大阪大学におけるUPKIとグリッド連携の取り組み
下條真司
情報通信研究機構／大阪大学

Osaka University

Cybermedia Center

背景
業務システムのオンライン化を控え、安全なシステム化が要求されている– 安全なデータ交換– 個人認証

従来のID
従来のID・パスワード認証による問題
・パスワード認証による問題– システムごとにシステムごとにID
ID・パスワードを記憶しなければならない
・パスワードを記憶しなければならない– （クラッキングなどの）パスワードの安全性

安全なユーザ認証システムが必要
PKIによる学内認証基盤
PKIによる学内認証基盤（キャンパスPKI（キャンパスPKI）の整備）の整備

馬場健一、岡村真吾、寺西裕一、秋山豊和、中野博隆、「大阪大学における学内認証基盤の構築」

2

Osaka University

Cybermedia Center

想定するアプリケーション例
WebシングルサインオンWeb
シングルサインオン– 教員基礎データシステム
教員の業績等を管理・公開– 学務情報システム
学生：履修登録や成績閲覧
教員：シラバスや成績入力– 経理システム（一部）– e-Learning– 図書館データベース

メールの暗号化・電子署名（S/MIME））
メールの暗号化・電子署名（S/MIME
計算機ログイン計算機
ログイン//グリッド
無線LAN
無線
LAN

計算機ログオン
馬場健一、岡村真吾、寺西裕一、秋山豊和、中野博隆、「大阪大学における学内認証基盤の構築」

Webシングルサインオン

メール暗号化・電子署名

3全学IT認証基盤システム

他大学、研究機関等

平成18年度整備対象
ディレクトリサービスを利用したパスワード認証との並行運用も想定

連携
LDAPサーバ

CA/RA
システム

組織間認証
連携

ディレクトリサービス

証明書
ＤＢ

属性情報管理パスワード管理
部局内
システム

属性に基づく認可

サーバ証明書・システム利用証明書発行

CMCアカデミック
ポータル

証明書
ＤＢ

個人証明書
発行
無線LAN
認証
サーバ

サイバーメディアセンター

教員
汎用
学務情報
基礎データ データベース
システム
システム
システム

既存システムカスタマイズ

証明書
レポジトリ グリッドシステム

大学内認証用
認証局

大学間連携用
認証局

Web
サーバ

無線LAN

Web
サーバ

シングルサインオン
機能

連携
認証状態の引継ぎ

個人認証

接続認証

非接触
アプリケーション
入退室管理

凡例

非接触認証

プリペイド、ポストペイド
非接触アプリケーションとの統合、連携も考慮

認証トークン（ICカード・USBキー）

平成18年度は一部教員・事務員への試験的な認証トークンの導入を予
定

新規導入
既存拡張
4

全学IT認証基盤システムの概要
 認証局（CA）はアウトソース– プライベート証明書（学内SSO認証用）とパブリック証明書（S/MIME用）の2種類を発行
シングル
サインオン
システム

CA
（ホスティング）

証明書情報、無効化情報
（ＣＲＬ）

RA

トライアル導入
シングルサインオン
エージェントディレクトリサーバ

証明書発行、失効、更新
アカウント発行、失効、属性更新

新規導入

各種
認証レポジトリ
ディレクトリ
統合管理
システム

要認証
Webシステム
電子証明書
による認証

配信

認証
登録
端末

ユーザ
端末
ICカード

ＣＳＶ

監視・管理
システム
事務登録局の情報

要ログイン認証システム
電子証明書またはユーザ
ID・パスワード
端末による認証

パブリック電子証明書
による
S/MIMEの利用
や電子署名

5

運用状況
 登録者（大学構成員）– 総数 36,000人•教職員 10,500人– 常勤教員 2,900人、常勤教員 2,500人、計5,400人– 非常勤教員 3,400人、非常勤職員 1,700人、計5,100人•学生 25,400人– 学部 16,200人– 大学院他 9,200人

ユーザ情報登録（変更）時の認証情報フロー
公開セグメント(スイッ チングネットワーク)

3. CSV手渡し（月1回）

 認証連携システム

パスワード忘れ対応は2.から
3. ActiveSync（日1回）

3. CSV手渡し（定期的）Strage– SSO連携
••
•
•
•
•
•
•
•
•
•

阪大ポータル
学務情報システム
教員基礎データ
WebCT
WebOCM
NetAcademy
技術Seeds検索システム
GCN
セミナー情報システム
工学研究科課題提出システム
・・・– ID連携••阪大ポータル
5. データ連携

Directory #1

技術Seeds検索システム
NetAcademy
WebOCM、など

SSO #1

IDM #1

DB #1

2. 登録
4. IDM連携

WebUI

5. データ連携 （10分おき）
1. 入力
（月1回）

1. 入力
5. ホーム振り出し
メールアカウント作成(1時間おき）連携セグメント(スイッ チングネットワーク)

汎用機 DEVIASODINSスイッチ

4. IDM連携

6. 配信

4. IDM連携
人事給与システム
全学AD

情報教育

CALL、図書館

外大

点線はオフラインまたは手動

全学無 線LAN
教育用計算機システム（情報教育用計算機、CALL、図書館端末）
実践 センター
全学ActiveDirectory（中之島センター、全学無線LAN、大学実践センター情報コンセント、工学部創造工学センター）

