大学ICT推進協議会 2014年度 年次大会 (仙台市)
2014年12月12日

エデュ ローム

キャンパス無線eduroamの最新動向と国内機関向け新サービス
後藤英昭†
新妻 共†
中村素典‡ 曽根秀昭†† 東北大学 ／ ‡ 国立情報学研究所1

内容
 国内外のeduroamの動向
 国内の状況 世界の状況

 国内機関向け新サービス
 会議向け期間限定eduroamアカウントの試行 オンラインサインアップシステム
 クライアント証明書発行システム

2

eduroam JP と 国内動向


国内のeduroam参加機関 (2014.12現在)

参加機関募集中!

57機関(昨年12月)→87機関 (+53%)

43機関 (2012.12) ← 27 (2011) ← 17 (2010)3

ISP-eduroam連携継続中！

 仮想的なキャンパスネットワークの拡大 !!
学術クラウド

国内87機関 (2014.12現在)

電子ジャーナル等

図書館・学内LANInternetby DataHotel & KDDIキャンパス外でも自由に学術NW・コンテンツへアクセス可能に！

認証連携
大学のアカウントによるNWアクセスを実現関東地域のカフェ、会議場、大型店舗等の屋内130AP
世界の69か国が加盟※ キャンパス無線LANのアウトソーシング
オプションの創成

4

国内動向 大学・短大、高専に加えて、専門学校も参加OK！
 専門学校からの問い合わせがあり、ネットワーク運営・連携本部・認証作業部会で審議、参加を認めることとした．
 基地局マップのデータ提出を参加機関に協力依頼
 あまり協力が得られていない (利用者が基地局を探しにくい) 提出データがXML形式で、しきいが高い？
 ウェブ画面上の地図を見ながら、基地局情報を入力できるシステムの開発 ― 学生プロジェクトで進行中

5

国際動向
 世界69か国(地域)に普及 (2014.12現在)
 欧州の全域
 アジア12地域
 カナダ，USA，ロシア，南アメリカ各国，南アフリカ共和国等
 スバールバル諸島やニューカレドニアにも！
 新興国では電源・ネットワークの不安定さ、狭い帯域に対応が必要
 我々の耐災害・耐障害eduroamのアーキテクチャが利用できそう．(検討中)6

国際動向: アジア・オセアニア各国(survey by H. Goto in Nov. 2014)
country(territory)

joinedinst.

#totaluniv.+col.

deployment
rate

Australia

39+1039+61?

100%(AP regional server 1)

Hong Kong

99100%(AP regional server 2)

China?

1,700+ ?

Taiwan217?

170+ ?

Japan75

1,200+6.3%

New Zealand

8+28+?

100%

PNG

16?

Macau1?

?

India

64?

South Korea

3?

Singapore

48

50.0%

Thailand

18160

11.3%

Malaysia

573

6.8%

Philippines?

?

(no activity for years, re‐starting)hosted by AARNet(no activity since 2007, re‐starting)• 機関数の少ない国では、近隣の国によるホスティングが有効．
7

代理認証システム (2008年～)
代理認証システム(DEAS)
RADIUS
server

FreeRADIUS
PostgreSQL
Perl CGI prog.

各機関
2014.12現在

29機関が利用中(87機関中, 33.3%)

account
DB

ID配布

Web UI アカウント発行ウェブサービス (ウェブ画面) または Shibbolethによるシングルサインオン (開発中)※ 認証連携なしのシステムは既に サービス提供中!
• ID取得だけで、管理者がアカウントをバルク請求・発行可能• ゲスト用アカウントの発行も可能

8

新サービス1：
会議向け期間限定eduroamアカウントの試行 (2014.7～)
 国内のeduroam対応大学・会議施設などで開催される学術系の会議、シンポジウム、ミーティングが対象
 eduroam対応だが、大学・会議場がゲストアカウントを発行できない例がある
 「代理認証システム」を利用 会議/シンポジウム/ミーティングを仮想機関(VO)とみなし、機関管理者用アカウントを発行
 会議開催ごとに申請が必要 現在、提供条件を検討しながら、試行中
 偽の会議をどのように排除できるか？
 利用資格の基準をどのように設定するか？
 eduroam JP事務局の負担をどのように下げるか？
9利用資格(仮) 会議主催者はSINET加入機関または学術団体(学振認定)であること
 実行委員会は機関ではないので、これをどのように扱うのか？
 共催者やスポンサー、現地担当委員会に利用させてもよいか？
 実務担当者はSINET加入機関(eduroam参加機関が望ましい)の職員であること

10アカウント配布シート(例)Name andsignature

事前登録者用

インシデント対応のため利用者の紐付けが必要

当日登録者用

詳細: http://www.eduroam.jp/conf.html

11

新サービス2：
オンラインサインアップシステム (代理認証システムの拡張)
 機関内でのアカウント配布(従来は手動)を容易化

 大規模な機関でも利用しやすい 利用者自身がオンラインサインアップによりeduroamアカウントを取得可能
 機関管理者がサインアップごとに承認操作する
 機関が発行した電子メールアドレスを初期の認証に利用 機関管理者が受付可能なアドレスを登録しておく アドレスの末尾が一致する利用者のみ、eduroamアカウントの申請が可能

12eduroamオンラインサインアップシステム
Centralized IdP service

Sign-up on the web
userRequest
notificationby email

AuthN request email

Online sign-up
extension

Institution B
Institution C

AuthN on the web
ID notification email

Institution A

Approval orrejection
via web

Institution D

13

新サービス3：
クライアント証明書発行システム
代理認証システムで、EAP-TLS認証をサポート
 証明書を用いるEAP-TLSでは、ローカル認証方式が実現できる (耐災害アクセスポイントの開発で提案済)


署名の検証が可能→認証が可能
属性情報の取得が可能→認可が可能
発行者の
秘密鍵
発行者の公開鍵発行者
クライアント証明書
発行者名
クライアント名
クライアント公開鍵
提出
発行
電子署名

発行者の公開鍵

RADIUS

提出

Access PointRADIUS

提出

Access Point

移動ユーザ

避難所A

避難所B

14

応用例: ローカル認証による耐災害・耐障害eduroam
 代理認証システムに証明書発行機能を追加
 代理認証システムとローカル認証方式の組み合わせにより、認証処理の信頼性を向上
 中継するプロキシの数を削減し、信頼性を向上
 自機関のサーバ群が被災した場合でも、他機関でeduroamが継続利用可能
Path BukEU

Top-level RADIUS
proxy(Europe, Asia-Pacific)

APAN

nljp

caus

Path AABC

D Institutional

Path CWLAN APRADIUS proxies

National RADIUS proxies
DEASs and
RADIUS servers
for EAP-TLS

WLAN AP

user@univD.ac.jp15まとめ eduroamは全大陸(南極除く)、計69か国(地域)に普及した、キャンパス無線LANのスタンダード
 国内87機関が参加 (昨年比+53%の大幅成長)
 大学・高専に加えて、専門学校も参加可能
 基地局マップのデータ提出に協力していただきたい 国内機関向け新サービス
 会議向け期間限定eduroamアカウントの試行 オンラインサインアップシステム
 クライアント証明書発行システム

16