アカデミックIDaaSのオモテとウラオ モ テ(理想像編)
2017年3月10日
エクスジェン・ネットワークス(株)1. 今後のIT基盤＆認証基盤に求められる要件
目的

戦略

より良い教育に資するIT基盤構築
デジタルトランスフォーメーションの流れに乗る(クラウドの有効活用など)
手段

そのための 認証基盤整備

1

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

IDaaS

1. 今後のIT基盤＆認証基盤に求められる要件
大学内だけではなく、様々な場所から教職員、学生だけではなく様々な人が大学内だけではなく、様々な場所にあるシステムやデータをオンプレ

データセンター

さらに、LineやFacebook等個人のアプリやIDを利用する場合もある。
2

大学内のPCだけではなく、様々なデバイスを介して利用する、
ID
個人アプリ(個人ID)

個人デバイス

スマホ

PC

IaaS
PaaS

SaaS
学認
メガSaaS
業務系SaaS

様々なハイブリッド環境に対応できるアカデミックIT基盤

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

1. 今後のIT基盤＆認証基盤に求められる要件
大学内だけではなく、様々な場所から教職員、学生だけではなく様々な人が認証基盤

大学内だけではなく、様々な場所にあるシステムやデータをオンプレ

データセンター

様々な人が大学内のPCだけではなく、様々なデバイスを介して様々な場所から利用する、

IaaS
PaaS

さらに、LineやFacebook等
SaaS
ハイブリッドクラウドを個人のアプリや学認
メガSaaSID
ハイブリッドデバイスとハイブリッドIDでIDを利用する
業務系SaaS
個人アプリ
個人デバイスPC
スマホ(個人ID)場合もある。
セキュアに効率良く利用するための
3

様々なハイブリッド環境に対応できるアカデミックIT基盤

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

1. 今後のIT基盤＆認証基盤に求められる要件実現される理想像の例
目的 より良い教育に資するIT基盤構築が構築されると、コンテンツ & コンテキストシェアリング
・様々な場所に保管された、個人個人のデータを他の人が、再利用できるようにカタログ化し、さらにコンテキスト変換を行う

データのカタログ化
再利用可能
共有データ

連携先
システム

オンプレ

個人のデータ
データセンター
IaaS
PaaS

SaaS
ID
個人アプリ
(個人ID)

個人デバイス

Bringされるもの
4

スマホ

PC

デバイス

(人) 教職員/学生/その他の関係者 X (場所) 学内/学外

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

個人のデータ

個人のデータ学認
個人のメガSaaS
データ
業務系SaaS2. 認証基盤システム概要
連携先システム
源泉システム
教職員
DB
学生
DB

〔今回の発表〕様々なハイブリッド環境
認証基盤システムに対応する認証基盤の機能要件整理を行う

認証基盤

オンプレ

データセンター

IaaS
PaaS

その他
関係者情報

SaaS
ID
個人アプリ
(個人ID)

個人デバイス

Bringされるもの
5

スマホ

PC

デバイス

(人) 教職員/学生/その他の関係者 X (場所) 学内/学外

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

学認
メガSaaS
業務系SaaS2. 認証基盤システム概要
役割

連携先システム

認証基盤システム

認証機能
認証ID管理機能

認可

3
ID情報
マスタDB

オンプレ

認可
データセンター

構成

2

適切なアクセス権限管理の維持『認証/認可のしくみ』 + 『新鮮なID情報』

6

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

1

認可

認可

IaaS
PaaS

SaaS

学認
メガSaaS
業務系SaaS3. 認証基盤システムの詳細要件
3.1 源泉システム関連
認証基盤システム
源泉システム
教職員
DB

認証機能
IDライフサイクル管理

ID管理機能
ID情報
マスタDB

学生
DB
その他
関係者情報

・教職員DB、学生DBだけではなく、その他関係者の情報を含めたID情報マスタDBを構築し管理する。
・その他関係者情報は源泉DBが整備されていない場合が多いので、IDライフサイクル管理には、GUIメンテ、 CSV連携、API連携以外にワークフロー機能等も必要。
7

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

3. 認証基盤システムの詳細要件
3.1 源泉システム関連
認証基盤システム
源泉システム
教職員
DB

認証機能
IDライフサイクル管理

ID管理機能
ID情報
マスタDB

学生
DB
その他
関係者情報

・ID情報マスタDBを適切かつ、新鮮な状態に保つためには(構築/再構築時)・棚卸し(クリーニング)後、ID情報の投入。 最初が肝心！
(ID運用管理開始後)・ID管理機能を利用し、ID情報の鮮度を保つ運用の徹底。
8

