総評
1

評価結果
アンケート回答機関数は 194 件です。適切な運用を行っている機関が 180 件となり、全体として良好な運用レベルです。一方、安定した運用のためには規程類の整備等が必要とみられる機関が 14 件みられました。
本調査の評価は、前年度同様、下記の基準で実施しました。
1.

運用の統制（Control）。特に規則による統制

2.

運用アイデンティティの運用管理（アカウントのライフサイクル管理）

3.

システムの構成管理（config の適切な管理）

4.

パスワード（クレデンシャル）の管理

5.

設定ファイルの管理体制について

6.

Shibboleth IdP の運用に関わるミドルウェア群のアップデート状況

7.

Shibboleth IdP version 2 系統が EOL を迎えたことによる、version3 系統へのアップグレード状況

この基準に従って、組織全体として IdP 運用のレベルが保たれているか、すべての機関の回答を個別に精査しました。学認参加機関全体として、おおむね良好な IdP 運用が行われていると判断することができます。
総じて前年度調査に続き、高い水準で IdP が運用されていたことが読み取れました。また、前年度 B 評価だった機関のうち、7 件が今回の調査で A 評価を取得しています。学認参加の各機関には、引き続きの運用をお願いいたします。

1

機関数

2

A 評価

180

B 評価

14

ガバナンス（規程の作成状況）
全学のセキュリティポリシーについては、173 件と 90％近くの大学で制定済みですが、定められていないとの回答が 20 件ありました(Q30)。なお、IdP 運用に関するセキュリティポリシーついては 72 件（38％）が定められているとの回答でした(Q31)。
多くの機関において、利用者 ID の管理体制や全学的なセキュリティポリシーが整備されています。その基盤の上になりたって IdP が適切に運用されていることが読み取れます。Q8 において、なんらかの規程が整備されているとの回答は 117 件ですが、その他 118 件の自由記述の内容を読んでいくと、規程の整備状況をより丁寧に説明したものが多く見られました。前年度調査の結果に続き、半数以上の機関で整備されていると読み取ることができます。

今年度は、前年度の「その他」の回答に多く含まれた「高専機構における学術認証フェデレーション（学認）連1携サービス運用要項に基づいている」を回答項目として設定しました。
2Q-8
1．全学情報サービスを担当する情報基盤センターの内規がある。【 URL を記入 】

4

2．IdP 運用規則，全学サービスセキュリティポリシーがある。【 URL を記入 】

3

3．IdP 運用規則，全学サービスセキュリティポリシーがあり，学内限定で公開されている。

12

4．全学サービスセキュリティポリシーが存在する。IdP はそのもとで適切に運用されている。

75

5．特にないが，運用責任者の管理の下，適切に運用されている。

45

6．規則などは特にないが，現在制定中である。

4

7．全学的にはテスト利用の扱いになっている。

10

8．「高専機構における学術認証フェデレーション（学認）連携サービス運用要項」に基づき，IdP を運用している。
9．その他

23
18Q-301. 定められている。（下部に URL を記入）

42

2. 定められているが，学内限定公開の扱いである。

131

3. 特に定められていない。

20

無回答

13

Q-31

3

1. 定められている。（以下に URL を記入）

12. 定められているが，学内限定公開の扱いである。

71

3. 特に定められていない。

120

無回答

2

テクニカルなこと

ID の運用状況（TRUSTED DB と直結しているかどうか）
利用者 ID のソースとして、93％の機関で Trusted DB もしくは部局が責任をもって運用している DB をもとにしており、適切なユーザ管理がなされていることが読み取れます(Q9)。また、「その他」との回答においても、構成員の一部から Trusted DB をもとにした ID 管理に移行しつつあることが読み取られました。
上記以外の手法での ID 管理は、今後の ID 数の増加、保持させる属性情報の増加に比例してその手間も増えていくという弱みを内包するものになります。スケーラビリティの観点から、ID 管理を Trusted DB に直結する形で行えるよう、事務フローや管理規則の整備をお勧めしたいと思います。
ゲスト/臨時アカウントについては、いくつかの機関において、前年度同様情報処理センター長の権限で発行できる体制があることが報告されました(Q10 自由記述)。記録を残す等、権限の適切な制御を併せてお願いした
いと思います。

