令和 6 年 1 ⽉ 24 ⽇
学術認証運営委員会
トラスト作業部会

2023 年度学認参加 IdP 運⽤状況調査 総評
内容
1 評価結果 ................................................................................................................................................... 22 ガバナンス（規程の作成状況） ............................................................................................................... 33 テクニカルなこと ..................................................................................................................................... 5
3.1 ID の運⽤状況（TRUSTED DB と直結しているかどうか） .......................................................... 53.2 属性保証 ............................................................................................................................................. 6
3.3 パスワードポリシー........................................................................................................................... 73.4 その他 ................................................................................................................................................ 74 プライバシー（プライバシーに関係すること） ..................................................................................... 85 利⽤者 ID のクレデンシャル ................................................................................................................. 106 IdP の設定・運⽤管理 ............................................................................................................................. 12-1-1 評価結果
調査への回答機関数は 297 件です。適切な運⽤を⾏っている機関が 286 件となり、全体として良好な運⽤レベルです。⼀⽅、安定した運⽤のためには規程類の整備等が必要とみられる機関が 11 件（B 評価機関）みられました。
本調査の評価は、前年度同様、下記の基準で実施しました。
1. 運⽤の統制（Control）。特に規則による統制
2. 運⽤アイデンティティの運⽤管理（アカウントのライフサイクル管理）
3. システムの構成管理（config の適切な管理）
4. パスワード（クレデンシャル）の管理
5. 設定ファイルの管理体制について
6. Shibboleth IdP の運⽤に関わるミドルウェア群のアップデート状況
7. Shibboleth IdP version 3 系統が EOL を迎えたことによる、version 5 系統へのアップグレード
状況
この基準に従って、組織全体として IdP 運⽤のレベルが保たれているか、すべての機関の回答を個別に精査しました。学認参加機関全体として、おおむね良好な IdP 運⽤が⾏われていると判断することができます。
総じて前年度調査に続き、⾼い⽔準で IdP が運⽤されていたことが読み取れました。回答の傾向も、昨年からかけ離れたものはありませんでした。また、前年度 B 評価だった機関のうち、2 件が今回の調査でA 評価を取得しています。学認参加の各機関には、引き続きの運⽤をお願いいたします。

A 評価：２８６機関
B 評価： １１機関-2-

2 ガバナンス（規程の作成状況）
全学のセキュリティポリシーについては、272 件と 90％以上の機関で制定済みですが、定められていないとの回答が 24 件ありました(Q30)。なお、IdP 運⽤に関するセキュリティポリシーついては 88 件（30％）が定められているとの回答でした(Q31)。
多くの機関において、利⽤者 ID の管理体制や全学的なセキュリティポリシーが整備されています。その基盤の上になりたって IdP が適切に運⽤されていることが読み取れます。Q8 において、こちらから提⽰した規程が整備されているとの回答はあわせて 194 件ですが、その他と回答した 10 件についても、そのうちいくつかは他のなんらかの規程に準拠して運⽤されています。前年度調査の結果に続き、半数以上の機関で整備されていると読み取ることができます。

-3--4-3 テクニカルなこと
3.1 ID の運⽤状況（TRUSTED DB と直結しているかどうか）
利⽤者 ID のソースとして、92％の機関で Trusted DB もしくは部局が責任をもって運⽤している DB をもとにしており、適切なユーザ管理がなされていることが読み取れます(Q9)。また、「その他」との回答においても、多くが書類による申請の実施が読み取れました。
上記以外の⼿法での ID 管理は、今後の ID 数の増加、保持させる属性情報の増加に⽐例してその⼿間も増えていくという弱みを内包するものになります。スケーラビリティの観点から、ID 管理を Trusted DBに直結する形で⾏えるよう、事務フローや管理規則の整備をお勧めしたいと思います。
ゲスト/臨時アカウントについては、いくつかの機関において、前年度同様、情報系センター⻑の権限で発⾏できる体制があることが報告されました(Q10 ⾃由記述。但し下記グラフは Q9 で 1 と回答した無回答数を集計していません)。記録を残す等、権限の適切な制御を併せてお願いしたいと思います。

