「学認技術運用基準」新旧対照表(v2.4 : v2.5)

ｖ2.4

v2.52.3) Shibboleth

2.3) Shibboleth

Shibboleth は、Shibboleth

Shibboleth は、Shibboleth

Consortium(http://shibboleth.net)が開発、Consortium(http://shibboleth.net)が開発、提供する SAML をベースとするソフトウェ

提供する SAML をベースとするソフトウェ

アである。

アである。

・Shibboleth 2・Shibboleth Identity Provider 3（https://wiki.shibboleth.net/confluence/dis（https://wiki.shibboleth.net/confluence/dis

play/SHIB2/Home）およびそれ以降

play/IDP30/Home）、Shibboleth Service- IdP は 3.3.0 以上、SP は 2.6.0 以上を推Provider 3

奨.

（https://wiki.shibboleth.net/confluence/dis

ただし、海外 SP 等のサービスを利用するplay/SP3/Home）およびそれ以降ことを目的として、SAML1 プロトコルお- IdP は 3.4.0 以上、SP は 3.0.0 以上を推よび奨.

Shibboleth1.3 プ ロ ト コル を 利 用し て も よ

ただし、海外 SP 等のサービスを利用するい。

ことを目的として、SAML1 プロトコルお備考

変更

変更

よび
Shibboleth1.3 プロトコルを利用してもよい。
3.2 ) 属性情報の信頼性

3.2) 属性情報の信頼性

IdP は、自機関に所属する利用者の属性をIdP は、自機関もしくは機関の設置した組織保証すべきである。また、自機関に所属し(以下、「機関の組織」という。)としての参加ない利用者の属性を保証すべきではない。の場合は当該組織（以下あわせて、「自機関・例えば、A 大学の IdP が B 大学の学生の組織」という。
）に所属する利用者の属性を保属性を保証すべきではない。ただし、自機証すべきである。また、自機関・組織に所属関に所属しない利用者を自機関が管理するしない利用者の属性を保証すべきではない。

場合、SP に対する不正なアクセスが発生し例えば、A 大学の IdP が B 大学の学生のないよう特に属性管理に注意することで、属性を保証すべきではない。ただし、自機関・ 追加

そのような利用者の属性を保証してもよ

組織に所属しない利用者を自機関・組織が管い。

理する場合、SP に対する不正なアクセスが発生しないよう特に属性管理に注意することで、そのような利用者の属性を保証してもよい。

3.5) スコープ3.5) スコープ

スコープは、原則として entityID に記載しスコープは、原則として entityID に記載しているドメインがサブドメインであるようているドメインがサブドメインであるようなドメイン名、もしくは entityID に記載しなドメイン名、もしくは entityID に記載し追加

追加

ているドメイン名と一致するものでなけれているドメイン名と一致するものでなければならない。また、このドメイン名は原則ばならない。また、このドメイン名は原則として自機関が所有するものでなければなとして自機関・組織が所有するものでなけらない。ただし、entityID に記載しているればならない。ただし、entityID に記載しドメインが自機関の所有するものでない場ているドメインが自機関・組織の所有する追加

合は、スコープは自機関が所有するドメイものでない場合は、スコープは自機関・組

追加

ン名、もしくはそのサブドメイン名を用い織が所有するドメイン名、もしくはそのサるものとする。

ブドメイン名を用いるものとする。機関の追加

追加

組織の場合は当該組織を包含する機関が所有するドメインのサブドメイン名を利用してもよい。
以下に許可されるスコープの例を示す。

追加

例１）機関としての申請の場合
自機関保有のドメイン：example.ac.jp
entityIDのホスト部：idp.example.ac.jp
スコープ：example.ac.jp またはidp.example.ac.jp例２）機関の組織としての申請の場合
例１の機関の設置した組織保有のドメイン：
example-b.org
entityIDのホスト部：idp.example-b.org
スコープ：example-b.org またはidp.example-b.org（組織のドメインを使用）
sub1.example.ac.jp

