全学認証基盤に多要素認証[必須]をした大学のお話
大阪教育大学
理数情報教育系・情報基盤センター

尾崎 拓郎

大学推進協議会

名古屋国際会議場
年度 年次大会，

企画

多要素認証を「使ってもらう」ためのユーザーコミュニケーションとは〜情報セキュリティとユーザー意識のバランスを考える〜
ユーザーコミュニケーション部会

国立大学法人 大阪教育大学• 教員養成系大学• 大阪府柏原市（メインキャンパス），大阪市天王寺区（都市型キャンパス）• 教育学部（昼・夜・夜3年次編入）• 大学院連合教職実践研究科• 大学院教育学研究科• 2022年3月に「教員養成フラッグシップ大学」の指定を受ける。
• 構成員数 (2023.5)••••

大学教員 (240)
非常勤講師 (230)
事務職員 (170)
附属学校教員 (257)• 学生
学部 4000 + 修士 114 + 教職大学院 216 + 特専 30• 附属学校園
児童生徒 5000これまでの戦いの数々…

大阪プログラミング・
情報教育研究会 #56 (2021.5)

AXIES-UC月例会 (2021.5)

IPSJ IOT #56 (2022.3)

AXIES 2023 (2023.12)
昨日！

AXIES 2022 (2022.12)

2021.2 情報基盤システムリプレース• 回線増速（コアシステムはSINET直結DC 10G * 2）
• 全拠点DC直結（柏原・天王寺・池田・平野）• 法定停電や災害対策に強くなった。

• クラウドシステム導入• MS365Edu A3（教職員・学生）• GWS（教職員・学生）• SSO・MFA導入• 「統合認証システム導入！」• その他もろもろ。

多要素認証の設定案内どうしよう？
• 当時，他大学のマニュアルページ等を見漁っていた…

京都大学，全学教職員アカウントにおける多要素認証利用開始ガイド
https://sites.google.com/kyoto-u.ac.jp/mfa/home

広島大学情報メディア教育センター，多要素認証とは
https://www.media.hiroshima-u.ac.jp/services/mfa/aboutmfa/

先代情報基盤システム（2017.2〜2021.2）における認証体系
ID/PWの同期

グループウェアガルーン（教職員限定）※ 学外アクセス不可

研究利用メール（教職員限定）[ユーザーID]@[教職員用サブドメイン]

教育利用メール（教職員・学生）[ユーザーID]@[教育利用サブドメイン]

学習管理システム（Moodle）

人事給与

学務管理システム

財務会計

異なるID/PW

MS365（Universal Passport） 異なるID/PW（教職員）2020.3.〜

学生はID/PW同期

Officeアプリ・Teams・OneDrive
等

ID/PW同期はある程度行って運用していた
ものの，それぞれのシステムで認証を実施

利用者の利便性低下

大阪教育大学情報セキュリティ基本計画に基づく情報セキュリティ向上

多要素認証の必要性

2021.2 情報基盤システムリプレース
LDAP/GCDS
大教Gmail

大教Google (Google Workspace for Education)（学生・教職員共通）[ユーザーID]@ [教育利用サブドメイン]

Azure AD Connect

非常勤講師
(300)

学生(4000)

Microsoft 365 Education（学生・教職員共通）[ユーザーID]@ [MS365用サブドメイン]

専任教職員 (500)
SAME

統合認証システム

主に学外からのアクセス時，多要素認証

SAML

大教大Moodle（授業用）
学習管理システム

RP

RP

研究利用メール（教職員限定） グループウェア[ユーザーID]@[教職員用サブドメイン]

独立した3種類の認証体系での運用を実施

ガルーン（教職員限定）※ 学外アクセス不可・Google, Microsoft の認証を利用→ 最新の認証方式を利用可能。

SSO連携先サービス
ユーザー

統合認証システム

全学IDを利用する各種サービス（例）2021.4.21 現在
大阪教育大学Moodle 2021 （授業用）（教職員・学生）
教職員用Webメール Active!mail(教職員専用)
グループウェア ガルーン
(教職員専用; 学内アクセスのみ)

学術認証フェデレーション（教職員・学生）…

当時の懸念点・学内からはMFA任意。学外からはMFA必須。
・学生向けの対応サービス少なくないですか？（ほぼMoodle専用。学外MFA追加実装？）
・教職員用のメール，学外からはActive!mail（オンプレ）の利用を推奨。
・一方，学生用メールはGmailに移行。

