Serverless Tokyo Meetup #3 (2017.07.12) 認証サービスをFunctional SaaSとして提供しているAuth0がどうしてServerlessプラットフォームを必要としたのか、またなぜServerlessプラットフォームをサービス提供し始めたのかをご説明します。

1. Auth in a serverless world
古⽥ 秀哉, CISSP
Serverless Meetup Tokyo #3
07/12/2017

2. ⾃⼰紹介
Auth0
セールスエンジニア
古⽥ 秀哉, CISSP
セキュリティの中の⼈。
外資系ソフトウェア企業でIdentity Management
とか、セキュリティとかAPI Managementのコ
ンサルティングを携わってます。

3. 会社概要
• 設⽴ ２０１３年
• 本社所在地ワシントン州ベルビュー
ü ⽶国各地の他、ロンドン、ベルギー、シドニー、ブエノスアイレス、等
• 直近までマイクロソフト社に在籍していた創業メンバー
ü ジョン ゲルシー (Jon Gelsey, CEO)
ü ユージニオ ペース (Eugenio Pace, VP, Customer Success)
ü マティアス ウォロスキー (Matias Woloski, CTO)
• その他の創業メンバー
ü ジェアード ハンスン (Jared Hanson)
- 最も⼈気ある Node.js の認証フレームワーク ”Passport”の開発者
ü ユージン コーガン (Eugen Kogan)
- AT&T、Amazon.com、国防総省での勤務経験のあるセキュリティ部⾨⻑
* Eugenio Pace と Matias Woloskiは、右の本の共著者

4. AuthN/AuthZって？
Authentication (AuthN) = 認証
アクセスしてきたのが誰で、正しいかどうかを識別して確認すること
Factor: password, Matrix表, OTP, PKI, 指紋, 静脈, etc…
(What you know, what you have, What you are)
Authorization (AuthZ) = 認可
リクエストが許可されるかどうかを決めること

5. 認証・認可⽅式
Authentication (認証)：OpenID Connect
• ⾃前で認証システムを構築したくないので外部の認証システムを利⽤したい。
facebookのアカウントを使って、⾃分で作ったアプリにログインさせたい
Authorization (認可 )：OAuth2.0
• ユーザの許可を得た上で、外部システムにアクセスしたい
facebookやlinkedInに登録されている属性情報を⼊⼿したい
ユーザーに成り代わって、ツイートしたい
Federation: SAML, WS-Federation

6. 認証機能を組み込みたいけど・・・。
実装するの面倒
だし大変そう
セキュリティとか
認証は外でやって
くれると嬉しい
Developerは提供
する機能に集中し
たい
APIに認証・認可フロ
ーを入れる？
なんのためのマイク
ロサービス？
セキュリティのリス
クや脆弱性対策ど
うするの？
認可フロー種類た
くさんあるけど、ど
れが最適なの？
いちいちRFC読み
解いて実装する？

7. Auth0, Identity as a Service platform (IDaaS)
ユーザ認証・認可
社内外Webリソースの利⽤
パートナーとの
コラボレーション
ソーシャルアカウント連携
APIのセキュアなアクセス
SaaS/PaaSへのシーム
レスなアクセス
SAML/WS-Fed
SAML
AD/LDAP
Oauth 2.0
OIDC
Oauth 2.0
OIDC
Oauth 2.0
OIDC
JWT
Oauth 2.0
OIDC
Oauth 2.0
OIDC

8. ということで Auth0 (Fanctional SaaS)
認証・認可機能をSaaS (IDaaS)で提供している会社 https://auth0.com/
Node.jsベース。Microservicesでソリューションができており、機能拡張がしやすい
-OAuth2.0/OpenID ConnectとかSAML, AD/LDAP, DBなどに対応
-Identity ManagementやSocial Sign-inの導⼊が⾮常に簡単に⾏える
-RESTful API (Authentication, Management API)を提供。SDKやサンプルプログラムも
githubで公開
-認証Plug-inとして簡単にアプリ統合できる
-様々なプラットフォーム・フレームワークに対応。ポータルからサンプルソースを⾃動⽣成
-Serveless環境を提供。認証サービスAuth0の拡張機能⽤でも利⽤

9. なんでAuth0がServerless？
フレキシブルで拡張性の⾼いことがAuth0 Identity Management プ
ラットフォームの⼤きな特徴
そもそもの経緯はAuth0のテナント利⽤者が、認証認可トランザクショ
ンでカスタムコードの実⾏ができるようなSandbox環境が必要だった
ため
⾊々検討した結果、Auth0がServerless環境を開発しwebtaskとして
公開

10. Webtaskとは …(Function as a Service)
信頼できないコードを セキュアな⽅法で実⾏する
ために開発された
マルチテナント サーバレス・プラットフォーム

11. 1. マルチテナント システムで信頼できないコードを実⾏させる
場合において、セキュアにコード実⾏が出来ること
2. 認証DoS攻撃に関連した不⽤意なリソース消費を防ぎたい
3. 認証サービスを提供しているので、Latencyは最⼩限に
Serverless 導⼊計画時の課題

12. ⾊々なプラットフォームを利⽤することを検討して
みましたが…結局 ⾃前でServerlessを構築すること
にしました。

13. Webtask の特徴
CoreOS上に、Docker, etcd, fleetをベースにして構築
各テナントごとに専⽤のwebataskコンテナを⽤意し実⾏
→他のテナントに影響を与えない
→結果はJSON形式でレスポンス
Webtask runtimeはNode.jsベース。webtask環境に事
前にNode.jsモジュールをProvisioningしておけば実⾏
可能
(Node.jsもしくは.NET[C#]に対応)
各クラスタ上でPre-warm状態でwebtaskコンテナが動作
→RPC Logicで動作
→Cold Startup latencyを⼤幅に削減

15. Webtaskを外部公開
これ便利だから認証サービス関係なく公開したら使ってもらえるんじゃ
ない？
で、公開しました。 https://webtask.io
評判良かったのでwebtaskをAuth0 ExtendとしてSubscription提供
することに。(2017/04〜)
https://auth0.com/extend/

16. Image Background
Developer love
Very easy to use and fast to get going.
Rich web based node.js editing
environment
Great Github integration
Most common npm modules built in
Low startup latency
Supports any cloud provider or can be
ran on-premise

17. You can use any
language and
framework*
*as long as it is Node.js

18. Image Background
Use your own editor and
our CLI
Or our web based editor

19. From Slack

20. よかったら無料トライアルをお試しください。
Authentication and Authorization Services
Auth0 https://auth0.com/jp/
Serverless Platform
https://webtask.io/
https://auth0.com/extend/

21. 最後に・・・
どうでもいい話ですが、
Serverless Frameworkの
「Join Beta」ボタンクリ
ックすると表⽰される認
証画⾯・・・。
あれ、Auth0のやつです。