学術認証フェデレーションの概要
国立情報学研究所 中村素典

 Webアプリケーションへのシングル・サイン・オン（SSO）

技術を、組織を越えて活用する分散型認証基盤
従来

学認
機関単位で分散大学A

ID1/Pass1

ID2/Pass2

ID3/Pass3

ID/PasseLearning

Web
メール

電子
Journal

機関認証システムシステム• Webアプリ毎にIDを管理> ID管理コスト大• Webアプリ毎にログイン作業> ユーザのセキュリティ意識低下• セキュリティレベルの不統一> 低セキュリティサイトアクセス時の漏えいリスク
2

Web
メール

eLearning

システム

学内

大学B

大学C

電子
Journal学外

セキュリティや個人情報保護法に配慮して，認証・認可の情報交換を行うためのデータ形式



標準団体OASISにより策定



米国EDUCAUSE／Internet2にて2000年に発足したオープンソースプロジェクト

http://shibboleth.internet2.edu/

SAMLによる認証連携方法として学術界ではデファクトスタンダード



米国、欧州でShibbolethによる学術認証フェデレーションが拡大

最新はVersion 2.2

一部、古いSPはまだVersion 1.3を使用（徐々に、2.xへ移行中）

ユーザ情報
LDAP

シ
ボレス
IdP

SAML標準

シボレス
SP

SAML通信のためのフィルターのようなもの
3 フェデレーション自体は学外リソース利用のためのもの
 フェデレーションへの参加により学内の統合認証システム構築を加速化
 学内システムのSSO化を加速化 シボレス化による学内の公開Webサービスのセキュリティレベルの向上
Webメール

4

グループウエア

図書館システム リモートアクセスによる利用頻度の向上
 SSOによるユーザエクスペリエンスの向上

論文を探して論文を取得して（読んで）論文を管理する

認証連携によるディープなマッシュアップ
5Microsoft DreamSpark

学生を対象にMSのソフトウエア開発環境を無償で提供するプログラム

属性により大学構成員であり学生であることを確認

eduPersonTargetedID（SP毎に異なるハッシュ化された一意のID）
eduPersonScopedAffiliation（例：student@nii.ac.jp）

運用フェデレーション参加24時間後に利用可能6

メタデータ

登録
配布（ダウンロード）

登録
配布（ダウンロード）

フェデレーションによる信頼性の提供

IdP（所属機関）

SP（リソース提供者）

9
アクセス承認
属性情報

6

7

8

9

2

1

7
Set Cookie

37

4 DS（ディスカバリサービス）

4

5

ユーザ

1

 SPへのアクセス後、「一旦画面が切り替わってIdP選択、さらに画面が切り替わって、ID/PWの入力」という画面遷移は煩雑
 SP埋め込みDSの採用を検討
課題：
 機関一覧の表示方法
 検索の方法 選択結果のSP間での安全な共有8uApprove.jp
プラグイン
16種類の属性情報を用いてSPが認可判断（機関、ロールベース）。
属性内容

OrganizationName (o)組織名

jaOrganizationName (jao)

組織名（日本語）

OrganizationalUnit (ou)組織内所属名称

jaOrganizationalUnit (jaou)

組織内所属名称（日本語）

eduPersonPrincipalName (eppn)

フェデレーション内の共通識別子

eduPersonTargetedID

フェデレーション内の匿名識別子

eduPersonAffiliation

職種(faculty, staff, student, member)

eduPersonScopedAffiliation

職種（＠ドメイン名がついた形式）

eduPersonEntitlement

資格

SurName (sn)

氏名（姓）jaSurName (jasn)

