シングルサインオン導入事例と導入戦略(1)グ
導入事例 導入戦略( )― 山形大学UPKI認証基盤の状況 －山形大学 学術情報基盤センター
伊藤智博
情報処理軽井沢セミナー 2009年9月3日（木）本日の課題• 導入事例の背景• 学内調整、学内交渉• 導入事例（システム設計、ポリシーなど）
導入事例（システム設計、ポリシ など）• 山形大学の現状と今後の展開
目標• ミニッツペーパーの提出
ミニッツペ パ の提出

山形大学のシングルサインオン導入の背景
情報社会の生き残りを賭けて分散キャンパスの学内認証統合から世界のユニバーサル認証統合へ！

分散キャンパスのため、キャンパスごとの事情によりアカウン
トの発行 管理 課金などのポリシ が異なる
トの発行・管理・課金などのポリシーが異なる。
→ 米沢キャンパス（工学部）では、2005年に、学術系はシングルサインオンに移行。

2005年ごろの工学部の技術的な背景〇運用試験ベース
〇運用試験ベ• ＳＦＵによるUNIX-AD間のパスワード同期
期• ＶＰＮのユーザ認証にADを活用• ネットワーク利用者認証システムの導入• ADのSFUスキーマ拡張によるメールサーバのLDAP統合認証基盤 の移行試験
合認証基盤への移行試験→ 事実上、UNIXシステムの認証基盤をADに統合〇研究ベース(データベースアメニティ研究所の協力)• Webサーバ証明書に導入(VeriSign, Comodo)
証明書 導入試験、取得• S/MIME証明書の導入試験、OID取得• IISサーバのAD認証（薬品管理、ALCネットアカデミー）

2007年教育計算機システム更新
ポリシー： 同一アカウントでＰＣおよびサーバを利用する。
利用する工学部で実施した技術開発を活用して、事実上の全学統合認証
学部 実施した技術開発を活用し 、事実学統合認証を構築する。

• Active Directoryのドメインを2ドメインに変更。
Directoryのドメインを2ドメインに変更• UNIX系システムを4キャンパス配置から2キャンパス配置 変更配置に変更。
• UNIX系システムの認証システムをADにLDAPまたはNISバインドに変更（事実上の統合認証基盤）
メ ルシステム（U)も による認証。
• メールシステム（UNIX)もADによる認証。
• LDAP プロキシなどによる統合認証基盤の構築

本日の課題• 導入事例の背景• 学内調整、学内交渉、実証試験ポリシー策定• 導入事例（システム設計、ポリシーなど）
導入事例（システム設計、ポリシ など）• 山形大学の現状と今後の展開
目標• ミニッツペーパーの提出
ミニッツペ パ の提出

UPKI-SSO参加のための学内調整• ポリシー： 学術情報基盤センターの認証統合実証試験プ
ロジェクトとしてスタート• 体制
機関責任者： 学術情報基盤センター センター長
学内担当者： 吉田浩司(３キャンパス計５学部)、()伊藤智博(工学部)
実証試験担当者： 伊藤智博
• 予算： 特になし（使用済みの旧サーバを再活用）• 業務のバランス（人手不足など）から、伊藤の実験・研究としてUPKI-SSOに参加することで、学内決済を得た。

苦労したことやうまくいった体制• 苦労したことタイミング → 平成20年度のTOPIC講習会など
で、UPKI事業が学術情報基盤センタ 内で浸透で、UPKI事業が学術情報基盤センター内で浸透してきた頃合いを見計らってスタート。
• うまくいった体制
うまくい た体制
・既に学内の認証基盤が統合完了。
統・少数規模の研究プロジェクトとして、スタート。
→その後、関連部署（図書館）に研究への協力を依頼
後 関連部署（ 書館）
究協力を依頼・ＮＩＩさんによって、基本スキーマなどの情報を提さんによって、基本スキ マなどの情報を提供して頂けるので、非常に楽。

本日の課題• 導入事例の背景• 学内調整、学内交渉、実証試験ポリシー策定• 導入事例（システム設計、ポリシーなど）
導入事例（システム設計、ポリシ など）• 山形大学の現状と今後の展開
目標• ミニッツペーパーの提出
ミニッツペ パ の提出