または

sub2.example.ac.jp 等（機関のドメインを使用）
4.3) エンティティメタデータの提出

4.3) エンティティメタデータの提出

学認に参加する全ての機関は、各エンティ学認に参加する全ての機関および機関の組

ティのエンティティメタデータを委員会に織(以下あわせて、「参加機関・組織」とい提出しなければならない。

う。)は、各エンティティのエンティティメ追加

タデータを委員会に提出しなければならない。
4.4) エンティティメタデータの内容

4.4) エンティティメタデータの内容

学認の各参加機関は、自身のサーバを証明

学認の各参加機関・組織は、自身のサーバするためのサーバ証明書やメタデータに関を証明するためのサーバ証明書やメタデー
2 / 11追加

し、証明書更新やメタデータ記載内容に変タに関し、証明書更新やメタデータ記載内更があった場合は、速やかに変更した最新容に変更があった場合は、速やかに変更し版のメタデータを委員会に提出しなければた最新版のメタデータを委員会に提出しなならない。

ければならない。

また、メタデータの<ContactPerson>要素

また、メタデータの<ContactPerson>要素のように、個人情報の入力が必要になる箇のように、個人情報の入力が必要になる箇所については、例えば、E-Mail アドレスに所については、例えば、E-Mail アドレスには担当グループアドレスを記載する等、可は担当グループアドレスを記載する等、可能な限り個人が特定できる情報を表示しな能な限り個人が特定できる情報を表示しないことが推奨される。

いことが推奨される。

なお、委員会に提出されたエンティティメ

なお、委員会に提出されたエンティティメ

タデータは、これに記載される個人情報をタデータは、これに記載される個人情報を含めて Web（リポジトリ）で公開すること含めて Web（リポジトリ）で公開することとしている。そのため、運用責任者はエンとしている。そのため、運用責任者はエンティティメタデータ提出時、あるいは、申ティティメタデータ提出時、あるいは、申請時にエンティティメタデータに記載され請時にエンティティメタデータに記載された情報の公開を了承したものとみなす。

た情報の公開を了承したものとみなす。

委員会では、各機関から提出されたエンテ委員会では、各参加機関・組織から提出さィティメタデータを下記の目的のみに利用れたエンティティメタデータを下記の目的するものとする。

のみに利用するものとする。

・エンティティメタデータ記載事項の検証

・エンティティメタデータ記載事項の検証

・学認の運用、管理、運営・学認の運用、管理、運営・フェデレーションメタデータへの追加、・フェデレーションメタデータへの追加、更新

更新

・学認各参加機関へのフェデレーションメ

・学認各参加機関・組織へのフェデレーシ

タデータの配布、Web（リポジトリ）上でョンメタデータの配布、Web（リポジトの公開リ）上での公開

・Discovery Service（以下「DS」とい・Discovery Service（以下「DS」という。
）、IdP、および、SP への登録

う。
）
、IdP、および、SP への登録4.5) エンティティメタデータの entityID

4.5) エンティティメタデータの entityID

学認の各参加機関は、提出するエンティテ

学認の各参加機関・組織は、提出するエンィメタデータにおいて、<EntityDescriptor>

ティティメタデータにおいて、の<EntityDescriptor>のentityID 属性として、IdP または SP を一entityID 属性として、IdP または SP を一意に決定する識別子を記載しなければなら意に決定する識別子を記載しなければならない。

ない。

entityID の値は、https スキームを用いたentityID の値は、https スキームを用いたURL 形式が推奨される。

URL 形式が推奨される。

URL 形式の entityID のホスト部はドメイ

URL 形式の entityID のホスト部はドメイ
3 / 11

変更

追加

追加

ン名（FQDN）でなければならない。このン名（FQDN）でなければならない。この

ドメイン名は当該参加機関の所有するドメドメイン名は当該参加機関・組織もしくはイン配下のものであることが推奨される機関の組織の場合は組織を包含する機関のが、参加機関が自ら所有していないドメイ所有するドメイン配下のものであることがンのものであっても、所有者から承認を得推奨されるが、参加機関・組織もしくは機ている場合や、その他委員会が適当と認め関の組織の場合は組織を包含する機関が自た場合は、当該ドメイン名を利用してもよら所有していないドメインのものであってい。

