東京農⼯⼤学における IDaaS を⽤いた新たな統合認証基盤三島 和宏 1), 根本 貴弘 1), 長島 和平 1) , 石橋 みゆき 1), 青山 茂義 1)
1) 東京農工大学 総合情報メディアセンター{three,nemo,nagashima,saji,aoyama}@go.tuat.ac.jp

Integrated Authentication Infrastructure with IDaaS on TUAT
Kazuhiro Mishima1), Takahiro Nemoto1), Kazuhei Nagashima1), Miyuki Ishibashi1), Shigeyoshi Aoyama1)
1) Information Media Center, Tokyo University of Agriculture and Technology.
概要

東京農工大学（以降、本学）では、約 5 年ごとに教育系情報システムの更新を行っている。これらのシステムを学術情報基盤システムと呼び、教育用計算機のほか、プリンティングシステム、図書館システム、さらには認証基盤システムまで含まれる幅広いものとなっている。本学の認証基盤として 2016 年更新のシステムでは認証サーバや ID 管理システムなどをプライベートクラウドでの運用に切り替えを行った。このシステムが 2021 年に更新を迎えるタイミングとなるのに合わせ、クラウドでの認証・ID 管理基盤である IDaaS への移行を行った。これに基づき、2021 年のシステム更新では、IDaaS と学内の人物情報源との統合と IDaaS でカバーできない ID 管理機能を持つ申請管理システムと連携する形でシステムの運用を開始した。本稿では、IDaaS と周辺システムの導入と初期段階での運用についてまとめ、これまで本学で運用していなかったシングルサインオンや多要素認証などの運用開始に関連する内容についても報告する。

1

現在運用されているシステムから「学術情報基盤はじめにシステム」と名称を改め、各システムについても本学の教育系情報システムは、これまでの経緯更新するとともに拡充を図った。この中でも、統により、単なる教育用計算機のみにとどまらず、合認証基盤の整備とそれに関連する多要素認証の電子メールシステムや認証システムなどの基盤的実現が大きな軸となっており、本稿ではこの更新システムや図書館システムなどまでを含む、非常について詳説する。に幅広いシステムの統合が特徴である。その概要

統合認証基盤は、ユーザのアカウント情報を保持し、さまざまな情報システムの認証に用いられを図 1 に示す。

れ、多くの大学で運用されている。統合認証基盤
m6Pには、アカウントの認証を司る認証機能があり、

SINET~zlqt~z4hm*(@b&Piet-L>
QF7

%3mPC-!lRKdufQF7icurm
l&Pk[m0.

BYODlqtPC-!#8_jchpPC-!=`{x

lRKduf }icurml&Pk[m0.;NmI)
RKO7m7B0.

Z


V@m0.

Pk09

これらと各情報システムが連携することで認証を実現している。このほか、人物に関する情報を連携させ、アカウント管理を司る ID 管理機能もある。

lg >etZ
cc.tuat/ml.tuat/st.tuatkj¡m0.

Zm.
V" G<W>

?U w|zIPE¡w|zG<iHTSm0.

qs 'm]a?UG<m*Y-LAD,+WWW^/2^DNS^}kjm0.

;Nm0.
GoogleAppslqtBて運用されるケースもある。これらのシステムに(~:JLANw~yvoZQF7Cl&Pk~7m0.

:JLANw~y$
Xwy70.

より、大学における人物情報と情報システム利用

1\

1\mM1G<krnl5G<>~ywm0.

1\0NALIS -> E-Cats Library¡アカウントについてを統合的に管理することが可

図1

システムによっては ID 管理は別システムにおい能となり、学生の入退学や教職員の採用・離退職

東京農工大学の教育系情報システムにともなったアカウントライフサイクルを実現でこれらのシステムは、およそ 5 年に 1 度のペーきる。各情報システムが統合認証基盤と連携する

スで更新がされており、2016 年 2 月に更新された

ことにより、さまざまな情報システムを共通のアシステムでは「情報基盤システム」が学外のネッ

カウント・ID・パスワードで利用させることも可

トワークセンターに設置され、SINET5 の L2VPN能となるため、ユーザにとって利便性を向上させサービスを経由して接続された。2021 年 10 月にることも可能である。