導入事例（システム設計、ポリシーなど）（システム設計 ポリシーなど）• 山形大学の認証情報の調査• 統合認証基盤の全体設計• Shibboleth IdPの構築• eduroam用radius プロキシの構築と電子ジ
ャーナルに関するライセンス問題検討山形大学の認証状況
・独立したアカウントによる認証
学務情報システム（シラバス、成績管理）、会計システム、研究者情報、etc・ディレクトリーサービスによる認証
学術情報基盤センター（Active学術情報基盤センタ（Active Directory)
教育用パソコン、教育用UNIX実習システム、無線ＬＡＮ、ＶＰＮ、ＬＡＮ、ALC NetAcademy2、メールシステム、
Google Apps（ID, Password 同期を含む），LMS（WebClass），自動講義収録システム,etc
学部独自のコンピ
学部独自のコンピュータシステムなど
タシステムなど
・磁気カード・バーコードを使った認証
磁気カ ド バ コ ドを使った認証
駐車場、入退室管理、学生用証明書発行機、etc

山形大学の認証基盤の概要－ Shibboleth統合前
統合前 －学術情報基盤センター系認証基盤

業務系認証基盤（教育用、学生全員が利用可、教員は一部）

成績・履修
成績履修システム

LDAPプロキシ
片方向信頼関係×３キャンパス
計５学部
研究者情報システム

独自認証（運用ドメイン）開発者専用（開発・テスト用ドメイン）

双方向信頼関係

会計システム

独自認証システムのため認証連携が困難

研究用ドメイン

工学部（試験運用ドメイン）DB
ＳＱＬ DB

メ ル
メールUNIX

ALC

Exchangeg(工学部)

ウェブ

グル プ
グループ
ボード

CA

ADのため認証連携は比較的容易、UNIX系スキーマの拡張が困難認証基盤の概要のまとめ• 学術（教育・研究）系 と 業務系（成績、会計など）の認証基盤はユ ザ名 も パスワードも統合されの認証基盤はユーザ名
パスワ ドも統合されていない。
→ アカウントのセキュリティレベルが２つ→ 学術系アカウントがクラックされても重要情報の流出は難しい。
• 学術系は、複数認証基盤を統合しながら、協調運学 系
複数基盤を統なが 協用を行っている。
→ 学術系は、学内としては統合済み→ 学術情報基盤センターのポリシーは、同一アカ
学術情報基盤センタ のポリシ は 同 アカ
ウントでサービス(PC,コンテンツなど)を展開する。

学術情報基盤センターの認証システム
山形大学の学術情報基盤センターでは、教育・研究用認証基盤として、Microsoft® Active Directoryy ®(AD)を使用している。ドメイン構成としては、「運用ドメイン」、「試験運用ドメイン」の２つのドメインがある。 「試験運用ドメイン」は、工学部の学生・教職員の約4000人アカウントが登録されており、 「運用ドメイン」には、工学以外の学生 教職員 事務組織などの約10000人のアカウントが登録には、工学以外の学生・教職員・事務組織などの約10000人のアカウントが登録されている。
複数ドメインを構成している理由としては、・ 運用ポリシーが異なること。
運用ポリシーが異なること
・将来、セキュリティポリシーの変更により円滑にドメインの追加・拡張ができ、かつ、統合認証を構築できるようにする複数ドメインによる統合認証システムの運用実験を行うこと（例えば 事務系情報のセキ リティ強化に伴うドメインの追運用実験を行うこと（例えば、事務系情報のセキュリティ強化に伴うドメインの追加などを容易に可能にする）。の２点である。

既存の２ドメインの認証基盤を統合し、Shibboleth対応することにより利用者 の負担が少なく ＵＰＫＩプ ジ クト の参加が可能
より利用者への負担が少なく、ＵＰＫＩプロジェクトへの参加が可能になる。

実証試験のポリシー• アカウント管理業務コストを最少にすること。
→ 将来的な運用コストを最少にする。
将来的な運用 ストを最少にする• 楽になる技術を開発→ LDAP Proxyによる複数認証基盤の統合化→ 無線ＬＡＮのセキュリティ向上
無線
セキ リ
向上 → eduroam→ IPv6の無線ＬＡＮ認証実験(IEEE 802.11i)• システム構築コストが高くても、運用コストを最小にすることが継続性 の鍵にすることが継続性への鍵。
• 目的：外部機関の認証基盤との連携技術の確立
目的 外部機関の認証基盤との連携技術の確立→ 教育への活用（人材育成）