も、所有者から承認を得ている場合や、そ追加

追加の他委員会が適当と認めた場合は、当該ドメイン名を利用してもよい。
4.6) エンティティメタデータの証明書

4.6) エンティティメタデータの証明書

エンティティメタデータに記載する証明書

エンティティメタデータに記載する証明書

は 7.4)の要件を満たさなければならない。

は 7.4)の要件を満たさなければならない。

学認の各参加機関は、7.4)に該当する証明書

学認の各参加機関・組織は、7.4)に該当するを更新する場合、他のエンティティに新し証明書を更新する場合、他のエンティティい証明書の情報が伝播するまで必要な期間に新しい証明書の情報が伝播するまで必要を設けて、新旧の証明書を併記することがな期間を設けて、新旧の証明書を併記する推奨される。

ことが推奨される。

また、記載する証明書に関連する秘密鍵がまた、記載する証明書に関連する秘密鍵が危殆化した場合は、遅滞なく当該証明書を危殆化した場合は、遅滞なく当該証明書を削除しなければならない。

削除しなければならない。

4.7) エンティティメタデータの4.7) エンティティメタデータの<Organization>要素<Organization>要素

IdP は、提出するエンティティメタデータ

IdP は、提出するエンティティメタデータにおいて、<Organization>要素に下記を記において、<Organization>要素に下記を記載すべきである。

載すべきである。

SP は、提出するエンティティメタデータに

SP は、提出するエンティティメタデータにおいて、<Organization>要素に下記の内おいて、<Organization>要素に下記の内<OrganizationName xml:lang=”en”>を記載<OrganizationName xml:lang=”en”>を記載すべきである。さらに、その他の要素を記すべきである。さらに、その他の要素を記載してもよい。

載してもよい。

・<OrganizationName xml:lang=”en”>：機・<OrganizationName xml:lang=”en”>：機関の英語正式名称

関の英語正式名称

特に、IdP の場合は、IdP を運用する機関

特に、IdP の場合は、IdP を運用する機関の名称と一致しなければならない。の名称と一致しなければならない。なお、・<OrganizationName xml:lang=”ja”>：機IdP、SP ともに、機関の組織としての参加

関の日本語正式名称の場合は組織を包含する機関の名称とす

特に、IdP の場合は、IdP を運用する機関る。の名称と一致しなければならない。

・<OrganizationName xml:lang=”ja”>：機
4 / 11

追加

追加

・<OrganizationDisplayName

関の日本語正式名称

xml:lang=”en”>：エンティティの英語正式

特に、IdP の場合は、IdP を運用する機関名称の名称と一致しなければならない。なお、

特に、IdP の場合は、DS に表示する文字

IdP、SP ともに、機関の組織としての参加列とし、原則として機関の英語名称とすの場合は組織を包含する機関の名称とする。IdP が１機関内で複数存在する場合る。

は、これらを区別できるようにすべきであ・<OrganizationDisplayNameる。

xml:lang=”en”>：エンティティの英語正式・<OrganizationDisplayName

名称

xml:lang=”ja”>：エンティティの日本語正式

特に、IdP の場合は、DS に表示する文字名称列とし、原則として機関の英語名称とす

特に、IdP の場合は、DS に表示する文字る。ただし、実施要領第５条第四号に基づ列とし、原則として機関の日本語名称とすく参加組織は、参加組織またはかかるプロる。IdP が１機関内で複数存在する場合ジェクトの英語名称とする。IdP が１機関は、これらを区別できるようにすべきであ内で複数存在する場合は、これらを区別でる。

きるようにすべきである。

追加

追加・<OrganizationDisplayName
なお、失効した証明書は使用すべきではない。また、証明書は 3 年を目処に定期的に更新すべきである。

xml:lang=”ja”>：エンティティの日本語正式
名称
特に、IdP の場合は、DS に表示する文字列とし、原則として機関の日本語名称とする。ただし、実施要領第５条第四号に基追加

づく参加組織は、参加組織またはかかるプロジェクトの日本語名称とする。IdP が１機関内で複数存在する場合は、これらを区別できるようにすべきである。
4.9) フェデレーションメタデータの作成と4.9) フェデレーションメタデータの作成と公開

