クライアントとサービス間の通信をセキュリティーで保護する一般的な方法の 1 つとして、クライアント証明書認証を使用することが挙げられます。 この用語は、クライアントとサーバーのワークフローを広く網羅しています。 たとえば、Web ページを要求するユーザーや、サーバー間通信で API に接続するバックエンド システムなどに使用できます。 PKI 証明書は、Web 通信の暗号化、コードとアプリケーションの署名、リモート システムへのユーザーの認証、または PGP (Pretty Good Privacy) などのパターンを介した個人間通信に使用できます。
クライアント証明書は、通常、企業の IT 組織によって維持または管理されている証明機関からユーザーに対して生成されます。 これらは、オペレーティング システム ストア、別のデバイス、または USB キーやスマート ID カードなどの他のストレージ メカニズムに格納されます。 複数の異なるコンピューターに接続して、ユーザーが異なる場所から認証できるようにすることができます。
ArcGIS システムでは、クライアント証明書の最も一般的な用途は、ユーザーが認証プロバイダーに認証を行うことです。 このワークフローの 2 つの主要な実装パターンについて、以下で説明します。
ArcGIS Enterprise では、Web 層認証とは、Web サーバーが ArcGIS Web Adaptor のインストールをホストして認証を確立するパターンを指します。 このパターンの一般的なフローには、次のものが含まれます。
このプロセスでは、クライアント証明書を ArcGIS Enterprise に送信したり、ArcGIS Enterprise がクライアント証明書を信頼したりする必要はありません。 ArcGIS コンポーネントとのパスワードの交換や検証は行われません。 クライアント証明書の認証プロセスの暗黙的な信頼によって、ユーザーにアクセスが許可されます。
このパターンは、最新の認証方法が導入されるにつれて、ますます人気が高まっています。 これは、クライアント証明書を使用して、SAML または OIDC ベースの IdP (ID プロバイダー) に対してユーザーを認証するプロセスです。 このパターンでは、ArcGIS Enterprise または ArcGIS Online とのクライアント証明書認証の操作は行われません。 このパターンでのワークフローは次のとおりです。
クライアント証明書ベースの認証のもう 1 つのパターンは、Web ブラウザーなどのソフトウェアを介した個々のユーザーのセッションではなく、サーバー側のコンポーネント、Web サービス、またはその他のプロセスから送信されるリクエストに関するものです。 このプロセスは、次のようなさまざまなワークフローで行われます。
これらのシナリオでは、サービスがバックエンド システムへの認証に使用するクライアント証明書を提供するために、構成を適用する必要があります。 さまざまな形式を使用したり、さまざまな方法で構成することができます。