金沢大学における統合認証基盤の現状と課題
松平 拓也, 笠原 禎也, 高田 良宏, 東 昭孝, 二木 恵, 藤田 翔也
金沢大学
takusng@kenroku.kanazawa-u.ac.jp
概要：金沢大学では Shibboleth を用いた統合認証基盤を構築し，生涯 ID である金沢大学 ID でのシングルサインオン環境を実現している．本学の統合認証基盤では，学内の情報サービス群だけではな
く，学術認証フェデレーション（学認）や大学コンソーシアム石川（UCI）で提供されている学外の情報サービス群も利用可能な設計としている．本稿では，本学における統合認証基盤の現状について説明し，今後の課題について考察する．

1 はじめに大学 ID で利用可能な設計とした[8]．

金沢大学（以下，本学という）では，これまでまた，本学は石川県内の高等教育機関で組織す各部署・部局が独立して構築・運用していた情報る大学コンソーシアム石川[9]（以下，UCI という）システムの融合化の一環として，金沢大学統合認に加盟している．UCI の目的は，石川県内の機関証基盤（Kanazawa University Single Sign Onが連携して教育交流・情報発信・調査研究等を行（以下，KU-SSO という））を構築し，平成 22 年

うことで，それぞれの教育・活動を活性化すると3 月から本格稼働を開始した[1]．KU-SSO のミド

ともにその成果を地域社会に還元し，地域の発展ルウェアとして Shibboleth[2]を採用し，一度の認に貢献することである．本学は UCI において中心証でユーザに許可された情報システムを全て利用的な役割を担っており，これまでに UCI サービス可能とするシングルサインオンおよびユーザの属の Shibboleth 化を進めてきた．但し，UCI は運用性情報を情報システム間で安全に共有する仕組み上の理由により，学認とは独立した環境にある．

を提供している．

現在，我々は本学の UCI ユーザが KU-SSO の認本学に限らず，他大学においても学内の統合認証基盤として Shibboleth を採用する事例が増え

証で UCI のサービスを利用できるように整備を進めているところである．てきた[3][4][5]．その背景として，学術認証フェデ

このように KU-SSO は，学内の認証から組織レーション[6]（以下，学認という）の存在が大き間の認証連携まで非常に重要な役割を担っている．

い．学認とは，国立情報学研究所（以下，NII と

我々は KU-SSO の最終形態として，ユーザが学内いう）が中心となって進めている，学術サービス外などサービスの提供場所に依存することなくシを利用する機関，学術サービスを提供する機関・ームレスにアクセスできる環境の実現を目指し，出版社等から構成された連合体を指す．各機関は日々改良を続けているところである．

学認に参加することで，相互に認証連携を行うこ

本稿では，本学における統合認証基盤の現状にとが可能となる．本学は，平成 20 年度に NII がついて説明するとともに，今後の課題について考中心となって実施した「UPKI 認証連携基盤によ察を行う．

るシングルサインオン実証実験[7]」から学認に積極的に参画しており，そこで積み重ねてきたノウ

2 Shibboleth

ハウを KU-SSO に反映した．さらに本学では，学本章では，本学の統合認証基盤を説明するにあ内および学認環境の間をシームレスに接続できるたり，本学の統合認証基盤として採用している

ように，どちらの環境下でも生涯 ID である金沢

Shibboleth の概要について述べる．

2.1 Shibboleth 概要
Shibboleth は SAML2.0 [10]をベースとした，異なる情報システム間でのシングルサインオンおよび属性共有を実現するオープンソースソフトウ
ェアである．Shibboleth は 3 つのシステムから構成される．


Identity Provider (IdP)

ユーザを認証する．



ユーザ属性情報を SP に送信する．

Service Provider (SP)

ユーザの認証を IdP に要求する．



ユーザの属性を IdP から受信し，アプリすることで，どちらの IdP も後述する金沢大学 IDケーションに渡す．

で認証可能としている．また，UCI に関しても，Discovery Service (DS)

環境を Shibboleth 化するとともに，学認用 IdP を

図 1

Shibboleth 動作概念図

複数の IdP が存在する場合に，ユーザが利用した金沢大学 ID での認証までは実装済みで適当な IdP を決定するための情報を提供ある．ただし，UCI 環境については，ユーザ属性する．