公開委員会は、提出された全てのエンティティ委員会は、提出された全てのエンティティメタデータについて検証を行い、さらに、メタデータについて検証を行い、さらに、フェデレーションメタデータに追加、検フェデレーションメタデータに追加、検証、署名を行い、最新のフェデレーション証、署名を行い、最新のフェデレーションメタデータを作成しなければならない。

メタデータを作成しなければならない。

また、これを各参加機関に公開しなければまた、これを各参加機関・組織に公開しなならない。

ければならない。

フェデレーションメタデータの有効期間はフェデレーションメタデータの有効期間は１４日間とし、これをフェデレーションメ１４日間とし、これをフェデレーションメ

タデータ内に、<EntitiesDescriptor>要素のタデータ内に、<EntitiesDescriptor>要素のvalidUntil 属性で記載しなければならない。

validUntil 属性で記載しなければならない。
5 / 11

追加

また、委員会は有効期間内にフェデレーシ

また、委員会は有効期間内にフェデレーシ

ョンメタデータを更新しなければならなョンメタデータを更新しなければならない。フェデレーションメタデータのグルーい。フェデレーションメタデータのグルー

プ名（＝<EntitiesDescriptor>要素の Name

プ名（＝<EntitiesDescriptor>要素の Name属性）と、公開 URL は下記とする。

属性）と、公開 URL は下記とする。

Name=”GakuNin”

Name=”GakuNin”

公開 URL＝

公開 URL＝“https://metadata.gakunin.nii.ac.jp/gakunin“https://metadata.gakunin.nii.ac.jp/gakunin--metadata.xml“

metadata.xml“

委員会は、学認利用の一時休止を届け出た

委員会は、学認利用の一時休止を届け出た参加機関があった場合、もしくは、学認へ参加機関・組織があった場合、もしくは、追加の参加を一時停止する機関があった場合、学認への参加を一時停止する参加機関・組

追加

当該参加機関のエンティティメタデータを織があった場合、当該参加機関・組織のエ追加

一時的にフェデレーションメタデータからンティティメタデータを一時的にフェデレ除外するものとする。

ーションメタデータから除外するものとす

また、公開 URL の末尾にクエリ部る。

"?generation=N"（N は任意の桁数の数字）

また、公開 URL の末尾にクエリ部を付与した"?generation=N"（N は任意の桁数の数字）

URL を用いてもよい。委員会は、クエリ部を付与した付きのアクセスに対して、異なる署名用証

URL を用いてもよい。委員会は、クエリ部

明書もしくは暗号アルゴリズム等を用いた付きのアクセスに対して、異なる署名用証メタデータを提供することができる。

明書もしくは暗号アルゴリズム等を用いたメタデータを提供することができる。

4.10) フェデレーションメタデータの取得と4.10) フェデレーションメタデータの取得と設定

設定

各参加機関は、4.9)で学認から公開されるフ

各参加機関・組織は、4.9)で学認から公開さェデレーションメタデータを取得して、エれるフェデレーションメタデータを取得しンティティに設定すべきである。て、エンティティに設定すべきである。

4.11) フェデレーションメタデータの更新

4.11) フェデレーションメタデータの更新

古いフェデレーションメタデータを利用し古いフェデレーションメタデータを利用したエンティティでは、他のサイトとの連携たエンティティでは、他のサイトとの連携ができなくなるだけではなく、そのエンテができなくなるだけではなく、そのエンティティのセキュリティレベルの低下につなィティのセキュリティレベルの低下につながる可能性がある。そのため、各参加機関がる可能性がある。そのため、各参加機はフェデレーションメタデータの定期的な関・組織はフェデレーションメタデータの更新を行うことが強く推奨される。この頻定期的な更新を行うことが強く推奨され度は１回／日程度とする。また、この更新る。この頻度は１回／日程度とする。ま