導入事例（システム設計、ポリシーなど）（システム設計 ポリシーなど）• 山形大学の認証情報の調査• 統合認証基盤の全体設計• Shibboleth IdPの構築• eduroam用radius プロキシの構築と電子ジ
ャーナルに関するライセンス問題検討

統合認証基盤の全体設計
山形大学 認証基盤
山形大学‐認証基盤

外部公開用 統合認証基盤

山形大学内への教育・研究リソースへの統合認証を提供

認証基盤 研究プロジェクト

統合認証の研究を行うためのプロジェクトであり、UPKI認証連携基盤(UPKI‐Fed)・Shibboleth SPのアプリケーションおよびデータベース設計
・Shibboleth Metadataの管理システムの構築

国際無線LANローミング基盤を中心に研究している。
IdP
学内統合認証用
LDAPプロキシ

外部機関統合認証用LDAPプロキシ

外部機関統合認証用
Radiusプロキシ

双方向信頼関係

学内ネットワーク認
学内ネ
トワ ク認
証や教育用コンテンツへの展開

片方向信頼関係

試験運用ドメイン（4000人）運用ドメイン（10000人）

学術情報基盤センター
教育・研究用認証情報管理システム

研究用ドメイン

研究用認証管理システム

WEB
SP実証実験

SQL
教育用パソコン

ＵＮＩＸサーバ

教育用パソコン

研究用サーバ統合認証基盤のIdP・Radiusサーバの設計
UPKI-SSO実証実験

eduroam実証実験

山形大学IdP・Radius サーバ（同一サーバ内に構築）

IdP

Radiusプロキシ

LDAPプロキシ
Local
LDAP

MS-IAS

MS-AD

運用ドメイン

MS-IAS

MS-AD

試験用ドメイン

MS-IAS

MS-AD

研究用ドメイン導入事例（システム設計、ポリシーなど）（システム設計 ポリシーなど）• 山形大学の認証情報の調査• 統合認証基盤の全体設計• Shibboleth IdPの構築• eduroam用radius プロキシの構築と電子ジ
ャーナルに関するライセンス問題検討外部機関用統合認証基盤システムのハ ドウェア構成
ハードウェア構成• ハードウェアの構成
HP Proliant ML110；メモリ 512MB; HDD 20GB *2 (RAID 1); OS CentOS 5.2• ソフトウェアの構成
共通ソフトウェア
OpenLDAP 2.3.43, Apache 2.2.9, Apache Tomcat 6.0.18, JDK 6 Update 10,Apache Ant 1.7.1, BerkeleyDB 4.3, OpenSSL 0.9.8i
UPKI-SSO関係
Shibboleth® IdP 2.0.0, Shibboleth® DS 1.0 (学内テスト用)(学内ト用)
eduroam関係
freeradius-server
freeradius
server 2.1.1
211

Shibboleth IdPの構築手順
1. 「IdP構築・運用手順書ver1.2」に従って作業( VMイメージは使用しない)。
2 UPKI「サ2.
UPKI「サーバ証明書発行・導入における啓発・評価プロジェクト」よりサーバ証明書発行・導入における啓発・評価プロジェクト」よりサ
バ証明書を取得。
3. IdPサーバ上のLDAPデータベース上に、テストアカウントの発行（ローカルアカウント）。
アカウント）
4. 「研究用ドメイン」のドメインコントローラーとLDAPプロキシの接続。
接続は、ユーザバインドで行い、rwm-mapを利用して、ADスキーマとeduPersonスキーマにマッピング。
キにピ グ
5. Shibboleth IdPのlogin.configとattribute-resolver.xmlに、ADに対応するように設定(紹介の設定が必要。詳細は別紙参照のこと)。
6. 動作確認として、ローカルアカウントと「研究用ドメイン」のアカウントで動作検証。
7. 「試験運用ドメイン」、「運用ドメイン」のADとも同様に接続。
試験運用ドメイン」、 運用ドメイン」のADとも同様に接続。
8. 動作確認として、 「試験運用ドメイン」、「運用ドメイン」のアカウントで動作検証。

OpenLDAPのプロキシ機能による属性の変換設定〇Compile時の注意./configure --enable-overlays --enable-dyngroup --enable-dynlist ¥--enable-rwm
enable rwm --enable-cryptenable crypt --enable-ldap
enable ldap

