1

1. 概要学認に参加するためには、機関ごとにIdPを構築し、運⽤することが必要となります。
学認の参加機関数は、2024年4⽉末時点で320機関ですが、⼤学等、学認のIdPとしての参加対象機関全体の数からみると、その1/3程度にとどまっています。
また、2022年に実施した「学認対応 IdP ホスティングサービス実現に向けたアンケート」によると、IdPを構築し運⽤するための⼈材の不⾜や費⽤⾯の問題、委託業者をどのように選定し、どのように依頼すれば良いか分からないなど、参加にあたっての⾼い障壁があるように認識しております※ 。
その⼀⽅で、オープンサイエンス（論⽂のオープンアクセスと研究データのオープン化・共有化を含む、研究成果の共有・公開を促進し、研究活動の加速化や新たな知識の創造等を促す取組）推進の点では、研究データの管理・公開・検索等を⾏うために⽤意されたプラットフォームである、「NII Research Data Cloud」を利⽤するためには、研究者が所属する機関が、学認に参加し、認証基盤を整備する必要があります。
また、最近では、学認LMSのような学習管理システムの整備も進んでおり、このようなサービスを利⽤するために、機関毎のIdPの整備はますます重要になってきています。

2

1. 概要このような背景を踏まえ、本研究所では、IdPの構築や運⽤が困難となっている全国の教育研究機関向けに、学認対応IdPホスティングサービスの提供を⽬指し、2023年3⽉より、「学認対応IdPホスティングサービス実証実験」を⾏っています。
今回は、「学認対応IdPホスティングサービス実証実験2024」、としてIdPのクラウドサービス（IDaaS）を⽤いた実証実
験を、前回より規模を拡張して⾏うことといたしました。
2023年度の実験実証を分析した結果、信頼性の⾼い ID データベース(Trusted DB) と学認対応IdPと連携において、幅広い対応が必要であることが確認されました。そこで実験実証では幅広い連携を可能とし、その効果を検証することも含め、学認対応IdPホスティングサービスにおいて提供するサービス内容と参加機関における課題の分析を⾏うことを⽬的としています。

※ 学認対応 IdP ホスティングサービス実現に向けたアンケート報告書
︓https://www.gakunin.jp/document/684

3

４. 2022年 - 2023年度の学認対応 IdP ホスティングサービス実証実験参加⼤学/研究所 (10機関) の反応(2回のアンケート結果より)• 構築⽀援サービスについて• 「とてもよかった」「よかった」 (10機関)• 利⽤継続について• 将来有償になったとしても、IDaaS をそのまま利⽤し続けたい (10機関)• IDaaS (クラウドサービス) であることについて• ハードウェアより運⽤が楽• パッチ適⽤など任せられるので楽• 導⼊費や維持費がかからないのでうれしいという前向きな意⾒がほとんどだった (9機関)
上記より、学認対応 IdP ホスティングサービスをきっかけに学認参加のハードルが下がると判断できた6

7

1. 実証実験の内容〔実証実験の実施期間〕• 2024年8⽉15⽇ 〜 2025年3⽉31⽇〔実証実験の対象機関〕• 学認への参加を希望していること、もしくは、学認参加済で、IDaaS（ID as a Service） への移⾏を検討していること• 機関内で、学認に参加することの了解が得られること• ⼈員・コスト不⾜などにより IdP の構築や運⽤が困難であること• 導⼊フェーズを、本実証実験開始時期 (2024年8⽉) に開始できるよう協⼒すること• 導⼊フェーズとは実証実験参加申込後、１．ヒアリング、２．学認参加申請、３．電⼦証明書発⾏、４．IdPのユーザ登録、５．利⽤SP 登録の作業を指す（２〜５については導⼊⽀援あり）• 導⼊フェーズを、参加申し込み後、5か⽉以内に完了できるよう協⼒すること• 2025年3⽉までに想定したユーザの登録を完了し、SPを利⽤できる状態にすること• IdP ホスティングサービス利⽤に関する調査に協⼒すること（年に2、3回予定）• IdP ホスティングサービスの参加機関向けに開催する会議に参加すること（ハイブリッド開催予定、年に1、2回開催予定）

