「学認技術運用基準」新旧対照表（v2.5:v2.6）
新旧対照表の備考欄の記述の意味は以下のとおり。
変更点 A：WTCA という略称を用いている箇所に正式名称を挿入
変更点 B：スコープに関する制約を属性情報仕様一覧から 8.3)に移動
変更：その他の既存の文言を変更したもの
修正：不要な改行等を修正したもの
V2.52.3)

V2.6

Shibboleth

Shibboleth

は2.3)
、

Shibboleth

備考

Shibboleth

Shibboleth は、Shibboleth Project /変更

Consortium(http://shibboleth.net) が 開 発 、Consortium (http://shibboleth.net)が開発、提供する SAML↵

提供する SAML をベースとするソフトウェをベースとするソフトウェアである。

アである。

・Shibboleth

Identity

Provider3・Shibboleth Identity Provider 4

変更（https://wiki.shibboleth.net/confluence/dis（https://wiki.shibboleth.net/confluence/dis

play/IDP30/Home ）、 Shibboleth Service

play/IDP4/Home）、Shibboleth Service

ProviderProvider 33

修正（https://wiki.shibboleth.net/confluence/dis（https://wiki.shibboleth.net/confluence/dis

play/SP3/Home）およびそれ以降

play/SP3/Home）およびそれ以降- IdP は 3.4.0 以上、SP は 3.0.0 以上を推

- IdP は 4.0.1 以上、SP は 3.2.0 以上を推奨.

奨.

ただし、海外 SP 等のサービスを利用するこ

ただし、海外 SP 等のサービスを利用するとを目的として、SAML1 プロトコルおよびことを目的として、SAML1 プロトコルお↵

よび Shibboleth1.3 プロトコルを利用してShibboleth1.3 プ ロ ト コ ル を 利 用 し て も よもよい。

い。
7.4)

信頼する証明書

7.4)

信頼する証明書

各エンティティが XML 署名や XML 暗号

各エンティティが XML 署名や XML 暗号

化、TLS 相互認証を行うための証明書は、化、TLS 相互認証を行うための証明書は、そその信頼性を担保するために、以下に掲げの信頼性を担保するために、以下に掲げる条る条件を満たさなければならない。なお、件を満たさなければならない。なお、ここでここで「エンティティにマッチする」と「エンティティにマッチする」とは、当該エは、当該エンティティのメタデータに含まンティティのメタデータに含まれるれる entityID 、 ↵entityID<SingleSignOnService>、<AssertionConsumerService> に 示 され る エ<AssertionConsumerService>に示されるエンドポイントのいずれかのドメイン名が、当ンドポイントのいずれかのドメイン名が、該証明書において RFC 6125 に規定された

当該証明書において RFC 6125 に規定され検証をパスすることをいう。ただし、IdP に、<SingleSignOnService>、修正た検証をパスすることをいう。ただし、IdP

おいては上記いずれも自機関・組織もしくはにおいては上記いずれも自機関・組織もし機関の組織の場合は組織を包含する機関がくは機関の組織の場合は組織を包含する機所有するドメインでない場合は、 3.5)に定め関が所有するドメインでない場合は、 3.5)

るスコープと一致するドメイン名もしくはに定めるスコープと一致するドメイン名も当該ドメイン配下の任意のドメイン名が上

しくは当該ドメイン配下の任意のドメイン記検証をパスする場合も「エンティティにマ名が上記検証をパスする場合も「エンティッチする」とみなし、同条件ではこのようなティにマッチする」とみなし、同条件では証明書を用いることが推奨される。ただしここのような証明書を用いることが推奨されの場合、証明書の更新では原則として同一のる。ただしこの場合、証明書の更新では原ドメイン名を用いるものとする。

則として同一のドメイン名を用いるものとする。

－国立情報学研究所 UPKI 証明書発行サービスにより発行された証明書で、エンティテ－国立情報学研究所 UPKI 証明書発行サー

ィにマッチするもの

ビスにより発行された証明書で、エンティ

https://certs.nii.ac.jp/（サービス案内ウェブ

ティにマッチするものページ）

https://certs.nii.ac.jp/（サービス案内ウェブ－ WebTrust for Certification Authoritiesページ）(WTCA)に準拠した認証局、かつ委員会が認－WTCA に準拠した認証局、かつ委員会がめた認証局から発行された証明書で、エンテ認めた認証局から発行された証明書で、エィティにマッチするもの

ンティティにマッチするもの－上掲の要件を満たす別の証明書を利用す－上掲の要件を満たす別の証明書を利用す

る Web サイトに配置することによって、当る Web サイトに配置することによって、該エンティティとの紐付けが確認できた証

当該エンティティとの紐付けが確認できた

明書

証明書

－大学のキャンパス認証局等のローカル認－大学のキャンパス認証局等のローカル認

証局、かつ委員会が認めた認証局から発行さ証局、かつ委員会が認めた認証局から発行れた証明書で、エンティティにマッチするもされた証明書で、エンティティにマッチすのるもの－現に他国のフェデレーションに参加して－現に他国のフェデレーションに参加しているエンティティであって、運用上の制約にいるエンティティであって、運用上の制約より上掲の要件を満たす証明書が利用できにより上掲の要件を満たす証明書が利用でないと認められる場合において、入手手段をきないと認められる場合において、入手手含め委員会が認めた証明書

段を含め委員会が認めた証明書－その他委員会が特に認めた証明書－その他委員会が特に認めた証明書
なお、失効した証明書は使用すべきではな
なお、失効した証明書は使用すべきではない。また、証明書は 3 年を目処に定期的に更い。また、証明書は 3 年を目処に定期的に新すべきである。

更新すべきである。
2/3

変更点 A8.3)

ID 利用者の同一性の保証

8.3)

ID 利用者の同一性の保証

前項における再利用の場合を除いて、IdP

前項における再利用の場合を除いて、IdP

では、同一 ID でのアクセスが同一人物かでは、同一 ID でのアクセスが同一人物からによることを保証するための方策を講じらによることを保証するための方策を講じなければならない。

なければならない。さらに同一のスコープ

変更点 B

を複数の IdP で用いている場合は、
eduPersonPrincipalName 等スコープ付きのID 属性について、当該スコープを共用する全ての IdP の中で共通する各 ID でのアクセスが同一人物からによることを保証するための方策を講じなければならない。
5. eduPersonPrincipalName 説明等

5. eduPersonPrincipalName 説明等

フェデレーション内で一意な、かつ、永続フェデレーション内で一意な、かつ、永続的な利用者識別子。「スコープ内で一意な利的な利用者識別子。「スコープ内で一意な利用者識別子」とスコープを合わせること用者識別子」とスコープを合わせること

で、フェデレー ション内での一意性を保証

で、フェデレー ション内での一意性を保証します。IdP は、フェデレーションに参加します。IdP は、フェデレーションに参加しこの属性を送信するよう設定した全てのしこの属性を送信するよう設定した全てのSP に対して、同一の ID であれば同じ値SP に対して、同一の ID であれば同じ値を送信します。

を送信します。

なお、属性値のローカルパート部に「@」をなお、属性値のローカルパート部に「@」を含めることはできません。また、特に同一含めることはできません。のスコープを複数の IdP で用いている場合

設定例：t-ninsyo2009@b-univ.ac.jp

は別人に同じ識別子が割り当てられないようにするべきです。
設定例：t-ninsyo2009@b-univ.ac.jp

3/3

変更点 B