頻度を長く設定している場合においては、た、この更新頻度を長く設定している場合

少なくともフェデレーションメタデータのにおいては、少なくともフェデレーション6 / 11

追加

追加

validUntil 属性で記述された有効期限より前

メタデータの validUntil 属性で記述されたに更新を行うことが強く推奨される。

有効期限より前に更新を行うことが強く推奨される。

4.12) フェデレーションメタデータ署名の検4.12) フェデレーションメタデータ署名の検証

証

各参加機関は 7.1)に規定される署名用の証

各参加機関・組織は 7.1)に規定される署名明書にて、フェデレーションメタデータの用の証明書にて、フェデレーションメタデ署名を検証することが強く推奨される。

ータの署名を検証することが強く推奨され特に 7.3)に定める署名用証明書移行期間にる。

おいては、7.3)に示す Web サイトに記載さ特に 7.3)に定める署名用証明書移行期間にれた署名用証明書とメタデータ公開 URL

おいては、7.3)に示す Web サイトに記載さの対応関係を参照し、これに従った適切なれた署名用証明書とメタデータ公開 URL

署名用証明書および URL を用いること。の対応関係を参照し、これに従った適切な追加署名用証明書および URL を用いること。
6. フェデレーション構築、運用サポート

6. フェデレーション構築、運用サポート

学認に参加する各エンティティは、各々の学認に参加する各エンティティは、各々の判断において本基準で規定するプロトコル判断において本基準で規定するプロトコルをサポートするソフトウェア製品を選択しをサポートするソフトウェア製品を選択して利用することが可能である。て利用することが可能である。

学認では、参加する各機関の IdP、SP 構築

学認では、各参加機関・組織の IdP、SP 構に際して、必要に応じて技術サポートを実築に際して、必要に応じて技術サポートを施するが、原則として、商用製品に対する実施するが、原則として、商用製品に対すサポートは実施しないものとする。

るサポートは実施しないものとする。

7.1) フェデレーションメタデータ署名用の7.1) フェデレーションメタデータ署名用の証明書

証明書

委員会は、公開、配布するフェデレーショ

委員会は、公開、配布するフェデレーショ

ンメタデータに対して XML 署名を行うもンメタデータに対して XML 署名を行うものとする。のとする。

なお、この署名に使用する証明書は、学認

なお、この署名に使用する証明書は、学認が管理、運用する自己署名証明書を使用すが管理、運用する自己署名証明書を使用するものとする。また、署名に使用する証明るものとする。また、署名に使用する証明書については、各機関がフェデレーション書については、各参加機関・組織がフェデメタデータの署名を検証する目的のため、レーションメタデータの署名を検証する目

学認から各エンティティに安全に配布すべ的のため、学認から各エンティティに安全きである。ただし、この証明書を直接配布に配布すべきである。ただし、この証明書せずに Web（リポジトリ）上で公開してもを直接配布せずに Web（リポジトリ）上でよい。

公開してもよい。

フェデレーションメタデータ署名用の証明

フェデレーションメタデータ署名用の証明書の公開 URL は下記とする。

書の公開 URL は下記とする。
7 / 11

追加

追加

公開 URL

公開 URL＝”https://metadata.gakunin.nii.ac.jp/gakun＝”https://metadata.gakunin.nii.ac.jp/gakun

in-signer-2017.cer”

in-signer-2017.cer”

ただし、7.3)に定める更新された署名用証明

ただし、7.3)に定める更新された署名用証明書の提供のために上記公開 URL の数字部書の提供のために上記公開 URL の数字部分を変更してもよい。

分を変更してもよい。

7.4) 信頼する証明書

7.4) 信頼する証明書

各エンティティが XML 署名や XML 暗号

各エンティティが XML 署名や XML 暗号

化、TLS 相互認証を行うための証明書は、化、TLS 相互認証を行うための証明書は、その信頼性を担保するために、以下に掲げその信頼性を担保するために、以下に掲げる条件を満たさなければならない。なお、る条件を満たさなければならない。なお、

