学術認証フェデレーション試行運用参加説明会

2009年8月5日

参加のためのサーバの構築と運用の方法について
国立情報学研究所
片岡 俊幸

学術認証フェデレーション
学術認証フェデレーションの構成
運用フェデレーション
利用

利用

IdP
（大学）

IdP
（大学）
実アカウント

SPSP（大学、商用）（大学、商用）実アカウント

テストフェデレーション① テストフェデ
レーションで事前接続テストを実施。
②事前接続テス
ト完了後に、運用フェデレーションに接続する。

接続テスト

テストIdP
（大学）

接続テスト

テストSP
（大学、商用）

テスト
アカウント

2

運用フェデレーション
運用フェデレーション（UPKI-Fed）のシステム構成

リポジトリ(upki-repo.nii.ac.jp)

UPKI オープン
ドメイン認証局

DS（ディスカバリ・サービス）(upki-ds.nii.ac.jp)

運用フェデレーション
メタデータ
表示

IdP
（大学）

SP
認証（大学、商用）
アクセス選択3

テスト・フェデレーション
テスト・フェデレーション（UPKI-Test-Fed）のシステム構成

リポジトリ(upki-repo.nii.ac.jp)

TEST-DS(upki-test-ds.nii.ac.jp)

テストフェデレーション
メタデータ(upki-test-sp00.nii.ac.jp)

TEST-SP01(upki-test-sp01.nii.ac.jp)

TEST-SP02

接続テスト

UPKI オープン
ドメイン認証局

TEST-SP00(upki-test-sp02.nii.ac.jp)

受信属性の表示

テストIdP（大学）

テストSP（大学、商用）4

フェデレーション・ポリシー
学術認証フェデレーションでは、下記のポリシーを定めています。
試行運用への参加にあたっては、ポリシーの遵守をお願い致します。
※ Web掲載場所： UPKIイニシアティブ 「学術認証フェデレーション」−「参加」
https://upki-portal.nii.ac.jp/docs/fed/join

UPKI認証フェデレーション試行運用実施要領
システム運用基準ドラフト
属性情報一覧
・ システム運用基準は、現在ドラフトであり、試行運用を実践しながらブラッシュアップを行い、システム運用基準V1.0策定を目指しています。
そのため、各参加機関の状況、視点から様々なご意見をお伺い、また、一緒に協議しながら策定していく予定です。
・ テストフェデレーションでは、できる限り本ポリシーの遵守をお願い致しますが、各システム、および、アカウント等がテスト用であることから、必ずしも全てを遵守する必要はありません。
5

IdP／SPの構築と参加フロー
IdP

構築
・VMイメージ利用
・貴学で構築

サーバ
証明書
設置
発行
申込

発行
申請

学術認証
フェデレーション

構築

サーバ
証明書
発行

メタデータ

接続
テスト

運用フェデ
レーションへの接続

運用

参加申請、
設置申請

設置
申込
メタ
データ

テストフェデ
レーション
への接続

テスト

運用

メタデータ

テスト

テストフェデレーション

UPKI オープン
ドメイン認証局

発行
申請

SP

テストフェデレーションへの接続

運用フェデレーション

参加申請、設置申請

接続
テスト

運用
メタデータ

運用フェデレーションへの接続

運用

6

IdP／SPの構築と参加フロー
IdP

構築
・VMイメージ利用
・貴学で構築テストフェデレーションへの接続

設置
申込

学術認証
フェデレーション

テストフェデレーション

UPKI オープン
ドメイン認証局

構築

運用フェデ
レーションへの接続

運用

参加申請、設置申請

設置申込

SP

接続
テスト

運用フェデレーション

参加申請、設置申請

テストフェデレーションへの接続

接続
テスト

運用フェデレーションへの接続

運用

7

テストフェデレーション参加手続き

１．IdP／SP設置申込
参加機関（運用担当者） → 学術認証フェデレーション試行運用PJ事務局
必要項目： 運用担当者 および EntityIDの決定
提出書類： 「IdP設置申込書」（様式１） または 「SP設置申込書」（様式２）
送付先：
NII 基盤企画課 認証担当
送付媒体： エクセルファイル

詳細は、「各種申請書記入のてびき」をご覧下さい。
また、てびき、および各様式は、下記に掲載しております。
UPKIイニシアティブ 「学術認証フェデレーション」−「参加」
https://upki-portal.nii.ac.jp/docs/fed/join
8

IdP設置申込書（様式１記入例）

9

運用フェデレーション参加手続き
１．参加申請参加機関（申請者） → NII学術情報ネットワーク運営・連携本部長
必要項目： 運用責任者の決定
参加機関名称（英語、日本語）の確認
提出書類： 「学術認証フェデレーション試行運用 参加申請書（様式３）
送付先： NII 基盤企画課 認証担当
送付媒体： エクセルファイル および 原紙（押印必要）

２．参加承認通知
NII学術情報ネットワーク運営・連携本部長 → 参加機関（申請者）
３．IdP／SP設置申請
参加機関（運用責任者） → NII学術情報ネットワーク運営・連携本部長
必要項目： EntityIDの決定
提出書類： 「IdP設置申請書」（様式４） または 「SP設置申請書」（様式５）
送付先： NII 基盤企画課 認証担当
送付媒体： エクセルファイル および 原紙（押印必要）
詳細は、「各種申請書記入のてびき」をご覧下さい。
また、てびき、および各様式は、下記に掲載しております。
UPKIイニシアティブ 「学術認証フェデレーション」−「参加」
https://upki-portal.nii.ac.jp/docs/fed/join

