サイエンティフィック・システム研究会
システム技術分科会 2022年度会合

学認が⽬指す次世代認証連携
坂根 栄作
国⽴情報学研究所© 2023 National Institute of Informatics

1

学術認証フェデレーション• 学認は、サイバー空間における円滑な学術活動を⽀援すべくトラストフレームワーク（ポリシ、技術、評価）を提供• 全学的なサービスに対してうまく機能

SP

Lib Services

Web mailGakuNin Steering Committee• Federation Policy• IdP Auditing•Promotion

IdP

Univ. A

Easy Access fromout of Campus

Groupware

Discovery Service

Registration Sys.

Metadata Repo.

Info. Web Site

Univ. B
Reduction of ID
management cost,
Improvement of security

Content Services
Most ofMajor
Publishers2

E-Journals

E-Learning

Academic Federations
have been establishedper country basis

Univ. C
Seamless accesswith SSO

Application Services
Admin
Services

eLearningePortfoli
oFoodle2

研究･教育DXを推進するために• 研究･教育データ流通の加速が必須• 融合領域研究におけるコミュニティ間• 産学連携• 国際連携• データ流通の加速には、全学的なサービスだけでなく、多種多様なサービスの円滑な利活⽤が必要• データ流通において、認証認可は極めて重要• データを、誰が提供するのか• データに、誰が参照するのか

複雑化

3

多様なサービスの円滑な利活⽤• 機関共通サービスからより多様なサービスへ• 研究者は、機関共通サービスだけではなく、研究固有のサービスを利⽤• 研究固有サービスの認証認可における要件も多種多様︓• 利⽤者と ID データとの紐付け度合い• 利⽤属性• ⼤学(ID管理者)は、多種多様な研究者が存在するため、共通属性以外の個別属性を含めた⼀元管理は困難
企業の研究者

Servi
ce A
Servi
ce BA⼤学
IdP

機関向け共通サービス群

Servi
ce X

B⼤学
IdP

IdP いろんな機関

Service Yの研究者

研究コミュニティ
4

研究･教育DXを推進するために（続き）• 研究･教育データ流通の加速が必須• データ流通において、認証認可は極めて重要• データを、誰が提供するのか• データに、誰が参照するのか• コミュニティ単体で対応することの限界• 独⾃のトラストフレームワークに基づいた基盤運⽤は持続可能か︖• コミュニティ間でデータをどのように流通させるのか︖• 研究･教育DXを推進する新しいトラストフレームワーク• 認証ポリシの相互運⽤性• Identity Assurance Level (IAL), Authenticator Assurance Level (AAL)• 認証認可技術の⾼度化

5次世代認証連携への要望（SP視点）• IdP を持たない利⽤者の認証• 利⽤者は、必ずしも学認に参加するIdPのアカウントを所有しているわけではない• 信頼に⾜る本⼈確認を⾏っている IdP に依拠したい• 認証レベルの把握• Id&Password か 多要素か
• 多要素認証を経た利⽤者のみにサービスを提供する、のようなフィルタリン
グ• 複数組織に所属する利⽤者の同定• 組織異動における利⽤者の同⼀性の担保• 組織間異動があっても情報資産利活⽤の継続性を担保したい• e.g., GakuNin RDM 上の資産を継続的に利⽤したい• ⽤途に応じた属性の提供• 例︓居住者か⾮居住者かを把握したい（輸出管理）
6

IdP 拡⼤の取り組み• 適切な IdP がない利⽤者をどのように認証するか• 学術機関の利⽤者• 所属機関の学認参加を⽀援• 企業の利⽤者• ⼀⽅で、⼀般社会には様々な Id 基盤が存在する• gBizID, ORCID, Google/Microsoft, SNS, 公的個⼈認証, 携帯事業者,…
• これらのプロバイダと連携し、SP に認証情報を送信• 利⽤者は、適切な IdP を選択して SP の認証に利⽤できるようになる
7

IdP 強化の取り組み• より強い認証に向けて• 本⼈確認の保証度（Identity Assurance Level: IAL）
• 認証強度（Authenticator Assurance Level: AAL）

