Bluetooth Special Interest Group（SIG）は、Bluetoothテクノロジーの開発とライセンス管理を担う標準化団体です。家電の最大手も含め、3万社を超える企業が加盟するこの団体は、さまざまな接続デバイスの統一と標準化、そしてイノベーションの推進を目指しています。私たちは、システムエンジニアリングディレクターのJeremy Syme氏とソフトウェア開発マネージャーのGuru Nagaraju氏に、アイデンティティプロバイダーとしてAuth0を選んだ理由を聞きました。

Bluetooth SIGは、15万人超のユーザーに対するコラボレーションの拡大、安全なアクセスの提供、組織コンプライアンスの徹底という課題に対処するため、最新のアイデンティティソリューションを必要としていました。同団体は、現在と将来のニーズに対応できる標準ベースの認証ソリューションを求めており、その要件を満たすものとしてOpenID ConnectとOAuth 2を採用しました。

セキュリティと認証は密接に関係しています。Bluetooth SIGにとって、安全なアクセスを確保することは、その活動の性質上、また加盟企業の要件という点でも、非常に重要でした。Auth0は、さまざまな方法でセキュリティを最優先にしています。すべての通信は暗号化され、パスワードはbcryptを使用してソルト化・ハッシュ化されており、サービスの可用性を確保するために攻撃防止策や軽減策が講じられています。

Bluetooth SIGが提供するさまざまなサービスへの、きめ細かいアクセスも必要でした。ユーザーには、所属組織に基づいて、会員レベルが割り当てられます。組織は、次の3つの会員レベルに分類されます。

• アドプター：基本レベルのメンバーシップで、組織はライセンスを取得して、製品でBluetoothテクノロジーを使用できます。
• アソシエイト：このレベルのメンバーシップでは、組織はBluetooth SIGのワーキンググループおよび仕様開発プロセスに参加できます。
• プロモーター：Bluetooth SIGを監督するメンバー企業であり、このレベルのメンバーシップの企業は、基本的にBluetooth SIGの取締役会の役割を果たします。

当然ながら、会員レベルが違うと、Bluetooth SIGのサービスに必要なアクセスレベルも異なります。たとえば、アドプターは承認された最新の仕様を閲覧するアクセスだけで十分ですが、アソシエイト会員は作業原案の作成に貢献し、未公開のドキュメントへの特権アクセスが与えられます。

Bluetooth標準は、Bluetooth SIG内のさまざまなワーキンググループによって定義されます。コンプライアンスを徹底し、法的責任を限定するため、高度にきめ細かな許可システムが必要でした。これは譲れない条件であり、チームが推奨するソリューションは、これらの役割を適用する既存のシステムと連携する必要がありました。

Bluetooth SIGには、すでに独自開発した認証ソリューションがあったものの、組織のニーズを満たしていませんでした。Jeremy Syme氏が率いるエンジニアリングチームは、最新の認証ソリューションをエコシステムに導入する時期だと判断しました。独自に構築するか購入するかを検討したところ、チームは購入が適切であるとすぐに判断しました。エンジニアリングチームには、別の内製ソリューションを構築して維持するためのリソースや専門知識がなかったため、さまざまなオプションを評価した結果、今後のアイデンティティおよび認証プロバイダーとして​Auth0を信頼することにしました。

Bluetooth SIGは当初、独自開発の単一のASP.NETアプリケーションからスタートしました。当時、Bluetooth SIGはWindows Formsをベースにした認証を使用して、ユーザーに安全なログインエクスペリエンスを提供していました。管理するアプリケーションが1つだけだったときはこれでうまくいきましたが、組織が成長し、追加のサービスが導入されるにつれて、このソリューションでは対応しきれないことが明らかになりました。

エンジニアリングチームが実装したかった最大の機能は、シングルサインオン（SSO）でした。これがなければ、独自開発のサービスとSaaSの両方で、認証システム、ワークフロー、ユーザーが異なることになります。これらすべてを管理するオーバーヘッドは非常に非現実的でした。独自の認証インフラストラクチャを維持し、セキュリティホールにパッチを当て、認証関連のバグを修正することに時間とリソースをとられ、Bluetooth SIGの使命の中核である機能の開発に集中できなくなります。

エンジニアリングチームは、自分たちの既存のソリューションで目標を達成できるかどうかを評価した結果、それは複雑な作業であり、長期的に見ても満足できるものではないことが判明しました。Bluetooth SIGが必要としていたのは、単なる認証システムではなく、アイデンティティ管理プラットフォームでした。

セキュアな認証だけでは十分ではなく、Bluetooth SIGのエンジニアは、最新のアイデンティティ管理システムが必要だと判断しました。まず、ソリューションを独自構築するか、既存のプロバイダーから購入またはライセンスを取得するか、あるいはオープンソースのソリューションを構成するかを検討しました。その結果、購入が最適であると全員が同意し、すぐに決定されました。

購入が決まると、エンジニアリングチームはオプションと製品の評価を始めました。評価基準には、技術的な基準だけでなく、ライセンスやサポートに関する考慮事項も含まれていました。最終的に、Auth0と競合一社の2社が、候補として特定されました。

チームは両社に連絡を取り、評価プロセスの一環として、Auth0と競合社の両方の機能を示す概念実証（PoC）が構築されました。競合製品にはOAuth 2機能がなく、Bluetooth SIGにとって理にかなわないライセンスモデルであったため、競合社は評価基準を満たすことができませんでした。Auth0は、技術、ライセンス、サポートのニーズを満たしていたため、Bluetooth SIGはAuth0を選びました。