情報の送付など，双方の細かいインターフェース

2.2 Shibboleth 動作の調整がいまも進行中で，現在のところ本運用に

図 1 に Shibboleth の動作概念図を示す．ユーザは至っていない．そのため，現状では，認証は UCIは利用したい SP にアクセスを行う（①）．SP はの事務局が管理している IdP で行っている．現在，ユーザに認証を促すため，DS にリダイレクトを行

我々はこの問題を解決し，学認用 IdP で認証できい，ユーザに IdP を選択させる（②）．あらかじめるように整備を進めている[11]．

SP で認証を行う IdP が決まっている場合は②の3.1.1 金沢大学 ID作業は省略される．ユーザは IdP で認証を行う

金沢大学 ID は，KU-SSO での認証に用いる生（③）．IdP は SP に対して認証結果を返し，認証涯 ID である．金沢大学 ID は，常勤教職員・非常に成功した場合は，SP は IdP に対して必要な属

勤教職員，学生・研究生などを問わず，本学に関性を要求し，その返却値を SP に送付する（④）．

わる全構成員に対して 1 人に 1 つずつ付与される．

SP はその属性値を利用し，ユーザの属性に応じてID の採番方法は，ランダムに与えたアルファベッサービスを提供する（⑤）．

ト 3 桁と数字 5 桁の 8 桁とし，他人の ID を容易に推測できないようにした．また，転学類に伴う

3 KU-SSO

学籍番号変更や，卒業後に本学に就職した場合な

本章では，まず KU-SSO の概要について説明し，どの場合においても，同一 ID を使用でき，卒業・学内環境および学認環境の現状について説明する．

退職後も ID を抹消されず，“1 ユーザ 1ID”を実

3.1 KU-SSO 概要現した．なお，金沢大学 ID の発行件数は 61048

本学の KU-SSO 環境を図 2 に示す．本学のユー
ザは，学内の SP を利用したい場合は学内用 IdP件である（2013/10/25 現在）．

3.1.2 ロール

で認証を行う．また，学認の SP を利用したい場

SP には，教育・研究・業務に関する様々なもの合は学認用 IdP で認証を行う．ただし，学内用 IdPがあり，それらを使用できるユーザは，SP の利用および学認用 IdP はそれぞれ同一の LDAP を参照

目的によってそれぞれ異なる．そのため，各 SP

図2

KU-SSO 概念図（2013/10/25 現在）

が，ユーザの職分等の属性情報から，当該 SP を

表1

利用できる権限があるかどうかを判断できるように，ユーザの属性を“ロール”という名称で定義し，区分分けを行っている．表 1 にロールの一覧

区分
学生を示す．また，ユーザが複数のロールを持つことも想定している．たとえば，本学の学部を卒業後に本学の職員（学務系以外）になった場合は，学生（既卒），職員（常勤学務系以外）という 2 つのロールが付与される．但し，複数ロールを持つユ教員ーザであっても，金沢大学 ID は 1 つである．

3.2 学内環境
本節では KU-SSO における学内環境の現状について説明する．

3.2.1 学内 SP 対応状況
学内環境においては，2013/10/25 現在，28 の情職員報システムを SP 化している．SP 化しているシス
テムの一覧は以下の通りである（企業名が記載されているものは，当該企業のパッケージ品を SP化したものである）．
アカンサスポータル

WebClass（LMS：株式会社ウェブクラス）



学内 Web（教職員・学生向け情報の閲覧）

その他

ロール一覧

ロール名
入学前
在学
既卒
退学
常勤教諭
研究員
非常勤講師
名誉教授
医員
TARA
退職・転出その他（学外教員等）
常勤学務係
常勤学務係以外
非常勤学務係
非常勤学務係以外
非職員学務係・秘書含
非職員学務係以外・秘書
教務補佐員
退職
管理者
管理者（システム別）
学外学生（公開講座）
ゲスト
学外学生修了（公開講座）
委託業者等（共同研究）
家族等



