京都大学
学術情報メディアセンターセミナー

UPKI共通仕様のご紹介

H20.2.19
国立情報学研究所
学術ネットワーク研究開発センター
谷本 茂明
https://upki-portal.nii.ac.jp/

12

目次
１．UPKIの概要
1.1 計画概要
1.2 主なプロジェクト
1.3 UPKIイニシアティブ
２．UPKI共通仕様
2.1 目的・位置づけ
2.2 キャンパスＰＫＩモデル
2.3 キャンパスPKIガイドライン概要
2.4 まとめ1.1 計画概要（はじめに）
Cyber Science Infrastructure(= e-Science) の目的
1.
2.
3.
4.
5.

学術ネットワークの強化・国際化Sinet III
学術資源(コンテンツ、データベース）の体系化・整備
NAREGI*, UPKI連携ミドル研究開発
具体的な産学連携施策の推進
大学の社会情報基盤化の促進*：ＮＡＲＥＧＩは2003年から文部科学省が進める「超高速コンピュータ網形成プロジェクト（National Research Grid Initiative：通称NAREGI）」

34

CSI : サイバー・サイエンス・インフラストラクチャ（最先端学術情報基盤）最先端の学術情報基盤が、今後の学術・産業分野での国際協調・競争の死命を制す

バーチャル研究組織
世界的ソフトウェア及びDBの形成

NIIと大学図書館等との連携による学術コンテンツの構築・提供，機関リポジトリの形成
次世代スパコンを含む大学・研究機関の計算リソースの整備
ミドルウェア

産業
・社
会
貢
献

人材育成及びノウハウの蓄積連携ソフトウェアとしての研究グリッドの実用展開
大学・研究機関としての認証システムの開発と実用化

NIIと大学情報基盤センター等との連携による次世代学術情報ネットワークの構築・運用

国
際
貢
献
・連
携

5

CSIの研究開発・実施体制
大学・研究機関

国立情報学研究所

情報基盤センター等

学術情報ネットワーク運営・連携本部

学術ネットワーク研究開発センター

ネットワーク作業部会

ネットワークグループ

認証作業部会

認証基盤グループ

グリッド作業部会

リサーチグリッド研究開発センター

図書館等

学術コンテンツ運営・連携本部
機関リポジトリ作業部会

学術コンテンツサービス研究開発センター

…

学協会

関連機関

UPKI
推進体制

6

学術情報ネットワーク運営・連携本部
認証作業部会• 岡部 寿男（京都大学学術情報メディアセンター）主査• 曽根原 登（国立情報学研究所）幹事• 高井 昌彰（北海道大学情報基盤センター）• 曽根 秀昭（東北大学情報シナジーセンター）• 佐藤 周行（東京大学情報基盤センター）• 平野 靖（名古屋大学情報連携基盤センター）• 馬場 健一（大阪大学サイバーメディアセンター）• 鈴木 孝彦（九州大学情報基盤研究開発センター）• 飯田 勝吉（東京工業大学学術国際情報センター）• 湯浅 富久子（高エネルギー加速器研究機構計算科学センター）

7

学術ネットワーク研究開発センター
認証基盤グループ
•
•
•
•
•
•
•
•
•
•
•
•

曽根原 登
岡部 寿男
中村 素典
谷本 茂明
岡田 仁志
山地 一禎
島岡 政基
片岡 俊幸
鷲崎 弘宣
鈴木 新一
樋口 秀樹
夏目 典大

教授（情報社会相関研究系 研究主幹）……主査
客員教授（京都大学教授） …………………副主査
特任教授（学術ネットワーク研究開発センター）
客員教授（学術ネットワーク研究開発センター）准教授（情報社会相関研究系）
特任准教授（学術ネットワーク研究開発センター）
特任准教授（学術ネットワーク研究開発センター）
特任准教授（学術ネットワーク研究開発センター）
助教（アーキテクチャ科学研究系）
基盤企画課長
基盤企画課専門員
基盤企画課係長（連携システムチーム）

8

UPKIの基本アーキテクチャ
 ３階層のPKI (Public Key Infrastructure)による役割分担と連携
オープンドメインPKINII
Pub CA(大学外も含む認証)
WebｻｰﾊﾞWebｻｰﾊﾞWeb Srv.

