学認について
平成27年度 新潟県大学図書館協議会研修会＠長岡高専
国立情報学研究所 学術基盤課（認証担当） 野田 英明

1 「認証」と図書館サービス
 学認を使ったリモートアクセス
 学認のしくみ 学認に参加するために2

 「認証」と図書館サービス
 学認を使ったリモートアクセス
 学認のしくみ 学認に参加するために

3

学術認証フェデレーション「学認」
・・・「認証？」4

5

「あけておくれ，おかあさんだよ」「おかあさんなら白い手をしているはずだよ」（※１）

「ほら，白い手だよ～」「おかあさんだね，入ってきていいよ」（※2）
6 【認証】

その人は間違いなく本人か，検証すること（※1）

 パスワード，暗証番号・・・（本人の記憶による検証）
 ICカード，マトリクス，SMS・・・（本人の所有物による検証）
 指紋，指静脈，虹彩・・・（本人の生体情報による検証）

 【認可】

その人は何ができるかを特定し，許可すること（※2）

 「大学の構成員だから，電子ジャーナルが読める」
 「学部学生だから，図書を5冊まで貸出できる」
 「この先生は図書を延滞してたから，きょうは貸出禁止！」「属性」
7 電子ジャーナル等，利用資格を有する者の範囲は，契約に明記される。

 「利用資格を有する人には，適切にアクセス権限を付与」
 「利用資格のない人は，確実にアクセス不可とする」
 「認証(authentication)」と「認可(authorization)」を組み合わせることにより，この制御が実現される。
 学内からのアクセスであれば，「IPアドレス認証」を用いるのが一般的（契約内容によっては，IPアドレス認証だけでは制御に不足することもあります）
 では，学外からアクセスするにはどうすればいい？

8 「認証」と図書館サービス
 学認を使ったリモートアクセス
 学認のしくみ 学認に参加するために

9 電子ジャーナル等の利用では「IPアドレス認証」を使うのが一般的。
 機関のIPアドレス範囲外からのサービス利用が「リモートアクセス」 。
 多くの電子ジャーナルでは，契約上，リモートアクセスが認められる。

 個々の雑誌・パッケージにおける利用可否は，各社の契約書，もしくは，JUSTICE標準提案書にてご確認ください（参加機関限定）。

10 大手出版社の電子ジャーナルでは，各社にID・パスワード発行を申し込むことにより，リモートアクセスが可能。
 利用する側にとっては，手間のかかる方式でもある。

出版社ごとに，それぞれ申し込まないといけない (>_<)
 出版社ごとに，ID・パスワードを使いわけないといけない (>_<)
 そもそも，パスワードが発行されるまで待っていられない (-_-#

図書館にとっても，利用者案内やID管理など負担が重い・・・ ID発行を個別に申し込むうえ，個人情報の登録が必須という問題も。

パスワードの使いまわしによる，アカウント乗っ取りリスクの増大
 不必要に個人情報を外部に出させることの是非

11 ネットバンキングにおける不正送金の急増
 スパム送信数の急増（大学のメールサーバもターゲット） パスワード使いまわしによる被害の拡大

ネットバンキングでの被害額・被害件数

平成25年：件数14倍，被害額29倍（前年度比）

2014年1月30日，警視庁発表Source: http://www.i-infini.com/security/?p=281
12

情報処理推進機構「パスワード －もっと強くキミを守りたい－」https://www.ipa.go.jp/security/keihatsu/munekyun-pw

 サービス個別のID/パスワードから，シングルサインオンへ

1回のログインで，認証を必要とする複数のサービスを利用できるようにする仕組み

 「認証」と「認可」を分離，認証は機関が用意する認証サーバに集約

全てのサービスが，一組のID/パスワー
ドで利用可能（便利）SPでID管理パスワードはサービス側に渡らない（安全） IPアドレスに依拠しないため，リモートアクセスが実現できる
13