氏名（姓）（日本語）GivenName

氏名（名）jaGivenName

氏名（名）（日本語）displayName

氏名（表示名）jaDisplayName

氏名（表示名）（日本語）

mailメールアドレス

9

SPごとに異なるハッシュ化された識別子
個人情報開示に配慮

ユーザは送信する属性の選択が可能

掲載場所： https://upki-portal.nii.ac.jp/docs/fed/technical/attribute

現在地
２００８年度

２００９年度

２０１０年度

試行運用

本格運用

運用フェデレーション

運用フェデレーション

実アカウント利用
実サービス提供

テスト環境
実証実験（技術検証）

27機関参加
30 IdP
18 SP（商用１）
10

昇格

昇格

テストフェデレーション

テストフェデレーション

仮アカウント利用
仮サービス提供

２０１１年度以降

11

http://www.internet2.edu/pubs/national_federations.pdf

（2月20日現在）
国立情報学研究所
 名古屋大学  旭川医科大学
総ID数≒35万ID
ID 山形大学 東京農工大学
 千葉大学 岡山大学
 京都大学 九州工業大学
 広島大学 京都産業大学 旭川医科大学，東北大学，山形大学，福島大学，高エネルギー加速器研究機構，筑波大学，筑波技術大学，東 金沢大学 立教大学
邦大学，東京大学，東京工業大学，東京農工大学，お茶の 北海道大学  九州大学
水女子大学，産業技術大学院大学，慶應義塾大学，愛知県（参加順） 立大学，鈴鹿工業高等専門学校，京都産業大学，大阪大学，
 筑波大学
徳島大学，愛媛大学，岡山大学，広島工業大学，九州大学，
 佐賀大学熊本大学
 山口大学姫路獨協大学，静岡大学，中部大学，福井大学，神戸大
 成城大学学，東京学芸大学，京都女子大学，岩手大学，浜松医科大学，東京都医学研究機構，宮崎大学，南山大学，岐阜
 東邦大学大学，鹿屋体育大学，京都工芸繊維大学，京都府立大学，
 三重大学
高知大学，茨城大学，同志社大学，室蘭工業大学，金城学院大学，福井県立大学，北見工業大学，東京都市大学，
 日本大学

北九州工業高等専門学校，島根大学，大阪教育大学
12

最新情報：https://www.gakunin.jp/docs/fed/participants

ID管理側（IdP）メリット





サービス側（SP）メリット






大学など情報セキュリティ準拠，個人情報保護などへの対応
ID管理，ユーザサポート業務、セキュリティ教育の集約によるコスト削減
ID/PW送受信時の（サービスに依存しない）セキュリティ水準の向上
シームレス（学内外）なアクセス管理システム統合
学術分野へのサービスのビジビリティの向上
素早いスタートアップ
ID管理からの解放，ユーザサポート業務の軽減
ライセンス条件にそった適正な利用

サービス利用者メリット




13

多数のID/パスワード管理からの解放
IPアドレスに依存しないアクセス（自宅や出張先からもアクセスできる）
個人情報の送信制御，匿名アクセス（所属機関として認証）
SSOによる利便性向上，マッシュアップによるサービス連携への期待（2月20日現在）


学術コンテンツ










開発環境


Science Direct / SCOPUS (Elsevier)SpringerLink (Springer)
Web of Knowledge / EndNote (Thomson Reuters)
OvidSP (Ovid)
RefWorks (ProQuest)
Pathology Images (Atlases)
EBSCOhost (EBSCO)
CiNii (NII)
IMCデータリポジトリ（金沢大学）
DreamSpark (Microsoft)

ネットワークサービス








14

接続作業中










KargerjSTOR
EbraryTavlor&Francis
IEEE
IOP
PubMedEmerald
SUNMEDIA…

Fshare（大容量ファイル交換）サービス（NII）
FaMCUs (テレビ会議多地点接続)サービス (NII) – 収容拠点数拡大予定
Eduroam-Shib（eduroam用一時アカウント発行）サービス（京大&NII）
ゲスト用ネットワークアクセス認証（佐賀大学、広島大学）
ファイル送信サービス（金沢大学）
科学技術の学術情報共有のための双方向コミュニケーションサービス（山形大学）
SecurityLearningシステム（NII）
WebELS eLearningシステム（NII）

最新情報：https://upki-portal.nii.ac.jp/docs/fed/participants

15

https://spaces.internet2.edu/display/SHIB2/ShibEnabled 科研費申請をはじめとする公的研究資金応募システム

多くの研究者にとって馴染みのある、学外サイトの一つ
 毎年の申請ごとに、専用のID/PWが分からなくて苦労する アンケート調査実施中


是非皆様の声を!
 実施期間 平成２３年３月１日（火）～１４日（月） 対象者
 e-Radの利用経験のある方

 実施目的 e-Radの運用及びシステム改修に反映し、より質の高いサービスを提供するため

16

 本格運用の開始
 「学認」愛称、ロゴの決定 タスクフォース(TF)設置

システム運用基準の策定と公開(V1.1)
 DSの運用、改良
 メタデータ管理

各種有効期間の検討

テストフェデレーション
参加ルールの整理
 海外フェデレーション等との連携
 ケーススタディの提供
 病院の参加に関する検討





17

実証実験・試行運用（UPKI-Fed）
認証作業部会による方針決定

北大，東北大，東大，名大，京大，阪大，九大，東工大，高エネ研，NII

本格運用（GakuNin）


認証作業部会下にTFを設置し，権限を委譲


参加機関の情報基盤センター，図書館などからの，より広い実地メンバーで構成
各種学術コンテンツとの連携は学認ライブラリ
チームが主導TFによりフェデレーションの進め方を検討