署名・暗号

Other
Pub CA

S/MIME
S/MIME
S/MIME

WebｻｰﾊﾞWebｻｰﾊﾞWeb
Srv.

z サーバ証明書
z S/MIME

S/MIME
S/MIME
S/MIME

海外連携

キャンパスPKI（大学間の認証）
学内PKI

グリッドPKI(グリッドのための認証）

認証・署名・暗号A Univ.
CA

大学間認証

学内用
学内用
EE

Proxy
Proxy
Proxy

EE EE

B Univ.
NAREGI CA

EE

Proxy
Proxy
Proxy

z 身分証明書

学内用
学内用EE

学内PKI

A Univ.
NAREGI CA

認証・署名・暗号B Univ.
CA

EE EEグリッドｺﾝピューティング

EE

z 無線LANz 事務ペーパレス

z グリッドコンピューティング9

1.2 主なUPKIプロジェクト（1/2）
項番事項「UPKI共通仕様」
１ の作成と配布
オープンドメイン認証局の構築とサー２
バ証明書の発行
大学間無線LANローミングの実現
３（東北大学が中心）

内容

A大学
認証局

共通仕様の作成により
A大学とB大学の認証 B大学認証局局の認証連携を実現「UPKI共通仕様」の利用により大学での・学内認証局の構築
・CP/CPS等の規程の整備が容易に実現可能に

オープンドメイン認証
サーバ証明局の構築により，全書の発行
世界に通用するサーNII認証局のバ証明書を発行し，承認
NIIオープンド
Webサー 大学のWebサーバ
Web Trust メイン認証局
バの実在性証明と通信の構築
CAの暗号化を実現

A大学

海外の大学

B大学
C大学

eduroamによる大学間無線LANローミングを実現。海外のeduroam参加機関との連携も実現

10 主なUPKIプロジェクト（2/2）
項番事項

内容

コンテンツサービスのシング
ルサインオン仕様検討
４

５※昨年の1月の京大セミナーで紹介

IDFF
コンテンツサービス

SAML2.0

1つのIDで複数のDBにアクセス

オープンソースの認証局ソフトウェアあるNAREGI-CAを用いて，認証局を簡単に構築し，無線LAN認証を容易に実現できるソフトウェアを開発

NAREGI-CAを利用した認証
局ソフトウェアパッケージの開発
LDA
P

S/MIME証明書の試験利用
６

shibbol
eth

各種データベースサーバへのシングルサインオンを実現する
ため，shibboleth, SAML2.0等の仕様を調査し，UPKIにふさわしい方式を検討

RADIU
S

NAREGICA

これにより，大学の認証局構築
無線LAN を促進する
AP

S/MIME対応メーラーの調査

電子署名付きメール，メールの暗号化の実現

S/MIME証明書を，認証関係者間で試験利用するとともに，対応メーラーの調査，WebメールでのS/MIME利用の調査研究を実施

11

 UPKI Activities（ｱｰｷﾃｸﾁｬ上にﾏｯﾋﾟﾝｸﾞ）
NII Pub CA
Open
サーバ証明書DomainWeb
ｻｰﾊﾞ
S/MIME
発行ＰＪWeb
ｻｰﾊﾞ
S/MIMEWeb
Srv.
S/MIME
UPKI PKI

今日
推進体制
ご紹介
CampusA Univ.
CA
PKI 大学向け認証局

Auth, Sign, Encrypt.

A Univ.
NAREGI CA
Proxy

Proxy
Proxy

EEEE

EE

NAREGI-CA
Proxy
機能拡張
Proxy

Server, Super Computer

大学間無線LAN
ﾛｰﾐﾝｸﾞ（Eduroam）
学内用
学内用
EE

B Univ. Grid Computing
NAREGI CA

ProxyServer, Super Computer
Student, Faculty

Sign, Encrypt.

