ID レイヤー
Iru Identity は ID プロバイダーです。ユーザーは通常、パスキーまたは Iru Access アプリを使用して Iru に直接サインインし、Iru は接続されたすべてのアプリに対してユーザーの身元を保証します。各アプリがサポートする SAML または OIDC 標準を使用して、署名付きの ID ステートメントを送信します。 Iru は、すでに運用している ID プロバイダーに対する証明書利用者としても機能できます。サインインをそのプロバイダーに引き渡し、プロバイダーがユーザーを確認するとセッションを続行します。これは副次的な経路で、次の 2 つの状況を想定しています。- 既存のプロバイダーで Iru プラットフォームにサインインする。 すべての Iru テナントは管理者の管理とユーザーの同期に Iru Identity を使用しますが、すべての組織が完全な ID プロバイダーとして使用しているわけではありません。Iru Identity が Iru とその製品への認証レイヤーである場合、ユーザーはすでに運用しているプロバイダーでサインインできます。
- 移行を容易にする。 ID プロバイダーとしての Iru Identity に移行する間、ユーザーは移行期間中も現在のプロバイダーを通じてサインインし続けることができます。
サインインの仕組み
接続されたアプリへのすべてのサインインは、そのアプリの認証ポリシーに照らしてチェックされます。強力な認証器は常に必須で、ポリシーはアクセスを許可する前にデバイストラストを評価します。Iru は決定をアクティビティログに記録します。プロビジョニングの仕組み
プロビジョニングは、ディレクトリとアプリを 2 つの方向で実態に合わせて維持します。- インバウンド (Iru へ)
- アウトバウンド (アプリへ)
ユーザーは信頼できる情報源からディレクトリに取り込まれます。接続された HR システムはスケジュールに従ってユーザーを同期し、ファイルインポートは一度にバッチを取り込み、いつでも手動でユーザーを追加できます。プロファイルが到着すると、Auto Groups がメンバーシップを自動的に更新します。
Iru Access
Iru Access は、ユーザーがコンピューターまたはモバイルデバイスにインストールする Iru アプリです。同時に 2 つの役割を果たします。- 認証器: ユーザーがサインインに使用する、デバイスにバインドされたパスキー形式の資格情報を保持し、デバイスの生体認証または画面ロックでロック解除されます。
- デバイスエージェント: デバイスの健全性シグナルを Iru に報告し、デバイストラストポリシーでそれを要求できます。
デバイストラストシグナル
各デバイスの Iru Access エージェントは、デバイスの健全性 (デバイスが暗号化されていて正常かどうかなど) を Iru に報告し、認証ポリシーでそれを使用できます。これにより、ポリシーはアクセスを許可する前に既知の正常なデバイスを要求できます。Device trust を参照してください。テナントを保護する保証
認証は信頼できる状態を保つ必要があります。Iru がそれを保護するために行っていることは次のとおりです。テナントの分離
ディレクトリ、アプリ、設定は独自のテナントに存在します。ある組織のデータが別の組織に見えることはありません。
検証可能なサインオン
Iru がアプリに送信する ID ステートメントは署名されているため、各アプリはそれが本当に Iru から送信され、転送中に改ざんされていないことを確認できます。
保護された資格情報
パスキーなどの認証器は、サインインに必要な秘密情報を使用するアプリと共有する必要がないように保存および検証されます。
あらゆる場所で暗号化
情報は、ユーザー、Iru、アプリ間の転送中および保存中に保護されます。
次のステップ
主要な概念
上記で参照したオブジェクトとその関係を確認します。
フェデレーション認証
ユーザーがすでにサインインに使用している ID プロバイダーを接続します。
認証ポリシー
各アプリにサインインできるユーザーと、証明する必要がある内容を決定します。
アプリケーション
ユーザーがサインインするアプリを接続します。