ID1/PW1

認証

SP2

アクセス、ID/パスワード

ID2/PW2

認証
アサーション（認証結果）

IdPでID管理 サービス側は，認証サーバから送ら


SP1

ユーザ

アクセス

れる認証結果を信頼して「認可」

Service Provider

SP1

ユーザ

ID/パスワード

IdP
認証

SP2

ID1/PW1Identity Provider 学術認証フェデレーションとは


定められた規程（ポリシー）を信頼しあうことで，相互に認証連携を実現し，学術リソースを利用・提供する機関や組織から構成された連合体のこと機関（IdP）がIDと属性を管理し，サービス提供者（SP）がそれを利用して認可
クラウドの活用を支援
図書館システム

Webメール

学認運営組織• フェデレーションポリシーの策定• ＩＤ管理運用評価• 広報・普及大学 A
個人認証で学外からも快適アクセス• 記憶するIDは1つ• 情報入力は一回• 学内外・国内外OK• Webブラウザだけ
14

グループウェア

Eラーニング電子ジャーナルディスカバリーサービス

学認申請システム

メタデータリポジトリ

情報提供サイト

大学 B
ID管理工数の低減
セキュリティレベルの底上げ
個人情報保護大学 C
シングルサインオンでスムーズなアクセス 民間フェデレーションとの連携による学割サー
ビス等の開発 より高度で便利な本人確認手法との連携機構の開発と提供
 信頼レベル認定による格付け
 きめ細かなプライバシー保護のための制御機構の開発と提供
 共同研究や共同利用を支援するグループアクセス機構の提供

機関数

ユーザ数

174機関
174

総ID
総ID数約125万
125200
180
160
140
120
100
80
60
40
200

140
系列1系列2120

系列3100
80
6040

国立大学
学認参加数
カバー率
総機関数
155969%
86

公立大学

1212%
92

私立大学

447%
603

高等専門学校 共同利用機関
051
10%
89%
334
57

短期大学

その他

70

Mar-00Mar-00Mar-00

Feb-00

Feb-00

Feb-00

Feb-00

Jan-00

Jan-00

Jan-00

Jan-00

Jan-00（万人）

Jan-00

Jan-00
Jan-00
Jan-00
Jan-00
Jan-00
Jan-00
Feb-00
Feb-00
Feb-00
Feb-00Mar-00Mar-00Mar-0020

合計174メタデータ登録数（公開準備中を含む）

コンテンツ系サービス
16

100
80
60
4020
Mar-00Mar-00Mar-00

Feb-00

Feb-00

Feb-00

Jan-00

Jan-00

0Jan-00

無線ネットワークアクセス
 Eラーニング テレビ会議 ファイル共有 メーリングリスト
 クラウド環境120

Jan-00基盤系サービス

140

Jan-00

160

Feb-00電子ジャーナル 機関リポジトリ
 文献検索 論文・業績情報管理 開発環境（ソフトウェア）

139 SP

Jan-00赤： 運用中のフェデレーション
紫： 試行運用のフェデレーション
17 「認証」と図書館サービス
 学認を使ったリモートアクセス
 学認のしくみ 学認に参加するために18 標準プロトコル(SAML)によって，サービス利用認可のための属性情報をやり取りするためのミドルウェア。
 オープンソース(無償)である。
 米国EDUCAUSE／Internet2にて2000年に発足したプロジェクト。現在の開発主体はShibboleth Project / Shibboleth Consortiumに移行。
 http://shibboleth.net/

 最新はIdP 3.1.2, SP 2.5.5。IdPは11月に3.2.0がリリース予定。
 欧米でﾌｪﾃﾞﾚｰｼｮﾝを通じて実運用拡大。

とりわけ学術系の利用が軸となっている。

19

 IdP（Identity Provider）


フェデレーション内に構成員の情報を提供するサーバ

フェデレーションに参加する大学等が構築 SP（Service Provider）


認証を受けた人に対してサービスを行うサーバ



電子ジャーナル，データベース，E-ラーニング等
Webベースのシステムであれば何でも可 DS（Discovery Service）


SPへのアクセスの際にIdPを検索するシステム

フェデレーションが運用



WAYF (Where Are You From) サービスとも呼ばれる(Shib 1.x)20

1. 学認認証を選択

2. 所属機関を選択

3. ID/PWを入力

4. 認証完了(SPに戻る)

属性の送信
SAML

SPDS

(Service Provider)(Discovery Service)