Auth, Sign, Encrypt.
B Univ.
CA

UPKI
共通仕様

学内用
スタートパックEE学内用

NAREGIPKIOther Pub CA

S/MIME証明書のWeb
ｻｰﾊﾞ
S/MIME
試験利用ｻｰﾊﾞS/MIME
S/MIME
WebWeb
Srv.

EEEE

EE

Student, Faculty

11

12

 UPKI構築の全体スケジュール
２００６年
UPKI
イニシアティブ

２００７年

発足

大学のサーバ証明、S/MIME

学内認証局 調達仕様ガイドライン
学内認証局のCP/CPSｶﾞｲﾄﾞﾗｲﾝ
アプリケーションの調査、構築、実装
無線LANローミング

アプリケーション
開発・相互運用

シングルサインオン

認証局
ソフトウェア

２００９年以降・仕様(案)の提示・導入事例の公開、仕様(案)への意見・要望・情報の共有・意見交換

オープン
認証

UPKI
共通仕様

２００８年

認証局ソフトウェア
パッケージの開発

認証局ソフトウェアパッケージの配布、導入支援

Now

・各大学の認証基盤導入
・各大学との相互接続
・アプリケーション
サービス連携・社会産学連携の本格的運用

1.3 UPKIイニシアティブ•

UPKIの相互運用性，利用促進に関しての意見交換や技術的な検証を行う場として設立（2006年8月16日）•運営主体は認証作業部会•UPKIイニシアティブの活動は，主にホームページ上のUPKIポータルを使用（https://upki-portal.nii.ac.jp/）•

ポータル内にフォーラムを設置し，テーマ毎に議論を実施•

オフラインでのキャラバン等（H19.10：東北、12：東京、京都、広島、名古屋、H20.1：福岡、2:札幌、等）

UPKIイニシアティブのポータル画面

13

14

目次
１．UPKIの概要
1.1 計画概要
1.2 主なプロジェクト
1.3 UPKIイニシアティブ
２．UPKI共通仕様
2.1 背景・目的・位置づけ
2.2 キャンパスＰＫＩモデル
2.3 キャンパスPKIガイドライン概要
2.4 まとめ15

2.1 背景z 大学間連携の必要性– リソース共有、コンテンツ共有

少子化と全入時代
大学の財政基盤（1%シーリング）• グリッド、電子図書館、e-learning、…

– 学生・教員の流動化への対応：• 単位互換、共同研究、非常勤・客員の扱いなど

z 情報セキュリティ対策– セキュリティレベルの向上• ポリシー・実施手順の見直しとの連動『政府機関の情報セキュリティのための統一基準』への対応
大学によって異なるセキュリティポ
リシ– 導入・開発コストの削減z 産学連携、地域連携、…への展開
企業と大学との組織間連携強化– 国際標準への対応、標準化への貢献 地域連携、知的クラスタの促進– 学術以外の様々な認証基盤との連携• オープンドメインPKI、GPKI関係、海外PKIなど

16

 目的
「UPKI共通仕様」では、各大学において、キャンパスPKIを導入する際の参考となる共通仕様（キャンパスPKI調達仕様、CP/CPSガイドライン）を作成し、大学へのキャンパスPKI導入を促進するとともにPKI導入に対する将来の連携性確保*やコスト削減**等を狙いとするものである。
＊：連携性確保¾大学間の相互運用性を考慮した共通仕様の採用¾保証レベルの平準化 ⇒連携時の情報セキュリティの問題を解消＊＊：コスト削減¾キャンパスPKI導入検討コストの削減¾CP/CPS策定コストの削減⇒各大学での認証局構築における金銭的・人的コストを低減

ガイドライン公開によりキャンパスPKI導入を促進！！

17 位置づけ（アーキテクチャ）
キャンパスPKI共通仕様
キャンパスPKI共通仕様
NII
Pub CAｵｰﾌﾟﾝﾄﾞﾒｲﾝ
PKI
WebｻｰﾊﾞWebｻｰﾊﾞWeb Srv.

