AXIES 年次⼤会 2022
認証基盤部会 企画セッション

認証プロキシサービス
Orthros
坂根 栄作
国⽴情報学研究所© 2021 National Institute of Informatics

1

学術認証フェデレーション• 学認は、サイバー空間における円滑な学術活動を⽀援すべくトラストフレームワーク（ポリシ、技術、評価）を提供• 全学的なサービスに対してうまく機能

SP

Lib Services

Web mailGakuNin Steering Committee• Federation Policy• IdP Auditing•Promotion

IdP

Univ. A

Easy Access fromout of Campus

Groupware

Discovery ServiceRegistration Sys.

Metadata Repo.

Info. Web Site

Univ. B
Reduction of ID
management cost,
Improvement of security

Content Services
Most ofMajor
Publishers2

E-Journals

E-Learning

Academic Federations
have been establishedper country basis

Univ. C
Seamless accesswith SSO

Application Services
Admin
Services

eLearningePortfoli
oFoodle2

研究･教育DXを推進するために• 研究･教育データ流通の加速が必須• データ流通において、認証認可は極めて重要• データを誰が提供するのか• データに誰が参照するのか• コミュニティ単体で対応することの限界• 独⾃のトラストフレームワークに基づいた基盤運⽤は持続可能か︖• コミュニティ間でデータをどのように流通させるのか︖• 研究･教育DXを推進する新しいトラストフレームワーク• 認証ポリシの相互運⽤性• Identity Assurance Level (IAL), Authenticator Assurance Level (AAL)• 認証認可技術の⾼度化

3

次世代認証連携への要望（SP視点）• IdP を持たない利⽤者の認証• 利⽤者は、必ずしも学認に参加するIdPのアカウントを所有しているわけではない• 信頼に⾜る本⼈確認を⾏っている IdP に依拠したい• 認証レベルの把握• Id&Password か 多要素か
• 多要素認証を経た利⽤者のみにサービスを提供する、のようなフィルタリン
グ• 複数組織に所属する利⽤者の同定• 組織異動における利⽤者の同⼀性の担保• 組織間異動があっても情報資産利活⽤の継続性を担保したい• e.g., GakuNin RDM 上の資産を継続的に利⽤したい• ⽤途に応じた属性の提供• 例︓居住者か⾮居住者かを把握したい（輸出管理）4

新しいトラストフレームワーク
参加IdP数の更なる拡⼤

IdPs
どの認証器を利⽤すればよいのか

IdP-SP 仲介
・IAL/AAL マッチング
・既存ID基盤連携

認可機能⾼度化・グループ管理機能

SPs

本⼈確認の保証度、認証強度の明確化
・どの程度の本⼈確認が実施されているのか
・どの程度の認証強度なのか

Trust Framework5次世代認証連携における主要構成要素
学認IAL/AAL• 本⼈確認の保証度、認証強度について規定
認証器レジストリ• 学認AALに基づく認証器の評価
認証プロキシサービス• IAL/AAL matching, Credential bridging, Attribute coordination
IdPホスティングサービス• ⼤学、研究機関のIdP構築運⽤の課題を議論
グループ管理機能の⾼度化• より⾼度な認可要求に対応
6

認証プロキシサービスの研究開発• 産学連携を含む多種多様な研究を⽀援する SP への Id 連携時に、必要な Id 保証を柔軟に担保するなどの機能を提供する• IAL, AAL matching, AL enhancement• credential bridging (e.g., OAuth access token -> SAML assertion)• 既存の研究コミュニティのもつトラストフレームワークにおいて、Id 基盤部分を外だしできるようにする• 本⼈確認⼿続きを外部に依拠できる

7

認証プロキシのデザイン
公的個⼈認証 gBizID

IdP

IdP

携帯事業者

ORCID

IdP

IdP

機関契約
MS/Google 機関IdP

IdP

IdP

属性プロバイダ群…

⾝元確認・本⼈確認
プロジェクト管理者
HPCI管理者などによる確認（属性付与）

認証プロキシ

紐付け・総合 IAL/AAL 判定
フィルタ
フィルタ

産学連携

IdP
OpenIdP-ng

IdP

所属メンバ情報提供

フィルタ

共同研究
PJ

機関

IdP

IdP

機関

KAGRA, HPCI, etc.
EJ等

LIGO等
MDX/GakuNin RDM SP

GakuNin/eduGAIN

SP

SP

SP
Original: Prof. Motonori Nakamura

8

ユースケース１ – credential bridging• 企業の研究者が GakuNin RDM を利⽤する
ORCiD④ORCiD で認証①事前に ORCiD と紐付け

Orthros③Orthros にリダイレクト⑤アサーション
を送信

GakuNin
RDM②アクセス要求⑥アクセス成功9ユースケース２ – IAL enhancement• 複数の Id を紐づけることにより、SP の要求 IAL, AAL に対応
する

IdP2
Orthros

SPIdP110

認証プロキシサービス Orthros の設計・実装• 認証プロキシコア部 (IDaaS) – SELMID https://ctc-insight.com/selmid• 各種機能設定インターフェイス部 (マイページ機能) – 内製
• 基本機能• ID 管理、ログイン、ID 紐付け、ID 紐付け管理、属性更新• SP管理機能（管理者向け機能）• SP毎に要求するIALおよびAALを設定する機能• SP単位の同意管理機能• 利⽤者がSPに初回ログインする際に同意を取得する機能• 利⽤者が⾃⾝の同意状態の確認・取り消しが出来る機能• 管理者が機関内のユーザの同意状態を確認する機能• 属性保証（旧機関管理）• 管理者が管理対象ユーザの属性を保証する機能• 例）⾃機関に所属するユーザの所属属性を保証する（招待による確認〜属性付与）
11

Orthros の設計・実装（続き）• 更なる機能強化• メールアドレス変更時の通知機能• アカウント停⽌機能• マイページ上に連携済みIdPの情報を表⽰する機能• パスワードの強制リセット機能• 外部IdPの追加• 接続済み : LINE, Google, Yahoo! JAPAN, Facebook, Twitter• 調整中 : gBizID, ORCiD• SP の追加• meatwiki, GakuNin RDMステージング環境
12

新規登録 (1/4)

13新規登録 (2/4)

14新規登録 (3/4)

15

新規登録 (4/4)

16外部ID連携 (1/4)

17外部ID連携 (2/4)

18

外部ID連携 (3/4)

19

外部ID連携 (4/4)

20

ログイン (1/4)

21

ログイン (2/4)

22

ログイン (3/4)

23

ログイン (4/4)

24

FY2022 開発︓Q3-Q4• Orthros 本格運⽤に向けて• OpenIdP 移⾏環境としての機能整理、基盤整備• OpenIdP からのユーザ移⾏準備・⽀援• 本格運⽤に向けた体制・⼿順整備• 運⽤ポリシ・運⽤規程策定• FY2023 以降• Orthros 拡張機能開発 – 次世代認証連携対応• 外部IdP（GビズID、ORCID）連携• SP単位の送出属性選択• 異動に伴うHome IdP Binding• 新学認IAL/AALポリシー対応• 認可属性の取り扱い強化

25

まとめ
• 認証プロキシサービス Orthros• 次世代認証連携作業部会で議論する課題を解決する提案⼿法の１つ• Credential bridging, IAL/AAL matching, AL enhancement• 複数ID紐付け• IdP と SP とを仲介する Orthros
IdP

SPIdP

SPIdP

SP26