hiroko-nakano

Regional Marketing Manager

Hiroko Nakano

BtoB向けサービスやSaaSを開発されている方々の認証・認可の悩み… 例えば、

* 顧客企業ごとに柔軟な初期設定登録やユーザー登録をしたい
* 顧客企業ごとに異なるログイン画面デザインを設定したい
* 顧客企業ごとに異なるセキュリティ設定をしたい
* 顧客企業の管理者や一般ユーザーなどのロール設定がしたい
* 顧客企業のID基盤への認証連携を簡単に行いたい


 
こんな悩みが解決できれば、認証機能に煩わされずに本来のコア業務の開発に注力できると思いませんか？

そこで、2021年5月26日にAuth0株式会社が主催する「BtoB/SaaSビジネスのためのAuth0認証ウィビナー」を開催しました。

ここでは、当日行われたウェビナーのプレゼンテーションの内容をサマリーする形で、ブログとしてお届けしたいと思います。

ご参加頂いた皆様には、是非、当日を振り返っていただき、残念ながらご参加頂けなかった皆様は、本ブログを通じてウェビナーの概要をご体感いただければと思います。

なお実際のウェビナーでは、プレゼンテーションだけでなく、デモンストレーションやライセンスプラン（料金体系）の説明も行いました。本ブログでは、プレゼンの内容だけをご紹介しておりますので、ご興味をお持ちになられた方はぜひ今後のウェビナーにご参加ください！

## SaaSビジネスにおける「サブスクリプション」と従来の「定期購読」の違いとは？

言葉としては、ほぼ同様に思える「サブスクリプション」と「定期購読」ですが、まずその違いについて着目してみましょう。

雑誌購読に代表されるような“旧来型の定期購読”は、定常的にサービスを提供し、その対価を費用として受け取ります。費用はコストに利益を上乗せしたもので、場合により期間に応じた割引も発生します。そして、得られた利益に応じて、また次のサービス（例えば、次回の雑誌）を提供するというサイクルになります。定期的に売り上げが発生するため、業種やサービスに関わらず、この形態が増加しています。最近では携帯電話、車両などについても、同様の形態が適用されるケースが見られるようになってきています。

一方、**<span style="text-decoration: underline">SaaSビジネス（SaaS時代）におけるサブスクリプションは、継続的に改善を行うという点が大きな特徴</span>** と言えます。ずっと同じ内容を提供するのではなく、次第に新機能が追加されたり、使い勝手が良くなったりするなど、サービスが向上していきます。これに利用するお客様が満足し、費用を払い続けてくれ、さらにそれがサービスの改善に繋がるという循環が生まれます。

![SaaS 01](https://images.ctfassets.net/23aumh6u8s0i/2tDGN4wh74YAgVCeIZ30y7/b55d1416817bdf602972c5a0d755732b/2021-05-26-Blog-Image1.jpg)

![SaaS 02](https://images.ctfassets.net/23aumh6u8s0i/4G8Ca3ZL4gJl9meGlwYkBS/00ea0e5349ac176279c49e04b86d0477/2021-05-26-Blog-Image2.jpg)

旧来の定期購読との大きな違いは、**<span style="text-decoration: underline">ソフトウェアビジネスであるSaaSの場合には「限界費用」を下げることができる点</span>** です。物理的な雑誌などの定期購読では困難ですが、SaaSでは、より多数の顧客に使ってもらうことによって、1人あたりのコストを下げることが可能です。そして得られた利益をサービスの改善にあてることで、全てのお客様により高い価値を還元することができます。

## サービス価値は？そして自前のリソースでどこを作るべきか？

次に、皆様が提供するサービス価値は、どこにあるのかという点について触れます。

今までには無かったようなサービス、また海外で提供されているサービスからヒントを得て、より日本人に馴染むサービスを自社開発して提供するといったケースもあるでしょう。後者の場合、日本人に合致した使い勝手や商習慣への対応などがサービス価値となります。そして、このサービス価値を継続的に改善し続けることがお客の成功に繋がり、さらには継続利用や新規顧客の獲得に繋がるのです。

このサイクルをできるだけ早く、またサービスの規模を大きくしていくためには、**<span style="text-decoration: underline">「自前のリソースでどこを作るのか」という点が重要</span>**になってきます。

