2018年度学認参加IdP運⽤状況調査 総評
学術認証運営委員会トラスト作業部会

1 評価結果
調査への回答機関数は210件です。適切な運⽤を⾏っている機関が200件となり、全体として良好な運⽤レベルです。⼀⽅、安定した運⽤のためには規程類の整備等が必要とみられる機関が10件みられました。
本調査の評価は、前年度同様、下記の基準で実施しました。
1. 運⽤の統制（Control）。特に規則による統制
2. 運⽤アイデンティティの運⽤管理（アカウントのライフサイクル管理）
3. システムの構成管理（conﬁgの適切な管理）
4. パスワード（クレデンシャル）の管理
5. 設定ファイルの管理体制について
6. Shibboleth IdPの運⽤に関わるミドルウェア群のアップデート状況
7. Shibboleth IdP version 2系統がEOLを迎えたことによる、version3系統へのアップグレード状況
この基準に従って、組織全体としてIdP運⽤のレベルが保たれているか、すべての機関の回答を個別に精査しました。学認参加機関全体として、おおむね良好なIdP運⽤が⾏われていると判断することができます。
総じて前年度調査に続き、⾼い⽔準でIdPが運⽤されていたことが読み取れました。回答の傾向も、昨年からかけ離れたものはありませんでした。また、前年度B評価だった機関のうち、6件が今回の調査でA評価を取得しています。学認参加の各機関には、引き続きの運⽤をお願いいたします。

1 / 23

機関数
A評価

200

B評価

10

2 / 23

2 ガバナンス（規程の作成状況）
全学のセキュリティポリシーについては、194件と90％近くの⼤学で制定済みですが、定められていないとの回答が16件ありました(Q30)。なお、IdP運⽤に関するセキュリティポリシーついては79件（38％）が定められているとの回答でした(Q31)。
多くの機関において、利⽤者IDの管理体制や全学的なセキュリティポリシーが整備されています。その基盤の上になりたってIdPが適切に運⽤されていることが読み取れます。Q8において、なんらかの規程が整備されているとの回答は134件ですが、その他 14件の⾃由記述の内容を読んでいくと、規程の整備状況をより丁寧に説明したものが多く⾒られました。前年度調査の結果に続き、半数以上の機関で整備されていると読み取ることができます。

Q-83 / 23

1. 全学情報サービスを担当する情報基盤センターの内規がある。【 URLを記⼊ 】

62. IdP運⽤規則，全学サービスセキュリティポリシーがある。【 URLを記⼊ 】

33. IdP運⽤規則，全学サービスセキュリティポリシーがあり，学内限定で公開されている。

14

4. 全学サービスセキュリティポリシーが存在する。IdPはそのもとで適切に運⽤されている。

84

5. 特にないが，運⽤責任者の管理の下，適切に運⽤されている。

46

6. 規則などは特にないが，現在制定中である。

67. 全学的にはテスト利⽤の扱いになっている。

10

8. 「⾼専機構における学術認証フェデレーション（学認）連携サービス運⽤要項」に基づき，IdPを運⽤している。
9. その他

27
144 / 23

Q-30

1. 定められている。（下部にURLを記⼊）

44

2. 定められているが，学内限定公開の扱いである。

150

3. 特に定められていない。

165 / 23

Q-31

1. 定められている。（以下にURLを記⼊）

2

2. 定められているが，学内限定公開の扱いである。

77

3. 特に定められていない。

1316 / 23

3 テクニカルなこと
IDの運⽤状況（TRUSTED DB と直結しているかどうか）
利⽤者IDのソースとして、93％の機関でTrusted DBもしくは部局が責任をもって運⽤しているDBをもとにしており、適切なユーザ管理がなされていることが読み取れます(Q9)。また、「その他」との回答においても、構成員の⼀部からTrusted DBをもとにしたID管理に移⾏しつつあることが読み取られました。
上記以外の⼿法でのID管理は、今後のID数の増加、保持させる属性情報の増加に⽐例してその⼿間も増えていくという弱みを内包するものになります。スケーラビリティの観点から、ID管理をTrusted DBに直結する形で⾏えるよう、事務フローや管理規則の整備をお勧めしたいと思います。
ゲスト/臨時アカウントについては、いくつかの機関において、前年度同様情報処理センター⻑の権限で発⾏できる体制があることが報告されました(Q10 ⾃由記述)。記録を残す等、権限の適切な制御を併せてお願いしたいと思います。