フト等のダウンロード）

教務システム（履修登録，成績入力・照会等：SCSK 株式会社）



施設管理システム（施設の情報入力，閲覧：

電子職員録（教職員の連絡先等の閲覧）



サイボウズガルーン 3（サイボウズ株式会社）



予算執行支援システム（財務会計サブシステ

Server[15]によるキャンパス天気状況の動画ム：富士通株式会社）配信）

給与明細等オンラインシステム（給与支給明細閲覧，源泉徴収関係届出等：人材開発株式








ア カ ン サ ス ラ イ ブ （ Adobe Flash Media

中期目標・中期計画進捗管理システム
このように，教育・研究・業務など，多岐にわ会社）

たるシステムを Shibboleth SP 化し，シングルサ

駐車許可証交付システム（駐車許可証発行のインオン環境を実現している．

申請）

3.2.2 学内環境利用状況

プロジェクト管理システム（Redmine[12]を使用した進捗管理）

株式会社サイバーブルー）

統合アカウント管理システム（ネットワーク

本節では，KU-SSO における学内環境の利用状況について説明する．
まずは，学内用 IdP の利用状況について述べる．

（Wi-Fi）接続用 ID 管理）

2013/4 における学内用 IdP の認証数の日別推移を

NALIS（図書業務管理：株式会社 NTT デー

図 3 に示す．4 月は全入学生対象の情報処理基礎タ九州）の講義や学生の履修登録，さらにはアカンサスポ

アカウント管理システム（金沢大学 ID 管理，ータルを経由しての LMS の利用があるため，一パスワード変更・再発行等）

年のうちで IdP での認証が多く行われる月である．

ファイル送信サービス（サイズの大きなファ

平日は軒並み 1 万件を越えるアクセスがあり，多イルをダウンロード）

い日では一日あたり 2 万件近くを記録する日もあ

ALC NetAcademy2（英語教材：株式会社アる．また，図 4 に時間別推移を示す．このようにルク教育社）

講義や業務が始まる 8 時以降から認証数が急増し，

SNS（OpenPNE[13]のコミュニティサイト）講義や業務が終わる 18 時頃まで非常に多くの認Microsoft 包括ライセンス（Microsoft ソフト証が行われる．そして，18 時以降もコンスタントウェアダウンロード）に認証が行われていることが分かる．







教員情報データベース（教員実績入力，閲覧，次に，学内用 SP 群の利用状況について述べる．

評価）

2013/4 における学内 SP の認証状況を図 5 に示す．

会議資料管理システム（会議資料をアップロ

アカンサスポータル，WebClass，教務システムのードし，主に iPad で閲覧）

教育系システムが多くの割合を占めていることがWeb シラバス（シラバス情報入力，閲覧）わかる．一方で，学内 Web，電子職員録，サイボ

教材データベース（NetCommons2[14]を使ウズ等の業務系システムも一定の割合を占めてい用した教材共有）

る．KU-SSO 利用対象者における教職員の割合はファイル共有アプリケーション（Java Applet

学生に比べると少ないことを考慮すると，教職員上でのファイル共有）の KU-SSO 利用数も十分多いことが推測できる．



留学生ネット（留学生用交流サイト）

また，駐車許可証交付システムが上位に来ている

事務局用アカウント管理システム（事務職員が，これは 4 月が学生の駐車許可申請時期である向けサービス用情報管理）ことから一時的なものであると考えられる．



ソフトウェアダウンロード（ウィルス対策ソ

用基準という） Ver1.2[16]」に適合させる必要がある．そこで我々は，学認の利用を「在籍する教職員・学生」に限定させることでこの運用基準をクリアした．具体的には，NII が提供しているFPSP プラグイン[17]を本学の学認用 IdP に組み込み，表 1 に示すロールの中で，在籍する教職員・学生のロールを持つユーザだけ学認サービスへのアクセスを許可している．該当するロールは，表1 における色つきのロール，すなわち学生（在学），教員（常勤，教諭，研究員，医員），職員（常勤学

図3

学内用 IdP 認証数の日別推移(2013/4)

務係，常勤学務係以外，非常勤学務係，非常勤学務係以外，教務補佐員）である．それ以外のロールが割り当てられているユーザには認証後，IdPによりアクセス拒否画面を提示し，学認の SP を利用できないようにしている．
また，本学では 2013/10/25 現在，3 つの SP を学認で提供している．提供しているサービスは，「ファイル送信サービス[18]」，「金沢大学データリポジトリ[19]」，および「学術組織間デジタル資料分散共有システム（以下，ARCADE という）[20]」である．以下にそれぞれのサービスの概要について説明する．

図4

学内用 IdP 認証数の時間別推移(2013/4)



ファイル送信サービス
ファイル送信サービスは，メールでは添付できない大容量のファイルを相手に送信したい場合に，ファイルの転送を行う SP である．このようなサービスを行う上で問題となるのはユーザの管理であり，学認を利用することで，本学でユーザを管理することなく，ユーザの身元を確認できる．
金沢大学データリポジトリ
金沢大学データリポジトリは，DSpace[21]で構築した，大学で生産された実験観測データなどを特定の組織やグループに限定して公開を行うこと