過去を振り返ると、サービス提供に先立ち、例えばデータセンターを自前で借り、関連機器を自らベンターと価格交渉して購入して設置し、さらに自前でOSのインストールをするといった対応が必要でした。外部に支払う費用は節約できるように思われますが、ここで考えたいのは「そこが貴社のサービスとしての価値ですか？」という点です。おそらく、そうではないはずです。

その後、クラウドのインフラが提供されるようになると、サービス提供までの速度を優先して、自前でなく、クラウドサービスを使用するという流れが加速します。自前のリソースを注ぎ込むべき皆様のサービスと、それ以外を分け、真のサービス価値に繋がる部分以外については、速度を優先してできる限り社外に依頼したり、外部のサービスを利用することが求められるようになってきています。

Auth0では、**<span style="text-decoration: underline">ID管理も、このような外部のサービスを利用すべき対象の１つである</span>**と考えており、会社のミッションも「**<span style="text-decoration: underline">世界中のIDを守り、イノベーターがイノベーションを起こせるようにする</span>**」と定義しています。皆様には、自社のサービス価値となる部分をなるべく速く、大きくして、皆様のお客様に満足いただく。こうしてカスタマーサクセスを達成して、売り上げを達成し、それをさらにサービス価値を高めるために投下いただきたいと考えています。これが私達Auth０から皆様へのメッセージとなります。

## Auth0 の概要

Auth0は、Webサービスやアプリケーションに安全で使いやすい認証認可のサービスを提供する会社であり、ID管理、認証/認可に特化して、専業でビジネスを展開。現在、全世界で5.5億以上のIDを管理しており、月間40億以上のログイン処理を行っています。稼働率/SLAについては、99.99%を保証しています。

機能については、ID管理に関わるフル機能をノーコード/ローコードで提供。なるべく設定のみで実現できるようにすることで、導入や保守の効率をアップすることができます。さらに信頼性の面でも各種標準に則り、運用体制についても各種コンプライアンスを取得しており、安心してご利用いただけます。

![Auth０](https://images.ctfassets.net/23aumh6u8s0i/1doIk4SrkBA0gjSUmTySKG/f133dfe3b49b8a18cfb43c4828232685/2021-05-26-Blog-Image3.jpg)

導入実績も豊富です。現在、Auth0は以下に示すように業界を問わず、全世界で10,000社以上のお客様にご利用いただいております。

![Auth０](https://images.ctfassets.net/23aumh6u8s0i/YRbLN0Ead5DPRsOYUPD72/005011e5ba77bcc63eacbad6cc746036/2021-05-26-Blog-Image4.png)

国内についても、例えば経済産業省様、中部電力様、コープさっぽろ様や、SaaSビジネスを展開するKONICA MINOLTA様、GVA TECH様、LegalForce様など、数多くの著名な企業様がAuth0を活用されています。Auth0のお客様導入事例については、[こちら](https://info.auth0.com/customer-japan.html)で詳細をご覧ください。

## Auth0 vs 自社開発

自社開発と比較して、Auth0にはどんなメリットがあるかという点ですが、ご利用いただいたお客様の8割が、5日程度でID基盤の設定を完了しています。自社開発については「ユーザー登録に2日、パスワード認証機能構築に3日の合計5日程度」という発言も耳にします。しかし、実際にID基盤として考えると、これだけでは済まなくて、こちらに示すように数々の対応内容があり、これらを含めれば、とても5日間では完了できないことは明らかです。

![Auth０ vs 自社開発](https://images.ctfassets.net/23aumh6u8s0i/701o9T3Q0yWug2Ol554xsN/f1861060f99ede315692902d2a4d3438/2021-05-26-Blog-Image5.jpg)

このような実態に関するレポートとして、Auth0では日本語のホワイトペーパを提供しています。日本語ホワイトペーパ：「アイデンティティ プロジェクト調査: 過去の失敗から学べる多くのこと」については、

[こちら](https://auth0.com/resources/whitepapers/jp-mistakes-survey-auth0)からダウンロードください。これらの調査結果も含め、なかなか自社で対応するのが難しいと言われるのが「不正アクセス対策」です。