Q-9

1. 利⽤者IDのデータベースは，Trusted DBに基づいて作成されている。
2. 利⽤者IDのデータベースは，Trusted DBから作られたものではないが，教職員や学⽣を直接把握している部局／事務が責任を持って運⽤しているDBから作られている。
3. 利⽤者IDを作るときには，部局⻑印のある書類を提出し，管理者群がダブルチェックをしたうえで⾏っている。
4. その他

15540
3127 / 23

Q-10

1. Trusted DBに登録した上でIDを発⾏する

31

2. 組織のアカウントを持たないユーザにはIDを発⾏しない

62

3. 情報セキュリティポリシーに基づき，利⽤者IDを作成している59

4. 任意の⼿続きに沿って利⽤者IDを発⾏している

38

5. その他17無回答

3

属性保証
8 / 23属性情報については、ほとんどの機関において、Trusted DBの属性のみから計算(Q15)されていたり、他組織の属性は付与しない体制（Q14⾃由記述より）となっており、システム運⽤基準3.2は正しく守られていると⾔えます。
また今回も、前年度調査に引き続き、 o と eduPersonAﬃliation の状況に着⽬しました。両属性は、80％以上の機関で組織として保証されていますが、「保証していない」としている機関がそれぞれ15％程度残っています。学認のIdPは機関ごとに設置して参加申請されており、機関名はIdPとして保証するべきです。送出できるよう設定してください。また実際にSPに送出し利⽤しているか否かにかかわらず、送出可能であれば「保証している」と回答してください。"faculty"，"staﬀ"，"student"，"member" など、利⽤者の職位を表すeduPersonAﬃliationについても同様です。

Q-15

1. 利⽤者IDの属性は，Trusted DBの属性のみから計算されている。
9 / 23146

2. 利⽤者IDの属性の⼀部には，Trusted DBの属性以外から⽣成されているものがある。

35

3. 利⽤者IDの属性は全て，Trusted DBの属性から⽣成されていない。

84. その他

20

無回答

1○×o

174

36

eduPersonAﬃliation

177

33

パスワードポリシー
IDの再利⽤については、ごく少数のルールが定められていない機関を除き、再利⽤はないとの回答でした(Q19)。IDとクレデンシャルの配付については、本⼈確認を⾏うなど、各機関とも適切な運⽤が確⽴されています(Q20 ⾃由記述より)。
共有IDの禁⽌に関しても、各機関にて、規定での禁⽌、セキュリティ⾯からの啓蒙活動や、共有しなくても業務を⾏えるような運⽤が⾏われていることが読み取れました(Q21 ⾃由記述より)。
パスワードポリシーについては、93％の機関でパスワードポリシーがある、6％の機関でポリシーはないが啓蒙活動はしているとの回答でした(Q22)。

10 / 23

Q-19

1. 再利⽤は無い

144

2. 最低24カ⽉再利⽤は無い

34

3. ルールは定めていない

12

4. 両属性の送出が必要となるサービスは利⽤していない

1

5. その他

17無回答

211 / 23

Q-22

1. パスワードポリシーを定めている。

196

2. パスワードポリシーは定めていないが，啓蒙活動を積極的に⾏っている。

12

3. パスワードポリシーは定めておらず，特に啓蒙活動なども⾏っていない

1

無回答

1

その他
ログの保存期間については、多くの⼤学が最低3か⽉から1年以上保存する運⽤となっています。学認技術運⽤基準にて推奨する3か⽉より短い保存期間を設定している機関はありませんでしたが、「定められていない」との回答がまだ⼀部みられます。3ヶ⽉以上の最低保存期間を定めていただきたいと思います(Q29 ⾃由
記述より)。
12 / 23

4 プライバシー（プライバシーに関係すること）
IdPから送信される個⼈情報については、2件を除き、関係する法令に従うように運⽤されていいます(Q25)。「関連する法令その他に従うようには運⽤されていない」と回答した1件は、「まだ全学での本格運⽤が始まっていないため」との連絡を学認事務局が受けています。適法でない運⽤状態が放置されているということではありません。
また、プライバシーについて具体的な規則を制定している機関は前年から微増の60％程度(Q26)、
uApproveもしくはShibboleth IdP Version 3で搭載された属性リリース同意取得機能を利⽤していると回答した機関は139件（約66％）でした(Q27)。
個⼈情報保護については、いずれも前年とほぼ同⽔準を維持していました。

