Authleteで実現した建設DXサービスの認証認可

ツール導入前の課題

弊社は建設生産プロセスのあらゆるデータをデジタル化することにより、安全性・生産性の高い現場を実現する建設業向けICTソリューション、Smart Construction®を提供しています。 このSmart Construction®は複数のWebアプリケーションとNativeアプリケーション、専用デバイスの組み込みシステムを含み、すべての建設生産プロセスをデジタル技術で最適化する世界を目指しています。

Smart Construction®では、共通Backend（プラットフォーム）がデータを保持し、APIを通じて各アプリケーションへ提供することで、データの一貫性を確保しています。同時に、プラットフォームは自身の持つAPIの認可サーバー兼、Smart Construction®の各アプリケーションのIdPとして利用されます。

当時このプラットフォームは社外で開発したシステムを使用していましたが、競争力向上のため内製化プロジェクトが発足しました。このとき、認証認可のシステムも最適化することとなり、ゼロベースで認証基盤のツールをIDaaSも含めて選定することから始めました。

どのような状態を目指していたか

弊社のプラットフォームの内製化プロジェクトでは、パフォーマンスやコスト面での競争力の向上だけでなく、すでにプラットフォームに依存しているアプリケーションとの互換性を担保することを重視していました。認証基盤はSmart Construction®のすべてのアプリケーションが利用するプラットフォームの重要な機能の一つだったので、提供済みの機能を維持したまま最適化することを目指しました。

• Auth0:
  • 柔軟なカスタマイズが可能で、OAuth 2.0やSSO、MFAに対応。
• Cognito:
  • AWSとの親和性が高く、ユーザープールやフェデレーション認証を提供。
• Identity Platform:
  • Google Cloud統合向けで、SAML/OIDC対応の認証・ユーザー管理を提供。

比較した項目は下記のとおりです。特に最初の2点を重要視しました。

• すでにサービスを提供していたので、現行で提供している認証認可方法が網羅されていること
  • Authorization Code Grant
  • Authorization Code Grant with OAuth PKCE
  • Client Credentials Grant
  • Client Credentials Grant with JWT Bearer Token Client asertion
  • Token Exchange
• 将来の拡張性を残すため、カスタマイズの余地を残していること
  • APIの拡張性（独自エンドポイントを追加できるか）
  • カスタムポリシーやルールの適用範囲（例：カスタム認可ロジック、動的な権限管理）
• 開発のリファレンスが充実しており、実装が平易であること
  • チュートリアルやサンプルコードの有無
  • SDKやライブラリの提供状況（言語ごとの対応：Go, Python, Node.jsなど）
• 構築、運用コストが低いこと
  • 初期導入費用、月額・従量課金の違い
  • スケールに応じたコスト変動（ユーザー数やAPIリクエスト数による影響）
• SLA
  • 可用性

比較軸をもとに各サービスを評価したところ、Authleteはすべての項目で最も高い評価を得たわけではありませんでした。特に開発リファレンスの充実の点でAuthleteは他サービスより低い評価でした。

しかし、現行システムの機能に合わせると他サービスでも独自実装が必要な点が多く、リファレンスの充実度よりも、個別対応の柔軟性が高く、要件に合わせたサポートを受けられる点が当社の要件に合致すると判断しました。むしろ、他サービスは運用に入った後のサービス利用料がネックになり得ることも予想されました。

個別サポートの充実に加え、Authleteが当社のニーズに合わせたカスタマイズの提案を行ってくれたことや、アクセストークンの柔軟性・拡張性の高さも評価し、最終的にAuthleteを選定しました。

改善したかった課題はどれくらい解決されたか

すでに利用中の機能はすべて網羅できました。

特に、一般的に文字列を受け付けるトークンのclaimでリストを受け付ける必要があるケースではAuthlete側にマイナーバージョンを提供して頂きました。

どのような成果が得られたか

切り替えに際しても、認証認可システムが起因となる問題は発生せず、円滑に移行できました。

拡張性を維持するトレードオフとして、社内で開発が必要な領域も増えました。ただこの点は前述の通り、他サービスを選んだ場合でも独自実装が必要だった可能性が高いです。 一方で手の届かないポイントはAuthlete側も柔軟に対応いただいたので無事現行システムの機能を網羅できました。

OAuthやOIDCの標準仕様外の要件がある場合でも、Authleteに相談することで対応可能なケースがあります。

内製化で蓄積したナレッジを元に、Smart Construction®アプリケーションの認証認可の標準化も進めたいです。