平成 28 年 1 月 20 日
トラスト作業部会

学認アンケート回答の精査報告
1．総評
1.1．評価結果
アンケート回答機関数は 167 件です。適切な運用を行っているのが 137 件であり、全体として良好な運用レベルです。一方、今回の評価基準で、安定した運用のためには規程類の整備等が必要とみられる機関が 30 件みられました。

評価
B. 改善の余地が認められるレベル, 30

A. 適切な運用のレベル, 137

本調査は、以下の 4 点を中心にすえて評価を行っています。
１．運用の統制（Control）。特に規則による統制
２．運用アイデンティティの運用管理（アカウントのライフサイクル管理）
３．システムの構成管理（config の適切な管理）
４．パスワード（クレデンシャル）の管理

1

これらの基準にそってアンケートの回答を個別に精査しました。学認参加機関全体として、おおむね良好な IdP 運用が行われていると判断することができます。
ここには、総評として、その中でもいくつか気になった点を述べておきます。
一つ目は、規則による統制（5.2.で詳述）についてです。IdP 運用上の根拠規則や内規の整備状
況は、前年度より割合として増加しており、整備が進められていることがわかりました。IdP 運用上の規程類は、未整備であっても、ただちに B「改善の余地が認められるレベル」と評価されるわけではありません。他の要素での努力により、A「適切な運用のレベル」と評価された機関も多くあります。
しかしながら IdP 運用上の規程類が制定されていない場合、運用担当者の裁量が大きいと見なすことが出来ます。運用担当者の裁量で現在運用できているにしても、継続的・安定的な運用のために、規則類の整備につとめて頂きたいと思います。
二つ目は、システム構成管理、とくに属性保証（5.3.で詳述）についてです。今回は 2 つの属性、oと eduPersonAffiriation に着目し、この 2 点が保証されているかをみました。9 割近くの機関で保証されていましたが、一部、保証していないと回答した機関もありました。両者を保証しないことが直ちに B 評価に結びつくものではありませんが、保証していない機関には、整備を進めて頂きたいと思います。
三つ目は、クレデンシャルの管理（5.5.で詳述）です。現状、ほとんどの機関で、利用しているクレデンシャルはパスワードでした。しかし、数としてはごく少数ながら、パスワードベースの多要素認証、電子証明書を用いた認証、FeliCa などの IC カードを用いた認証といった、気鋭の試みをしている意欲的な機関があることがわかりました。今後の拡充、増加に期待しています。

1.2．ガバナンス（規程の作成状況）
全学のセキュリティポリシーについては、151 件と 90％以上の大学で制定済みですが、定められていないとの回答が 14 件ありました(Q29)。なお、IdP 運用に関するセキュリティポリシーついては70 件（42％）が定められているとの回答でした(Q30)。
IdP 運用に関するなんらかの規則の制定状況については、セキュリティポリシーや運用責任者の管理のもと、適切に運用されている大学が多くみられます。IdP を対象として運用規則を制定している機関は前年調査では 47 件（前年度 136 件中、約 35％）でしたが、今回は 70 件（約 42％）となっています。前年度より規程の整備をお願いしてきましたが、各機関において順調にそれがすすめられていると考えます。従来からの参加機関にこの現状と必要性を丁寧に説明して、引き続き整備をお願いしていきたいと思います。
多くの機関において、利用者 ID の管理体制や全学的なセキュリティポリシーが整備されています。その基盤の上になりたって IdP が適切に運用されていることが読み取れます。Q8 において、なんらかの規程が整備されているとの回答は 66 件ですが、その他 49 件の自由記述の内容を読んでいくと、規程の整備状況をより丁寧に説明したものが多く見られました。前年度調査では IdP の運用規則やポリシーの策定率が低く、半数を切っていましたが、今回の調査では半数以上の機関で整備されていると読み取ることができます。

