BtoBスタートアッププロダクト「KEEN Manager」のAuth0導入事例:セキュリティ強化とAzure AD連携を実現
KEEN株式会社 / 堀 福太郎
メンバー / フルスタックエンジニア / 従業員規模: 11名〜50名 / エンジニア組織: 10名以下
利用機能 | ツールの利用開始時期 | 事業形態 |
---|---|---|
ユーザー管理、RBAC、MFA、カスタマイズ可能な認証ページ等 | 2023年11月 | B to B |
導入の背景・解決したかった問題
導入背景
KEEN株式会社は、コミュニティの熱量を可視化し、スターを発掘するSaaSプロダクト「KEEN Manager」を提供しています。Auth0導入時には、数社にβ版を利用していただいていましたが、2024年3月の製品版リリースを目指し、以下のセキュリティおよび権限管理の観点から、アーキテクチャの改善を図りました(導入事例はこちら)。
セキュリティ強化 (ISMS取得の一環)
KEEN Managerでは、当時、製品導入のブロッカーとなっていた情報セキュリティマネジメントシステム(ISMS)の取得を目指しており、セキュリティ対策の強化が求められていました。既存のCognito認証からAuth0に移行することで、より高度なセキュリティ機能を導入し、ISMS取得に向けた要件を満たすことを目指しました。導入後、特にAuth0の多要素認証(MFA)や異常検知機能を活用することで、認証プロセス全体の安全性を大幅に向上させました。
Azure ADおよび他のSSO対応
Amazon Cognitoでは実現が難しかったAzure ADを使用したシングルサインオン(SSO)を実現するため、Auth0への移行を決定しました。Auth0はAzure ADを含む複数のSSOプロバイダーに対応しており、顧客の多様な認証ニーズに応えることが可能です。これにより、ユーザーエクスペリエンスの向上と認証プロセスの一元化を図りました。具体的には、Azure AD、Google Workspace、GitHubなどの主要なSSOプロバイダーとの統合をスムーズに行える環境が整いました。
権限管理とアクセス制御
特定のユーザーに対して、アプリケーション内のデータのダウンロードや編集、一部機能制限する必要がありました。Auth0のロールベースアクセス制御(RBAC)機能を利用することで、柔軟かつ詳細な権限管理が可能になり、セキュリティと運用効率の向上を実現しました。具体的には、ユーザーロールごとに異なるアクセス権限を設定し、重要なデータや機能へのアクセスを制限することができました。
AWS AppsyncとGraphQLの認証強化
KEEN Managerでは、AWS Appsyncを使用してGraphQL APIを提供しています。Auth0のOpenID Connect認証を利用することで、AWS Appsyncへの認証追加が容易になり、スムーズな移行を実現しました。これにより、統一された認証基盤のもとで、安全かつ効率的なデータアクセスを提供することができました。特に、Auth0のアクセストークンを用いることで、Amazon Cognitoからの移行がスムーズに行え、APIリクエストの認証が簡単に行えるようになりました。
このような背景から、Auth0への移行はセキュリティ、利便性、運用効率の向上に寄与し、KEEN Managerのシステム全体の強化を図る重要なステップとなりました。
比較検討したサービス
- Amazon Cognito (移行前サービス)
比較した軸
- Azure ADを使用したシングルサインオン(SSO)を実現できるかどうか
- ログイン画面をリッチにできるかどうか
選定理由
- Azure ADを使用したシングルサインオン(SSO)を実現できる
- 多様な認証プロバイダーとの統合をサポート
- Auth0はスタートアップ企業にとって導入の手軽さとコストパフォーマンスの観点
- AWSのSAからの紹介
導入の成果
どのような成果が得られたか
ISMSを取得したことで、スタートアッププロダクトとしての信頼性が向上しました。 また、SSOを実現することで、KEEN Manager導入時の障壁が1つ減少しました。 運用面では、新規のお客様環境の作成にかかる工数が減少し、お客様へのKEEN Manager環境の提供が迅速になりました。
導入時の苦労・悩み
- 適したSDKライブラリの選定に迷った。
- 当時、organization機能がリリースされたばかりで、招待を通じて新しいメンバーを作成する方法を理解するのに時間がかかった。
- BtoBアプリケーションとして、auth0のユーザーがログイン画面からアカウントを作成できないように規制する方法を見つけるのに苦労した。
導入に向けた社内への説明
上長・チームへの説明
当時、正社員のエンジニアは一名のみでした。スタートアップとして、利用ユーザや掲げたビジネスビジョンに対して迅速に提供価値を出す必要があったため、導入にあたり大きな障害はありませんでした。上司やチームからの要望として、ログイン画面をリッチにしたいという意見があり、そのカスタマイズ性について議論しました。
活用方法
よく使う機能
- Organization機能を利用したテナント(お客様のコミュニティ)ごとのメンバー権限管理機能
- Webアプリケーションのログイン画面機能
ツールの良い点
- 利用実績が多く、セキュリティ面でも信頼されている点
- 「ビジネスサイドからのあのサービスで実現できているリッチなログインを実現したいんだけど〜」に応えられるツール
- クイックスタートにあるサンプルコードが非常に充実しており、多くのフレームワークをカバーしている点。参考に手順を追っていくと、一旦動くことが確認できるのでとても助かりました。
ツールの課題点
- 高度なカスタマイズを行う場合、特にカスタムルールやフックの使用については学習コストが高くなることがあります。
今後の展望
Auth0を導入してから半年経過した現在、数ある機能の内、一部の機能しか活用できていないため、今後はAuth0の未使用の機能も活用することを検討していきたいと思います。そして、認証システム全体の効率化を図り、細かなオペレーションや顧客要望への対応、分析などに役立てたいと考えています。
KEEN株式会社 / 堀 福太郎
メンバー / フルスタックエンジニア / 従業員規模: 11名〜50名 / エンジニア組織: 10名以下
よく見られているレビュー
KEEN株式会社 / 堀 福太郎
メンバー / フルスタックエンジニア / 従業員規模: 11名〜50名 / エンジニア組織: 10名以下