本記事は「Enterprise Trust Is a Race. Here's How to Win It.」を翻訳した記事です。
What the SaaSの最初のエピソードではアイデンティティの壁について名付けました。B2BのSaaS企業が消費者向けの認証設定ではエンタープライズの調達チームの要求に耐えられないと気づく瞬間です。2番目のエピソードでは真のマルチテナントを可能にするアーキテクチャソリューションであるOrganizationsモデルを提示しました。
しかし適切なアーキテクチャを知ることは戦いの半分に過ぎません。
より難しい問題は次に何が起こるかです。堅牢なアイデンティティレイヤーを構築することと、エンタープライズ顧客に信頼され、採用され、現実世界の条件下で迅速かつ大規模に保護を維持することは全く別の問題だからです。
エピソード3の強力なパネルディスカッションでは問題を提起しました。Aaron Smalser(Auth0のProduct Architect)、Scott Miramontes(OktaのSenior Director of ISV Ecosystem Growth)、Sam Rosen(Auth0のSenior Director of Product)が参加し、Trust Stackと呼ぶようになった3つの機能を紐解きました。具体的にはOkta Integration Network、Express Configuration、Universal Logoutです。
対話から得た学びを本記事で紹介します。
問題はオンボーディングよりも大きい
Samは対話の序盤で、考えずにはいられない視点を提示しました。
課題はエンタープライズ顧客のセットアップを完了させることだけではありません。顧客が期待するアイデンティティ機能の数が増加しており、問題が発生する可能性のある領域も拡大していることです。
「SaaS企業をより安全にするためのアイデンティティ機能が20から30ほど登場しようとしています。AIの脅威状況によりリストはさらに拡大するでしょう。SaaSベンダーにとって最大の問題は、顧客をどのようにオンボーディングするか、プラットフォームにどのように誘導するか、そしてさらに重要なこととして、顧客が正しく設定したかをどのように確認するかです」
エンタープライズのアイデンティティ問題の中心には緊張関係があります。セキュリティ体制が強力になるほど、実際に保護される顧客との間に多くの設定手順が存在します。手順を一つでも間違えると全体が崩壊してしまいます。
Trust Stackは緊張関係に対するAuth0とOktaの答えです。
Okta Integration Network: 第三者による保証
Samが提供した最適な例えはApp Storeであり、非常に的確です。
ユーザーがApple App StoreやGoogle Playからアプリをダウンロードする際、ゼロから始めるわけではありません。アプリケーションが安全であり、プラットフォームの基準を満たし、正しく構築されていることを誰かがすでに審査しています。最初のやり取りの前に信頼が確立されています。
Okta Integration Network(OIN)はエンタープライズソフトウェアでも同様に機能します。OktaとSaaSアプリケーション間の数千に及ぶ事前構築および事前審査済みの統合カタログです。Scottが説明したように、リストに掲載されることは単なる流通戦略ではなく、信頼のシグナルです。
「エンタープライズのバイヤーにアクセスすることが重要です。SMBや初期段階のスタートアップ以外に販売したい場合、基本的なアイデンティティセキュリティ機能を備え、顧客が簡単にオンボーディングできるようにすることが不可欠になります」
Scottは一貫して見られるパターンを説明しました。SaaSベンダーは「Googleでサインイン」から始め、その後エンタープライズの見込み客からOktaのようなアイデンティティプロバイダーのサポートが必要だと聞き始めます。対話は基本的なシングルサインオン(SSO)からライフサイクル管理、Universal Logout、さらに高度なコンプライアンス要件へと発展します。OINは全領域が存在する場所です。
一つの具体的な例が際立っていました。ScottがSlackの製品担当役員とOkta統合について話した際、フィードバックは明確でした。ライフサイクル管理は複雑な組織構造を管理する大企業だけでなく、スピードを必要とする小規模な顧客にとっても画期的なものでした。
「小規模な顧客にとってスピードがすべてです。SlackがOktaと統合したことで、小規模な顧客は集中管理されたIDPを通じてユーザーをオンボーディングおよびオフボーディングできるようになり、Slackをはるかに迅速に展開できるようになりました」
本記事にも標準化の恩恵が存在します。Oktaのライフサイクル管理機能はSystem for Cross-domain Identity Management(SCIM)に基づいて構築されているため、Slackの投資は単なるOkta統合ではなく、SaaSエコシステム全体で機能する能力となりました。
Express Configuration: 「クリックしてインストール」の体験
OINのリストがあってもまだギャップが存在します。統合は存在し、ドキュメントも存在します。しかしIT管理者は依然としてすべてを実際に設定しなければならず、多くの場合2つの異なるポータル間で値をコピーアンドペーストし、設定ミスがないことを祈る必要があります。
AaronはExpress Configurationがない場合の状態を説明しました。
「すべてのプロトコルを設定する一般的な手動のセルフサービス体験では、簡単に20以上の手順が必要になり、2つのポータル間でデータをコピーアンドペーストすることになります」