2

Q8. IdP運用上での根拠規則や内規の制定状況について

1．全学情報サービスを担当する情報基盤センターの内規がある。
【 URLを記入 】, 4

2．IdP運用規則，全学サービスセキュリティポリシーがある。
【 URLを記入 】, 1
3．IdP運用規則，全学サービスセキュリティポリシーがあり，学内限定で公開されている。, 108．その他, 49
4．全学サービスセキュリティポリシーが存在する。IdPはそのもとで適切に運用されている。, 51

7．全学的にはテス
ト利用の扱いに…
6．規則などは特にない
が，現在制定中である。, 35．特にないが，運用責任者の管理の下，適切に運用されている。,
40

Q29. 上位の全学または部局のセキュリティポリシーが定められ，それにしたがって運用されていますか？
1.
定められている。
（下部にURLを記入）, 31

3.
特に定められていない。, 142.
定められているが，学内限定公開の扱いである。, 120

3

Q30. IdP運用に関するセキュリティポリシーが定められていますか？
1.

定められている。（以下にURLを記入）, 1

2.
定められているが，学内限定公開の扱いである。, 69
3.
特に定められていない。, 95

1.3．テクニカルなこと
ID の運用状況（Trusted DB と直結しているかどうか）
前年同様、利用者 ID のソースとしては、一部の機関を除き、Trusted DB もしくは部局が責任をもって運用している DB をもとにしており、適切なユーザ管理がなされています(Q9)。しかし、Trusted DB に基づいて作成される以外の手法での ID 管理は、今後の ID 数の増加、保持させる属性情報の増加に比例してその手間も増えていくという弱みを内包するものになります。スケーラビリティの観点から、ID 管理を Trusted DB に直結する形で行えるよう、事務フローや管理規則の整備をお勧めしたいと思います。
ゲスト/臨時アカウントについては、自由記述において、いくつかの機関において、情報処理センター長の権限で発行できる体制があることが報告されました(Q10)。記録を残す等、権限の適切な制御を併せてお願いしたいと思います。

4Q9. 利用者IDは，学務データや人事データ等，Trusted DB（組織にとって信頼できるデータベース）から作成されるように定めていますか？

3.
利用者IDを作るときには，部局長印のある書類を提出し，管理者群がダブルチェックをしたうえで行っている。, 2

4.

その他 , 132.
利用者IDのデータベー
スは，Trusted DBから作られたものではないが，教職員や学生を直接把握している部局事務が責任を持って運用しているDBから作られている。 , 30

1.
利用者IDのデー
タベースは，TrustedDBに基づいて作成されている。, 120

5Q10. 前項（Q9）を踏まえ，Trusted DBに含まれないものから利用者IDを作成する場合，どのようなルールで作成されていますか。
1．Trusted DBに登録した上でIDを発行する, 16

5．その他, 21

4．任意の手続きに沿って利用者IDを発行している, 31

2．組織のアカウ
ントを持たないユーザにはIDを発行しない, 44

3．情報セキュリ
ティポリシーに基づき、利用者IDを作成している,
49

属性保証
属性情報については、ほとんどの機関において、Trusted DB の属性のみから計算や、他組織の属性は付与しない体制となっており、システム運用基準 3.2 は正しく守られています(Q15)。
この設問には、「属性について，組織が保証しているものについて具体的にお答えください」といった問いが併せて設定されていましたが、前年度までは自由記述での回答となっていました。この
自由記述の設問では無回答が多かったという反省をふまえ、今年度は学認で利用可能な全ての属性を列挙し、そのそれぞれについて 「○保証している」 または 「×保証していない」 を選択できるようにしました。
今回はとくに o と eduPersonAffiliation に着目しました。両属性は、80％以上の機関で組織として保証されていますが、「保証していない」と「未選択」をあわせて 20 程度の機関で保証されていないと読み取れます。
今回の個別評価基準では、この両者を保証していない機関が B と判定されたケースが多かったことを附言しておきます。

6

Q15. IdPが送信する属性の信頼性は何によって保証されていますか？ 例えば，Q9によって自動的に生成されるようになっていますか？（技術運用基準3.2）
3.
利用者IDの属性は全て、TrustedDBの属性から生成されていない。, 2

4.

その他 , 192.