Q-25

13 / 231. 関連する法令その他に従うように運⽤されている。

208

2. 関連する法令その他に従うようには運⽤されていない。

1

無回答

1Q-26

1. プライバシーについての具体的な規定がある。
2. プライバシーについての具体的な規定はないが，利⽤者IDとその属性は安全に運⽤されている。
3. プライバシーについての具体的な規定はない。

14 / 23

126
76
7

無回答

2Q-27

1. uApproveもしくはその派⽣版を利⽤している

82

2. uApproveおよびその派⽣版は利⽤していない

69

3. Shibboleth IdP Version3の属性リリース同意取得機能を使っている

57

4. IDaaSに組み込まれている属性リリース同意取得機能を使っている

0

無回答

2

15 / 23

5 利⽤者IDのクレデンシャル
利⽤者IDとして利⽤している主なクレデンシャルの種類（Q38）としては、そのほとんど、94%がパスワードであるとの回答でした。また電⼦証明書による認証や、パスワードベースの多要素認証が導⼊されています。「4.その他のクレデンシャル」との回答には補⾜として⾃由記述欄が付与されていますが、そこには⼀部の成員で電⼦証明書を⽤いた認証や、FeliCaなどのICカードによる認証、マトリクス認証を⾏っていると記述されていました。準備段階ながら、SNSと連携した認証の導⼊も進められているとのことです。
Q44は、クレデンシャルの安全性を実現するために実施している取り組みについて質問したものです。現状の把握を⽬的としたものですが、設問中のいくつかは、NIST SP800-63-3において、⾮推奨とされているものがあります。無論、ここで○と回答したものが誤りであるということではなく、現在、機関で定められている規程類に該当する記述がある場合、それは守られるべきものです。注視すべきは、策定時には正しいとされていたものが、取り巻く制度的、あるいは技術的状況によって変化していく可能性があるという点です。規程類は⼀度定めたらそれでよいものではなく、継続的なメンテナンスを⾏っていく必要があるものだということを、ご認識いただきたいと思います。

16 / 23

Q-38

1. パスワード197

3. パスワードベースの多要素認証

7

4. その他のクレデンシャル

4

無回答

2

17 / 23

Q-44

選択
し○×てください

1. パスワードを8⽂字以上となるように推奨している。

194142

2. 管理者側から利⽤者に，パスワードを定期的に変更するように促している。

1088418411452416334136612222461333151733210169312114049

3. 利⽤者がパスワードを忘れた時のために，いわゆる「秘密の質問」を設定できるようにしている。
4. パスワードには，辞書に掲載されている単語，ユーザーの名前，その関連情報などを⽤いないよう促している。
5. 利⽤者が，ある回数連続してパスワードを間違えた場合，アカウントを⼀時的にロックする仕組みがある。
6. 証明書の鍵⻑がRSAであれば2048bit以上となるよう推奨している。
7. クレデンシャルはFIPS 140_2 Level 2相当以上のICカードやUSBトークンなどに格納するよう推奨している。
8. クレデンシャルは，（例えば，Windowsならレジストリ，Macならキーチェーンなど）OSが管理するセキュアな領域に格納するよう推奨している。
9. その他（具体的に記⼊）18 / 23

