利用できるようになります。

Authdとは？

Authdとは、クラウドベースのIDプロバイダーの直接的な統合を可能にするUbuntu向けの認証デーモンです。このアプローチは、従来のFreeIPAや専用のVaultインスタンスなど、メンテナンス費用のかかる複雑なインフラストラクチャ要素からの大きな転換です。Authdにより、Ubuntuのエンドポイントは選択したIDプロバイダーと直接、安全に通信できるため、管理が大幅に簡素化され、運用コストが削減されます。また、すべての認証処理を一括して可視化でき、監査やモニタリングが容易になります。

Authdの柔軟性を支えるのがモジュール型アーキテクチャです。Authdは、DBusを通じて標準化されたAPIを公開する特権デーモンと、各種のクラウドサービスとの統合を助けるブローカーsnapから構成されています。また、セキュリティを強化するオープン規格のOAuth 2.0 Device Authorisation Grant（Device Flowとも呼ばれる）を設計に採用しています。ユーザーはUbuntu Desktopでグラフィカルセッションにログインする場合でも、リモートサーバーでSSHを介してコマンドラインを利用する場合でも、同じ直感的なユーザー認証機能を利用できます。

新機能：ベンダーを問わないOIDCによるIDプロバイダー統合

新しい汎用OIDCブローカーはAuthdエコシステムを大幅に拡大します。これまでCanonicalは、Microsoft Entra IDやGoogle IAMの専用ブローカーを提供してきましたが、この新しいブローカーははるかに多くのIDプロバイダーに対応します。Keycloakなどの自社運用型ソリューションを利用するコミュニティユーザーや、Okta、Auth0、Pingなどの標準規格に準拠したOIDCプラットフォームをID管理に使用する企業もこれに含まれます。最終的に企業は、サーバーとアプリケーション全体に1つのIDソリューションで対応できるようになります。

Authdは、Ubuntuにおける柔軟なID管理を優先し、幅広いIDプロバイダーとの互換性を目指していますOIDC規格に準拠すれば、AuthdはID情勢の変化に対応できます。さらにOIDCブローカーsnapは、OIDC対応プラットフォームに対する設定可能で規格に沿ったインターフェイスとなることで、インフラストラクチャの互換性を高めます。

ユーザーとデバイスの高度な管理

Canonicalは、OIDCブローカーの柔軟性に加え、ユーザーの求める強力な管理機能も提供します。新しいブローカーsnapは、他のブローカーと同じ高度な機能に対応しており、アクセスや許可の詳細な制御が可能です。

• 許可リスト：マシンへのアクセスをリストに指定したユーザーに制限します。ユーザーはIDプロバイダーでの認証を受けた後、ログインを許可されます。これはセキュリティと制限の基本的なレイヤーであり、特に具体的な担当者のみアクセスが許される共有マシンや特定の目的を持つマシンに対応します。
• 権限管理：管理者は、IDプロバイダー上でカスタムクレームを設定することで、ユーザーを特定のLinuxグループ（sudoなど）に割り当てることができます。これにより、IDプロバイダーで一括して権限管理を実行でき、リモートマシン上でのユーザー管理が簡素化されるとともに、明確で監査可能な証跡をコンプライアンス目的に使用できます。
• デバイス所有者：ログインイベントに基づいてデバイス所有者を決めるルールを定義できます。たとえば、新しいノートPCで最初に認証に成功したユーザーを自動的に所有者と指定すれば、リモートワーカーを管理するIT部門のプロビジョニング作業が効率敵になります。

新しいブローカーとリソースの入手

新しい汎用OIDC Authdブローカーは本日、Snapcraftで提供を開始しました。Ubuntu環境でその優れた機能をお試しください。

• 新しいOIDC AuthdブローカーをSnapcraftからダウンロード
• Authdに関するドキュメントを読む
• Githubでプロジェクトを見る
• Ubuntu DesktopとUbuntu ServerでLandscapeを使用して大規模にAuthdを運用する方法

Canonicalは、今後もAuthdの機能を拡張し、Ubuntuの個人/企業ユーザーの多様なニーズに対応していきます。今回のリリースは、オープン規格とエンタープライズグレードのセキュリティをすべての人に提供するというCanonicalの意志を裏付けています。皆様のプロジェクトへのフィードバックとコントリビュートをお待ちしています。