利用者IDの属性の一部には、Trusted DBの属性以外から生成されているものがある。,
27

1.
利用者IDの属性は、Trusted DBの属性のみから計算されている。, 116

属性 O保証していない,
12未選択, 12保証している,143

7

属性 eduPersonAffiliation
未選択, 12保証していない,
10保証している,145

パスワードポリシー
ID の再利用については、ごく少数のルールが定められていない機関を除き、再利用はないとの回答でした(Q18)。ID とクレデンシャルの配付については、本人確認を行うなど、各機関とも適切な運用が確立されています。
共有 ID の禁止に関しても、各機関にて、セキュリティ面からの啓蒙活動や、共有しなくても業務を行えるような運用が行われていることが、自由記述の回答から読み取れました。
パスワードポリシーについても、ほぼ全ての機関において、パスワードポリシーがある、もしくはポリシーはないが啓蒙活動はしているとの回答でした(Q21)。

8

Q18. eduPersonPrincipalNameとeduPersonTargetedIDに関しては，かつて利用されていたものを再利用する場合は，最終の利用時から最低24ヶ月間隔をあけることを定めています。
これを保証するために何が決められていますか？（技術運用基準8.2）
3．ルールは定めていない, 12

5．その他, 102．最低24カ月再利用は無い, 25

1．再利用は無い,
117

Q21. パスワードポリシーは定められていますか？
3.
パスワードポリシーは定めておらず，特に啓蒙活動なども行っていない。,
1

2.
パスワードポリシーは定めていないが，啓蒙活動を積極的に行っている。, 141.
パスワードポリシーを定めている。, 150

9その他
ログの保存期間については、多くの大学が 3 か月以上保存する運用となっています。しかし、一部にて学認技術運用基準にて推奨する 3 か月より短い機関が見られました。

1.4．プライバシー（プライバシーに関係すること）
IdP から送信される個人情報について、関係する法令に従うように運用されていないと回答した
機関が 2 件ありました(Q24)。関連する法令を理解したうえでそれに反する運用を行っていれば問題ですし、関連する法令が不明であればそれも問題です。不明なことがあれば、学認事務局までま照会するなどして明確にするようつとめてください。。
また、プライバシーについて具体的な規則を制定している機関は前年同様 60％程度(Q25)、
uApprove もしくは Shibboleth IdP Version 3 で搭載された属性リリース同意取得機能を利用していると回答した機関は 99 件（約 59％）（前年は 136 件中 70 件、51％）でした(Q26)。
個人情報保護については、規程の策定率は前年と同水準を維持し、属性リリース同意取得機能の導入率は前年より上昇していました。

Q24. IdPから送信される個人情報について，関係する法令その他に従うように運用されていますか？（実施要領10）2.

関連する法令その他に従うようには運用されていない。, 2

1.

10

関連する法令その他に従うように運用されている。 , 162

Q25. プライバシーについて，具体的に規程はありますか？
3.

2.
プライバ
シーについての具体的な規定はないが，利用者IDとその属性は安全に運用されている。, 61

プライバシーについての具体的な規定はない。, 71.
プライバシーについての具体的な規定がある。, 97

Q26. 新たなSPのサービスを利用するとき，属性リリースの同意を得るためにuApproveもしくはその派生版を利用していますか？（技術運用基準8.6）

3.
Shibboleth IdP Version3の属性リリース同意取得機能を使っている, 52.
uApproveおよびその派生版は利用していない,
64

1.
uApproveもしくはその派生版を利用している, 94

1.5．利用者 ID のクレデンシャル
ここからは任意回答の設問になります。利用者 ID として利用している主なクレデンシャルの種類

11

としては、そのほとんどがパスワードであるとの回答でした。2 件でパスワードベースの多要素認証が導入されています。その他との回答には補足として自由記述欄が付与されていますが、そこには一部の成員で電子証明書を用いた認証や、FeliCa などの IC カードによる認証を行っていると記述されていました。

Q36. 利用者IDとして利用している主なクレデンシャルの種類を教えてください。
3.

パスワードベースの多要素認証, 2

4.
その他のク
レデンシャル, 3

1.

パスワード,
91

以上

12