300

2 東京農工大学における認証基盤周辺のシステム変遷
本学では、人物情報を管理する仕組みが複数存在する。教職員に関しては人事・給与システムが、要な処理を行い ID 情報の追加・変更・削除を行うことができる。この人物情報の連携は、図 2 に示すように上位システムとともに行われる。
学⽣情報連携学生に関しては学務システムがこれを担う。大学に統合基盤システムと呼ばれる仕組みが事務情報部門にて管理されている。本稿ではこれらシステ

教職員情報連携

各情報システムへ連携

申請管理システム（メディアセンター管理）

⼈事システム（⼈事管理）

図2

ムを「上位システム」と呼ぶ。

LDAP
Manager

連携

学務システム（学務管理）

では、雇用関係のある教職員や正規学生のみではないため、これら以外の人物情報も管理するため統合基盤システム（情報化推進室管理）

学生・教職員情報の連携

人物情報に関連する上位システムと連携し、情報システム向けのアカウント管理を行う仕組みはまた、当該の人物の属性情報に基づいて、どの2016 年の教育用電子計算機システム更新においてような情報サービスの利用を可能とするかの判定本格的に整備された。それまでは、エクスジェン・も行い、人に応じたサービス提供を行えるようにネットワークス社製の LDAP Manager[1]を通じてなっている。たとえば、教員・職員・学生での提ネットワーク利用のための認証アカウント（LDAP供可能サービスの違いを意識したサービス提供等アカウント）を管理するために上位システムからが可能である。下位の情報システムの連携につい得た情報を元にアカウントを管理する仕組みは存ては LDAP Manager を通じて行う。さまざまなク在していたが、これら以外の情報システムは独立

ラウドサービスの提供に伴い、LDAP Manager のプ的に運用され、本学として統一的にアカウントをラグインと連携のためのサーバも構築し、これら管理運用する形とはなっていなかった。

を通じて各サービスへのプロビジョニングが実施されることとなった。

2.1 管理運用システム“Salut”
2016 年更新の教育用電子計算機システムでは、

3 統合認証基盤としての IDaaS の導入

・アカウントの統合管理

2021 年に教育用電子計算機システムの更新が・情報サービスの利用管理行われた。2016 年更新において導入された申請管という 2 点について、それまでの多くが手動と理システムを軸とする認証関連の基盤はこの更新なっていた処理の自動化を図り、運用としてのコにおいても重要な機能として維持され、さらに新スト低減を図ることで認証に関する基盤の抜本的たな基盤としてクラウドをベースとした IDaaS のな刷新を図った[2]。これには、認証システムの更導入を行った[3]。実際のところ、2016 年更新に向新、上位システムから得た人物情報に基づいたア

けた検討の際に各種クラウドサービスを導入するカウントの生成、人物情報に基づくサービスの自検討を行っていたことから、認証基盤についても動提供、利用者の希望によるサービス提供を行う

LDAP Manager を単純に継続するのではなく、ための管理機能の具現化が必要であった。

IDaaS を導入する検討を行っていたが、当時日本

この更新では申請管理システム“Salut”というで運用するに当たって必要となるさまざまな要素サービスを軸として機能の実現を図った。申請管が十分でなく導入には至らなかった経緯もある。

理システムはその名前の通り元はユーザからの利用申請を受け付け、必要なサービスを有効化し、3.1 IDaaS（Identity as a Service）

ユーザに対して当該サービスを提供する一連の処

IDaaS は、SaaS・PaaS・IaaS などと同様にクラ理を自動化するためのものであり、実際にさまざウド上で機能実現を図るものである。IDaaS は特

まなサービスをユーザが自ら登録し、利用できるに ID にまつわる機能をクラウド上で実現するもようにする仕組みとなっている。のであり、ID 管理機能、オンプレミスの認証サー

申請管理システムは、サービス管理機能以外に、バに対するプロビジョニング、クラウドに対する一般的な ID 管理システムの持つ機能も有してい

ア カ ウ ン ト プ ロ ビ ジ ョ ニ ン グ 、 SAML2.0[4] やる。上位システムから人物情報の連携を受け、必OpenID Connect[5]（OpenIDC）などのプロトコル301