Auth0はBluetooth SIGのアイデンティティプラットフォームとして選ばれました。Auth0が選ばれたのは、技術的な能力だけでなく、最先端のセキュリティ、質の高いドキュメント、優れた顧客サポートのほか、優れたライセンスモデルが同団体にとって最適であったためです。

Bluetooth SIGの投資収益率は、主に機会費用で測定されました。アイデンティティソリューションの構築と保守を担当するエンジニアの数だけ、同団体の本来の使命となるプロジェクトからエンジニアが離れることになるためです。

テクノロジー

技術面においては、Auth0はBluetooth SIGのニーズをすべて満たしていました。機能を備えていることはもちろん重要ですが、統合の容易さがエンジニアリングチームの判断において決定的な要因になりました。Bluetooth SIGにはすでに独自開発とSaaSのさまざまなアプリケーションがあり、Auth0の最新のアイデンティティソリューションは、コードを変更することなく、既存のテクノロジー上に実装されました。

Auth0を使用することで、チームは既存のレガシー実装にシングルサインオン（SSO）と最新の認証を統合することができました。そのおかげで、チームは既存のユーザーデータベースを使用できたため、パスワードのリセットやシステム停止などでメンバーを煩わせる必要はありませんでした。また、エンジニアリングチームは、無理なく実現でき、将来の計画にも沿った移行ロードマップを策定することができました。

セキュリティ

Bluetooth SIGは、セキュリティとアクセス管理の両方で絶対的に信頼できる認証ソリューションを必要としていました。セキュリティ面では、Auth0は暗号化、パスワードのハッシュ化、攻撃軽減をサポートするセキュアなクラウドベースのインフラストラクチャを提供することで、ニーズを満たしました。また、OpenID ConnectやOAuth 2といった標準規格に基づく認証プロトコルをサポートしているため、Bluetooth SIGがベンダーロックインに陥ることはありません。

Bluetooth SIGは、ユーザー向けの高度なきめ細かい許可システムを必要としていました。組織全体でさまざまなメンバーレベルとBluetooth仕様のさまざまな分野に特化したワーキンググループがあるため、アクセスコントロールを適切に管理することが重要でした。Bluetooth SIGにはすでに定義済みの許可システムがあり、Auth0はこれらの既存のロールと許可をシームレスに使用することができました。

ドキュメント

質の高いドキュメントは、Bluetooth SIGのエンジニアが学ぶために重要な役割を果たしました。認証とアイデンティティ管理はそれ自体が複雑なテーマですが、さまざまな標準規格や実装方法が加わることで、正しく理解し実装することは非常に困難な作業になる可能性があります。

Auth0は、クイックスタートチュートリアルと実際のコードサンプルを提供し、Bluetooth SIGチームがさまざまな機能や構成を迅速に構築・検証できるようにしました。ダウンロードして実行できる実際のコードサンプルは、すべての要素をどのように組み合わせるか、そして実際の実装がプラットフォームでどのように機能するかを理解する上で、重要な役割を果たしました。また、詳細なガイドとブログ投稿により、最適なセキュリティとパフォーマンスを実現するための方法や、ベストプラクティスに関する知識をさらに深めることができました。

ライセンス

Auth0のライセンスモデルは、Bluetooth SIGに最適でした。SaaS業界で一般的な、ユーザー数に基づいた月額料金ではなく、Auth0のライセンスモデルはアクティブな使用に基づいています。つまり、Auth0を利用する組織では、ユーザーが実際にログインした場合にのみコストが発生することになります。

Bluetooth SIGのメンバーの大多数は、アドプターカテゴリーに属しています。15万人のユーザーの大多数は、通常、年に数回だけログインして、Bluetooth SIGがリリースする最新のドキュメントや規格を入手します。この点を考えると、ユーザー数に応じたライセンスモデルは適切ではなく、アクティブなユーザー数に応じた料金の方がはるかに理にかなっていました。

サポート

Bluetooth SIGとAuth0は協力して、概念実証（PoC）およびショーケースプラットフォーム機能を開発しました。Auth0の採用が決定した後、カスタマーサクセスチームは質問や課題に対して迅速に対応し、課題は迅速かつ透明性をもって解決されました。

認証とユーザー管理をサードパーティに委託することに関して、経営陣が懸念していたことの1つは、予期しないダウンタイムでした。Auth0はインシデントとダウンタイムに関して透明性の高い対応をしてきた実績があるうえ、コミュニティへの啓発活動も行っていることから、経営陣はプラットフォームの重要な側面の1つを信頼できるサードパーティに安心して任せることができました。

Auth0は、Bluetooth SIGの現在のアイデンティティニーズを満たすだけでなく、将来のニーズにも対応できます。Bluetooth SIGは今後、より高度な制御を実現するために、多要素認証やOAuth 2のインプリシットフローといった強化されたセキュリティ機能の追加を検討しています。Auth0は、これらの両機能を標準でサポートしており、あらゆる段階でBluetooth SIGを支援していきます。

Bluetooth SIGは最終的に、ユーザーを既存のデータベースから移行し、OAuthおよびOpenID Connectに対応して、完全な標準ベースのインフラストラクチャへの移行を計画しています。この場合も、Auth0はBluetooth SIGの期待に応えるため、スムーズな移行を実現する包括的な移行ツールとサポートを提供していきます。

最新のアイデンティティと認証に対する技術的ニーズを満たすことは重要ですが、ツールを導入するだけでは十分ではありません。Bluetooth SIGとエンジニアリングチームは、認証を正しく実装する方法を明確に説明・提示し、開発者を教育するドキュメント、問題が発生した場合のサポートと透明性、公正なライセンスモデル、そして快適な開発者体験があったからこそ、Auth0を採用しました。