新しくなった学認申請システムの紹介
国立情報学研究所

学術認証推進室

 最も単純なフェデレーションはIdP群・SP群・DSおよびリポジト

リからなる
大学側（IdP群）

学術サービス（SP群）
登録

メタデータ

配布

登録
配布

SP 1

リポジトリ

大学A
IdP選択

所属問合せ

SP 2

大学B
ディスカバリー
サービス
（DS）

SP 3

大学C
：
2：

 「参加するにはメタデータを作成して提出してください」

 →メタデータって何？？
 「新しいSPに○○属性を送信してください」
 →新しいSPが出てくる度に作業しなきゃいけないの？

 「××大学のIdP経由で認証できないんですけど」
 →IdPの方の設定に問題があるんじゃないの？

IdP・SP・DSのインストールだけではカバーできない部分が存在

3

大学側（IdP群）

学術サービス（SP群）
メタデータ

登録
配布

登録
配布

リポジトリ

IdP選択

所属問合せ

ディスカバリー
サービス
（DS）
情報提供

情報提供

情報入力

情報入力学認申請システム

4

リポジトリ・DSと並んでIdP-SP間を仲介する立場で機能不足を解消

 学認への参加・変更申請書の作成
入力された申請者・機関の情報からPDFを出力する

 テンプレートを元にしたメタデータの自動生成

申請者・機関の情報
 証明書の登録


申請して，最低限のメタデータを作る機能のみ提供

5 (1)利用可能SP/IdPの取捨選択
DSで表示されるIdPリストを制御

 IdP/SPメタデータに情報付与
(2)属性情報対応
 利用者による送信属性制御

 IdP送信属性フィルタ自動生成(3)mdui対応
 ログイン画面でのSP視覚化
 IdPの地理的分類
 選択IdP候補提示

6

 DSの新(?)機能- JavaScriptで実装されたEmbedded DS
 SPにDS機能を埋め込める！
& 他SPで選択したIdPを覚えてくれる！

7

cf. https://www.gakunin.jp/docs/fed/technical/embeddedds

エラー！
このサービスを使うための必要な属性がありません．

使えないのならIdPをリストに出さないでよ！

8

IdP管理者が，フィルタ設定を行ったSPを選択

SP管理者が，利用可能IdPを選択①学認申請システムにおける操作

AND

https://office.gakunin.nii.ac.jp/ProdFed/export/
discofeed/PSxxxxJP[{"entityID":"https://idp.example.ac.jp/idp","DisplayNames": [{"value": “Test IdP","lang": "en"}]},{"entityID":"https://idp2.nii.ac.jp/idp/shibboleth",…

JSON形式（DiscoFeed形式）②IdP管理者が設定を行っている
場合，かつSP管理者が選択した場
合のみEmbedded DSにIdPを表示する
9

認証連携可能A大学

A大学
B大学
C大学B大学

Embedded DS

C大学
情報提供
（DiscoFeed）
フィルタ設定状況を告知

学認申請システム
10

IdPリスト表示用
スクリプトの提供
GakuNinDSSPSPによるカスタマイズSP

IdPポリシーの提供（DiscoFeed）
学認申請システム

IdPポリシーの集約
IdP運用者 IdP運用者
11 (1)利用可能SP/IdP取捨選択
DSで表示されるIdPリストを制御

 IdP/SPメタデータに情報付与
(2)属性情報対応
 利用者による送信属性制御

 IdP送信属性フィルタ自動生成(3)mdui対応
 ログイン画面でのSP視覚化
 IdPの地理的分類
 選択IdP候補提示

12 IdPの運用では，Shibbolethのattribute-filter.xmlのメンテナンスが必要


SPが増えるごとに，SPが要求する属性をattribute-filterに手作業で追加していく必要ありなんとかメンテナンス性を向上できないか？

まずは，SPが要求する属性情報を電子的に取得する必要あり13

 大学は，なるべく個人情報は送りたくない

しかし個人情報を送らないと一部機能が使えない場合がある e.g. パーソナライズ機能

eduPersonTargetedID / eduPersonPrincipalName
アカウント作成時の自動フィル（氏名，メールアドレス，機関名等）

 大学（IdP管理者）が「送らない」を選択すると，機能を使いたい利用者が不満を持つし，「送る」を選択すると，その機能が不要な利用者が不満を持つ
任意属性については利用者が送信可否を選択できるべき14

