茨城大学の導入事例
茨城大学 IT基盤センター
野口 宏

茨城大学
• 場所
– 関東の北東– 福島第一原子力発電まで約120km– 国会議事堂まで約70km

日立キャンパス30km• 3大キャンパス

– 日立: 工, IT基盤センター– 水戸: 人文, 教育, 理, 事務局– 阿見: 農水戸キャンパス50km• 構成– 教職員: 約1,000名– 学生: 約9,000名
2016/10/17

阿見キャンパス

学認CAMP@名古屋大学

2ID管理• 1990年代

日立キャンパス– 3キャンパスにUNIXサーバ: 独自ID
30km
– 一部学科: NIS• 1997年3月

水戸キャンパス– 認証基盤: ActiveDirectory (3キャンパスに配置)
50km• 停電対策等– 教職員用電子メールサーバ(UNIX)• 3キャンパスのUNIXサーバ並行運用⇨ 苦情は多くなかった

2016/10/17

学認CAMP@名古屋大学

阿見キャンパス3学認参加への第0.5歩• 各種イベントで情報収集

日立キャンパス– NII
30km– 認証統合シンポジウム@佐賀大学

水戸キャンパス50km• 他大学との比較◎ ID統合△ LDAPでなくAD
阿見キャンパス× 他との連携 (ADのLDAP機能: ID/PWのみ)
2016/10/17

学認CAMP@名古屋大学

4東関東大震災: 2011/03/11
国立大学内では1番の被害(?)
日立キャンパス• 震度– 日立: 6強
– 水戸: 6弱
– 阿見: 6弱

• 停電
– 日立: 3日
– 水戸: 2日
– 阿見: 2日
2016/10/17• 建物入館 30km

– 日立: 1週間
電源復旧:水戸キャンパス
数週間
単独入館:50km 1ヶ月– 水戸: 1週間
– 阿見: 数日
– IT基盤センターのみ
阿見キャンパス
• 3日後に復電(特命入館)• Web, 電子メールの復活

学認CAMP@名古屋大学

5学認参加への第1歩• 情報処理技術セミナー (2011/08)– 構築環境の提供• 設定方法• 動作状況を体験

日立キャンパス

30km
水戸キャンパス• テストフェデレーション (2011/09)
50km– 認証基盤とは独立のLDAP
阿見キャンパス

2016/10/17

学認CAMP@名古屋大学

6学認参加への逆風• 意識変化
– クラウド: 反対 ⇨ 賛成
– 考え方: 保守 ⇨ 柔軟

日立キャンパス

30km
水戸キャンパス

• BCP

50km

– 震災にも耐えられるシステムへの移行– 「3つのキャンパスが同時に壊滅することはない」@本学の地震研究者
阿見キャンパス– 情報発信(Web): コンテナ型データセンター– 電子メール: Office365 移行急務
2016/10/17

学認CAMP@名古屋大学

7

Office365
Multi Factor
Authentication Service• 2013/03: 導入

日立キャンパス

– 教室PCとADFSでシングルサインオン 30km
Office365
sign-in• 2013/04: 試験運用
ADFS
水戸キャンパス
Proxy• 2013/秋: 多要素認証試行
50km
ADFS 2.0• 2014/04: 学生移行 (移行期間2年)– 教職員の移行は慎重に検討
Win.7

2016/10/17

学認CAMP@名古屋大学

ADWindows 阿見キャンパス
Logon
8学認参加への第2歩
Multi Factor
Authentication
Service

日立キャンパス
Directory
Sync
ADFS
Proxy

水戸キャンパス

50km

ADFS 2.0

認証Win.7

2016/10/17

WindowsLogon
学認CAMP@名古屋大学

30km

Shibboleth
IdP v2(uApprove)

阿見キャンパス

AD

LDAP

同期(手動)
9物理配置
日立キャンパス
阿見キャンパスAD

2016/10/17

日立キャンパス

30km

ADFS
Proxy

NLB

ADFS

NLB

AD

ADFS
Proxy
ADFS

AD

学認CAMP@名古屋大学

水戸キャンパス

水戸キャンパス50km
Shibboleth
IdP

阿見キャンパスLDAP

10学認参加への更なる逆風• 意識変化

日立キャンパス– 考え方: 保守 ⇨ 柔軟

• 教職員もOffice365に! (2015/春)

30km
水戸キャンパス– システム更新時(2016/03)に 50km
電子メールサーバ削減!
– ユーザの立場: 移行期間として年単位必要
阿見キャンパス⇨ 旧アドレスを受信可とし半日で移行2016/10/17

学認CAMP@名古屋大学

11学認参加 (第1世代)• 運用フェデレーション (2015/11)– ADとLDAPの同期: 手動– SPの設定– 学内SP

日立キャンパス

30km
水戸キャンパス• ALC NetAcademy250km• 研究者情報データベース (SaaS)
阿見キャンパス

2016/10/17

学認CAMP@名古屋大学

12学認参加 (第2世代)• Shibboleth IdP v3化 (2016/03)– ADとLDAPの同期: 自動Multi Factor
Authentication
Service

30km
Azure AD
Connect
ADFS
Proxy

認証

2016/10/17

Windows
Logon

AD

学認CAMP@名古屋大学

水戸キャンパス

50km

ADFS 3.0

Win.10日立キャンパス

Shibboleth
IdP v3
阿見キャンパス
LDAPManager
LDAP
13物理配置
Load Balancer

DataCenter

日立キャンパス
阿見キャンパスAD

2016/10/17

日立キャンパス

30km

ADFS
ProxyADFSProxy

ADFS

ADFS
3.0

AD

LDAP

学認CAMP@名古屋大学

AD

水戸キャンパス

水戸キャンパス50km
ShibbolethIdP v3
LDAP
阿見キャンパス
ManagerLDAP

14学認へ道のり
1997年 3月

認証基盤導入 (IDの統合)

2011年 8月

NII情報処理技術セミナー(H23年度 第2回参加

2011年 9月

学認のテスト フェデレーションに参加

2013年 3月

Office365 の導入

2013年 4月

Office365 試験運用開始：教室PCと Office365 との SSO を実現

2013年 秋

Office365 の多要素認証の試行

2014年 4月

学生向けメール環境を Office365 に移行50km

2015年 3月

学認の運用フェデレーション用に Shibboleth IdP を新たに構築.
Office365 と Shibboleth の SSO 実現

2015年 8月

教職員向けメール環境を Office365 に移行

2015年 11月

学認の運用フェデレーション参加

2016年 3月

Shibboleth IdP v3 への移行
LDAP Manager によるアカウント管理

2016/10/17

日立キャンパス

30km

学認CAMP@名古屋大学

水戸キャンパス

阿見キャンパス15

まとめ• 情報処理技術セミナー受講から運用フェデ
日立キャンパスレーションまで長い道のり
30km• 逆風と思っても結果的に追い風に– PCログオンで学認SSO (Office365も)– 構成員の個人情報の学外提供50km

水戸キャンパス

阿見キャンパス

2016/10/17

学認CAMP@名古屋大学

16

今後の予定と課題• 予定

日立キャンパス– 学内SP• 財務会計システム (2017/04予定)• 教務システム (2018/04予定)

• 課題

30km
水戸キャンパス50km– 負荷分散とログ– 多要素認証
阿見キャンパス• 利用制御• 普及
2016/10/17

学認CAMP@名古屋大学

17

日立キャンパス

30km

ご清聴ありがとうございました

水戸キャンパス50km

阿見キャンパス

2016/10/17

学認CAMP@名古屋大学

18