## 不正アクセス対策

不正アクセスには、いわゆるDoS攻撃や脆弱性を狙った攻撃があり、対策としてはWAFを導入したり、第三者による脆弱性診断を受けるといったものがありますが、最近は特にIDを標的とした攻撃が増えており、この中には、例えばログインを狙った「総当り攻撃」や「リスト型攻撃」などがあります。この背景には、攻撃者にとってのメリットの大きさがあると思われます。一旦、ログインされてしまうと、不正な課金が行われたり、ログイン情報が販売されるなどの被害が発生し、これは個人情報漏洩に関連する問題の8割に達しているという調査結果もあります。

Auth0では、このような不正アクセスなどを含むさまざまな攻撃に対して、多層的に防御を行うことができます。この中には、「ボット検知」「大量登録・総当り検知」「リスト型攻撃検知」「多要素認証」などがあります。

![不正アクセス対策](https://images.ctfassets.net/23aumh6u8s0i/1ENLiOEesjPHQS4NAshbmp/949ca65350da63eb3558f0d43a23eacb/2021-05-26-Blog-Image6.jpg)

Auth0のセキュリティ観点は、従来型のセキュリティソリューションの観点とは大きく異なっています。

従来型は、セキュリティは守りますが、使いづらい画一的なものとなっています。一方、Auth0の場合には、入り口だけでなく継続的にリスクを計測してセキュリティを確保。さらに、セキュリティリスクが高いと思われるユーザーについて、必要に応じてユーザーの協力を求め、追加の確認を取るといった機能も用意されています。つまり**<span style="text-decoration: underline">UX（ユーザーエクスペリエンス）を損なわない形でサービスを使って頂きながら、セキュリティを確保することが可能</span>**となるのです。

![Auth0](https://images.ctfassets.net/23aumh6u8s0i/1wxQyeEm67QzM5QIudmYst/2c4089ec71bd7f4d45fdfd69c07d9e4b/2021-05-26-Blog-Image7.jpg)

## 最後に

ウェビナーは、プレゼンテーション、デモ、そしてランセンスプラン（料金体系）の説明の後に、質疑応答を行いました。参加者の皆様の関心の高さが垣間見られたのが、最後の質疑応答で、デモの中でご紹介した新機能のOrganization（組織）に関連した複数の内容を含む、多数のご質問をお寄せいただきました。今後も定期的にウェビナーを開催して参りますので、ご興味を持っていただいた方はぜひご参加ください。ウェビナーの開催についてのお問い合わせは、下記のメールアドレスまでお気軽にご連絡ください。

![最後に](https://images.ctfassets.net/23aumh6u8s0i/6j7XMIHJJ1dc7fdwrMspZ4/9e1090bc337794fe87bcc96e6aa7418b/2021-05-26-Blog-Image8.jpg)

<include src="asides/AboutAuth0Jp" />

「BtoB/SaaSビジネスのためのAuth0認証ウェビナー」聴講レポート

2021年4月10日、Developer eXperience Day（CTO/VPoE Conference 2021）がオンライン形式で開催されました。

ビジネスや政治の世界においてもDX（デジタルトランスフォーメーション）の重要性が叫ばれる中、特に開発者視点からDXを捉えたこのイベントは、平井 卓也 デジタル改革担当大臣によるオープニングセッションを皮切りに、ゲストスピーカーを含む計30セッションが展開され、2,000名におよぶ聴講者が参加する盛況なものとなりました。

本ブログでは、イベントセッションStream Bで実施された、アサヒグループホールディングス株式会社 日本統括本部 システム統括部 マネージャーの清水博氏によるAuth0導入事例紹介「新しい境界線をIDaaSで再定義する － 誰もが安全にアクセスできるために」のご講演内容を、聴講レポートとしてご紹介させていただきます。

## アサヒグループの紹介：
急激にグローバル化が進行するアサヒグループ
酒類事業（アサヒビール株式会社等）、飲料事業（アサヒ飲料株式会社等）、食品事業（アサヒグループ食品株式会社等）、さらに国際事業などを展開する146社におよぶ連結子会社を擁するアサヒグループホールディングス株式会社をコアとするアサヒグループは、「期待を超えるおいしさ、楽しい生活文化の創造（Deliver on our great taste promise and bring more fun to life）」をミッションに掲げ、日本、欧州、豪州の3つの地域を中心に、生活に関わる消費財を提供するグローバル企業です。