20の手順。それぞれが問題を引き起こす可能性のある場所であり、サポートチケットの発生を待っている状態であり、手遅れになるまで表面化しないセキュリティ設定ミスの原因となります。
Express Configurationはプロセスを短縮します。OktaのIT管理者がOIN内から数回のクリックで、OpenID Connect(OIDC)経由のSSO、SCIM経由のライフサイクル管理、Auth0を利用したアプリケーションでのUniversal Logoutを設定できる完全自動化されたフローです。
内部的には標準のOAuth 2.0認可コードフローを使用し、Auth0の認証APIを通じて保護されています。IT管理者はOktaダッシュボードでフローを開始し、Universal Login経由でAuth0に認証して同意を与えます。Oktaは得られたアクセストークンを使用して、管理者に代わってすべてのコンポーネントを設定します。
結果としてエンタープライズアイデンティティ向けのApp Storeスタイルの「クリックしてインストール」体験が得られます。
Samは優先事項になった理由について率直に語りました。単一の顧客からの要望ではなく、パターンの認識でした。
「SSOプロバイダーの設定に苦労している顧客を見ました。信頼をどのようにアピールするか悩んでいる顧客も見ました。真のポイントアンドクリック統合を実際に提供できる数少ない企業の一つです。そのため論理的にイエスという結論に至りました」
より強い後押しは将来を見据えることから生まれました。Interoperability Profile for Secure Identity in the Enterprise(IPSIE)のような標準が登場しつつあります。アイデンティティ設定の領域は拡大する一方です。顧客に一度「正しく完了」させるだけでも十分に困難です。Express Configurationは「正しく完了」を幸運な結果ではなく、デフォルトの結果にする方法です。
Universal Logout: オフボーディングツールではなくセキュリティコントロール
Universal Logoutは過小評価されがちです。「ユーザーが退社し、アクセス権が取り消される」というのは確かにその通りですが、ライフサイクル管理の問題のように聞こえ、すでに対応済みかもしれません。
本記事では枠組みが的を射ていない理由を説明します。
AaronはUniversal LogoutがGlobal Token Revocation標準に基づいていると説明しました。目標はブラウザセッションからログアウトさせることだけではありません。従来のWebアプリ、SPA、ネイティブアプリ全体でセッション、トークン、リフレッシュトークンなどすべてを取り消すことです。
「目標はすべてのモダリティとアプリケーションタイプにわたって、あらゆる場所でアクセスを取り消すことです」
リスクに関する対話を変えるユースケースはオフボーディングではありません。OktaにはIdentity Threat Protectionと呼ばれる製品があります。リアルタイムでアクティブな脅威、侵害された認証情報、異常な動作、潜在的な内部脅威を検出し、自動修復としてUniversal Logoutをトリガーできます。チケットでも手動プロセスでもありません。脅威が検出された瞬間に即座に包括的なセッション終了を実行します。
IT管理者の利便性ではなく、セキュリティ運用ツールです。
Samはアイデンティティコンサルタント時代の2つのエピソードで要点を強調しました。1つ目はグローバルな自動車メーカーの事例です。財務部門とB2B部門がセッション終了要件をベンダー選定基準に直接書き込んでいました。要件を満たせなかったSaaSベンダーは置き換えられ、18か月に及ぶ全面的なリプレースプロジェクトは単一のエンタープライズ契約をはるかに超えるコストがかかりました。
2つ目はヘルスケア業界の事例です。患者サービスポータルや医療情報ポータルへのアクセスにはHIPAAの義務や地域の規制リスクが伴いました。Samのチームは機能や価格ではなく、包括的なセッション終了を実証する能力によって契約を勝ち取りました。
「機能が存在したためベンダーとして選ばれたと何度も言われました」
スーパーパワーは単一の機能ではなくスタック
対話を通じて何度も立ち返ったのは、3つの機能のどれも単独では組み合わされた時ほど強力ではないということです。
OINはエンタープライズの扉を開く信頼のシグナルを提供します。Express Configurationは顧客が摩擦や設定ミスなく正しく扉を通過できるように支援します。Universal Logoutは問題が発生した際、そして最終的には常に何らかの問題が発生するものですが、製品がリアルタイムで対応できるようにします。
特定のスタックを複製するのが難しい理由は垂直統合にあります。アプリケーション側のAuth0。エンタープライズアイデンティティプロバイダー(IdP)側のOkta。結合組織としてのOIN。ほとんどのアイデンティティベンダーは一部を提供できます。システム全体を提供できるベンダーはごくわずかです。
Scottは次のように述べています。
- アイデンティティ戦略を早期に構築する
- ナビゲートを支援できるパートナーを見つける
- エンタープライズのバイヤーは後回しにしないため、後回しにしない
導入のしやすさは競争上の優位性です。アイデンティティの脅威をリアルタイムで修復できることは急速に必須条件になりつつあります。最初に到達した企業がエンタープライズを勝ち取ります。
Trust Stackの詳細についてはWhat the SaaSの完全なエピソードを聴いてください。
About the author
Sheena Allan
Product Manager