8

1. 実証実験の内容〔実証実験の提供機関数〕• 40 〜 50 機関程度
〔実証実験の総ユーザ数〕• 本実証実験全体で 100,000 ユーザ程度〔費⽤〕• 無料（IdPホスティングサービスの提供範囲において、実証実験期間中の費⽤は本研究所が負担します）〔実証実験のお問合せ、お申込み期限〕• 2024 年 8 ⽉ 5 ⽇（お申込みが多数の場合、早期に締め切る場合があります。）〔備考〕• 参加希望機関数が、想定する提供機関数を超過する場合、希望に添えない場合があります• 提供機関選定においては、学認未参加機関を優先させていただく場合があります• 本実証実験全体で総ユーザ数を定めておりますので、提供機関毎の利⽤ユーザ数は参加後にヒアリング等を通して決定します（参加は機関毎となりますが、部⾨、学部ごとの参加など、⼀部のユーザによる利⽤から開始することも可能です）• 既存のLDAPとの連携や外部システムへのID連携など、外部連携は今回の仕様に含まれておりませんので、応相談になります91. 実証実験の内容〔実証実験の参加にあたって、機関側で必要とされる対応など（導⼊⽀援あり） 〕• 本実証実験への参加申請書（申請者は原則としてID管理や認証基盤を利⽤する部局等の⻑に相当する者）の提出• 学認の運⽤フェデレーションへの参加⼿続き• IdPホスティングサービスへの初回アカウント登録作業（登録⽤情報の準備、整形作業を含む）• 運⽤開始後の、アカウントの追加・削除などのメンテナンス• サーバ証明書の取得（弊所の提供するUPKI電⼦証明書（ https://certs.nii.ac.jp/）を推奨）• 実証実験の評価、分析のためのインタビュー（期間中3回ほど）、事例公開への協⼒〔実証実験終了後の対応について〕• 本実証実験は、実施期間をもって終了いたしますが、実施期間終了後、試⾏期間として延⻑する可能性があります（現時点では未確定）• 延⻑する場合には、本実証実験と同環境で引き続きご使⽤いただけます• 終了後は、必要に応じて登録データを返却します102. 実証実験の⽬的
・実証実験では、提供するサービス内容と参加機関における課題を分析していくことを⽬的としています。
・確認内容① サービス⾃体の有⽤性、安定稼働性
・追加で必要な（求められている）機能はないか
・利⽤機関、利⽤者数が増えた場合、サービスは安定して稼働できるか
・IDaaS 提供による、学認対応 IdP ホスティングサービスのサポートは、どこまで求められているか② 認証基盤ユースケースへの対応
・各機関毎に必要とされる、学認 SP 以外のサービスを利⽤する場合の連携⽅法の検討
・各機関毎に必要とされる ID 管理機能との連携⽅法の検討③ 学認対応 IdP ホスティングサービスを利⽤することで実証実験参加機関の効率化が実現されること・学認未参加理由は、コスト問題（運⽤コスト不⾜、⼈材不⾜）が多くを占めているが、IdP サーバの提供で改善されるかの確認
・学認未参加機関が、新たに IdP を利⽤することで、増加した業務内容の確認
・学認既参加機関が、IdP サーバの管理を学認対応 IdP ホスティングサービスに移⾏することでのメリット・デメリットの洗い出し

11

3. 実証実験参加機関へのご協⼒依頼
・実証実験の分析を⾏うためのアンケートの対応①実証実験開始時 (2024年10⽉頃を予定)②実証実験期間中 (2025年2⽉、※ 2025年5⽉、※ 2025年10⽉、頃を予定)③実証実験終了時 (※ 2026年2⽉頃を予定)
・実証実験の意⾒交換を⾏うためのユーザー会の参加対応① 実証実験期間中年 1〜2 回を予定 (2024年度、2025年度)
・実証実験参加校/機関としての事例公開
・実証実験後の継続的な学認参加※ 学認対応 IdP ホスティング実証実験が 2025 年度も継続した場合

12

13

1. 学認参加のメリット• 従来の学認 SP だけではなく、今後整備されるオープンサイエンスも含めて、利⽤場所を問わず、IDとパスワードのセットを学認 SP に引き渡すことなく、セキュアに学認 SP を利⽤することが可能です。
• 機関内からしか利⽤できなかったジャーナルなどの学認 SP を機関外からも利⽤できます。
2. 学認対応 IdP ホスティングサービスの利⽤メリット• 学認参加に必要なハードウェア、ソフトウェアの購⼊ (資産としての計上) が不要になります。

• 認証基盤の SaaS として 24/365 のサービス監視が⾏なわれます。この中で脆弱性対応も実施されます。
• オンプレミスで Shibboleth を利⽤する場合のソフトウェアのバージョンアップから解放されます。
• 問題発⽣時、IDaaS 事業者の技術者からのサポートを受けることができます。
3. 実証実験参加のメリット• IDaaS 導⼊サービス (IDaaS 利⽤設計・設定、 学認申請⽀援サービス) が IDaaS 事業者から無償で提供されます。
※ 学認対応 IdP ホスティングサービス実証実験の利⽤は、2025年3⽉末までで計画しています。
※ 2025年度につきましては継続・終了含めて状況が確認され次第ご連絡いたします。
・1419