4Q-9
1. 利用者 ID のデータベースは，Trusted DB に基づいて作成されている。

142

2. 利用者 ID のデータベースは，Trusted DB から作られたものではないが，教職員や学生を直接把握している部局事務が責任を持って運用している DB から39作られている。
4. その他

135

Q-10
1．Trusted DB に登録した上で ID を発行する

25

2．組織のアカウントを持たないユーザには ID を発行しない

53

3．情報セキュリティポリシーに基づき，利用者 ID を作成している

59

4．任意の手続きに沿って利用者 ID を発行している

40

5．その他

16

無回答

1

属性保証
属性情報については、ほとんどの機関において、Trusted DB の属性のみから計算や、他組織の属性は付与しない体制となっており、システム運用基準 3.2 は正しく守られています(Q15)。
今回も、前年度調査に引き続き、 o と eduPersonAffiliation に着目しました。両属性は、80％以上の機関で組織として保証されていますが、「保証していない」としている機関がそれぞれ 15％程度残っています。

6

Q-15
1. 利用者 ID の属性は，Trusted DB の属性のみから計算されている。

135

2. 利用者 ID の属性の一部には，Trusted DB の属性以外から生成されているものがある。

32

3. 利用者 ID の属性は全て，Trusted DB の属性から生成されていない。

7

4. その他

18

無回答

27

選択し○てください×o1

162

31

eduPersonAffiliation

116627

パスワードポリシー
ID の再利用については、ごく少数のルールが定められていない機関を除き、再利用はないとの回答でした(Q19)。ID とクレデンシャルの配付については、本人確認を行うなど、各機関とも適切な運用が確立されています(Q20 自由記述より)。
共有 ID の禁止に関しても、各機関にて、規定での禁止、セキュリティ面からの啓蒙活動や、共有しなくても業務を行えるような運用が行われていることが読み取れました(Q21 自由記述より)。
パスワードポリシーについては、94％の機関でパスワードポリシーがある、6％の機関でポリシーはないが啓蒙活動はしているとの回答でした(Q22)。

8

Q-19
1．再利用は無い

133

2．最低 24 カ月再利用は無い

33

3．ルールは定めていない

10

4．両属性の送出が必要となるサービスは利用していない

2

5．その他

15

無回答

1

9

Q-22
1. パスワードポリシーを定めている。

182

2. パスワードポリシーは定めていないが，啓蒙活動を積極的に行っている。

11

無回答

1

その他
ログの保存期間については、多くの大学が 3 か月以上保存する運用となっています。前年度は、学認技術運用基準にて推奨する 3 か月より短い保存期間を設定している機関はありませんでしたが、今年度はいくつかの機関で 3 ヶ月以下とする回答がみられました。また、「定められていない」との回答がまだ一部みられます。3 ヶ月以上の最低保存期間を定めていただきたいと思います(Q29 自由記述より)。

4

プライバシー（プライバシーに関係すること）
IdP から送信される個人情報については、2 件を除き、関係する法令に従うように運用されていいます(Q25)。

「関連する法令その他に従うようには運用されていない」と回答した 1 件は、「まだ全学での本格運用が始まっていないため」との連絡を学認事務局が受けています。適法でない運用状態が放置されているということではありません。
また、プライバシーについて具体的な規則を制定している機関は前年から微増の 60％程度(Q26)、uApprove10もしくは Shibboleth IdP Version 3 で搭載された属性リリース同意取得機能を利用していると回答した機関は125 件（約 64％）でした(Q27)。
個人情報保護については、いずれも前年とほぼ同水準を維持していました。