21

(属性)

IdP

SP (Identity Provider)

SP(Service Provider) フェデレーション内に情報を提供するサーバであり，大学等が構築
 IdP自身は情報を持たない

 情報はLDAPやActive Directory等，既存の認証基盤を参照

 IdPは単なるフィルタであり，学内認証基盤から特定のデータのみを抽出して提供する
 公開できるデータの制御が可能である

このため，Shibbolethはしばしば個人情報保護に優れていると言われるが，サーバ自体がハッキングに強固という意味ではない。
 慎重な操作が必要なのは，LDAPやActive Directoryと同じ


学内認証基盤LDAP
Active Directory など

IdP
提供データのフィルタ必要なデータのみを外部へ
機関名，所属機関名，所属，氏名，肩書き…
22

非公開データを落とすフィルタ サービスを提供するWebサーバのこと
 “シボレスログイン”等のボタンがあればShibbolethで利用可能なSPである
 電子ジャーナルに限らず，いろいろなサービスをShibboleth化することが可能（例：無線LAN認証，サイボウズ）

学内のみの利用ならば，IdP, SPが立ち上がれば完成。
他大学と連携するには何が必要？
23 「認証」と「認可」の分離

認証：本人確認 (Authentication) 認可：その人に利用させるかどうかの判断 (Authorization)
 異なる組織が個別に管理するため、相互の信頼が重要

認証サービスは、変な利用者にサービスを不正に利用させたりしていないかな？
属性情報の内容は正しいかな？

サービスは、利用者に関する情報を、目的外利用しないかな？

相互の信頼サービス(SP)認証サービス(IdP)
認証

認可

利用者

管理者
認証

24

認証情報・属性情報

管理者
サービスの利用 一律のポリシーに基づく信頼フレームワークの導入により、個別契約でのN×Mの関係が、N＋Mの関係に削減

IdP

個別契約

信頼フレームワーク
SP

SP

IdP
契約

SP

SP
IdP

IdP

T
F
P

SP

IdP
25

SP

IdP

Trust
Framework
Provider（学認）SPSP 組織の構成員であることの保証

卒業、退職などによる異動の適切な反映
 名誉教授、OB、図書館の地域内利用者、その他ゲスト等の扱い
 識別子再利用についての考慮

同一識別子を利用する場合は、一定期間あける

 ユーザの同一性の保証

パスワード配布時の本人確認
 適切に管理された役職アカウント 個人情報保護への対応

国公立大学ではオプトインが原則機関として責任を持った
IDおよび属性の保証

 ログの保存

インシデント対応のための記録⇒定期アンケート（毎年）によるチェックとフィードバックで信頼性を維持
IdP of the Year 2012 － 大阪大学
 IdP of the Year 2013 － 山形大学
 IdP of the Year 2014 － 金沢大学
26

LoA1認定第1号

学認で使用される属性情報の種類は18種類。
これらを用いて認可処理などが可能。
属性内容

OrganizationName (o)組織名

jaOrganizationName (jao)

組織名（日本語）

OrganizationalUnit (ou)組織内所属名称

jaOrganizationalUnit (jaou)

組織内所属名称（日本語）

eduPersonPrincipalName (eppn)

フェデレーション内の共通識別子

eduPersonTargetedID

フェデレーション内の匿名識別子

eduPersonAffiliation

職種

eduPersonScopedAffiliation

職種（@scopeつき）

eduPersonEntitlement

資格

SurName (sn)

氏名（姓）jaSurName (jasn)

氏名（姓）（日本語）GivenName

氏名（名）jaGivenName

氏名（名）（日本語）displayName

氏名（表示名）jaDisplayName

氏名（表示名）（日本語）mailメールアドレス

gakuninScopedPersonalUniqueCode

学生・職員番号 （@scopeつき）

isMemberOf

所属するグループ名27

実際に使われる属性情報の例
サービスＡ (1項目必須)
eppn (必須)
eduPersonAffiliation

サービスB (1項目必須)
eduPersonAffiliation (必須)

サービスC (2項目必須)
eduPersonTargetedID (必須)
eduPersonEntitlement
eduPersonScopedAffiliation（どちらか必須）(参考)https://meatwiki.nii.ac.jp/confluence/x/1oS5

