SP側の視点での次世代認証連携への課題・期待
込⼭ 悠介
国⽴情報学研究所
2022年12⽉13⽇© 2022 National Institute of Informatics

1

⽴ち位置

サービス提供(SP)側の⽴場
GakuNin RDMでの次世代認証への課題・期待データ検索基盤

データ公開基盤

データ管理基盤

オープン・クローズド戦略のもとでオープンサイエンスが実現できる基盤

研究データプロセスと研究データ基盤
NII Research Cloud

GakuNin RDM（GRDM）は、国⽴情報学研究所（NII）で運⽤している研究データ基盤NII Research Cloudの⼀部で、研究中のクローズド（⾮公開、制限共有）なデータを取り扱う事に特化したRDMサービス。
2021年4⽉からは24時間365⽇オペレーターを配置した運⽤体制で全国の学術機関にRDMサービスを提供。

2

⽴ち位置

GakuNin RDM︓研究データ管理のためのSP

3

⽴ち位置

学認フェデレーション参加のIdPと連携可能
調達が不要でシステム導⼊が容易
GakuNin RDMポータルのプルダウンメニューから⾃機関を選択

研究データ共有機能（基本機能）

⾃機関の認証システム(IdP)でログイン

学認による認証とグループ管理でデータ共有

シングルサインオンでGakuNin RDMを利⽤

GRDMでは、学術認証（学認）フェデレーションにサービスプロバイダ（SP）として登録済みのため、学認に参加していればアイデンティティプロバイダ（IdP）連携のみで導⼊が可能。
学認参加前の機関はSPの利⽤申請とOpenIdPでも利⽤可。
44030

20

19
M
ar-1
9M
ay-1
9Ju
l-1
9Se
p19
N
ov-1
9
Jan20
M
ar-20
M
ay-20
Ju
l-20
Se
p20
N
ov-20
Jan21
M
ar-2
1M
ay-2
1
Ju
l-2
1
Se
p21
N
ov-2
1
Jan22
M
ar-22
M
ay-2
2
Ju
l-22
Se
p22
N
ov-22Jan-⽴ち位置

GakuNin RDMの利⽤機関数の増加

605052機関

100

総合
理⼯⼈⽂社会『GakuNin RDM 利⽤機関数』
https://support.rdm.nii.ac.jp/about/#a2

医学(2022年11⽉現在)

5

課題

理化学研究所放射光科学研究センター 様(SP利⽤者)からの認証サービスへのニーズ
状況︓産学共同利⽤のデータセンター新設。組織内に技術者・研究者が多くいる。機関のIdPを新設。
視点︓
SPring-8/SACLAデータセンターがGakuNin RDM（SP）を利⽤する観点からタイムスパン︓• 中期（4年以内）で実現したい機能• 企業ユーザ利⽤に対応できる認証システム• ⻑期（4年超）で検討する価値があると思われる機能・運⽤• ⼤学・国研等のユーザについて以下の情報がわ
かるIdPの運⽤を希望。
• 学部学⽣、⼤学院⽣、職員の区別がつくように属性の値を⼊れて欲しい。

課題『保健医療分野の国⽴試験研究機関』様からの認証サービスへの課題１
状況︓全国の⾃治体、地⽅の機関や研究施設を中央で取りまとめ。組織内にITの研究者、技術者が少ない。機関のIdPは新設。
【国⽴試験研究機関での問題】• 認証での課題については、以下がある• ⾃施設でサーバを設置する場合、• システム部⾨やSEがいない研究機関では、IdPの設置・維持・管理は難しい。
• 管理には⼯数が増⼤するため、研究者が教育・研究の時間が割かれる。

• 外部サービスを利⽤する場合、• 継続的に利⽤する財源の確保が難しい。
• 既存のネットワークとの連携が困難な場合がある。
• 定期的なネットワーク更新での対応が可能かが⼼配される。
7

課題『保健医療分野の国⽴試験研究機関』様からの認証サービスへの課題２【⾃治体などにおける問題】
IdP側課題• 普段から、⾃治体からネットワークが繋げられない、ソフトウェアのインストールには申請が必要、添付ファイルは無害化してからでなければ開けないなど、⾃治体、保健所、地⽅衛⽣研究所などの問題があるところも多い。認証について検証してはいないが、上記の理由から問題が⽣じる可能性は⾼い。
• ⾃治体では、個⼈メールアドレスを付与されておらず、部署共通のメールアドレスを利⽤している。個⼈のメールアドレスを業務で登録することの問題、ドメインでの認証ができない問題もある。
SP側課題• ⾃治体、保健所、地⽅衛⽣研究所などと研究をする場合には、⼤学機関等ではないため、e-Rad番号はある研究者がいても、GakuNin RDMに参加できない問題がある。⼤学においても、⾃治体、保健所、地⽅衛⽣研究所などと研究する場合も同様。
• OpenIdPでGakuNin RDM利⽤可能だが、施設や組織での利⽤についての承認や申請⼿続き、研究者によるOpenIdPの申請⼿続きが円滑にできない可能性がある。
8

課題

SP側での認証の課題整理• SPとIdPをセットで導⼊したいケース• 機関単位でSPを導⼊したいので、IdPを整備して学認に参加させたいが、組織内ににIT技術者が不⾜しており、どうすすめてよいのか分からない。

• 学認参加機関以外のSPを利⽤したいケース• 学認に参加していない企業、⾃治体、教育機関等のユーザも学認のSPを簡便に利⽤したい。

• 学認の規程と利⽤機関現場の実情のミスマッチ• 部署単位でのメールアドレスやアカウントしかない場合ある。個⼈単位の多要素認証の⽅法がないケースもある。
• 学認参加のIdPを持たない、多数の組織所属の少数ユーザを、総括機関・共同利⽤機関のIdPで管理できると運⽤が楽になる。

• 次世代認証対応ユースケースの醸成• SPの利⽤機関ではAAL2/IAL2の必要性は感じているが、具体的なアプリケーションのニーズはこれから。SP側からも提案が必要。
9

取り組み

SP側の課題解決への取り組み
SP(GakuNin RDM)と次世代認証のIdP連携試験
実験環境• GakuNin RDMの検証環境のSP• 認証プロキシサービス(Orthros)の開発⽤IdP• IdPホスティングサービスの検証⽤IdP• 次世代認証Assurance Level対応の試験IdP(予定)進捗• IdP-SP間での認証連携の調整• OpenIdPユーザが認証プロキシサービスを後継として使った際にSP側で問題がおきないよう検証をすすめる。
• 次世代認証のAssurance LevelへのSP側改修の対応
10

期待

次世代認証サービスへの期待• 認証プロキシサービス(Orthros)• 学認に参加していない企業、⾃治体、教育機関等のユーザも学認SPを簡便に利⽤できるIdPがあること。
• 学認参加のIdPを持たない、多数の組織所属の少数ユーザを、総括機関・共同利⽤機関のIdPで管理できること。

• IdPホスティングサービス• 組織内ににIT技術者が不⾜してしていても、容易に、機関単位でIdPを整備して学認に参加できるようになること。
• 部署単位でのメールアドレスやアカウントしかない場合でも利⽤できること。

• 次世代認証Assurance Level対応IdP• 個⼈単位で多要素認証のデバイスがないケースでもAAL2でIdPを利⽤できること。
• 利⽤機関での具体的なアプリケーションのニーズに対応したAssurance Levelの機能がSPとIdPで実現されること。
11

12z

Thank you