〇設定例
slapd.confに、overlayy rwm
rwm-map attributerwm-map attributerwm map attributerwm-maprwm-map attributeのように記入。

uid sAMAccountname
eduPersonPrincipalName
mail mailjasn
sn

userprincipalnameIdPをADに対応する設定例
login.configとattribute-resolver.xmlを下記に示すような紹介設定を追加することにADの認証情報で正常に認証・属性の取得ができた。
例）login.config
edu.vt.middleware.ldap.jaas.LdapLoginModule sufficienthost="localhost"base="dc=xxxxx,dc=yamagata-u,dc=ac,dc=jp"
ygjp
ssl="false"
userField="eduPersonPrincipalName"
subtreeSearch="true"
serviceUser="cn=xxxx,CN=Users,dc=xxxx,dc=yamagata-u,dc=ac,dc=jp"
ygj
serviceCredential="xxxxx"
referral=“follow”← 重要例）attribute-resolver.xml<resolver:DataConnector id="myLDAP2" xsi:type="LDAPDirectory"
xmlns="urn:mace:shibboleth:2.0:resolver:dc“
ldapURL="ldap://localhost" baseDN="dc=xxxx,dc=yamagata-u,dc=ac,dc=JP“principal="cn=xxxxx,CN=Users,dc=xxxx,dc=yamagata-u,dc=ac,dc=jp“ principalCredential="xxxxx"><FilterTemplate><![CDATA[(eduPersonPrincipalName=$requestContext.principalName)]]></FilterTemplate><LDAPProperty name=“java.naming.referral” value=“follow”/>← 重要</resolver:DataConnector>

山形大学のIdPのまとめ
1. ユーザＩＤのフォーマットは、複数ドメインに多対応するため d応するため、eduroamフォーマットである「フォ マ トである「xxx@yyy.yamagata-u.ac.jp」とする（暫定）。
2. ADスキーマとedupersonスキーマの変換テーブルを検討する必要がある または ADのスキールを検討する必要がある。または、ADのスキーマを拡張して、eduPersonスキーマに対応することも検証が必要であろう。
3 LDAPプロキシ経由でAD認証基盤を利用すると
3.
きは、リフェラルの設定が必要である。

サーバーアプリケーションとは？
Webクライアント（（Webブラウザ）
ラウ ）
LAN

データベース

サービスを要求
BASIC演習
Webサーバーデータの要求
VBの作成
Webクライアント（携帯電話）

データの提供サービスを提供
ASPXの作成
HTML演習 ASPX演習 GAME演習

POSTを使ったデータの送信
Webクライアント（Webブラウザ）
LAN

データベース

サービスを要求
BASIC演習
Webサーバー
Webサ
データの要求デタの要求バWebクライアント（携帯電話）

サービスを提供
サビスを提供データの提供データを送信HTML演習 ASPX演習 GAME演習

サーバーアプリケーション
ー Shibboleth SPの設計
SPの設計ーWebクライアント（Webブラウザ）LAN
サ ビ を要求
サービスを要求

SP

BASIC演習

Webサ バWebサーバー
データの要求サービスを提供
所属機関のIdP

認証リダイレクト
属性をリダイレクト

認証結果、属性を提供

データベース

VBの作成

データの提供認証の要求
ASPXの作成
IdP

HTML演習 ASPX演習 GAME演習

演習問題
• デ
データベース
タベ ス、ShibbolethおよびＷｅｂサ
ShibbolethおよびＷｅｂサービ
ビスを活用したサービスモデルを図と下記のキーワードの含む文章で説明せよ！
ワ ドの含む文章で説明せよ！ （キーワ（キ ワード：ＨＴＴＰS、ＧＥＴ、ＰＯＳＴ、データベース、Ｗｅｂサーバー、Ｗｅｂクライアント、防火壁、バク イ
防火壁
Shibboleth SP, Shibboleth IdP）

山形大学用メタデータ管理システム
山形大学では、IdPおよびSPの実証試験および開発を円滑に実施するため実施するために、メタデータの管理システムを開発した。システ
メタデ タ 管理シムを開発 た シ
ムの特徴は、データベースを基盤にASP .NETによってダイナミックにメタデータを発行し 管理の簡素を図ったミックにメタデータを発行し、管理の簡素を図った。
システムの構成：
構
Microsoft ® Windows ® Server 2003,,
Microsoft ® SQL Server 2005,
Visual Studio 2005 professional