グループの特徴について清水氏は、「2020年の段階でアサヒグループ全体の売り上げは、約2兆3千億円に達していますが、日本を除いた海外での売り上げがその4割に迫る勢いであり、急激にグローバル化が進んでいる状況です。また、全社3万2～3千人の中で、1万6千人を超える社員が日本国籍を有していないという構成になっています。私見では、今後5年ぐらいの内に、英語がグループの公用語となるのではないかと考えています」と話していました。

さらに、「今回のテーマである認証・認可について考えると、アサヒグループは、日本だけではなく、様々な国からのアクセスをコントロールする必要があり、このグルーバル化という流れも、私達がAuth0とお付き合いする１つのきっかけになったと考えています」と強調します。

## Auth0にたどり着くまで：
巨大グループのIT環境が抱える様々な課題
昨今、DXというキーワードに象徴されるようにデジタル化が加速する中、アサヒグループでも最先端のデジタルテクノロジーを取り入れ、新商品の開発や新たな働き方の創造に活かしていこうという機運が高まってきました。

しかし一方で、その長い歴史や巨大な企業規模に伴って発生する課題も少なくありませんでした。
「アサヒグループは、130年以上の歴史を持つ企業であるため、未だ紙文化も点在し、また古いIT資産も数多く存在します。システム環境はオンプレミスが主体で、約400におよぶアプリケーションの内、現在もまだ9割以上がオンプレミス環境で稼動しているため、社員を含めた誰もが安全にアクセスできるという形態には、ほど遠い状況でした」と清水氏は話します。

<table>
<tbody>
<tr>
<td><strong>アサヒグループのIT環境が抱える課題</strong></td>
</tr>
<tr>
<td>
<p> - AzureADをID基盤として利用、IPフィルタリングにより社外からのアクセスが制限 </p>
<p> - アプリケーションSSO方式が個別最適化されている</p>
<p> - API認証がAPIキーとIPフィルタリングでの実装となっている </p>
<p> - SSOを実装できているが、トークン検証は行っていない </p>
<p> - アプリの形態ごとに適切な認証/認可方式が定まっていない </p>
<p> - ユーザーのシステム利用状況が把握できていない </p>
</td>
</tr>
</tbody>
</table>
※清水氏の講演資料より

## 認証・認可の考え方が混在
また、認証と認可の違いを明確に把握していなかったという問題もありました。
「相手が誰かということから、アクセス対象を決めていました。つまり私、清水であれば、どんなアプリケーションへのアクセスを許可するかという形で、認証と認可が混在している状況でした。オープンな認証・認可の世界に進むためには、Auth0でも明確に定義されているように、認証と認可をしっかり分離する必要があり、この概念を持っていなければいけないというという考えに、私達もたどり着きました」（清水氏）。

しかし、認証・認可とセキュリティは表裏一体の関係で、どうしても相反する状態にあり、どこから着手すべきか、という点についても正直、分からなかったと清水氏は回想します。アサヒグループはメーカーであるため、飲料や食品を作るプロは数多く在籍しますが、ITのプロという立場の社員は存在しない状況でした。清水氏は「私達だけで認証・認可について理解することは困難であり、同時に技術追随が非常に重要だと痛感しました」と話します。

## オープンな認証プロキシとしてのAuth0
認証・認可のベストプラクティスは存在しないのではないか？という疑問さえ抱えてしまったアサヒグループですが、そのベストプラクティスを探し求める過程で、１つの考え方が浮上します。「社内でID管理に使用しているAzureADやActive Directoryなどではなく、何らかのオープンな認証プロキシが必要であるという考えに至りました。これを活用することで、私達だけではなく、取引先や得意先、最終的には消費者による接続においても、同様のセキュリティポリシーを適用できるようになるものです」（清水氏）。

こうして認証プロキシとなるIDaaSを検討する中、浮上したのがAuth0でした。アサヒグループでは、他社も含めた評価を実施し、熟慮の上Auth0の採用を決定しました。なお実施にAuth0採用の決め手となったポイントについては、清水氏の講演の進行と同様、最後にご紹介したいと思います。