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

3. 認証基盤システムの詳細要件
3.2 連携先システム関連
大学内だけではなく、様々な場所から連携先システム

認証基盤システム

認証機能

ID管理機能
オンプレ

IdP
ID情報
マスタDB

クラウドの認証方式がローカル認証方式の場合・IDとパスワードのセットが学外に出る。
→セキュリティポリシーコントロールが困難に。
機密情報のリスクレベルに応じた認証手段の採用が困難に。
→ID/パスワードの漏えいリスク
セキュリティレベルの低いクラウドの存在。
フェデレーションの認証利用
・IDとパスワードのセットを封じ込める。
・フェデレーションプロトコルの認証利用。
9

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

データセンター

SP

IaaS
PaaS

SP SaaS

学認
メガSaaS
業務系SaaS

IdP側での多要素認証の実装

3. 認証基盤システムの詳細要件
3.2 連携先システム関連

連携先システム

認証基盤システム

認証機能

ID管理機能IdP
SSO(ﾘﾊﾞﾌﾟﾛ)

認可情報等
オンプレ

ID情報
マスタDB

認可情報等
データセンターSP

利用システム/サービス連携① (IaaS/PaaS/SaaS) フェデレーション認証連携② (オンプレ/データセンター) リバプロSSO連携③ (オンプレ/データセンター/IaaS/PaaS/SaaS)
認可情報等のプロビジョニング連携
10

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

IaaS
PaaS
認可情報等

SP SaaS

学認
認可情報等
メガSaaS
業務系SaaS3. 認証基盤システムの詳細要件
3.2 連携先システム関連
認証基盤システム

ID管理機能(プロビジョニング)二つの要素
ID管理機能認証機能①認可情報等のきめ細かな連携
・ユーザ情報の属性情報管理・グループ情報 & メンバー情報管理②わかり易いライセンス管理

連携先システム

①

認可情報等
オンプレ

ID情報
マスタDB

データセンター
認可情報等

IaaS
PaaS
認可情報等

SaaS

Exticで可能なライセンス管理

学認
認可情報等
メガSaaS
業務系SaaS①＋②
11

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

3. 認証基盤システムの詳細要件
3.2 連携先システム関連

連携先システム

認証基盤システム

認証機能

ID管理機能SCIMオンプレ
ServerSAML(Shibboleth) IdP
OpenID Connect OP
FIDOID情報
マスタDB

SCIM Client

標準化技術の採用

認証界隈の標準化技術

多要素認証

FIDO

フェデレーション
リバプロSSO

OpenID Connect

プロビジョニング

SCIM12Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

SAML(Shibboleth)

SCIM
Server
データセンター
SAML(Shibboleth) SP

IaaS
PaaS
SCIM Server

SaaSConnect RP
OpenID

学認
SCIM Server
メガSaaS
業務系SaaSOAuth

3. 認証基盤システムの詳細要件
3.2 連携先システム関連
認証基盤システム

認証機能

ID管理機能SAML(Shibboleth) IdP
OpenID Connect OP
SSO(ﾘﾊﾞﾌﾟﾛ)

ID情報
マスタDB

SCIM Client

連携先システム
SAML(Shibboleth) SP
SCIMオンプレ
ServerSAML(Shibboleth) SP

SCIM
Serverデータセンター
SAML(Shibboleth) SP

標準化技術を活用し、効率的なシステム拡張を行うIaaS
PaaS
SCIM Server(オンプレ/データセンター)・SAML SPを実装し、フェデレーション対応することでリバプロSSO環境の縮小が可能。

SaaSConnect RP
OpenID13

学認SCIM Server
メガSaaS
業務系SaaS

連携先システムにおける、標準化技術の実装
SAML SP (OpenID Connect RP)& SCIM Server

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

3. 認証基盤システムの詳細要件
3.2 連携先システム関連

連携先システム

認証基盤システム

認証機能

ID管理機能

IdP
ID情報
マスタDB

IdP

SP

IDM

SCIM

連携先システムにおける標準化技術の効率的な実装方法① 大学が標準APIを実装を推奨する。
・SIerによるサンプルライブラリの配布と技術支援→(SIerによる長期支援体制が必要)
戦略的協業体制が必要①SP
SCIMオンプレ
SP