山形大学のメタデータ管理システムのまとめ
山形大学のメタデ
タ管理システムのまとめ
・SQLサーバよりテンプレートに準拠し、メタデータを生成できる。
・メタデータは、IdP情報、SP情報の両方を管理できる。

データベースによるメタデータの管理システム
データベースサーバー
x64

ウェブサーバー
ウブサ

メタデータ

公開Web
公開Webサーバサーバ

データベース

Web公開
Web公開(一般公開一般公開))

メタデータ
タデ タ

x64（プリンシパル）
プリンシパル）

FRS

認証サーバー

学内
内内

データベーステンプレートに従って

インターネット

ファイアウォール

山形大学
教官・学生

データの入力情報センター（ミラミラー））
ミラー

LAN

LDAP
開発用公開Web
開発用公開
Web
FRS

開発システム
認証サーバーx64
システム管理者
開発用認証Web
開発用認証
Web

Exchange導入事例（システム設計、ポリシーなど）（システム設計 ポリシーなど）• 山形大学の認証情報の調査• 統合認証基盤の全体設計• Shibboleth IdPの構築• eduroam用radius プロキシの構築と電子ジャーナルに関するライセンス問題検討山形大学のeduroamシステムの仕様
1.

認証トークンは、新規に構築するRadius プロキシを経由して、ADのIASで認証する。
2. PEAP およびTTLSのSSLセッションはRadiusびプ
プロキシで完結。(SSL証明書完結書の管理コストの削減のため）
3. 無線ＡＰは、
ESSID: eduroam
暗号： WPA-AES または WPA2-AES
認証： EAP
EAP-PEAP
PEAP または EAP
EAP-TTLS、MS-CHAPv2
TTLS、MS CHAPv2とする。
4. IPv6の無線ＬＡＮ運用試験系。
→ 802.11x認証なので、Weｂ認証などが不要。
802 11x認証なので Weｂ認証などが不要
5. eduroam接続時の学外接続回線は、商用ISPを経由することにより、外部機
関利用者の山形大学の契約電子ジャーナルなどの利用不可とし、かつ、外部機関利用者の利便性を確保する 山形大学の利用者は d部機関利用者の利便性を確保する。山形大学の利用者は、eduroam専用
専用
VPN接続で電子ジャーナルを閲覧可能にする。
6. VPNオンリーの参加機関でのネットワーク利用を可能にするため、電子ジ
ジャーナルのＶＰＮ経由による利用に関する情報を出版社に調査し、解決
ナ経由による利用に関する情報を出版社に調査し 解決策を検討。

eduroam無線ＬＡＮシステムの概要
IPv6
ネットワーク※（試験研究用）JPRadius
ProxyFW

商用ＩＳＰ

商用ＩＳＰ
山形大学学術ネットワークFW(IPv6)

FW(IPv4)

VPN
サーバ
サバ

GW

GW

RadiusProxy
管理ＶＬＡＮ

VPNオンリーのeduroam
参加機関 ネ ト
参加機関でネットワークをクを利用するために、ＰＣからのＶＰＮ接続を可能にする。

山形大学構内でeduroamを利用しているときに、山形大学の内部リソースを利用するために、ＰＣからのVPN接続を可能にする。

eduroam VLAN (10.25.x.x/16）

ＡＰ
Buffalou ao
WAPS-HPAM54G54
802.1xＡＰ

ＡＰ

Proxim
Pi
ＡＰ－４０００802.1x

Proxim
Pi
ＡＰ－４０００802.1x※IPv6ネットワークは、JGN2plusおよびWIDEプロジェクトの協力により、実験として実証試験を行っております。

VPNオンリーのeduroam機関において無線LANを利用したときのサービス展開
VPNオンリーのeduroam機関では、外部のWeb閲覧すらできオ
機関 は 外部閲覧すら きないために、外部から大学へのＶＰＮ接続を許可し、かつ、全ての通信を所属大学のVPNサーバを経由する構成になる1)。しかし、
しかし電子ジャーナルなどの契約コンテンツを利用するにあたり、VPNササービスによる利用が許可されていないこと（契約書には明記さによる利用が許可されて なと（契約書には明記されていないこと）が多く、VPN接続の許可が困難になる。そこで、この問題を解決するために、次の２つの課題を行い、解決の糸口を導き出した。
を導き出した１．コンテンツ提供会社に、VPN経由時の閲覧の可否を確認。
２．VPN経由時に利用可能コンテンツと利用不可能コンテンツ経由時
能能を分離するためのシステムの構築。
1. eduroamの構築と参加方法, 後藤英昭, グリッド・UPKI活用のためのCSI講演会(古牧温泉), 2007/10/12, http://www.eduroam.jp/docs/grid-upki071012.pdf