ここで「エンティティにマッチする」とここで「エンティティにマッチする」とは、当該エンティティのメタデータに含まは、当該エンティティのメタデータに含まれる entityID 、れる entityID 、<SingleSignOnService>、<SingleSignOnService>、<AssertionConsumerService>に示されるエ<AssertionConsumerService>に示されるエンドポイントのいずれかのドメイン名が、ンドポイントのいずれかのドメイン名が、当該証明書において RFC 6125 に規定され当該証明書において RFC 6125 に規定された検証をパスすることをいう。ただし、IdPた検証をパスすることをいう。ただし、IdPにおいては上記いずれも自機関・組織もしにおいては上記いずれも自機関が所有する

くは機関の組織の場合は組織を包含する機ドメインでない場合は、 3.5)に定めるスコ

関が所有するドメインでない場合は、 3.5)

ープと一致するドメイン名もしくは当該ドに定めるスコープと一致するドメイン名もメイン配下の任意のドメイン名が上記検証

しくは当該ドメイン配下の任意のドメインをパスする場合も「エンティティにマッチ名が上記検証をパスする場合も「エンティする」とみなし、同条件ではこのような証ティにマッチする」とみなし、同条件では明書を用いることが推奨される。ただしここのような証明書を用いることが推奨されの場合、証明書の更新では原則として同一る。ただしこの場合、証明書の更新では原のドメイン名を用いるものとする。

則として同一のドメイン名を用いるものと追加する。
8.1) 利用者 ID の管理

8.1) 利用者 ID の管理

全ての利用者情報は、当該の機関が発行・全ての利用者情報は、自機関・組織が発管理している、有効なアカウントの情報で行・管理している、有効なアカウントの情なければならない。

報でなければならない。

また、各エンティティにおいて、利用者 ID

また、各エンティティにおいて、利用者 IDの有効期間が終了した場合、あるいは、利の有効期間が終了した場合、あるいは、利用者から利用意思の撤回があった場合に用者から利用意思の撤回があった場合には、遅滞なくその利用者 ID の利用を停止

は、遅滞なくその利用者 ID の利用を停止しなければならない。

しなければならない。

8.8) 参加機関の責任

8.8) 参加機関・組織の責任
8 / 11

変更追加

学認に参加する各参加機関は、相互に協力

学認の各参加機関・組織は、相互に協力しして認証連携を実現するものとする。そのて認証連携を実現するものとする。そのたため、各参加機関では自らが送信する情報め、各参加機関・組織は自らが送信する情の信頼性や正確性について努力義務を負う

報の信頼性や正確性について努力義務を負ものとする。ただし、その限りにおいて、うものとする。ただし、その限りにおい故意または重大な過失によるものを除き、て、故意または重大な過失によるものを除送信した情報の信頼性や正確性に不備があき、送信した情報の信頼性や正確性に不備ったことにより生じた損害について責任をがあったことにより生じた損害について責負わないものとする。

任を負わないものとする。

なおこの規定は、参加機関の間で送受する

なおこの規定は、参加機関・組織の間で送情報の信頼性や正確性についての責任に関受する情報の信頼性や正確性についての責し別途の取りきめをすることを妨げるもの

任に関し別途の取りきめをすることを妨げではない。

るものではない。

8.9) バージョンチェックの承諾

8.9) バージョンチェックの承諾

委員会は、実施要領第 17 条に基づきセキュ委員会は、実施要領第 17 条に基づきセキュリティ向上を目的として使用ソフトウェアリティ向上を目的として使用ソフトウェアのバージョン確認（パッチ適用の有無確認のバージョン確認（パッチ適用の有無確認を含む）のため事前に通知の上各エンティを含む）のため事前に通知の上各エンティティに対してアクセスすることができる。

ティに対してアクセスすることができる。

各参加機関は当該アクセスについて予め承各参加機関・組織は当該アクセスについて諾するものとする。

予め承諾するものとする。

9.2) 属性表示サービス

9.2) 属性表示サービス

SAML2 プロトコル、および、SAML1 プロ

SAML2 プロトコル、および、SAML1 プロ

トコルによる接続試験のため、それぞれのトコルによる接続試験のため、それぞれのプロトコルで送信可能な全ての属性を表示

プロトコルで送信可能な全ての属性を表示するサービスであり、各参加機関が利用可するサービスであり、各参加機関・組織が能とする。

利用可能とする。

Attrviewer20：

Attrviewer20：

エンティティ ID

エンティティ ID＝”https://attrviewer20.gakunin.nii.ac.jp/shi＝”https://attrviewer20.gakunin.nii.ac.jp/shi

bboleth-sp”

bboleth-sp”

