はじめに

会社のIAMを持とうという話が上がったひとつの要因として、「今日日、社内にいないと仕事できないって意味わからん」っていう文句要望があったことが挙げられます。要するに、何らかの理由で社外にいる人にも会社のアプリを使わせたいという話です。一部、これらの要望をVPN製品で代替していたりもしますが、デバイスの多様化にはついてこれないですし、何より腰を据えないと使えないっていうのは、なかなか利用されづらい仕組みになると思っています。

ゆえに、社外にいるという状態の社員をちゃんと認証出来ているのであれば、~~いいかげんな~~寛容なアプリ（≒機密性のある情報をあまり含まないアプリ）は使えればいいのでは？いいでしょ！

今日やること

今日はそんな文句に応える実装の一例としてリスクベース認証という機能を使い、社内のユーザー、社外のユーザー双方の認証をするようなチェーンを実装します。

イメージはこんな感じです。

リスクベースってなに？

ググると、銀行のページがよくでてきますね！たとえば、イオン銀行さんのページを参照しますと、

件名：リスクベース認証とは何ですか。
お客さまがインターネットバンキングにログインした際のご利用環境を分析し普段のご利用環境と異なると判断した場合に、追加でお客さましか知らない情報の入力により、お客さまご本人であることを確認する仕組です。
第三者のなりすましによる不正利用を防ぐために導入しています。