-5-3.2 属性保証
属性情報については、ほとんどの機関において、Trusted DB の属性のみから計算(Q15)されていたり、他組織の属性は付与しない体制（Q14 ⾃由記述より）となっており、技術運⽤基準 3.2 は正しく守られていると⾔えます。
また今回も、前年度調査に引き続き、o と eduPersonAffiliation の状況に着⽬しました。両属性は、約87％の機関で組織として保証されていますが、「保証していない」としている機関がそれぞれ 13％程度残っています。学認の IdP は機関ごとに設置して参加申請されており、機関名は IdP として保証するべきです。送出できるよう設定してください。また実際に SP に送出し利⽤しているか否かにかかわらず、送出可能であれば「保証している」と回答してください。"faculty" ， "staff" ，"student"，"member"など、利⽤者の職位を表す eduPersonAffiliation についても同様です。

-6-

3.3 パスワードポリシー
ID の再利⽤については、ごく少数のルールが定められていない機関を除き、再利⽤はないとの回答でした (Q19)。ID とクレデンシャルの配付については、本⼈確認を⾏うなど、各機関とも適切な運⽤が確⽴されています(Q20 ⾃由記述より)。
共有 ID の禁⽌に関しても、各機関にて、規定での禁⽌、セキュリティ⾯からの啓蒙活動や、共有しなくても業務を⾏えるような運⽤が⾏われていることが読み取れました(Q21 ⾃由記述より)。パスワードポ
リシーについては、94％の機関でパスワードポリシーがある、6％の機関でポリシーはないが啓蒙活動はしている、との回答でした(Q22)。

3.4 その他
ログの保存期間については、多くの⼤学が最低 3 ヶ⽉から 1 年以上保存する運⽤となっています。学認
技術運⽤基準にて推奨する 3 ヶ⽉より短い保存期間を設定している機関はありませんでしたが、「定められていない」との回答がまだ⼀部みられます。3 ヶ⽉以上の最低保存期間を定めていただきたいと思います(Q29 ⾃由記述より)。
-7-

4 プライバシー（プライバシーに関係すること）
IdP から送信される個⼈情報については、5 件を除き、関係する法令に従うように運⽤されています(Q25)。
「関連する法令その他に従うようには運⽤されていない」と回答した 6 機関については法令に従うよう働きかけていきます。
また、プライバシーについて具体的な規則を制定している機関は前年から微減の 61％(Q26)、uApprove、Shibboleth IdP 及び同等機能に搭載された属性リリース同意取得機能を利⽤していると回答した機関は213 件（約 72％）でした(Q27)。
個⼈情報保護については、いずれも前年とほぼ同⽔準を維持していました。

-8-

-9-

5 利⽤者 ID のクレデンシャル
利⽤者 ID として利⽤している主なクレデンシャルの種類（Q38）としては、そのほとんど、84%がパスワードであるとの回答でした。また電⼦証明書による認証や、パスワードベースの多要素認証が導⼊されています。「4.その他のクレデンシャル」との回答には学外からの認証についてパスワードベースの多要素認証を必須としている旨記述がありました。また 1 や 3 の回答の補⾜事項には、⼀部の成員やシステムに対して電⼦証明書・FIDO2・TOTP などの多要素認証を⾏っているとの記述も⾒られました。段
階的に多要素認証が展開されている様⼦が伺えます。
Q44 は、クレデンシャルの安全性を実現するために実施している取り組みについて質問したものです。
現状の把握を⽬的としたものですが、設問中のいくつかは、NIST SP800-63-3 において、⾮推奨とされているものがあります。無論、ここで〇と回答したものが誤りであるということではなく、現在、機関で定められている規程類に該当する記述がある場合、それは守られるべきものです。注視すべきは、策定時には正しいとされていたものが、取り巻く制度的、あるいは技術的状況によって変化していく可能性があるという点です。規程類は⼀度定めたらそれでよいものではなく、継続的なメンテナンスを⾏っていく必要があるものだということを、ご認識いただきたいと思います。また、5 のアカウントロックについては最近の Shibboleth IdP では設定により有効化できるようになっているなど、システムの機能についても固定的なものではないと捉え、定期的に⾒直していただくことを推奨します。