アサヒモダナイズアーキのご紹介とAuth0のロードマップ
2027年に向けたアーキテクチャの変遷
「アサヒグループでは、2027年までに現状のデータセンターを含めて、全てのITアーキテクチャを刷新するという計画があります。その中で、図に示すように様々な新しいサービスを導入していきますが、上段に存在するのがモダンアーキテクチャレイヤーで、全てがパブリッククラウド上に実装されており、SaaS、PaaS、さらにIaaSなども対象になります。一方、下段はレガシーアーキテクチャレイヤーで、完全撤廃するまで存在するオンプレミスのレガシーなアプリケーションレイヤーです。そして中段にあるのが、Auth0を含む抽象化レイヤーで、認証・認可にあたって、オンプレミスのプライベート領域および、パブリック領域に対して共通のポリシーを適用します」（清水氏）。

![diagram](https://images.ctfassets.net/23aumh6u8s0i/4faLo1t3F5AJ4m6qHF9MDV/9831fc678ac347fa0f9b285d94a35c8f/image1.png)
<p align="center"> ※清水氏の講演資料より</p>


### ロードマップ：現在
認証プロキシに関連したロードマップについて見ていくと、現在はSalesforceやOffice365などパブリックに存在するサービスに対して、認証基盤であるAuth0を適用するための構築作業を進めている段階になります。

### ロードマップ：来年以降
来年以降は、社員や得意先以外の一般消費者に対する外部認証という領域についても実装を行う予定となっています。例えばキャンペーンや会員サイトといったアサヒのサービスに対しても、外部のidp経由でアクセスできるようにします。

### ロードマップ：将来
2027年に向かう過程では、当初、レガシーなオンプレミス環境も混在する状況が続きますが、2024～2025年ぐらいには、全体が非常にシンプルな構成になり、アサヒのプライベートネットワークの外にidpが存在し、Auth0を中心としたオープンな認証プロキシを経由してサービスを利用するようになります。またこれにより、現状のような会社支給の端末ではなく、様々な端末を自由に使用できるようになる見込みです。そして、ほとんどのデータがクラウド環境に置かれるようになり、最終的に現在のアサヒのプライベートネットワークは廃止される見込みです。

この段階での利用形態について清水氏は「社員であればAuth0経緯でネットワークに入ってアプリケーションにアクセスし、取引先や一般消費者の場合には、Lineなどの外部のidpを使ってAuth0に認証・認可のリクエストを行い、対象アプリケーションにアクセスするといったアーキテクチャを私達は考えています」と話します。

## まとめ：なぜAuth0に決めたのか
提供機能よりもビジョンを重視
最後に清水氏は、なぜ認証プロキシとしてAuth0を選んだのかという点に触れ、次のように話します。「ここ数年のガートナーのマジッククアドラントの『アクセスマネジメント』分野を見ると、Auth0はチャレンジャーと位置付けられています。しかし、自社の経営会議で経営層に説明する際、私達は『未来のリーダーはAuth0になるだろう』と説明したことを憶えています」

また、Auth0を選択する際には、〇、×、△を使った他社との比較は意味を持たなかったと強調します。「もちろん、各種ライブラリの完備や実装コスト、さらに実装の容易さなども評価のポイントにはなりましたが、それ以上にAuth0のビジョンや将来性について、非常に際立ったものを感じ、高く評価しました。私達が考えている今後のグローバルな進め方や、対消費者における様々なアクセスコントロールの考え方と、Auth0の考え方が一致したという点が最も重要でした」

そして最後に清水氏は「皆様もAuth0を検討する際には、Auth0がどこを目指しているサービスなのかという点に注目いただくと、非常に参考になるのではないかなと思います」と話し、今回の講演を締めくくりました。

アサヒグループホールディングス株式会社 日本統括本部 システム統括部 マネージャーの清水博氏の講演内容をレポートさせていただきましたが、いかがだったでしょうか。

今回の導入事例には、多くの企業が直面している、または今後遭遇する可能性のある課題が明確に示されています。特にグローバル企業や長い歴史を持つ企業の皆様であれば、決して“対岸の火事”とは言えない切実な課題と、その解決の糸口が垣間見られたのではないかと思います。