図5

学内 SP 認証状況(2013/4)を目的とした SP である．現在，科学観測衛星「あけぼの」による地球周辺の電波観測データのスペ

3.3 学認環境
本節では KU-SSO における学認環境の現状について説明する．学認環境においても金沢大学 IDを利用可能にするためには，KU-SSO を「学術認証フェデレーション システム運用基準（以下，運クトル画像を PNG 化したものを，学認で認証が成功したユーザだけに公開している．
ARCADE
ARCADE は組織を超えたユーザ同士でファイルを共有するソフトウェアである．図 6 にARCADE の利用モデル例を示す．利用者は，NIIが提供する GakuNin mAP[22]を利用して共通するグループを作成することで，異なる機関に所属するユーザ同士でも ARCADE を利用してグループ領域にあるファイルの閲覧やアップロード・ダウンロードが可能となる．

4 KU-SSO の課題
3 章では，KU-SSO の概要と現状について説明した．本章では KU-SSO における課題について考察する．現在，我々は以下の 4 つの課題について

図6検討を行っている．
UCI 環境の KU-SSO 対応



ARCADE 利用モデル例

多要素認証の導入

本学のユーザが UCI のサービスを利用する場

現在，学内環境の SP 群においては，学内から合，現状では UCI 事務局が管理する IdP においては全てアクセス可能であるが，学外からのアクセユーザの追加が必要になる．そこで，KU-SSO をスを許可していない SP が存在する．これらの SP利用することで，UCI 事務局のユーザ登録にかかに対して学外からアクセスするためには VPN をる負担の軽減および本学のユーザの利便性向上が利用する必要がある．しかし，本学の VPN は，期待できる．しかしながら，UCI のサービスは学

今日広く普及している iOS や Android を搭載した外の扱いであり，ユーザの同意なしに UCI サービ端末で利用できなかったり，VPN との相性によりスに対してユーザ属性情報を送付することは，個SP が提供するサービスが上手く動作しなかった

人情報保護の観点から望ましくない．そこで，我々りという問題がある．その結果，本学に通うことは NII が提供している uApprove.jp[23]を利用しが物理的に不可能な社会人学生や，出張先からの解決を図ることとした．uApprove.jp を利用する

アクセス需要が高い教員に対して不便を強いてしことで，ユーザ属性情報送付の判断をユーザに委まっている．これらの SP が VPN を必要とする理ねることができる．そのため，UCI 環境で必要と由として，現在の本学の認証方式が ID/PW だけでなる，所属，学生番号，氏名などのユーザ属性情運用されていることが大きい．そのため，学外か報を送付する旨をユーザに提示し，同意を得るよらのアクセス時において多要素認証を導入し，セうに実装を進めているところである．

キュリティレベルを向上することで，当該 SP がIdP クラスタ方式の再検討

VPN を利用することなしにアクセスできる環境



IdP は KU-SSO の要であり，クラスタ化は必須項目である．現在，本学の IdP は Terracotta[24]に移行できると考え，現在検討を進めている．
IdP サーバの一元化を用いてクラスタ化を実現している．Terracotta

現在のところ，学内および学認それぞれの環境

は，もともと Shibboleth が推奨していたクラスタをまたぐ際には，認証画面を表示することで環境方式であるが，最近は情報が更新されていないたが異なるということをユーザに示し，注意喚起をめに将来的な不安が残る．そのため，NII が提供促している．しかし，将来的にはどちらもシームしている IdP の冗長化方法[25]を参考にしながら，レスに利用できる環境を構築することが，ユーザ本学に最適なクラスタ方式を検討しているところの利便性向上とシステム管理負荷低減の双方の観である．

点から望ましい．ただし，現在は KU-SSO 環境に

おいてはシングルログアウトを実現しているが，[6] 学術認証フェデレーション, http://www.gakuni

GakuNin 環境では実現できていない．そのため，

n.jp/ (accessed 2013.10)

両環境におけるシングルログアウトを実現できる[7] 平成 20 年シングルサインオン実証実験報告書，機構を考案する必要があると考えている．

http://www.gakunin.jp/index.php?action=pages_vi
ew_main&active_action=repository_view_main_it