- 10 -

- 11 -

6 IdP の設定・運⽤管理
ここからは、IdP の設定と運⽤管理について、主に技術的な側⾯からの設問となります。設定ファイルの管理、稼働するミドルウェア群のアップデート状況、そしてサポートが終了した Shibboleth IdP version
3 系統から 5 系統へのアップグレード状況について質問しています。
まず設定ファイルの管理（Q32）は、機関内での管理が 161 件（54%）
、設定変更を都度外部に依頼しているとしたものが 111 件（37％）と、どちらも前年とほぼ同等の割合でした。IdP の設定ファイルは適切な管理（現状の最新版はどれで、現在 IdP に反映されているものはどれか？など）と設定変更が⾏えるようになっていれば問題はありません。IDaaS での管理も同様です。IdP の運⽤管理部局に確認するなどして、適切な取り扱いができるよう、管理体制を明確にしておく必要があるでしょう。
Q48 は、学認事務局からお知らせしている、Shibboleth の稼働に必要なミドルウェア群の脆弱性情報への対応状況を質問したものです。総じて 8 割程度の機関で、アップデート済みもしくは年度内に対応予定（「不要だと判断」を含む）とされています。多くの機関で対応いただけている状況が⾒られます。⼀⽅、対応状況が不明であるとの回答が⼀定数あります。ソフトウェアの既知の脆弱性を突かれ、情報漏洩につながった事例が何件も報道されており、対応の遅れが甚⼤な被害につながるケースを⽬にしたことと思います。
IdP に限らないことですが、管理下にあるサーバで稼働するソフトウェア群のバージョンやアップデート状況を把握できるよう努めていただきたいと思います。
なお学認事務局からは、Shibboleth とその動作に関連したミドルウェアについての情報提供のみを実施しており、それ以外の脆弱性等については提供しておりません。管理対象が多すぎて⼿が回らない、といった状況にあるなら、脆弱性スキャナーを⽤いたチェックの⾃動化をご検討ください。
また、⻑期的にみて、脆弱性のアナウンス件数は増加傾向にあります。調査実施以降も、学認事務局よりご案内してきました。事務局からの情報に、引き続き注視していただきたいと思います。
Q49 は、調査実施時点ですでにサポートが終了していた Shibboleth IdP version 3 系統やサポート終了予定の Version 4 系統から、現⾏の Version 5 系統へのアップグレード状況についての質問です。調査実施
時点でもまだ、24 機関での Version 3 系統が、163 機関で Version 4 系統の Shibboleth IdP が稼働しているようです。
当然の話ですが、サポートが終了したソフトウェアを使い続けることは望ましくありません。
Shibboleth IdP version 2 および 3 においては、今後アップデートおよび脆弱性情報は提供されないと明⾔されています。例外的に Version 2 は例外的に出された脆弱性情報1により脆弱性があることが確定しておりますが、これは Version 3 に脆弱性がないことを意味しておらず、EOL からの年⽉を考えれば別の脆弱性が存在することは⼗分考えられます。また、学認事務局からの技術情報は基本的に Version 4 及び Version 5 に対して提供しており、古いバージョンは対象としません。
アップグレードが完了していない機関、アップグレード予定はないと回答した機関は、こうした状況を鑑み、是⾮アップグレードを実施してください。

1

https://www.gakunin.jp/ml-archives/upki-fed/msg01353.html 参照- 12 -

- 13 -

- 14 -

本調査にご協⼒いただき、ありがとうございました。

- 15 -