No

区分機能

機能詳細

1

ID管理機能アカウント管理

アカウントの作成、更新、削除(詳細はP.21〜P.23)

データインポート/エクスポート

CSV インポート、CSV エクスポート

ライフサイクル管理

アカウントの有効化、無効化、削除のスケジューリング

API 連携アカウントデータのインポート⽤ API

認証機能

シングルサインオン

学認連携(詳細はP.24〜P.26)

パスワード管理パスワードのセルフメンテナンス

パスワードポリシー

⽂字数、必須⽂字、有効期限 等

多要素認証

メール認証、アプリ認証、FIDO 2 認証

認証ルール

IP アドレスによる認証ルール、アカウントロック

外部 IdP 連携

Azure AD 、Google 等の外部 IdP 連携

2

3

ポータル機能利⽤者⽤ポータル

パスワード変更、多要素認証の設定、多⾔語対応

4

その他機能

ログ管理

認証ログ、連携処理ログ、各種ログのエクスポート

21

1. ID 管理機能
① ID 情報を格納するデータベース
・学認 SP の認証や、認証後のフェデレーションのやりとりで必要となる ID 情報 (利⽤者の識別⼦、クレデンシャル情報(パスワード情報等)を含む) を格納する ID 情報を格納するデータベースを有しています。
・管理者 (学認対応 IdP ホスティングを利⽤する組織の ID 情報のメンテナンスを⾏う管理者) や利⽤者
(学認対応 IdP ホスティングを利⽤する組織の教職員、学⽣等) がメンテナンスを⾏う ID 情報を格納するデータベースを有しています。
・ID 情報を格納するデータベースは ID 管理機能が必須とするユーザ名、パスワード、表⽰名等の基本属性の他に、管理者が⾃由に追加、変更、削除することができる拡張属性機能を有しています。
・ID 情報を格納するデータベースは冗⻑化されています。

22

1. ID 管理機能
② ID 情報を保持しているデータベースのメンテナンス機能
・2種類のアクセス権限の設定
・管理者⽤、および利⽤者⽤の 2 種類のアクセス権限を設定することができます。
・ID 情報インポート機能
・管理者は、利⽤者の ID 情報を以下の⽅法で、インポートすることができます。
1. CSV ファイル
2. SCIM API
3. ディレクトリ連携
・ID 情報メンテナンス機能・管理者は、利⽤者のID情報を検索、追加、変更、削除することができます。
・ID 情報エクスポート機能
・管理者は、利⽤者の ID 情報を CSV ファイルでエクスポートすることができます。
・ライフサイクル管理機能
・ID情報を格納するデータベースに登録された ID 情報は、指定⽇に有効状態、無効状態、削除できます。
・利⽤者属性情報メンテナンス機能・利⽤者は、⾃⾝の ID 情報をメンテナンスすることができます。
・ID 情報を格納するデータベースに対するメンテナンス処理はログ情報として記録されます。
23

1. ID 管理機能
③ プロビジョニング機能
・ID情報を格納するデータベースの属性情報と学認対応 IdP ⽤ DB の属性情報を柔軟に連携するために、管理者により、⾃由に紐づけの設定 (マッピング設定) ができ、⼀部の学認の複数値属性にも対応しています。
・管理者や利⽤者⾃⾝がメンテナンスを⾏った ID情報を格納するデータベースの ID 情報は、上記のマッピング設定に基づき、随時、学認対応 IdP ⽤ DB に連携(プロビジョニング)されます。
・プロビジョニングの結果はログ情報として記録されます。

24

2. 認証機能① SAML IdP・SAML 等の認証連携機能 (フェデレーション機能) を有し、利⽤者が複数の学認 SP に対してシングルサインオンすることができます。
② 学認対応・送信属性同意画⾯
・利⽤者の認証時、学認 SP への送信属性同意画⾯が表⽰されます。
・2 度⽬以降の認証時における送信属性同意画⾯の表⽰または⾮表⽰は、利⽤者により選択できます。
・デジタル証明書管理・学認対応 IdP で利⽤するサーバー証明書の管理と CSR の発⾏ができます。
・学認 SP 管理・管理者が、学認 SP の追加、変更、削除の設定をすることができます。
・メタデータ管理・学認メタデータの以下の内容を取得し、更新することができます。
・メタデータの SP 証明書・認証連携処理の学認 SP のエンドポイント情報
・属性送信処理時に送信する属性情報
・学認 SP との連携実績
25
・IDaaS として、学認 SP との連携実績があります。