電子ジャーナルなどのVPN経由時の利用調査• サイエンス・ダイレクト、ＣＳＤＬ、SpringerLink、Oxford
Journal、JSTOR、Web of Science、ACM Portal、ScienceOnline、InterScienceのコンテンツ提供サービス会社に、「ＶＰＮ経由での利用の可否」および「契約の変更の有無」を調査した。
• 回答結果をまとめると、 「契約の変更の有無」については、必要な会社はなかった。 「ＶＰＮ経由での利用の可否」については、正規ユーザに限定することなどのセキュリティの確保についての注意はあったが、VPN経由による利用不可といった回答はなかった。
注意：調査したコンテンツ提供サービス会社は、各大学の契約によって回答が異なることがありますので、注意してください。

電子ジャーナル対応VPNサービス
電子ジャーナルC
電子ジャーナルＡ
電子ジャーナルサイトA（許可）ＰＣ
VPNオンリーのeduroam無線ＬＡＮ

インタ ネット
インターネット
電子ジャーナル
サイトB（許可）

電子ジャーナルサイトC（不許可）
分離用ルータ
VPN接続

商用ＩＳＰ

VPN
サーバ

ＧＷ：山形大学

山形大学
学術ネットワーク

分離用ルータの経路情報

FW,NAT(IPv4) ＧＷ：商用ルータ

宛先
山形大学
学術情報ネットワーク
電子ジャーナルサイトA

ゲートウェイ
ゲトウ イ
山形大学

メトリックメトリ
ク1

山形大学

1電子ジャーナルサイトB
電子ジャナルサイト

山形大学

1デファルト

商用ルータ

10

分離用ルータに、利用可能な電子ジャーナルの経路を追加することによって、特定の電子ジャーナルのみ、閲覧を可能にできる。問題点としては、電子ジャーナルサイトのＩＰアドレスが変更なると、経路情報も変 が路情報も変更が必要になり、管理コストが大きい。
な 管が き→ Shibboleth認証などを活用したユーザ認証コンテンツサービスへの移行が必要であろう。

eduroamシステムのまとめ• Radiusプロキシによって、複数ADの認証情報によって802.1x認証を行い、eduroamが利用できる無線ＬＡＮ環境を整備可能になった。
った• 山形大学のeduroam無線ＬＡＮの利用者は、山形大学契約の電子ジ子ジャーナルは利用できない。山形大学の利用者は、ＶＰＮを経ナルは利用できない 山形大学の利用者は ＶＰＮを経由することにより、電子ジャーナルを閲覧できるシステムを構築した。
• 電子ジャーナルについては、セキュリティの確保などの利用条件はあるが、VPN経由による電子ジャーナルの利用は許可されている 今後 実験的にVPN経由による電子ジる。今後、実験的にVPN経由による電子ジャーナルの利用を検討
ナルの利用を検討
し、eduroamの展開を進める。
• 電子ジャーナルは、IP認証には限界がある。Shibboleth認証による電子ジャーナルの閲覧サービスを活用することが必要であろう。

山形大学のまとめ
1 既存の認証基盤であるＡＤを利用したShibb
1.
既存の認証基盤であるＡＤを利用したShibbolethl th IdPシステムを構築。 ADを利用するときは、リフェラルの設定が必要な可能性が高い。
2. 複数認証基盤（ＡＤ）を統合して、IdPおよびeduroam用認証基盤として利用可能なシステムを構築。
3. 暫定的ではあるが、ユーザ名のフォーマットは、eduroamフォーマットを採用。（eduroamとの混乱を避けるため）
トを採用 （ dとの混乱を避けるため）
4 VPNオンリーのeduroam参加機関利用時に4.
VPNオンリ のeduroam参加機関利用時に、VPNサVPNサービス
ビスを展開するための情報収集および技術要素が完了した。
5. ADスキーマとedupersonスキーマの違いを考慮して、ADの考スキーマの拡張など検討が必要。
6. 外部機関との認証連携時に使用するプライマリキーは、ADのuserprincipalnameをベースに生成する。