によるフェデレーション認証機能と同様のプロトコルを利用したサービス間でのシングルサインオン機能の提供をクラウド上で展開する。

Manager からの置き換えを図った。
Extic では、他の IDaaS サービスと同様にクラウドに対するフェデレーション認証機能、シングル従来、認証は組織内にオンプレミスシステムとサインオン機能、アカウントプロビジョニング機して認証サーバ（LDAP や Active Directory などの能、ID 管理機能を有している。また、Extic の特徴

ディレクトリサーバ）を置き、オンプレミスな情的な機能として、それ単体で Shibboleth IdP と同等

報サービスがこれを参照し ID とパスワードで認の機能が利用可能であり、学認向けの Shibboleth証を行うということが一般的であった。しかし、サーバを構築運用する必要がなくなる。Shibboleth

さまざまな情報サービスのクラウド化により、オサーバは定期的なアップデート対応が必要となり、ンプレミスの認証サーバだけでは対応が困難とな

この対応が不要となるのは運用コスト低減に効果

り、認証情報をクラウド側へ連携させるエージェがあると考えている。

ントを導入したり（Microsoft365 のクラウド ID 方

Extic はアカウントプロビジョニング機能や ID式としての DirectorySync など）、フェデレーショ管理機能に関する部分が他の IDaaS サービスと比ン認証機能を用いて認証連携を図ったり、などの較すると機能が豊富であるとはいえない。ID 管理機能が必要となった。

機能については、本学では ID 管理の多くの機能はIDaaS ではこのようなクラウド時代の認証を得申請管理システムがこの機能を担っている（これ意とし、新たな認証基盤として利用が進んでいる。

まで本学では LDAP Manager の ID 管理機能の多く

主な IDaaS サービス提供事業者としては、Okta やを利用せず、申請管理システムに必要な機能を担

OneLogin などが挙げられる。また、Microsoft365

わせていた）ため、従来からの申請管理システムのプレミアム機能として提供される Azure Activeと Extic の組み合わせることによって IDaaS として

Directory も IDaaS の一種であると言える。のメリットを享受できるようになった。
連携の概要については図 2 で示した LDAP

3.2 IdaaS と人物情報連携Manager が Extic に置き換わった形となる。これをIDaaS では、アカウントの基礎となる人物情報詳細に示し、人物情報の連携、アカウント情報のを既存の情報システムと連携して管理する機能は連携、各利用者との関係についてまとめたものを十分ではない。このため、すでにあるアカウント

図 3 に示す。申請管理システムは、上位システム

情報をディレクトリ連携によって連携させ、そこである人事・給与システム、学務システム、統合に各利用者がどのサービスが利用できるかの情報基盤システムからの情報を受け、必要な情報の処を管理者が付加する、もしくは、ある属性情報に理を行い、IDaaS である Extic に情報連携を行う。

基づき動的に判断し自動付加することで、必要とこの際、人物情報に基づきどのサービスを誰に提なるサービスに対するプロビジョニングを行う。

供するかについてはすべて申請管理システムの持このため、すでに Active Directory などのベースとつデータベース上で情報を保持し、この管理につなるディレクトリが整っている環境が多くの場合いても申請管理システムが担う。申請管理システ必要となる。IDaaS はクラウド上のサービスではムからの連携を受けた Extic では、本学が利用するあるが、ディレクトリとの連携については連携サ

Google Workspace や Microsoft365 の各サービスにーバやディレクトリ上に連携エージェントを導入

対するアカウントプロビジョニング、オンプレミし、クラウド上と必要な情報の連携が図られる。

スの認証サーバ（LDAP・Active Directory）へのディレクトリプロビジョニング、各種学内システム

3.3 IDaaS と申請管理システム“Salut”との統合に対してコマンド実行によるプロビジョニング処的連携

理などを行う。また、フェデレーション認証機能

2016 年と比較すると安定的に利用可能な IDaaSとして、Google サービスと Microsoft サービスに対サービスが数多く提供されるようになった。本学する SAML による認証連携、学認連携、その他学

ではさまざまな IDaaS サービスの中から、エクス

内情報システムに対する SAML による認証連携を

ジェン・ネットワークス社製の Extic[6]をそのサーそれぞれ行い、必要な認証処理も IdP として認証ビスとして選択し、2021 年更新において統合認証機能を担う。