10

参加申請書（様式３記入例）

11

IdP設置申請書（様式４記入例）12

IdP／SPの構築と参加フロー
IdP

構築
・VMイメージ利用
・貴学で構築
サーバ
証明書
発行

発行
申請

学術認証
フェデレーション

UPKI オープン
ドメイン認証局

発行
申請

SP

構築

サーバ
証明書
発行

テストフェデレーションへの接続

接続
テスト

メタデータ

運用

メタデータ

テストフェデレーション

メタデータ

テストフェデレーションへの接続

運用フェデレーションへの接続運用フェデレーション

メタデータ

接続
テスト

運用フェデ
レーションへの接続

運用

13メタデータの構成
UPKI-Fedメタデータ （XMLファイル）
署名の情報

IdPの情報・IdP１の情報
・IdP２の情報
・・・・・
・・・・・

SPの情報
・SP１の情報
・SP２の情報
・・・・・
・・・・・

・IdP１のID＝entityID・利用する証明書・利用可能なプロトコル
・組織情報
・・・・・

・SP１のID＝entityID・利用する証明書・利用可能なプロトコル
・組織情報
・・・・・

14

サーバ証明書取得とメタデータ提出
１．サーバ証明書の取得「UPKIオープンドメイン証明書自動発行検証プロジェクト」（https://upki-portal.nii.ac.jp/docs/odcert）の「利用の手引き」にしたがい、サーバ証明書発行申請を行い、サーバ証明書を取得下さい。

２．メタデータの作成
メタデータのテンプレートをリポジトリ（https://upki-repo.nii.ac.jp/Template）からダウンロードします。 １．で入手した証明書の内容を入れ、サーバ名、組織名等を修正します。
テンプレートは、下記を提供しています。
(1) idp-metadata-template.xml(2) sp-metadata-template.xml

３．メタデータの提出
参加機関（運用責任者、運用担当者） → NII 基盤企画課 認証担当
必要項目： メタデータの作成
提出書類： メタデータファイル
送付先： ヘルプデスク（upki-sso-help＠ nii.ac.jp）
送付媒体： xmlファイル
15

学術認証フェデレーションの属性
学術認証フェデレーションでは、下記１６種類の属性を定めています。
テストSPでの表示例
属性

内容

OrganizationName (o)組織名

jaOrganizationName (jao)

組織名（日本語）

OrganizationalUnit (ou)組織内所属名称

jaOrganizationalUnit (jaou)

組織内所属名称（日本語）

eduPersonPrincipalName (eppn)

フェデレーション内のアイデンティティ

eduPersonTargetedID

フェデレーション内のアイデンティティ

eduPersonAffiliation

職種

eduPersonScopedAffiliation

職種（スコープ付き）

eduPersonEntitlement

資格

SurName (sn)

氏名（姓）jaSurName (jasn)

氏名（姓）（日本語）GivenName

氏名（名）jaGivenName

氏名（名）（日本語）displayName

氏名（表示名）jaDisplayName

氏名（表示名）（日本語）

mailメールアドレス

掲載場所： https://upki-portal.nii.ac.jp/docs/fed/technical/attribute16属性の送信管理
属性管理ファイルのテンプレートを提供しています。
リポジトリ（https://upki-repo.nii.ac.jp/Template）からダウンロード下さい。

IdP
attribute-resolver.xml
属性の定義

属性送信の設定

属性１の定義SP１への送信・LDAPから取得

属性２の定義・固定値の設定

属性３の定義LDAP、DB

attribute-filter.xml

・条件付き設定

属性４の定義・変換して設定・eduPersonEntitlement

SP２への送信・jao
・eduPersonTargetedIDSP

SP３への送信・eduPersonAffiliation

SP２への送信・eduPersonAffiliatioin・eduPersonTargetedID
17

各種情報
１．学術認証フェデレーションに関するWebサイト
UPKIイニシアティブ 「学術認証フェデレーション」
https ://upki-portal.nii.ac.jp/docs/fed

２．ポリシー、申請書
UPKIイニシアティブ 「学術認証フェデレーション」−「参加」
https ://upki-portal.nii.ac.jp/docs/fed/join

３．IdP、SP構築ガイド
UPKIイニシアティブ 「学術認証フェデレーション」−「技術ガイド」
https ://upki-portal.nii.ac.jp/docs/fed/technical

４．IdP構築用VMWareServerイメージ
UPKIイニシアティブ 「学術認証フェデレーション」−「技術ガイド」−「IdP構築関連ファイル」
https ://upki-portal.nii.ac.jp/docs/fed/technical/idp/files

５．テンプレート（メタデータ、IdP属性管理）
学術認証フェデレーションのリポジトリ
http ://upki-repo.nii.ac.jp/Template/index.html

６．情報交換メーリングリスト（アーカイブ）
UPKIイニシアティブ 「学術認証フェデレーション」−「情報交換ML」
https ://upki-portal.nii.ac.jp/docs/fed/ml
18