当時，個人的に暗中模索であった。

リプレース直後どうなったか。

•「問い合わせ」件数の増大。
センターとしてシステムの挙動をきちんと把握していない，しかもろくにマニュアルがきちんと整備されていない

未知の問い合わせに対応できない
電話対応に時間が割かれる割にはナレッジがたまらないという悪循環…
今思い出してもきつかったような。

2021年2月。
システム更新 = 2021/2/24
・教職員用の「グループウェア」「Webメール」
はSSO-MFA乗換必須。
学生サービスにほぼ影響がないので，ひとまず教職員に案内。
「教職員用メール」（研究利用）「学生用メール」（教育利用）を混同する教職員多数。
ハレーションの電話とメール。

悲惨。
チラシをまく（教職員）Webページ公開。

http://www.osaka-kyoiku.ac.jp/~ipc/manual/sso-mfa/initial_setting.html

2021年3月末〜4月頭。
ひたすら新入生向けマニュアルを作成。

セットアップ動画マニュアル

新入生向けWebセットアップガイド

入学式後のガイダンス(4/2)，
学生証受取時のガイダンス(4/8)
でそれぞれ情報システムのことをアナウンス。
できる限り学生からの問い合わせを減らす努力をした。

2021/4/8 ガイダンス時資料より。

案内後，新入生殺到。

「よくわからん」仕組みは説明しても「よくわからん」。
• 新入生150人程度来訪（ガイダンス対象800人程度）。

• 取りこぼしで未設定ユーザーもぼちぼちいるものの，ある程度は一気に片付けた。
• 「なんのためにしているのか」をよくわかっていない新入生。
• MFAに設定する F が教職員 と 学生 で大きく異なることが。

なお，関連した事件は身近に起こるもので…
GIGA元年にして，なかなかな事案が。

二要素目も入力させられたのは手痛い…

小学校教員がSMSフィッシング被害に 学級名簿などを保存したクラウドストレージの個人アカウントが奪われる 2021.5.24
https://www.itmedia.co.jp/news/articles/2105/24/news142.html

2021年度中に「多要素認証必須化」それぞれの利用実態に応じて段階的に必須化を実施。
大教Google

Google 2段階認証プロセスの適用[デバイス認証], [認証アプリ],[電話], [セキュリティキー]
教職員：2021.9〜
学生： 2022.1〜

大教Microsoft

2段階認証の適用[認証アプリ], [電話], [セキュリティキー]
教職員，学生： 2021.10〜

統合認証システム[認証アプリ], [メール]教職員：2021.2〜
学生 ：2021.2（実質2021.4）〜

システム標準の多要素認証の適用

多要素認証必須化のロードマップ (2021年度)

2021.2.24
システム更新2021.2

統合認証システム
MFA必須化
2021.2.28
実質3月末

2021.32021.4Microsoft365
MFA必須化案内
2021.10.1

Officeのサブスクリプションが主の利用。

2021.52021.62021.7

GoogleMFA必須化
2021.12.1
実質 2022.1.18

Google・MFA
必須化案内
2021.10.18

在学生，新入生ともに新年度ガイダンス等で対応(新年度からの利用で問題なし)

2021.82021.92021.10Microsoft365
MFA必須化
2021.11.1

2021.112021.12

学生ユーザーの核となる連絡手段（メール）

2022.12022.2

学生

2021.2.24
システム更新2021.2
専任教職員

統合認証システム
MFA必須化
2021.2.28
実質3月末

2021.32021.4

業務メール・グループウェアの利用に直結。
即時設定を依頼 !!

2021.52021.62021.7Microsoft365
MFA必須化案内
2021.10.1

Google・MFA
必須化案内
2021.8.25

2021.8Microsoft365
MFA必須化
2021.11.1

GoogleMFA必須化
2021.9.22

2021.9Google Driveを利用して会議資料を配布するように。

2022/3/8 IOT56-24

2021.10OneDrive, Teams を業務で恒常的に利用。

2021.112021.122022.12022.2

2022年度：新規構成員への対応• ID配布のタイミングでセットアップする必要が出てきた。

• MFA設定済ませないとLMSアクセスできなくなる…（学生・教職員）• 学外からの業務メールも確認する術が失われる…（教職員）• SSO-MFAの初期値の見直しを実施。