6

計算資源利用者のアカウント管理の自動化
Grid LDAP
利用者管理サーバ

利用者情報登録

計算資源用 CA
(NAREGI CA)

VOMSProxy証明書格納

アカウント登録MyProxy

VO情報

Kerberos
Domain Server（ADS）

計算機リソース
利用者証明書

PKI−Kerberos
ログオン認証Kerberos
Ticket
エンドユーザシングルサインオン

証明書管理サーバ
UMS

Proxy証明書取得

NAREGIポータル
WFT

PSE

アカウント登録
grid-mapfile登録

GVS
スーパーコンピュータ
Front-End

計算リソース
Grid VM Server7Last One Mile: グリッド登録機関の事業化• UPKIの成果を取り入れたNAREGIミドルウェアの拡張とNII+情報基盤センターによる事業化– MICSプロファイルに対応したグリッド認証局の運用• 運用局規定 (CP/CPS) の策定• NAREGI-CAのShibboleth
対応と既存認証局のアップデート– NII/NAREGI認証局– 阪大CMCグリッド認証局– NAREGIミドルウェアのShibboleth SP対応
– 既存の情報基盤センターの共同利用窓口がそのままグリッド登録局として機能
東田学

峯尾真一, “グリッドにおけるShibboleth活用 (案)”, 2009/01/07.

大阪大学における今後のシステム展開
課題：認証デバイス（ICカード）の全学展開
ID管理部門の設置検討
次期システムの導入（平成22年度）準備
UPKI構想、他大学認証基盤との連携
・全国大学共同電子認証基盤（UPKI）の構築事業
・国立情報学研究所が主導となり概算要求費獲得（平成18年度〜20年度）
・他大学認証基盤における電子証明書との本学電子証明書の相互利用連携
・UPKI構想における認証基盤との証明書相互利用連携
シングル
サインオン
システム
CA（ホスティング）

シングルサインオン
エージェントディレクトリサーバ
各種
認証レポジトリ

要認証
Webシステム

ディレクトリ
統合管理システム

RA

ユーザ
端末

ICカード

登録
端末

監視・管理
システム

要ログイン認証システム

認証にかかる研究開発
・大学間リソース相互利用基盤
・SSOプロキシ開発
・計算リソースID連携
・ICカードアプリケーション基盤
・権限委譲認可システム
・文書長期保存手法
・データセンタグリッド

ユーザ
端末

認証デバイス、各種証明証としてのICカード全学展開
学内共通データ連携基盤の整備
・人事情報、学生情報など学内データベースの構築および連携

馬場健一

・セキュリティデバイスとしての活用(PKI認証デバイス、入退室等)
・学生証、教職員証としての展開
・多様な学内サービスへの対応

9

“Death Valley Curve” for Grid Computing• “Grid Winter” を迎えようとしている･･･– ビジネス分野はあっさりと “Cloud Computing” へシフト
• 「The World needs only five computers」 by G. Papadopoulos,
Sun Microsystems– 日本はAll Japan体制で次世代スーパーコンへ• でも理研はVPNアクセスで十分と考えているらしい･･･– 次世代スーパーコンとの協業を視野に入れたCSI事業の継続が必要• 電子認証基盤• グリッド運用• ネットワーク関口 智嗣, “「グリッドの旬」の味わい-Grid World 2006総括-”, Grid World 2006.

Last One-more Mile: NAREGIミドルウェアの継続的な維持• オープンソース型の開発サイクルの立ち上げと統合試験環境との一体化によるライフサイクルの持続– NAREGIミドルウェアのエコシステムを確立

研究開発

利用成果

配備
運用
松岡 聡 , “次世代研究環境のNAREGIグリッドミドルコア技術–VO, β2, 管理運用を中心として-”, NAREGIシンポジウム2007.

“All Japan” のための体制づくり• これらを阪大サイバーメディアセンターだけが請け負うのではなく、ネットワーク運営・連携本部グリッド作業部会の下、NIIリサーチグリッド研究開発センターと情報基盤センター グリッドコンピューティング研究会が協業で

青柳 睦, “NAREGI育成組織構成 (案)”, 2008/11/09.

全学IT認証基盤システムのメリット／デメリット
良かった点 SSOの実現により利便性の向上– ユーザの利便性、システム管理者の利便性

 ユーザデータの一元管理– データ管理コストの低減とデータ再利用の可能性に道が開けた

 大学間での認証連携が構築されつつある– 大規模計算機や他のサービスの利用可能性– 次はPKIベースの連携

課題（悪かった点、改良すべき点）
 コストの問題– 開発費• Webサービスに独自のログインシステムを用いているなど、連携システムによっては思いの外SSO連携開発費が必要であった– ID、PKIにかかるコスト• 物理的、人的にも必要な、ID管理コスト、PKI発行コスト、認証デバイス（ICカード）コスト• 各システムでかかっていたコストを一点に集約すれば全体ではコストが大きく減らせるはずだが・・・・・

 認証に関する認識の低さ– ID、パスワードの悪用（1アカウントでさまざまなシステムが利用できることにより、留学生などアカウントを学外の友人に使わせるなどの問題が発覚）• 学外者の無線LAN利用、データベースの大量ダウンロード– 認証（PKI含む）の必要性が社会的にも浸透していない

 各大学で同様のシステムを利用しているはずなので、協調、連携して調達、あるいはシステム開発を進める体制作り

馬場健一

13