本日の課題• 導入事例の背景• 学内調整、学内交渉、実証試験ポリシー策定• 導入事例（システム設計、ポリシーなど）
導入事例（システム設計、ポリシ など）• 山形大学の現状と今後の展開
目標• ミニッツペーパーの提出
ミニッツペ パ の提出

プライマリーキー
ライ リ キー リレーショナルデータベース －・複数の表（テーブル)を同じキーワードで接続して、関係付け表現する
現することができるデーターベース。
きるデ タ。

tblKokyaku
顧客番号 顧客氏名 よみがな
住所
電話番号
生年月日 暗証番号
じ うほうたろう 山形県米沢市 0238-2x-xxxx 1975/x/x xxxx
1 情報太郎 じょうほうたろう
2 山形花子 やまがたはなこ 山形県米沢市 0238-3x-xxxx 1978/x/x yyyy

tblKiroku顧客番号 日付
金額
コメント 残高
11 2007/6/10
10000 新規作成
10000
21 2007/6/11
100000 ATM
11000032 2007/6/12
1000 新規作成
1000
41 2007/6/12-5000
5000 電気
10500052 2007/6/14
100000 ATM
101000一意性（ unique）とはq
Shibboleth SPを構築するにも、対象情報から１つのみのレコードをＳＥＬＥＣＴ文で抽出するし 個人情報の特定作業が必要です どの
ＳＥＬＥＣＴ文で抽出するし、個人情報の特定作業が必要です。どのような情報（フィールド）を設計すればよいか？
・データベースの基本設計が必要
・人を一意にするには？
たとえば、

いとう ともひろを一意にするためには？

問題２• 人を一意に定義するためには、データベース表（テ） 列 項目をよう 設の表（テーブル）の列の項目をどのように設計するのがよいか？

最近の取り組みと重要課題•プライマリーキー（主キー）を決めよう。
→ EPPN(eduPersonPrincipalName)g→ eduPersonTargetedID•eduPersonTargetedIDの生成方法の決定→ StoredIDを推奨（京都産業大学提供）。
または ComputedIDまたは、
Ct dID から徐々にStoredIDにから徐々にSt dIDに移行（注意：Shibboleth IdP 2.1.2のStoredIDにバグあり。）•EPPNは現在、検討中。

山形大学のUPKI対応認証基盤の現状と将来構想
山形大学-情報認証基盤
ICカード,PKI認証
Cカ ド
認証
基盤（トライアル）

国立情報学研究所-UPKI事業

学内認証基盤

ユニバーサルネットワーク認証システム
ユニバ
サルネットワ ク認証システム（既存）（UPKI-SSOで完了）

将来

LDAPプ キシ
LDAPプロキシ

発行

R di プ キシ
Radiusプロキシ

LDAPスキ マ
LDAPスキーマ
変換プロキシ認証
将来

将来
３キャンパス
計５学部（運用ドメイン）
ＰＫＩキー
自動発行システム

工学部（試験運用ドメイン）

学術系認証基盤（教育用、学生全員が利用可、教員は一部）

学務・会計認証ＤＢ業務系認証基盤（最重要認証基盤）

現状の協力・連携体制• 大学全体の理解： 情報担当副学長• 電子ジャーナル関係：
電子ジナル関係 図書情報企画ユニット
図書情報企画ト• アカウント管理業務： 学術情報基盤センター• 研究協力： 山形大学 バ
バーチャル研究所
チャル研究所
データベースアメニティ研究所

謝辞
本実証試験を進めるにあたり、ご指導を賜りました情
報担当副学長、学術情報基盤センタ センタ 長およ
報担当副学長、学術情報基盤センターセンター長および学術情報基盤センターの皆様に深く感謝申しあげます。また、電子ジャ ナルの契約について、調査にご協す。また、電子ジャーナルの契約について、調査にご協力いただきました図書情報企画ユニット津田ひろ子様に深く感謝申し上げます。
IPv6ネットワークを提供していただきましたJGN2plus
およびWIDEプロジェクトの皆様に深く感謝申し上げます。日頃から、質問にお答えいただいいてる国立情報学研究所の皆様に深く感謝申し上げます。
学研究所の皆様に深く感謝申し上げます