プロトコル＝プロトコル＝SAML2

SAML2

Attrviewer13：

Attrviewer13：

エンティティ ID

エンティティ ID＝”https://attrviewer13.gakunin.nii.ac.jp/shi＝”https://attrviewer13.gakunin.nii.ac.jp/shi

bboleth-sp”

bboleth-sp”

プロトコル＝SAML1

プロトコル＝SAML1
9.3) 属性プロバイダ(mAP)9.3) 属性プロバイダ(mAP)
9 / 11

変更
追加

追加

追加

追加

変更

利用者 ID(eduPersonPrincipalName)を伴っ利用者 ID(eduPersonPrincipalName)を伴った要求に対して、当該 ID に関する所属グた要求に対して、当該 ID に関する所属グループ情報(isMemberOf)等の属性を提供すループ情報(isMemberOf)等の属性を提供するサービスであり、各参加機関が利用可能るサービスであり、各参加機関・組織が利とする。

用可能とする。

mAP:

mAP:

エンティティ ID＝

エンティティ ID

https://cg.gakunin.jp/idp/shibboleth＝”https://cg.gakunin.jp/idp/shibboleth”

プロトコル=SAML 2.0 Attribute Query のプロトコル=SAML 2.0 Attribute Query の他、別途定める独自プロトコル

他、別途定める独自プロトコル

また、利用者がグループの作成・管理を行

また、利用者がグループの作成・管理を行

うための以下の SP を提供する。

うための以下の SP を提供する。

mAP(SP):mAP(SP):

エンティティ ID

エンティティ ID＝”https://cg.gakunin.jp/shibboleth-sp”＝”https://cg.gakunin.jp/shibboleth-sp”

プロトコル = SAML2

プロトコル = SAML2

別紙 1. 学認 属性情報仕様一覧

別紙 1. 学認 属性情報仕様一覧

5. eduPersonPrincipalName

5. eduPersonPrincipalName

説明等

説明等

フェデレーション内で一意な、かつ、永続フェデレーション内で一意な、かつ、永続的な利用者識別子。
「機関内で一意な利用者的な利用者識別子。
「スコープ内で一意な利識別子」とスコープを合わせることで、フ用者識別子」とスコープを合わせることェデレー ション内での一意性を保証しま

で、フェデレー ション内での一意性を保証す。IdP は、フェデレーションに参加しこします。IdP は、フェデレーションに参加の属性を送信するよう設定した全ての SP

しこの属性を送信するよう設定した全てのに対して、同一の ID であれば同じ値を送SP に対して、同一の ID であれば同じ値信します。

を送信します。

なお、属性値のローカルパート部に「@」をなお、属性値のローカルパート部に「@」を含めることはできません。

含めることはできません。また、特に同一設定例：t-ninsyo2009@b-univ.ac.jpのスコープを複数の IdP で用いている場合は別人に同じ識別子が割り当てられないようにするべきである。
設定例：t-ninsyo2009@b-univ.ac.jp

別紙 1. 学認 属性情報仕様一覧

別紙 1. 学認 属性情報仕様一覧

10. surname

10. surname

説明等

説明等
10 / 11

追加

修正

変更

追加

設定例：

設定例：

Ninsh

NinshooYamada

修正Yamada
別紙 1. 学認 属性情報仕様一覧

別紙 1. 学認 属性情報仕様一覧

12. givenName

12. givenName

説明等

説明等

設定例：

設定例：

TarTarooJiro

修正

Jiro
別紙 1. 学認 属性情報仕様一覧

別紙 1. 学認 属性情報仕様一覧

14. displayName

14. displayName

説明等

説明等

主に、アプリケーション上で表示される英主に、アプリケーション上で表示される英字氏名（表示名）として利用することが可

字氏名（表示名）として利用することが可

能です。

能です。

設定例：

設定例：

NinshoNinsho Taro

Taro

Yamada Jiro

YamadaJiro

11 / 11

修正