スタートアップ事例紹介

岡山大学情報統括センター

河野圭太

統合認証化の取り組み（～2009） IDとパスワードの統一を推進

教育研究支援情報システム：ID一括管理システム
 その他システム：LDAP


 課題


断片的な統合認証が進行

全構成員を包含するID体系が存在しない。
 教育研究支援情報システムID（センターID）：全学生、一部教員（2009年度以降、全教員）、一部職員
 学務システムID：全学生
 教員評価システムID：全教員

教育系
学務系
教員系

進学や転学、身分変更に伴いIDが変更される。
 セキュリティ対策箇所が分散化される。（安全性の低下）
2学認シンポジウム

2012/3/5

統合認証化の取り組み（2010～）
 統合認証システムの運用を開始


全構成員に対する統一的なID付与
 全ての学生、教員、職員が利用可能
 身分に依存しないID体系



IDの生涯利用 進学、転学、身分変更の度にIDが変わらないように 卒業、退職しても使えるIDをシングルサインオン
 認証機構の統合
 学認との連携岡大IDによる学内（外）システムの統合利用
3

学認シンポジウム

2012/3/5

岡大IDとシステムID、メールアドレスの関係
名称

用途割り当てルール

システムID

個人を識別するために付与するID

岡大ID

個人が設定した文字列システムにログインする（初期値は上記と同じラために利用するIDンダムな英数字）

メールアドレス メールアドレス

4

学認シンポジウム

ランダムな英数字

個人が設定した文字列@okayama-u.ac.jp（初期値は上記と同じランダムな英数字@okayama-u.ac.jp）
2012/3/5

統合認証システムの構成
学務システム

今回の範囲

人事システムシングルサインオンシステム（IceWall、Shibboleth、OpenID）
教職員情報

学生情報

大学情報DB

LDAP

情報連携

学生・教職員情報

統合認証マスタDB

情報連携

統合認証管理システム

認証連携
認証連携

学認SP

情報・認証連携

情報連携

情報連携

学内情報システム
岡山大学認証局
5

学認シンポジウム

2012/3/5

複数シングルサインオンシステムの利用
 既存システムと新規システムで連携方法を変更（運用開始時の混乱を回避するため）
 既存システム：IceWall中心
 新規システム：Shibboleth中心

6

学認シンポジウム

2012/3/5

既存システムとの認証連携
 リバースプロキシ型製品（IceWall）によるソフトな連携


利用者によっては岡大IDこそが新しく管理が必要なID
従来IDによるアクセス便利なので移行しよう

徐々に移行
岡大IDによるアクセス
既存システム
利用者
IceWall Shibbolethによる連携
7

対応できるものはShibbolethで
学認シンポジウム

2012/3/5

新規システムとの認証連携
こちらを推奨中 Shibbolethによる連携
以下の場合、連携は容易
 認証機構がカスタマイズ可能な場合
 モジュールが提供されている場合



認証プロキシを構築する方法も リバースプロキシ型製品（IceWall）による連携

中にはShibboleth対応できないものも
 既製システム 契約上？

いずれにしても連携システム担当者との事前の意思疎通は重要

8

学認シンポジウム

2012/3/5

システム連携に伴う課題
 共用IDへの対応

1つのIDを複数人で共用
 パスワードを知っている人＝アクセスしてよい人という想定
 人事異動などに対応しなくてよい（？？）ため管理が楽

セキュリティポリシー上は問題
個人認証が必要だが理解が得られにくい。
運用負担を増やさない移行方法の検討が必要

9

学認シンポジウム

2012/3/5

Shibbolethを用いたSSOの課題
 IdPタイムアウト時間の調整

Authentication method duration：認証後30分
 Session lifetime：（IdPと）無通信30分


認証必要

認証不要

認証必要

SP1利用（0分後）

SP2利用（20分後）

SP3利用（40分後）Authentication method duration

Session lifetime

 SPログアウトの実装


ログアウトしたのにログインしている？（SSOで再ログイン）

10

学認シンポジウム

2012/3/5

運用担当者の仕事（Shibboleth連携関連）
 連携システム担当者との打ち合わせ

認証範囲、利用属性の確認

 SP構築のサポート
Shibbolethを扱ったことがない場合

 Shibboleth、LDAPの設定

メタデータの交換
 属性管理 利用属性の定義（過去に未使用の属性の場合）
 送信属性の設定

 その他、日々の運用

11

学認シンポジウム

2012/3/5

証明書の更新
 IdPではUPKIのサーバ証明書を利用


2年ごとに証明書の更新作業が必要

岡山大学では2012年1月に実施
学認ホームページに情報が公開されており、ほぼ問題なし。
Gmailのみ複数証明書の登録ができなかったため
IdPの作業とGmailの作業を同期することで対応

12

学認シンポジウム

2012/3/5

20システム
以上

学内システム接続状況
 教育・研究支援情報システム


教育用PC、学生Gmail、教（職）員メール 他

 ネットワークシステム
ネットワーク認証（有線、無線LAN）

 e-Learningシステム
（下線はShibboleth接続のシステム）

WebClass、ALC NetAcademy 2 他

 業務システム

教員活動評価、財務会計システム 他

 学務システム

学生履修登録・成績確認（来年度から）、教員成績入力 他

 その他システム
13

情報共有システム、部局独自システム 他
学認シンポジウム

2012/3/5

17SP

学認SP接続状況

Elsevier Science Direct
 Springer SpringerLink Thomson Reuters Web of Knowledge
電子ジャーナルが中心
 CUP Cambridge Journals Online
 EBSCO EBSCO host
 国立情報学研究所 CiNii
 国立情報学研究所 FaMCUs/FShare/
Eduroam-Shib/WebELS/
edubase Cloud/学認申請システム
 金沢大学 File Transfer Service/
Opens non-Bibliographic
Contents Service
 山形大学 科学技術の学術情報共有のための双方向コミュニケーションサービス
 広島大学 HINETの無線LANゲスト利用サービス
 佐賀大学 無線LANゲスト利用サービス
14

学認シンポジウム

2012/3/5

学認SP接続手順
連携システム担当者との打ち合わせ → 使用権の確認等のみ



SP構築のサポート → 必要なし



メタデータの交換 → 自動更新設定済



利用属性の定義 → 定義済

送信属性の設定 → 学認ホームページに設定例

数十分程度の作業時間で11SPを接続
15

学認シンポジウム

2012/3/5

学認との連携に伴う課題
 Shibbolethの認可制御


IdPの送信属性に基づきSP側で実施
 IdPの利用者範囲≠SPの利用者範囲の場合、対応はSP次第
 SPによっては認可制御をしないものも

現在は自組織の利用者のみを登録しているが・・・

柔軟かつ厳格な運用にはIdPによる認可制御が必要（今年度中に対応予定）
参考：学術認証フェデレーションシステム運用基準（Ver.1.2）

16

学認シンポジウム

2012/3/5

まとめ 統合認証化の取り組み

岡大IDによる学内（外）システムの統合利用
 Shibbolethを中心とした認証連携を推進中 学認との連携

172012年2月現在 17SPと接続

学認シンポジウム

2012/3/5