S/MIME
S/MIME
S/MIME

ｷｬﾝﾊﾟｽ
PKI

学内用
学内用
EE

キャンパスPKI

グリッド
PKI

ｻｰﾊﾞ、
ｽﾊﾟｺﾝ

WebｻｰﾊﾞWebｻｰﾊﾞ
Web
Srv.

認証・署名・暗号A Univ.
CA

学生、
教職員

EE EE

S/MIME
S/MIME
S/MIME

学内用
学内用
EE
B Univ.
NAREGI CA

EE

Proxy
Proxy
Proxy

ｻｰﾊﾞ、
ｽﾊﾟｺﾝ

認証・署名・暗号B Univ.
CAキャンパスPKI

A Univ.
NAREGI CA

Proxy
Proxy
Proxy

署名・暗号

Other
Pub CA

EE EE

学生、
教職員

グリッドｺﾝピューティングEE 位置づけ（適用領域、目的等）
オープンドメイン
PKI

18

UPKI共通仕様の検討対象

キャンパスPKI

グリッドPKI

適用領域

インターネット

各大学内

全国共同利用センター

目的

インターネット上での認証、署名・暗号など

学内NW・システムへの安全なアクセス

計算機資源の安
全な共有

用途

主にSSL/TLS認
証、その他
S/MIME署名・暗号など

Web SSO、VPN、無線LAN（802.1X）、申請・署名アプ Proxy証明書の発リ（身分証明書、事務ペー 行など
パレス化等）

証明書発行対象

サーバ、自然人など

教職員、学生、学内サーバなど

各地域の計算機資源、計算機利用者など

信頼者（Relying Party)

不特定多数？

主に学内関係者

計算機利用者

認証局の運用オープンドメイン
認証事業者など

アウトソース 、インソース

全国共同利用センター

19 スケジュール（案）z 段階的に展開（３年計画）– まずはキャンパスPKI共通仕様（ｱｳﾄｿｰｽﾓﾃﾞﾙ）を作成（H18年度）– H19年度以降、順次モデルの拡充を予定– 成果に関しては、順次、UPKIイニシアティブ※で公開（※：https://upki-portal.nii.ac.jp/upkispecific）

H18年度

H19年度

H20年度

ｷｬﾝﾊﾟｽ
PKI
調達仕様

アウトソースモデル

インソースモデル

共同利用モデルCP/CPS
ｶﾞｲﾄﾞﾗｲﾝ

アウトソースモデル

H21年度以降

UPKI本格運用
各大学とNII相互接続
UPKIとアプリの連携などインソースモデル

共同利用モデルz 今年度は、インソースモデルに着手、作成中（京都大学にもご協力をいただいております）

20

2.2 キャンパスＰＫＩモデル
NII
Pub CA

ｵｰﾌﾟﾝﾄﾞﾒｲﾝ
PKI
WebｻｰﾊﾞWebｻｰﾊﾞWeb Srv.

S/MIME
S/MIME
S/MIME

ｷｬﾝﾊﾟｽ
PKI

学内用
学内用
EE

キャンパスPKI

グリッド
PKI

ｻｰﾊﾞ、
ｽﾊﾟｺﾝ

WebｻｰﾊﾞWebｻｰﾊﾞ
Web
Srv.

学生、
教職員

EE EE

学内用
学内用
EE
B Univ.
NAREGI CA

EE

Proxy
Proxy
Proxy

ｻｰﾊﾞ、ｽﾊﾟｺﾝ

認証・署名・暗号B Univ.
CAキャンパスPKI

A Univ.
NAREGI CA

Proxy
Proxy
Proxy

S/MIME
S/MIME
S/MIMEキャンパスＰＫＩの対象部分

認証・署名・暗号A Univ.
CA

署名・暗号

Other
Pub CA

EE EE

学生、
教職員

グリッドｺﾝピューティングEE21 PKIの主な構成要素：
証明書、認証局、リポジトリ、加入者、利用者
基本領域 バージョン番号(v3)
シリアル番号
署名アルゴリズム
発行者識別名
有効期間
主体者識別名主体者公開鍵情報