基盤として導入し、これまで利用していた LDAP

302

インターネット上
学内ネットワーク上

学内利⽤者

利⽤者

学外利⽤者
統合認証システム

⼈事システム 学務システム

学外利⽤者向け
WebGUI

学内利⽤者向け
WebGUI

申請管理システムアカウント連携
中継機能
各種学内システム（SAML対応）

各種バッチ処理

IDaaS連携機能

申請管理システム
連携機能

申請管理システム
データベース

統合基盤システム

管理者向けWebGUI

アカウントメンテナンス
WebGUI

アカウント情報
CSVファイル

各種AD/LDAPサーバ⼈物情報連携

各種学内システム（AD/LDAP認証対応）
システム利⽤アカウント情報連携
利⽤者操作・認証

システム管理者

図3

ネットワーク認証サーバ（RADIUS)

パスワード
再発⾏窓⼝

学務・人事担当者

ネットワーク接続

利⽤者

申請管理システムと Extic による情報連携と認証連携

ドを送信する認証（MOTP 認証）に対応しており、

4 IdaaS 導入における各種運用の実際ユーザがどちらの認証にするかを画面で選択する。

4.1 ユーザが利用する各種システムとの認証連携(1) LDAP による認証
本学では有線 LAN ならびに無線 LAN の接続に802.1x 認証を用いる。この際に RADIUS サーバを経由して LDAP サーバを参照している。LDAP 認証においては LDAP サーバへ連携する情報源がLDAP Manager から Extic に変わったのみであり、ユーザの利用に際しては特に変更点はない。また、
LDAP で認証を行う Web サービスについても同様に特にサービス側での変更点はない。

図4

フェデレーション認証時の認証画面

図5

多要素認証画面（TOTP・MOTP）(2) SAML によるフェデレーション認証
各種クラウドサービスでは、SAML によるフェデレーション認証が利用可能である。本学が利用する各サービスにおいても 2021 年のシステム更新からフェデレーション認証を採用した。また、
学認 IdP についても Extic を経由する運用に変更されている。これらの認証時には図 4 に示すような専用の認証画面が表示され、必要となる ID およびユーザのパスワードの入力が求められる。また、多要素認証も求められる。図 5 に示すように、多要素認証を求める画面では、TOTP をベースとしたアプリ（Google Authenticator など）を用いた認証（TOTP 認証）とメールでワンタイムパスワー

303

4.2 認証基盤の切替とシングルサインオン対応

しかし、学期途中での変更で各種情報システム認証基盤の切り替えに伴い、特にフェデレーシへのアクセスできなくなる学生が多く発生するのョン認証への切り替えを行うクラウドサービスでではないかという懸念が学内委員会等で出た結果、は、ユーザが認証をする際に表示される認証画面

学生の多要素認証の必須化は再度延期されることが大きく変化する。本学では、Google Workspace、となった。周知やユーザ対応が届きやすい教職員

Microsoft365、Zoom、Webex、申請管理システム、（非常勤講師と学外者を除く）に関しては当初のmoodle がフェデレーション認証へ移行した。

予定通り必須化を行うこととした。

これらの切り替えに際しては、一定期間のアナ一部ユーザ向けの多要素認証必須化の実施日

ウンス、利用者講習会を通じた周知活動を行ったである 2021 年 12 月 15 日に向けたユーザ対応に関上で、以下のように切り替え日を分散し、問い合連した情報をまとめる。図 7 には、我々の問い合わせへの対応体制の強化等を行った。特に、メーわせ用電子メールアドレスに届いたメールに含まルサービスと密接に関係のある Google Workspaceれる関連キーワードの分析結果である。必須化のや Microsoft365 については、従来型の認証から先直前以外において「多要素」がキーワードになる進認証（OAuth2 認証）への切り替えも同時に発生メールはほとんど届いていない。図 8 には、ユーすることからより一層の周知が必要であった。