情報サービス連携コンソーシアム（２０１０年８月発足）
基盤のの進展」を踏まえた、新たな国際 「グローバル ICT 基盤「産学」連携の仕組みの構築
managementの進展」を前提とした
 大学の「IdM Identity managementの「産学連携による情報サービス
コンテンツ・情報産学連携の場 サービス(ICT)連携」体制の構築
 多様な業界を横断したコンテンツ
情報サービスサービス
フェデレーション
情報サービス連携の「学術認証連携」
通信「教育連携」
ID属性連携属性連携((i-Japan)」「IDサービス「研究連携」
基盤構築への貢献
コンソーシアム
大学等
共同利用
研究所

http://ictsfc.org/
18

大学情報センタ・図書館センタ「情報サービス連携」

学術研究と高等教育の現場

19

日時

名称

会場

5月20日

ITRC研究会 GakuNin現状と参加説明

NICT

6月3-4日NIIオープンハウス GakuNinブース出展

NII

6月29日

Sunmedia学術情報ソリューションセミナー GakuNin説明

大阪

7月02日

Sunmedia学術情報ソリューションセミナー GakuNin説明

六本木

7月7,8日シボレスIdP, SP研修会

NII

7月15日

第７回国立大学法人情報系センター協議会

海洋大学

7月19日-23日

IEEE SAINT GakuNinブース出展

ソウル

7月28日

e-Learningワールド GakuNinブース出展

東京ビックサイト

9月09日

第5回情報系センター研究交流・連絡会議

和歌山

9月16-17日

シボレスIdP, SP研修会

NII

9月27-28日

TOPICネットワーク担当職員研修会

岩手10月7-8日

シボレスIdP, SP研修会

NII

11月01日-Internet2 Fall Meeting 出展

アトランタ

11月15-16日

シボレスIdP, SP研修会

NII（募集中）

11月24日-図書館総合展

パシフィコ横浜

11月10日[SINET]オープンフォーラム

NII

11月～12月

SINET4説明会

札幌，東京，名古屋，京都，福岡

12月10日情報処理学会CLE研究会

京都

12月14日カンターライニシアティブ 技術セミナー 2010新宿

1月11-12日

シボレスIdP, SP研修会

NII

1月20-21日, 24-25日

シボレスIdP, SP研修会

NII

2月24日

APAN31 Middleware WG発表

香港

3月7日

学認シンポジウム

一橋記念講堂 2009年度までは，NII情報処理軽井沢セミナーにて実施 2010年度からは，NII講習システムを用いて実施
2日間コース

IdP構築実習（1日目）
 SP構築実習（2日目）


計8回実施

大学向け3回
 大学＋企業向け5回
 計120名以上が受講

 2011年度も引き続き実施

大学向け（3回を予定）


6/20-21，8/4-5，11/1-2

大学＋企業向け（調整中）

大学向け研修会詳細
http://www.nii.ac.jp/hrd/index.html に掲載予定
大学＋企業向け研修会 https://www.gakunin.jp/docs/news/ に掲載予定
20

 学認申請システム


学認への参加申請，メタデータ登録・更新等がWebを通してオンラインで可能になります テストフェデレーション
1.
2.
3.

匿名での申請情報登録（およびアカウント作成）
事務局での参加承認
フェデレーションメタデータの自動更新

 運用フェデレーションの場合は？
21

オフラインによる確認が1ステップ増えるだけ

通常一日で参加完了
利用開始可能 技術開発

新しい利用形態、活用方法の検討（電子ブック、属性プロバイダ）
 プライバシー保護のための機構(uApprove.jp)
 学認申請システム
 体制、ドキュメント等の整備

学認タスクフォース、学認ライブラリチーム
 各種ドキュメントの整備、見直し、英語化 導入事例の提供


先行する各大学でのケーススタディ （本日配布中!）

 広報、協力のためのチャンネルの拡充

NIIオープンフォーラム 大学ICT推進協議会
 情報サービス連携コンソーシアム (ictsfc.org)
 その他…
22