• SSOのMFA初期値を教育利用メールアドレス（大教Gmail）に設定。
• いわゆる「詰み」の可能性を少しでも減らす。

• 支援方法を2021年度から変更。

• セットアップマニュアルの作成（学生向け）• ガイダンスでの全体案内（学生向け）• ヘルプデスクの充実（初期設定支援会での実施）

2022年度：新規構成員への対応• 新規利用者に対する多要素認証初期値を変更を試みた。
利用対象サービス

多要素認証初期設定

大教Google• 教育利用メール(大教Gmail)• Googleサービス全般• 未設定状態。
• 大型連休後強制設定。
鍵閉じ込め可能性有り

大教MS365• Officeアプリ• OneDrive• Teams（教職員限定）• 未設定状態。
• 大型連休後強制設定。

統合認証システム• 履修登録，LMS，• グループウェア，• 研究利用メール• 大教Gmailに変更。

アカウントセットアップ方法の変遷 (2021〜2023)
学部新入生への対応の変遷
2021年度
統合認証システムの多要素認証要求
セットアップマニュアルの配布

履修ガイダンス実施方法

2023年度

••

必須
初期値なし

•
•

必須
初期値あり

•
•

必須
初期値あり

•

Webのみ展開•

冊子（ID関係の最低限必要事項）
Web（PCセットアップ）•

冊子（ID関係の最低限必要事項）
Web（PCセットアップ）•••

学生生活ガイダンスに設定方法
マニュアルの案内のみを行う（5分）•

履修ガイダンス中に説明動画を上映（20分）（作業時間を確保できず）•

履修ガイダンス中に説明動画を上映，終了後，作業時間を確保
（30分）

•

学生生活ガイダンス後の支援会を案内
教科書販売期間に臨時窓口を展
開•ガイダンス終了後の支援会を案
内
教科書販売期間に臨時窓口を展
開••終了後の支援会を案内
教科書販売期間に臨時窓口を展
開

動画による一斉説明
25箇所同時展開•

動画による一斉説明
25箇所同時展開•

動画による一斉説明
最大7箇所 x 4セッション展開

セットアップの説明方法

セットアップ支援会の実施

2022年度•••

2022年度の新入生支援（1/2）• 大学院生対象の会場には要請があり，情報企画室職員が直接支援実施。
→大きな混乱は見られなかった
動画による説明に加えて，情報企画室職員による補足説明

2022年度新入生ガイダンスのテイムテーブル（大学院生対象）

質問は会場で職員に直接質問可能

2022年度の新入生支援（2/2）• 学部生対象新入生ガイダンスは全25教室で同時展開• 全ての講義室に専門知識のある職員を派遣することは困難• 事前収録による説明動画の上映のみ→ セットアップフォロー会に学部生が殺到2023年度の新入生支援（1/2）• ガイダンスのタイムテーブルを調整し，同時に開催される会場数を抑制

情報基盤センター教職員 1 名
専門学生スタッフ
3-5 名

計4-6人×8チームを各ガイダンス会場に派遣し支援実施

2023年度の新入生支援（2/2）• ガイダンス会場での支援の実施• 動画による説明のあと，一斉にセットアップを実施• ガイダンス中に支援スタッフに質問した学生は約300人

学生スタッフへのブリーフィング※ 8:30集合。約30名。

ガイダンス時の動画上映の様子

スタッフにその場で直接質問可能

スタッフ動態• 全28枠。
• 同時8展開。

支援実施の結果と考察• 新入生ガイダンス直後の支援実施件数が大幅に減少
大阪教育大学 ICT教育支援ルームにおける新入生ガイダンス直後の支援対応件数（件）2022• IDセットアップ関係の支援件数が大幅に減少→要支援者数の抑制に大きな効果

125

2023
6

大阪教育大学 ICT教育支援ルームにおける4月の支援対応件数（件）課題・2024年度に向けて• 準備時間・人員動員の負担大• タイムテーブル・人員配置など準備・検討時間の負担• ガイダンス当日の人員負担（教職員・学生含めて約40名を動員）→事前準備にかかる時間削減• 2023年度支援実施をもとに人員配置や事前研修を簡略化• スタッフの入れ替わりに伴う人員配置の再検討• 学部改組，アフターコロナによる新年度スケジュールの変更