2. 認証機能③ パスワードポリシー設定
・以下のパスワードポリシーの設定ができます。
1. パスワードの⻑さにおける最⼩⽂字数と最⻑⽂字数
2. ⼊⼒必須⽂字タイプ
3. ⼊⼒許可⽂字
4. ⼊⼒禁⽌属性
5. 認証の失敗回数が指定回数に達した場合のアカウントロック設定
6. アカウントをロックする期間
7. パスワード有効期限切れ前に通知する機能
8. パスワード有効期限
9. 過去に設定したパスワードの再利⽤を禁⽌する設定
10. 管理者がアカウントロック状態を確認でき、ロック状態を解除できること

26

2. 認証機能④ 多要素認証機能/パスワードレス認証機能/多段認証機能
・ 以下の多要素認証機能が利⽤できます。
1. Google Authenticator 等のアプリを利⽤した、Time-based One-time Password による認証
2. 事前に登録された利⽤者のメールアドレスに対して送信した確認コードによる認証
・ 以下のパスワードレス認証機能が利⽤できます。
1. セキュリティキーなどの FIDO2 ベースの認証
・ 以下の多段認証機能が利⽤できます 。
・利⽤者の利⽤場所 (IP アドレス) により以下の認証⽅式の選択またはアクセス禁⽌の設定ができます。
1. パスワード認証
2. 多要素認証
・ 管理者が以下の管理操作ができます。
・利⽤者ごとの多要素認証の強制設定
・利⽤者がどの多要素認証を設定しているか・利⽤者の多要素認証設定の解除⑤ 外部 IdP 連携機能
・ IdP は SP の機能を有し、外部の SAML IdP に対して連携することができます27

３．ログ管理機能① 連携処理ログ
以下の機能があります。
・管理者による、利⽤者のID情報の追加、変更、削除や、利⽤者⾃⾝のパスワード変更等、メンテナンス時のログを検索、参照できます。
・上記の検索情報をCSVファイルでエクスポートすることができます。
・上記のエクスポートした結果もログとして記録され、検索、参照することができるネットワークセキュリティ
サービスでです。
② 認証ログ
以下の機能があります。
・利⽤者が、どの IP アドレスから、どの SP へのログインが、成功したか失敗したかを確認できます。
・利⽤者の認証操作に関するログを検索、参照することができます。
・上記の検索情報をCSVファイルでエクスポートすることができます。
・上記のエクスポートした結果もログとして記録され、検索、参照することができます。
４．ロゴ管理機能
ログイン画⾯のロゴを変更できます。

28

4. システム監視サービス ＆ ネットワークセキュリティサービス
① システム監視サービス
・ID 管理機能、認証機能、DB 機能が動作するサーバ、もしくは仮想マシン上で、以下のシステム監視サービスを24 時間 365 ⽇で実施しています。
1. 死活監視2. リソース使⽤率監視
3. サービス、プロセス監視② ネットワークセキュリティサービス
・ID 管理機能、認証機能、 DB 機能が動作するサーバが動作するサーバ、もしくは仮想マシンネットワークで、以下のネットワークセキュリティサービスを24時間365⽇で実施しています。
1. ファイアウォール機能
2. Web アプリケーション保護機能③ ISMS・ISO27001 および 27017 の ISMS 基準を取得しています。

29

30

1. 学認対応 IdP ホスティングのセットアップ① 各機関の環境に応じた IdP プロパティ設定② 属性送信先となる SP の選定⽀援、および設定③ サーバ証明書の設定（電⼦証明書⾃体の取得は本調達には含まず、機関ごとに取得するものとする）④ メタデータの作成⑤ 接続先学認 SP 属性情報の洗い出し⑥ 学認 SP の登録 (5 SP まで）
2. 学認 SP の接続テスト
3. ID 情報の登録作業⽀援 (初回のみ)
4. 操作ガイドの提供 (管理者編・利⽤者編)
5. 学認対応 IdP ホスティングサービスの操作説明

31

1. 学認参加 IdP 運⽤状況調査
・年に 1 度の学認実施要領等の準拠確認のための調査の回答⽀援を⾏います。
2. 実証実験の終了時の移⾏⽀援
・実証実験終了時、参加機関ごとの終了後の体制に合わせて、IdP としての機能が継続して利⽤できるよう、スムーズに移⾏するための⽀援を⾏います。

32

33

37

38