<EntityDescriptor …>…
<AttributeConsumingService index="1"
isDefault="true">…
<RequestedAttribute
FriendlyName="eduPersonPrincipalName"
Name="urn:oid:1.3.6.1.4.1.5923.1.1.1.6"
NameFormat="urn:oasis:names:tc:SAML:2.0:at
trname-format:uri" isRequired="true“/>…

①学認申請システムにSPが要求する属性を入力生成されるSPのメタデータ②要求属性に応じた属性送信，利用者の送信可否選択
uApprove.jpプラグインによる選択画面
15

IdPプラグインであるuApprove.jpと連携することにより，送信が任意な属性を送信するかどうかを利用者が決めることができるようになる

メタデータ
学認申請システム
更新

要求属性情報
入力
SPIdP

属性送信
uApprove.jp

送信する
属性の提示

属性送信同意，任意属性選択

利用者
16

cf. https://www.gakunin.jp/docs/fed/uapprove-jp



例 https://office.gakunin.nii.ac.jp/ProdFed/export/attribute_filter/PI0001JP17 (1)利用可能SP/IdP取捨選択
DSで表示されるIdPリストを制御

 IdP/SPメタデータに情報付与
(2)属性情報対応
 利用者による送信属性制御

 IdP送信属性フィルタ自動生成(3)mdui対応
 ログイン画面でのSP視覚化
 IdPの地理的分類
 選択IdP候補提示18 mduiとは？
SAML V2.0 Metadata Extensions for Login andDiscovery User Interface Version 1.0
https://www.oasis-open.org/committees/download.php/40270/sstcsaml-metadata-ui-v1.0-wd06.pdf

所属機関のIdPが簡単に探せるなどの情報を提供するためのSAMLメタ
データの拡張要素

19

 User Interface Information (UIInfo)<mdui:DisplayName> DSでの表示名に利用<mdui:Description>
 新しいShibbolethではログイン画面でSPのサービス内容を表示<mdui:Keywords>
 IdPの場合はDSの地域分類に用いる地域名（北海道，東北，…）<mdui:Logo> 新しいShibbolethではログイン画面でSPのロゴを表示

<mdui:PrivacyStatementURL> 新しいShibbolethではログイン画面でSPのポリシーURLを表示

20

サービス名ロゴ

サービス内容詳細URL
21

<EntityDescriptor …>…
<Extensions><mdui:UIInfo
xmlns:mdui="urn:oasis:names:tc:
SAML:metadata:ui"><mdui:Keywords xml:lang="en">category:location:hokkaido</mdui:Keywords></mdui:UIInfo></Extensions>…

①学認申請システムにて地域を入力②生成されるIdPのメタデータ③DSに分類として反映される※ 初期値は運用責任者の住所から自動推定されます22

 Discovery Hinting Information (DiscoHints)
<mdui:IPHint>
 登録されたIPアドレス範囲内からのアクセスならばDSで優先表示

<mdui:DomainHint>
 登録されたドメインからのアクセスならばDSで優先表示

<mdui:GeolocationHint>
 登録された緯度経度情報の近くからのアクセスならばDSで優先表示（今年度中に実装予定）23

①学認申請システムにて条件入力<EntityDescriptor …>…
<Extensions><mdui:DiscoHints xmlns:mdui="urn:oasis:names:tc:SAML:metadata:ui"><mdui:IPHint>136.187.0.0/16</mdui:IPHint><mdui:IPHint>157.1.0.0/16</mdui:IPHint></mdui:DiscoHints></Extensions>…

②生成されるIdPのメタデータ③条件にマッチすればヒントとしてIdPリストの最上部に当該IdPを表示

24(1)利用可能SP/IdP取捨選択
DSで表示されるIdPリストを制御

メタデータ
 (2)属性情報対応
利用者による送信属性制御
 IdP送信属性フィルタ自動生成(3)mdui対応

ログイン画面でのSP視覚化
 IdPの地理的分類
 選択IdP候補提示


他にも，申請関係の新機能運用責任者による電子的な確認機能（申請書の押印・郵送不要）
 複数担当者への対応
 OpenIdP対応
 IdPアンケート機能
25
学認申請システムが各種情報を仲介し、より良い環境を提供します 学認ホームページ – 参加について

https://www.gakunin.jp/docs/fed/join
 学認申請システムのURL，操作マニュアル等

 学認への参加に関するお問い合わせ

26

gakunin-office@nii.ac.jp