6 IDPの設定・運⽤管理
ここからは、IdPの設定と運⽤管理について、主に技術的な側⾯からの設問となります。設定ファイルの管理、稼働するミドルウェア群のアップデート状況、そしてサポートが終了したShibboleth IdP version 2系
統から3系統へのアップグレード状況について質問しています。
まず設定ファイルの管理（Q32）は、機関内での管理が131件（62%）、設定変更を都度外部に依頼しているとしたものが71件（34％）と、どちらも前年とほぼ同等の割合でした。IdPの設定ファイルは適切な管理（現状の最新版はどれで、現在IdPに反映されているものはどれか︖など）と設定変更が⾏えるようになっていれば問題はありません。IDaaSでの管理も同様です。管理体制が不明という回答が1件だけありましたが、これは通常ありえることではありません。IdPの運⽤管理部局に確認するなどして、適切な取り扱いができるよう、管理体制を明確にしておく必要があるでしょう。
Q48は、学認事務局からお知らせしている、Shibbolethの稼働に必要なミドルウェア群の脆弱性情報への対応状況を質問したものです。総じて8割程度の機関で、アップデート済みもしくは年度内に対応予定とされています。多くの機関で対応いただけている状況が⾒られます。⼀⽅、対応状況が不明であるとの回答が⼀定数あります。ソフトウェアの既知の脆弱性を突かれ、情報漏洩につながった事例が何件も報道されており、対応の遅れが甚⼤な被害につながるケースを⽬にしたことと思います。IdPに限らないことですが、管理下にあるサーバで稼働するソフトウェア群のバージョンやアップデート状況を把握できるよう努めていた
だきたいと思います。
なお学認事務局からは、Shibbolethとその動作に関連したミドルウェアについての情報提供のみを実施しており、それ以外の脆弱性等については提供しておりません。管理対象が多すぎて⼿が回らない、といった状
況にあるなら、脆弱性スキャナーを⽤いたチェックの⾃動化をご検討ください。
また、⻑期的にみて、脆弱性のアナウンス件数は増加傾向にあります。調査実施以降も、学認事務局よりご案内してきました。事務局からの情報に、引き続き注視していただきたいと思います。
Q49は、調査実施時点ですでにサポートが終了していた、Shibboleth IdP version 2系統から、現⾏のVersion3系統へのアップグレード状況についての質問です。調査実施時点でもまだ、11のIdPでversion2系統が稼働しています。
当然の話ですが、サポートが終了したソフトウェアを使い続けることは望ましくありません。Shibboleth
IdP version 2 においては、もうアップデートは提供されないと明⾔されていますし、学認事務からの技術情報はVersion3のみで提供しております。
アップグレードが完了していない機関、アップグレード予定はないと回答した機関は、こうした状況を鑑み、是⾮アップグレードを実施してください。

19 / 23

Q-32

1. 機関内（情報基盤センターなど）で管理し，必要に応じて担当の教職員が設定変更を⾏っている
2. 機関内（情報基盤センターなど）で管理しているが，設定変更などはその都度事業者に依頼している

131
71

3. IDaaSに管理を全て委任している

1

4. 設定ファイルの管理体制は不明である

1

5. その他

5無回答

1

20 / 23

Q-48

選対
今年度中にアップデート予定である対応

応

対応

不要

予

状況

だと定が不判断は明でしたなある択
当該ソフトしウェアをアてップデート

く済みであるだ
さいい[upki-fed:01179][idpcontact:00139] 【注意喚起】
Shibboleth IdPの脆弱性について

4353

21693

332540

17105

24715

216128

24465

31680

260

14

2151163(2017/10/5付アドバイザリ)[upki-fed:01178][idpcontact:00140] 【注意喚起】
Apache Tomcatの脆弱性について(2017/10/12)[upki-fed:01201][idpcontact:00150] 【注意喚起】 JavaSE JDKおよびJREの脆弱性について(2018/1/17公開)[upki-fed:01203][idpcontact:00151] 【注意喚起】
Shibboleth関連の脆弱性について(2018/1/23付アドバイザリ)[upki-fed:01212][idpcontact:00153] 【注意喚起】 JavaSE JDKおよびJREの脆弱性について(2018/4付アドバイザり)

21 / 23

[upki-fed:01214][idpcontact:00156] 【注意喚起】
Shibboleth IdPの脆弱性について

48

86

31556

263

14316112265

11216114

276

20

41791

2

(2018/5/16付アドバイザり)[upki-fed:01217][idpcontact:00157] 【注意喚起】 JavaSE JDKおよびJREの脆弱性について(2018/5付アドバイザり)[upki-fed:01221][idpcontact:00159] 【注意喚起】 JavaSE JDKおよびJREの脆弱性について(2018/7付アドバイザり)[upki-fed:01222][idpcontact:00160] 【注意喚起】
Apache Tomcatの脆弱性について(2018/7/23付アドバイザリ)

22 / 23

Q-49

1. Shibboleth IdP 3.x系統にアップグレード済みである

182

2. Shibboleth IdP 2.x系統が稼働しているが，今年度内に3.x系統にアップグレード予定である

10

3. Shibboleth IdP 2.x系統が稼働しており，現在アップグレードの予定はない

1

4. Shibboleth IdP 以外のソフトウェアでIdPを運⽤している

7

5. 稼働しているソフトウェアは不明である

2

6. その他（具体的に記⼊）8

本調査にご協⼒いただき、ありがとうございました。

23 / 23