SCIM
データセンター
SPIaaSSCIM PaaS

SP SaaS

学認
SCIM メガSaaS業務系SaaS②② IDベンダー、IDaaS業者がSaaSエコシステムを作る。
→(SaaS企業のモチベーションが必要)
ツールのカタログ化
14

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

3. 認証基盤システムの詳細要件
3.3 デバイス/Bringされるもの関連
認証基盤システム(人) x (場所）⇔ 情報 に応じた認証方式の採用
ID管理機能認証機能
・多要素認証デバイスとしてのBYOD利用
・教職員 x 学外(他大学キャンパス) : eduroam連携
ID情報マスタDB

個人アプリ(個人ID)への対応
・トラストフレームワークの考えを適用すると、、、、(？）

ID
個人アプリ
(個人ID)

個人デバイス

Bringされるもの
15

スマホ

PC

デバイス

(人) 教職員/学生/その他の関係者 X (場所) 学内/学外

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

3. 認証基盤システムの詳細要件
3.3 デバイス/Bringされるもの関連
みなさん、大好き、トラストフレームワーク

Policy Maker(ポリシー策定者)
認定
Trust Framework Provider(トラストフレームワーク提供者)

契約
Identity Provider(認証サービス提供者)

認定
監査認証利用者
16

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

利用

監査人

契約
Relying Party(サービス提供者)

3. 認証基盤システムの詳細要件
3.3 デバイス/Bringされるもの関連

C大学
Identity Provider
B大学(認証サービス提供者)
Identity Provider
A大学(認証サービス提供者)
Identity Provider(認証サービス提供者)
利用者
利用者
利用者
17

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

他大学が管理するIDで情報共有
Relying Party(サービス提供者)

3. 認証基盤システムの詳細要件
3.3 デバイス/Bringされるもの関連

Cさん
Line等のBringされる
Bさん
ものLine等のBringされる
Aさん
ものLine等のBringされる
もの
利用者
利用者
利用者
18

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

個人が管理するIDで情報共有
大学所有のITリソース

3. 認証基盤システムの詳細要件
3.3 デバイス/Bringされるもの関連
・契約
・利用ガイドライン
・利用申請/承認手続き
・Line IDの本人確認の厳格化

最初が肝心！

契約

Aさん

Policy Maker(ポリシー策定者)
Trust Framework Provider(トラストフレームワーク提供者)

IT技術だけで制御するのではなくルールを作りトラストを築く世界
大学所有のITリソース

Line等のBringされる
もの

認証利用者
19

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

大学

利用3. 認証基盤システムの詳細要件
3.4 まとめ
様々なハイブリッド環境に対応する認証基盤とは
1. 基本構成①ID管理機能②認証機能③ID情報マスタDB

2. ID管理機能①IDライフサイクル管理
源泉システムからのGUIメンテ、CSV連携、API連携、ワークフロー連携②様々な連携システムへのプロビジョニング
・認可情報等のきめ細かな連携
・SaaSライセンス管理
・プロビジョニング(SCIM対応)③eduroam連携
20

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

3. 認証基盤システムの詳細要件
3.4 まとめ
様々なハイブリッド環境に対応する認証基盤とは
3. 認証機能①フェデレーション(SAML/Shibboleth & OpenID Connect対応)②リバプロSSO③多要素認証(FIDO対応と多様素認証デバイスとしてのBYOD利用)

4. ID情報マスタDB①稼働前のID情報の棚卸し(クリーニング)②運用ルールの策定、遵守5. 標準化技術の効率的な実装①オンプレの各システムに対する標準API実装体制の確立②IDaaS業者に対するSaaSエコシステム作り要求
6. 教職員、学生とのトラスト作り21

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

4. IDaaSとは認証基盤源泉システム
教職員
DB学生
DB

連携先システム

オンプレ

SaaS化
マルチテナント化してクラウドサービスとして提供

その他
関係者情報

データセンター

IaaS
PaaS

SaaS
ID
個人アプリ
(個人ID)

個人デバイス

Bringされるもの
22

スマホPC

デバイス

(人) 教職員/学生/その他の関係者 X (場所) 学内/学外

Copyright© 2017 EXGEN NETWORKS Co.,LTD. All Rights Reserved.

学認
メガSaaS
業務系SaaS