Q-25
1. 関連する法令その他に従うように運用されている。

192

2. 関連する法令その他に従うようには運用されていない。

1無回答

111

Q-26
1. プライバシーについての具体的な規定がある。

116

2. プライバシーについての具体的な規定はないが，利用者 ID とその属性は安全に運用されている。

70

3. プライバシーについての具体的な規定はない。

6

無回答

212

Q-27

5

1. uApprove もしくはその派生版を利用している

72

2. uApprove およびその派生版は利用していない

67

3. Shibboleth IdP Version3 の属性リリース同意取得機能を使っている

53

無回答

2

利用者 ID のクレデンシャル
利用者 ID として利用している主なクレデンシャルの種類（Q38）としては、そのほとんどがパスワードであるとの回答でした。また、少数ながら電子証明書による認証や、パスワードベースの多要素認証が導入されています。
「4.その他のクレデンシャル」との回答には補足として自由記述欄が付与されていますが、そこには一部の成員で電子証明書を用いた認証や、FeliCa などの IC カードによる認証、マトリクス認証を行っていると記述されていました。
Q44 は、クレデンシャルの安全性を実現するために実施している取り組みについて質問したものです。現状の把握を目的としたものですが、設問中のいくつかは、NIST SP800-63-3 において、非推奨とされているものがあります。無論、ここで○と回答したものが誤りであるということではなく、現在、機関で定められている規程類に該当する記述がある場合、それは守られるべきものです。注視すべきは、策定時には正しいとされていたもの13

が、取り巻く制度的、あるいは技術的状況によって変化していく可能性があるという点です。規程類は一度定めたらそれでよいものではなく、継続的なメンテナンスを行っていく必要があるものだということを、ご認識いただきたいと思います。

Q-38
1. パスワード185

3. パスワードベースの多要素認証

5

4. その他のクレデンシャル

2

無回答214

○選択してください

1．パスワードを 8 文字以上となるように推奨している。

173165

2．管理者側から利用者に，パスワードを定期的に変更するように促している。

1126319421272513541185910629511063751513810148361912451

3．利用者がパスワードを忘れた時のために，いわゆる「秘密の質問」を設定できるようにしている。
4．パスワードには，辞書に掲載されている単語，ユーザーの名前，その関連情報などを用いないよう促している。
5．利用者が，ある回数連続してパスワードを間違えた場合，アカウントを一時的にロックする仕組みがある。
6．証明書の鍵長が RSA であれば 2048bit 以上となるよう推奨している。
7．クレデンシャルは FIPS 140_2 Level 2 相当以上の IC カードや USB トークンなどに格納するよう推奨している。
8．クレデンシャルは，（例えば，Windows ならレジストリ，Mac ならキーチェーンなど）OS が管理するセキュアな領域に格納するよう推奨している。
9．その他（具体的に記入）

6×IDP の設定・運用管理
ここからは、IdP の設定と運用管理について、主に技術的な側面からの設問となります。設定ファイルの管理、稼働するミドルウェア群のアップデート状況、そしてサポートが終了した Shibboleth IdP version 2 系統から 3 系統へのアップグレード状況について質問しています。
まず設定ファイルの管理（Q32）は、機関内での管理が 123 件（63%）、設定変更を都度外部に依頼しているとしたものが 65 件（34％）と、どちらも微増でした。IdP の設定ファイルは適切な管理（現状の最新版はどれで、現在 IdP に反映されているものはどれか？など）と設定変更が行えるようになっていれば問題はありません。
IDaaS での管理も同様です。管理体制が不明という回答が 1 件だけありましたが、これは通常ありえることではありません。IdP の運用管理部局に確認するなどして、適切な取り扱いができるよう、管理体制を明確にしておく必要があるでしょう。
15

