Authentikとは？

どういうものか

Authentikはユーザーアカウントを保持し、他のアプリケーションのサインインを処理します。接続済みのアプリケーションを開くと、Authentikに送られてサインインし、Authentikがアプリケーションにその人が誰であるかを伝えます。そのために、シングルサインオンに対応するほとんどの業務Webアプリケーションが使っている標準規格である、OpenID Connect、OAuth 2.0、SAMLを使います。

セルフホスト型で、通常は1台のサーバー上のDockerコンテナ、またはKubernetesクラスタで動かします。管理者はWebインターフェースで設定します。フローは、パスワードの後に認証アプリのコードを求めるといった、サインインの手順を定義します。ポリシーは、どのグループがどのアプリケーションを開けるかを決めます。

シングルサインオンが企業にもたらすもの

• 1人につき1つのアカウント：スタッフは、ツールごとに別々のパスワードを持つ代わりに、1回サインインすれば済みます。
• アクセスを取り消す場所が1か所：人が退職したとき、そのアカウントを無効にすれば、接続されているすべてのアプリケーションが一度に閉じられます。
• MFAを1か所で：多要素サインインは、アプリケーションごとではなく、Authentikで1度設定します。

独自のログイン機能を持たないアプリケーション

社内ツールの中には、サインイン画面がないものや、保護が弱いものがあります。Authentikのプロキシアウトポストは、そうしたアプリケーションの手前に置かれ、リクエストが届く前にサインインを要求します。LDAPとRADIUSのアウトポストを使うと、一部のVPNサーバーなどの古いシステムが、同じアカウントに対してパスワードを確認できます。

Microsoftアカウントとの連携

Authentikは、別のディレクトリをアカウントの取得元として使えます。Microsoft 365を使っている企業は、スタッフがMicrosoft Entra IDのアカウントでAuthentikにサインインできるようにでき、その1つのIDで、Microsoftが対応していないアプリケーションにも到達できます。

AuthentikとKeycloak

Keycloakも、同じ中核的な役割を果たします。Authentikはより新しく、Webインターフェースで設計するフローを中心に作られており、プロキシアウトポストを備えています。Keycloakはより歴史が長く、カスタムアプリケーションにログインを追加するときによく選ばれます。Authentikのオープンソース版は無料で、Authentik Securityは、追加機能とサポートが付いたエンタープライズ版を販売しています。

KawaConnectとシングルサインオンの関わり

当社のID関連の業務は、Microsoft 365が中心です。Entra IDのアカウント、多要素認証、条件付きアクセスで、Microsoft 365ライセンスガイドで説明しているとおり、Entra ID P1が必要です。セルフホスト型のLinux、Docker、Kubernetesのサービスも運用し、カスタムソフトウェアも開発しています。シングルサインオンを使えば、それらのアプリケーションでも、Microsoft 365と同じアカウントとMFAのルールを使えます。

詳しく見る

• Authentikのドキュメントインストールガイドと、フロー、ポリシー、プロバイダー、アウトポストのリファレンス。
• AuthentikのWebサイトAuthentik Securityのサイト。オープンソースプロジェクトとエンタープライズ版を紹介しています。
• GitHubのAuthentikプロジェクトのソースコード、リリースノート、課題管理。