 通常アクセス

IdP

SP
認証

 匿名アクセス (Anonymous)

認証成功・ID

認可

全SP共通ID
SP
ID

ID情報を送らないので、実際に誰かはわからない
IdP
認証

認証成功

SP
認可

 仮名アクセス (PPID: Pairwise Pseudonymous Identifier)

SP毎に異なるIDを送ることで、SP間での行動履歴の名寄せを防止
 プライバシー保護

IdP

SP
認証

認証成功・仮名X

SP
SPごとに異なるID
ID
28

認可

 「認証」と図書館サービス
 学認を使ったリモートアクセス
 学認のしくみ 学認に参加するために

29

 とにかく，IdPを構築しましょう。
 IdPを作るためには，「利用者を一元的に管理しているサーバ」が必要です。

LDAPサーバやActive Directory等が相当。
 多くの場合，情報センター（もしくは，これに相当する組織）が持っています。
 利用者データの管理がどのくらいの頻度で行われているか，要確認。
 データのメンテナンスを誰が行うか，調整が必要なことも。
 学内の既存データを活用できるか，調整が重要です。

属性情報を学外に出すことには，学内合意が必須。
 特に個人情報を学外に出すことへの抵抗は強い。
 大学名など，比較的抵抗の少ない属性から，スモールスタートでも良いのでは？
30 どのサービスを利用したいのか，計画を立てます。

サービスごとに，利用権限を持つ者の範囲も異なります。
 利用権限を持つ者の範囲と認証サービスの利用者の範囲が異なる場合，契約に違反することがないよう，手立てを考える必要があります。
 利用したいサービスに必要な属性は送信可能か，確認します。

学認で利用が認められる属性は18種類。
 元になる利用者サーバに，全ての属性が揃っていることは，ほとんどありません。
 利用したいサービスで必要な属性のみ，送信できればOK！
 電子ジャーナルだけなら，必要な属性は大幅に絞られます。
属性の管理は，IdP構築時だけではなく，運用開始後も関わってきます。
学認は「大学・サービス提供者・NIIの連携」で実現されていますが，各大学における「図書館と情報センターの連携」も，きわめて重要です。
31

 学認申請システム


学認への参加申請，メタデータ登録・更新等がWebを通してオンラインで可能になります テストフェデレーション
1.
2.
3.

参加申請用のアカウント作成
事務局での参加承認
フェデレーションメタデータの自動更新

通常一日で参加完了
利用開始可能 運用フェデレーションの場合は？
32

オフラインによる確認が1ステップ増えるだけ （学長印を付した書面の提出） 電子ジャーナルなど，商用SPの多くは，「学認に参加」しただけでは利用できません。
学認は「認証」を行っているだけなので，契約のないタイトルは読めません。

 IdPに，利用したいSP向けの設定を追加することが必要です。

 あわせて,SP側にも「学認経由で利用」の申込を必要とすることも。
詳しくは，学認ウェブサイト「IdP・SP一覧」をご参照ください。

https://www.gakunin.jp/participants/
33 図書館と情報センターで，利用者サポートの分担を決めておくと良いでしょう。
利用者アカウントのことは，情報センターでないと判らないことが多いです。

 学認経由での利用方法は，サービスによって様々です。
利用ガイドを用意しておくと，利用者に喜ばれるだけではなく，職員の負担軽減にもなります。

（千葉大学の例 http://www.ll.chiba-u.ac.jp/remote.html）
34

 学認では，一組のID / パスワードで多くのサービスが利用可能。

覚えるべきパスワードはひとつだけ パスワードが漏洩すると，多くのサービスに不正アクセスされる危険も 各機関のセキュリティポリシーに従い，できるだけ強固なパスワードを設定するよう，ご案内をお願いします。

35

情報処理推進機構「パスワード －もっと強くキミを守りたい－」https://www.ipa.go.jp/security/keihatsu/munekyun-pw

国立情報学研究所 学術基盤推進部
学術基盤課 総括・連携基盤チーム（認証担当）
mail: gakunin-office@nii.ac.jp
まで，お気軽にどうぞ。

36