5 おわりに本稿では，本学の統合認証基盤である KU-SSO

em_snippet&index_id=40&page_no=1&list_view_
num=20&sort_order=7&page_id=85&block_id=22の現状について説明を行い，今後の課題について

7 (accessed 2013.10)考察を行った．学内環境においては，これまでに[8] 松平 拓也, 笠原 禎也, 高田 良宏, 東 昭孝, 二

多くの学内サービスの SP 化を進めてきたことで，

木 恵, “学認との融合化を視野に入れた金沢大学統学内情報システムの融合化が達成できていると合認証基盤の構築と運用”, 学術情報処理研究, No1

考えている．また，学認環境においても，本学か3, pp.41-50, (2012)

ら積極的に SP を提供し，ユーザの利便性を向上[9] 大学コンソーシアム石川, http://www.ucon-i.jp/させるとともに，学認の普及の一助となることも(accessed 2013.10)

期待している．

[10] SAML2.0，https://www.oasis-open.org/standa

今後は 4 章で考察した課題の解決を中心として，rds#samlv2.0(accessed 2013.10)

KU-SSO 環境をさらに発展させていきたいと考え[11] 藤田 翔也, 松平 拓也, 高田 良宏, 笠原 禎也,ている．

“"uApprove.jp"を活用した金沢大学と大学コンソーシアム間の認証連携”, 大学 ICT 推進協議会 2013

謝辞

年度年次大会論文集, 印刷中, (2013)

本研究は科研費若手研究 B （25750080），基盤研[12] Redmine, http://redmine.jp/ (accessed 2013.

究 C（23501140）の助成を受けたものである．

10)[13] OpenPNE, http://www.openpne.jp/ (accessed参考文献[1] 松平 拓也, 笠原 禎也, 高田 良宏, 東 昭孝, 二木 恵, 森 祥寛, “大学における Shibboleth を利用した統合認証基盤の構築”, 情報処理学会論文誌, V
ol.52 No.2, pp.703-713, (2011)[2] Shibboleth, http://shibboleth.net/ (accessed 2013.10)[3] 大谷誠, 江藤博文, 渡辺健次, 只木進一, 渡辺義明, “シングルサインオンに対応したネットワーク利用者認証システムの開発”, 情報処理学会論文誌,
Vol. 51, No. 3, pp.1031-1039 (2010)[4] 河野圭太, 藤原 崇起, 大隅 淑弘, 岡山 聖彦, 山井成良, 稗田隆, “岡山大学における生涯 ID を実現する統合認証システムの構築”, 学術情報処理研究,
No15, pp.171-175, (2011)[5] 学認活用事例集（ケーススタディ）, http://www.
gakunin.jp/info/ (accessed 2013.10)

2013.10)[14] NetCommons, http://www.netcommons.org/(accessed 2013.10)[15] Adobe Flash Media Server, http://help.adob
e.com/ja_JP/flashmediaserver/techoverview/index.
html (accessed 2013.10)[16] 学術認証フェデレーション システム運用基準(Ver.1.2), http://www.gakunin.jp/?action=pages_vi
ew_main&active_action=repository_view_main_it
em_detail&item_id=36&item_no=1&page_id=85&
block_id=227(accessed 2013.10)[17] FPSP プラグイン, https://meatwiki.nii.ac.jp/confluence/pages/viewpage.action?pageId=1215855
4 (accessed 2013.10)[18] ファイル送信サービス, https://sp1.db.kanaza
wa-u.ac.jp/sendfile/ (accessed 2013.10)

[19] 金沢大学データリポジトリ, https://sp2.db.ka
nazawa-u.ac.jp/dspace/ (accessed 2013.10)[20] ARCADE, https://arcade.cis.kanazawa-u.ac.jp/ (accessed 2013.10)[21] DSpace, http://www.dspace.org/ (accessed 2013.10)[22] GakuNin mAP, https://map.gakunin.nii.ac.jp/map/ (accessed 2013.10)[23] uApprove.jp, https://meatwiki.nii.ac.jp/conflu
ence/pages/viewpage.action?pageId=13501031 (accessed 2013.10)[24] Terracotta, http://terracotta.org/ (accessed 2013.10)[25] 認証基盤の冗長化 技術編, http://www.gakuni
n.jp/?action=pages_view_main&active_action=rep
ository_view_main_item_detail&item_id=207&ite
m_no=1&page_id=85&block_id=227 (accessed 2013.10)