Q48 は、学認事務局からお知らせしている、Shibboleth の稼働に必要なミドルウェア群の脆弱性情報への対応状況を質問したものです。総じて 8 割程度の機関で、アップデート済みもしくは年度内に対応予定とされています。多くの機関で対応いただけている状況が見られます。一方、対応状況が不明であるとの回答が一定数あります。ソフトウェアの既知の脆弱性を突かれ、情報漏洩につながった事例が何件も報道されており、対応の遅れが甚大な被害につながるケースを目にしたことと思います。IdP に限らないことですが、管理下にあるサーバで稼働するソフトウェア群のバージョンやアップデート状況を把握できるよう努めていただきたいと思います。
また、前年度と比べ、脆弱性のアナウンス件数が増加しました。調査実施以降も、学認事務局より何件もご案内してきました。事務局からの情報に、引き続き注視していただきたいと思います。
Q49 は、調査実施時点ですでにサポートが終了していた、Shibboleth IdP version 2 系統から、現行の Version3系統へのアップグレード状況についての質問です。調査実施時点でもまだ、version2 系統が稼働しています。
当然の話ですが、サポートが終了したソフトウェアを使い続けることは望ましくありません。Shibboleth IdPversion 2 においては、もうアップデートは提供されないと明言されていますし、学認事務からの技術情報はVersion3 のみで提供しております。
アップグレードが完了していない機関、アップグレード予定はないと回答した機関にも、こうした状況を鑑み、アップグレードを再検討いただきたいと思います。

16

Q-32
1．機関内（情報基盤センターなど）で管理し，必要に応じて担当の教職員が設定変更を行っている

123

2．機関内（情報基盤センターなど）で管理しているが，設定変更などはその都度事業者に依頼している

65

3．IDaaS に管理を全て委任している

1

4．設定ファイルの管理体制は不明である

1

5．その他

3

無回答

1

今年度
中にアップデート予定
である[idp_contact:00114] 【注意喚起】
OpenSSL の脆弱性について(2016/9/29)[idp_contact:00119] 【注意喚起】
Shibboleth IdP の脆弱性について

当該ソ対応不対応予

要だと判断

定はない

した

対応状

フトウェア

況が不明でをアップデあるート済みで無回答選択してくださいある

2513113136

14275111199042825

11112404342111411904371411312404[idp_contact:00120] 【注意喚起】
Tomcat の脆弱性修正版リリースについて(2016/11/1)[idp_contact:00125] 【注意喚起】
Apache Tomcat の脆弱性について[idp_contact:00126] 【注意喚起】
Apache Tomcat の脆弱性について17[idp_contact:00129] 【注意喚起】
Java SE JDK および JRE の脆弱性につ371021712304394231391054414213116042571

1147804491521410904121102135204481021711204501421510804

いて[idp_contact:00132] 【注意喚起】
Shibboleth IdP の脆弱性について[idp_contact:00133] 【注意喚起】
Apache Tomcat の脆弱性について[idp_contact:00134] 【注意喚起】
Shibboleth IdP の脆弱性について(5/18付アドバイザリ)[idp_contact:00135] 【注意喚起】
Apache Tomcat の脆弱性について(6/7付アドバイザリ)[idp_contact:00136] 【注意喚起】
CentOS5 での SAML1 SP 接続障害
[idp_contact:00137] 【注意喚起】
Java SE JDK および JRE の脆弱性について[idp_contact:00138] 【注意喚起】
Apache HTTP Web Server の脆弱性について

18

Q-49
1．Shibboleth IdP 3.x 系統にアップグレード済みである

159

2．Shibboleth IdP 2.x 系統が稼働しているが，今年度内に 3.x 系統にアップグレード予定である

13

3．Shibboleth IdP 2.x 系統が稼働しており，現在アップグレードの予定はない

5

4．Shibboleth IdP 以外のソフトウェアで IdP を運用している

55．稼働しているソフトウェアは不明である

1

6．その他（具体的に記入）

10

無回答

1

本調査にご協力いただき、ありがとうございました。

19