ザの種別による設定完了数の推移を示す。この推・申請管理システム：2021 年 10 月 22 日

移はキーワード分析の結果ともおおよそ合致する。

・

Zoom：2021 年 10 月 23 日

実際にユーザによって設定がなされるのはどんな・

教職員用 m2 メール：2021 年 10 月 25 日に事前にアナウンスをしていてもほぼ直前である。

・

Webex：2021 年 10 月 26 日

この点はユーザ対応（ユーザコミュニケーション）

・Microsoft365：2021 年 10 月 26 日の現場において多く発生しうる、ユーザは土壇場

・

Google Workspace：2021 年 10 月 27 日になるまで動かないという事象が明確に現れたも・

moodle：2021 年 10 月 28 日のとも言える。

5 まとめ

4.3 多要素認証への対応
本学ではセキュリティ対策の一環として、多く

本稿では、2021 年に更新を行った学術情報基盤の大学同様に、多要素認証の必須化が認証基盤のシステムのうち、認証基盤にかかる内容について、切り替えに合わせて大学の行動計画として方針がそのシステム構成に関する概要、運用における実決定されていた。多要素認証を必須とするサービ際について概説した。本更新に至るまでの本学のスとしては、Extic がカバーする範囲のすべてのフ認証基盤の変遷と 2016 年更新における申請管理ェデレーション認証、システムとして多要素認証システムについても触れている。クラウドサービが可能なクラウドサービスを対象とした。しかし、スである IDaaS ではシステム構成はもちろん、運その実施時期が、新型コロナウィルスの蔓延が始用の多くが大きく変化するイメージもあるが、実まり、学生や教職員が大学に来ることが難しくな際にはオンプレミス的に運用する機器が減ったとったちょうどそのタイミングであった。多要素認いうレベルのものでもある。ただ、実際の運用に証は、正しくユーザに設定を行ってもらう必要がおいては IDaaS 自体のメンテナンスによって認証ある。これが行われない場合、多要素認証を求めの運用に影響が出たり、ユーザが見える部分としるサービスへのログインができなくなってしまうてのカスタマイズが多くできない、など、運用的ため、一度実施時期については延長の決定がなさな問題も少しずつ見えてきている状況であり、本れ、最終的な実施は 2021 年 12 月 15 日に行うとさ稿では取り扱いきれていない内容も多い。引き続れ、これに合わせて取り組みがおこなれることとき運用を継続し、さまざまな知見を新たに蓄積しなった。我々も 2021 年 12 月 15 日に向けた最後のていきたい。また、多要素認証の必須化に関して3 ヶ月では、周知用 Web サイト・教職員ポータル・も触れているが、必須化第 1 段階である 2021 年

学生 Web 掲示板・説明会・ポスター（図 6 など）・12 月 15 日に向けたものであり、すべてのユーザ各種委員会（教育委員会・運営委員会・教授会・が必須化された段階（2022 年 8 月 31 日）につい教育研究評議会等）などを通じて、計 33 件の周知てはまだ情報をまとめきれていない。これらの情活動を展開した。

報もまとめた上で、さらなる報告をしていきたい。

304図 6 ユーザ（学生）への
図7

多要素認証必須化の告知

問い合わせメールでのキーワード分布

図 8 多要素認証必須化日に向けた設定完了数の推移

参考文献[1] EXGEN NETWORKS: LDAP Manager, URL:
https://www.exgen.co.jp/lm/ [web] (2022/10 参照)[2] 櫻田武嗣, 三島和宏, 石橋みゆき, 萩原洋一:
管理運用システム「Salut」の概要, 情報処理学会研究報告, IOT, [インターネットと運用技
術] 2016-IOT-35(3), pp.1-6 (2016).
[3] 三島和宏, 根本貴弘, 青山茂義: 統合認証基盤としての IDaaS 導入と初期運用, IOT, [インタ ー ネ ッ ト と 運 用 技 術 ] 2022-IOT-58(10),pp.1-6 (2022).

305[4] S Cantor, J Kemp, R Philpott and E Maler,
Assertions and Protocols for the OASIS Security
Assertion Markup Language (SAML) V2.0", Mar
2005. URL:
http://docs.oasis-open.org/security/saml/v2.0/saml-core-2.0-os.pdf [web] (2022/06 参照)[5] N Sakimura, J Bradley, B de Medeiros and C
Mortimore, OpenID Connect Core 1.0
incorporating errata set 1, Nov 2014. URL:
http://openid.net/specs/openid-connect-core-10.ht
ml [web] (2022/06 参照)[6] EXGEN NETWORKS: Extic, URL:
https://www.exgen.co.jp/extic/ [web] (2022/10 参照)