今回ご紹介したアサヒグループ様の取り組みが、皆様が抱える課題解決への一助となれば幸いです。

なお、Developer eXperience Conferenceでの弊社Auth0のセッション「認証はAuth0にお任せください！Auth0のご紹介とアサヒグループとLegalForceのAuth0活用事例」資料は、下記のサイトからダウンロードいただけます。Auth0のご紹介と料金体系、またアサヒグループとLegalForceの事例資料が含まれておりますので、ぜひご利用ください。
資料ダウンロードはこちら→ [https://info.auth0.com/jp-dx-2021](https://info.auth0.com/jp-dx-2021.html)

新しい境界線をIDaaSで再定義する －  誰もが安全にアクセスできるために



みなさんは、初めてプログラミングをした日のことを覚えていますか？

「hello world」というたった2単語が表示されただけで、今まで味わったことのない感動とワクワク感に包まれた瞬間を、覚えていますか？

子どもの頃の感覚は敏感で、一日の時間が長かった。そんな時期に「認証」について知って、手を動かして楽しんでほしいという想いから、Auth0では夏休みチャリティイベントとして「親子でチャレンジ！Auth0認証プログラミング教室」を2020年8月15日（土）に開催しました。


コロナ禍の状況の中、大人だけでなく子どもたちもオンラインのサービスに触れる機会が増えており、各種サービスを利用する際のIDやパスワードの扱い方がより重要になってきています。

そこで、イベントの始めに、一般社団法人OpenIDファウンデーション・ジャパン 理事 富士榮 尚寛氏にお願いして、「ネット上の分身と認証」という内容で中学生向けにお話いただきました。

ご講演の様子は、録画をYouTubeにアップしましたのでぜひご覧ください。ID/パスワード（アイデンティティ）を「ネット上の分身」にたとえて、わかりやすくご説明くださいました。

<AmpContent>
<amp-youtube
    data-videoid="j0BI5Vhuqoc"
    layout="responsive"
    width="315" height="560">
</amp-youtube>

</AmpContent>

<NonAmpContent>

<iframe width="560" height="315" src="https://www.youtube.com/embed/j0BI5Vhuqoc" frameborder="0" allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen></iframe>

</NonAmpContent>

次に、いよいよ認証プログラミングにチャレンジしました。

今回はオンラインコーディング環境のRepl.itを使い、サンプルアプリにAuth0で認証を付けるという課題でした。

まずはAuth0とRepl.itに無料アカウントを作るところから開始して、アプリケーションを設定、トップページを編集、アプリにログインをできるようにしてみるという流れで取り組みました。

その後、ログイン画面に好きな画像を設定したり、プロフィール画面を変更したりしました。

中学生のみなさんが、真剣に取り組む表情が印象的でした。ご参加された中学生のみなさま、無事に時間内に課題を終えていらっしゃったので、運営者一同、「いまどきの中学生ってすごい！」というのが、１番の感想でした。

最後に記念撮影！はい、チーズ！

![JP-Summer-School-Photo](https://images.ctfassets.net/23aumh6u8s0i/1BaIyy2SyEVnkpVDhJvN4N/9f40c34d49f7f66dde629b1e9dd4e721/20200815-jp-summer-school-photo)

最後になりますが、ご参加いただきました皆様、そしてAuth0アンバサダーとして快くご協力くださいました 富士榮様、森川様、本当にありがとうございました。

---


Hiroko Nakano

「BtoB/SaaSビジネスのためのAuth0認証ウェビナー」聴講レポート

新しい境界線をIDaaSで再定義する－誰もが安全にアクセスできるために

【夏休みチャリティイベント】親子でチャレンジ！Auth0認証プログラミング教室を開催

Try for free today

Hiroko Nakano

「BtoB/SaaSビジネスのためのAuth0認証ウェビナー」聴講レポート

新しい境界線をIDaaSで再定義する － 誰もが安全にアクセスできるために

【夏休みチャリティイベント】親子でチャレンジ！Auth0認証プログラミング教室を開催

Try for free today

新しい境界線をIDaaSで再定義する－誰もが安全にアクセスできるために