• 本⼈確認の保証度• IdP の IAL 評価基準と認定⼿続きの確⽴• 単⼀の IdP で IAL 要件を満たさない場合に、複数 IdP の組み合わせにより IAL を上げる仕組みの検討• 認証強度• 多要素認証の技術⽀援（導⼊・運⽤）• 単⼀の IdP で AAL 要件を満たさない場合に、AAL を上げる仕組みの検討• 利⽤者は、適切な保証度の認証で SP を利⽤できるようになる
8新しいトラストフレームワーク
参加IdP数の更なる拡⼤

IdPs
どの認証器を利⽤すればよいのか

IdP-SP 仲介・IAL/AAL マッチング
・既存ID基盤連携

認可機能⾼度化・グループ管理機能

SPs

本⼈確認の保証度、認証強度の明確化・どの程度の本⼈確認が実施されているのか
・どの程度の認証強度なのか

Trust Framework9次世代認証連携における主要構成要素
学認IAL/AAL• 本⼈確認の保証度、認証強度について規定
認証器レジストリ• 学認AALに基づく認証器の評価
認証プロキシサービス• IAL/AAL matching, Credential bridging, Attribute coordination
IdPホスティングサービス• ⼤学、研究機関のIdP構築運⽤の課題を議論
グループ管理機能の⾼度化• より⾼度な認可要求に対応
10作業部会およびサブWGにおける活動• 学術認証運営委員会にて、以下の作業部会を設置• 次世代認証連携検討作業部会• 短期取組検討サブワーキンググループ• 次世代認証連携検討作業部会• IAL/AAL 評価基準および認定⼿続きの検討• AAL 技術⽀援の検討• persistent ID の検討• 短期取組検討サブWG• IAL2/AAL2 の認証試⾏開始に向けて• まずは試験的 IdP/SP で実証実験を実施予定• 各⼤学の実運⽤ IdP への展開に向けた課題整理• 実証実験参加機関を募集
11

規準策定の取り組み• ⾝元確認︓IAL2 規準の策定• “IAL2の新学認での運⽤に当たって（案） Version 2”• 多くの⼤学等で達成が可能 -- Trusted DBの運⽤を前提• 組織外の研究者を受け⼊れる研究機関でも対応可能• eKYC 対応• 当⼈確認︓AAL2 規準の策定• “AAL2の新学認での運⽤に当たって（案）”• https://meatwiki.nii.ac.jp/confluence/x/OZhyBQ

12

認証プロキシサービスの研究開発• 産学連携を念頭においた SP への Id 連携時に必要な Id 保証の担保などに柔軟に対応する• IAL, AAL matching, AL enhancement• credential bridging (e.g., OAuth access token -> SAML assertion)• 既存の研究コミュニティのもつトラストフレームワークにおいて、Id 基盤部分を外だしできるようにする• 本⼈確認⼿続きを外部に依拠できる• 認証プロキシサービス “Orthros”

13

認証プロキシのデザイン
公的個⼈認証 gBizID

IdP

IdP

携帯事業者

ORCID

IdP

IdP

機関契約
MS/Google 機関IdP

IdP

IdP

属性プロバイダ群…

⾝元確認・本⼈確認
プロジェクト管理者
HPCI管理者などによる確認（属性付与）

認証プロキシ

紐付け・総合 IAL/AAL 判定
フィルタ
フィルタ

産学連携

IdP
OpenIdP-ng

IdP

所属メンバ情報提供

フィルタ

共同研究
PJ

機関

IdP

IdP

機関

KAGRA, HPCI, etc.
EJ等

LIGO等
MDX/GakuNin RDM SP

GakuNin/eduGAIN

SPSP

SP
Original: Prof. Motonori Nakamura

14

ユースケース１ – credential bridging• 企業の研究者が GakuNin RDM を利⽤するORCiD④ORCiD で認証①事前に ORCiD と紐付け

Orthros③Orthros にリダイレクト⑤アサーション
を送信

GakuNin
RDM②アクセス要求⑥アクセス成功15

ユースケース２ – IAL enhancement• 複数の Id を紐づけることにより、SP の要求 IAL, AAL に対応
する

IdP2
Orthros

SP

IdP1

16

認証プロキシサービス Orthros の設計・実装• 認証プロキシコア部 (IDaaS) – SELMID https://ctc-insight.com/selmid• 各種機能設定インターフェイス部 (マイページ機能) – 内製
• 基本機能• ID 管理、ログイン、ID 紐付け、ID 紐付け管理、属性更新• SP管理機能（管理者向け機能）• SP毎に要求するIALおよびAALを設定する機能• SP単位の同意管理機能• 利⽤者がSPに初回ログインする際に同意を取得する機能• 利⽤者が⾃⾝の同意状態の確認・取り消しが出来る機能• 管理者が機関内のユーザの同意状態を確認する機能• 属性保証（旧機関管理）• 管理者が管理対象ユーザの属性を保証する機能• 例）⾃機関に所属するユーザの所属属性を保証する（招待による確認〜属性付与）
17

Orthros の設計・実装（続き）• 更なる機能強化• メールアドレス変更時の通知機能• アカウント停⽌機能• マイページ上に連携済みIdPの情報を表⽰する機能• パスワードの強制リセット機能• 外部IdPの追加• 接続済み : LINE, Google, Yahoo! JAPAN, Facebook, Twitter• 調整中 : gBizID, ORCiD• SP の追加• meatwiki, GakuNin RDMステージング環境
18

新規登録 (1/4)

19

新規登録 (2/4)

20

新規登録 (3/4)

21

新規登録 (4/4)

22外部ID連携 (1/4)

23外部ID連携 (2/4)

24外部ID連携 (3/4)

25外部ID連携 (4/4)

26

ログイン (1/4)

27

ログイン (2/4)

28

ログイン (3/4)

29

ログイン (4/4)

30

FY2022 開発︓Q3-Q4• Orthros 本格運⽤に向けて• OpenIdP 移⾏環境としての機能整理、基盤整備• OpenIdP からのユーザ移⾏準備・⽀援• 本格運⽤に向けた体制・⼿順整備• 運⽤ポリシ・運⽤規程策定• FY2023 以降• Orthros 拡張機能開発 – 次世代認証連携対応• 外部IdP（GビズID、ORCID）連携• SP単位の送出属性選択• 異動に伴うHome IdP Binding• 新学認IAL/AALポリシー対応• 認可属性の取り扱い強化

31

学認対応 IdP ホスティングサービス• 学認の参加機関は 277 機関（2022年10⽉末時点）• 未参加機関の理由

1. ⼈員的な問題（運⽤する⼈材、参加検討する⼈材の不⾜）（58件）
2. 技術的な問題（サーバの構築や運⽤ができないなど）（23件）
3. ⾦銭的な問題（20件）
4. 必要かどうかわからない（11件）
5. 委託業者が分からない（9件）
6. 現在は不要である（5件）• 学認が⽬指す将来像︓全国の⼤学・研究機関のすべてが学認に参加すること• 研究者・学⽣の基本的な ID 基盤• 運⽤形態の多様化に対応、運⽤効率化の研究開発• 学認対応 IdP ホスティングサービスを検討中

32

学認対応 IdP ホスティングサービス（続き）• IdP サーバの構築・運⽤が困難な機関に対して、NII が IdP サーバを構築して貸出すサービス• 24時間365⽇監視、随時セキュリティパッチ更新、ハード/ソフトウェアのバージョンアップ対応、FIDO2の対応、導⼊⽀援（学認参加⼿続き、SP 連携など）などを想定• 利⽤メリット• IdP サーバの構築が不要で、コスト削減に☆

• ハード、ソフトウェアの購⼊および資産計上が不要に• 運⽤コストの削減に☆

• IDaaS (認証基盤のSaaS) として 24/365 サービス監視、脆弱性対応• ソフトウェアのバージョンアップから解放• ⾼度な専⾨知識がなくても導⼊可能☆

• 学認参加時の⼿続きや、SP連携などのサポートあり• まもなく実証実験を開始（2023/3 から）33

まとめ︓次世代認証連携に向けて• 学認 IAL/AAL 策定• 認証器レジストリ• 認証プロキシサービス Orthros• 学認対応 IdP ホスティングサービス• グループ管理機能の⾼度化
IdP

SPIdP

SPIdP

SP
34