拡張領域 拡張名(OID)
タイプ、値

証明書：鍵ペアの所持者であることを保証した情報。X.509 標準に準拠する公開鍵証明書

ＣＡの署名

認証局：証明書を発行する認証機関を指す。認証局（CA ）はユーザの身元と鍵ペアの所有を確認し、その公開鍵証明書を発行
リポジトリ：証明書や、証明書の状態に関する情報（失効情報等）等を利用者（リライングパーティ)への情報提供

加入者（サブスクライバ）：¾ 認証局から証明書を発行されたエンティティ¾ 証明書に記載された公開鍵に紐づけられた秘アイ
密鍵を持つ。

利用者（リライングパーティ）：¾ サブスクライバの証明書を検証するエンティ
ティイチロー 認証局 （CA: Certification Authority)z 基本機能：¾ 公開鍵暗号利用時に、その公開鍵が確かに加入者（サブスクライバ）本人のものであることを証明するための「公開鍵証明書」を発行／管理する¾ 要求に応じて証明書を配布する¾ 証明書の失効リスト（CRL）を管理する
z 主な構成要素：¾ 発行局（IA）：証明書を発行する機関¾ 登録局（RA）：電子証明書発行の申請者の本人を確認し、主として登録業務を行う
機関

リポジトリ

発行局
（IA）

登録局
（RA）

22

23

 認証局の一般的な運用モデル（その１）
運用先
運用先
モデル

運用形態

IA：
IA：
発行局
発行局

RA：
RA：
RA：
登録局
登録局
登録局

LRA：
LRA：
LRA：
登録端末
登録端末
登録端末

ICカード発行
ICカード発行
ICカード発行

アウトソース
アウトソース

全てのサーバ全てのサーバをアウトソース
をアウトソース

○
○

○
○

○
○

○
○

インソース

全てのサーバをインソース

●

●

●

△

○：アウトソースする、●：インソースする、△：オプションでアウトソースする※ 共同利用モデルは、いろいろな形態が考えられるが、基本的には、上記の組み合わせとなると想定される。
※ ICカードは、証明書格納媒体として耐タンパ性と持ち運びの容易さ、身分証としての役割、大量発行等を鑑み、活用メリットのあるリソースであることから、運用モデルの検討範囲として入れている。

 認証局の一般的な運用モデル（その２）
アウトソースモデル
学内

アウトソース先IARA（登録局） （発行局）

インソースモデル
学内IARA（登録局） （発行局）

アウトソースモデルから検討着手（H18年度）

24

25

 キャンパスＰＫＩモデル（アウトソース編：H18年度成果）
 先行大学の調査
調達仕様に関して認証局システム及びICカード、認証業務をアウトソースにて調達を実施する上で重要なポイントを示し、その主なポイント毎に先行大学の調達仕様書の規定内容について比較した結果を示す。
CP/CPSに関して相互運用性を確立する上で重要なポイントを示し、そのポイント毎に先行大学のCP/CPSの規定内容について比較した結果を示す。

26

 主な調査結果（調達仕様編）
A大学①認証局階層構造

セルフサイン証明書を持つ認証局。階層構造を持たない

B大学

考察

ルート認証局、中間認証局（発行認証局）からなる階層構造を持つ

運用上、特に階層構造を持つ必要性が低ければ、セルフサイン証明書を持つ認証局を前提にした方が良い発行局（IAサーバ）の運用のみ外部に委託する

委託先に期待するホス
ティングサービスの内容、稼動実績、サービスレベル等について調達仕様書に明記することが必要である②アウトソース範囲

発行局（IAサーバ）及び登録局（RAサーバ）の運用を外部に委託③ 発行対象者と証明書利用用途

両大学とも、発行対象者は人（教職員、学生、その他大学が認めた者）としている。共通の証明書の利用用途は、以下の通りである
・Webポータルや無線LAN、VPN、SSOにおけるクライアント認証の用途
・スマートカードログオン（Windows、MacOS、Linux）の用途

27 主な調査結果（CP/CPS編）
A大学

B大学

考察

①利用者の本人確認と審査登録

z両大学共に利用者の本人確認は入学時、あるいは採用時に行われ、その時に入手したデータがデータベースに登録されている。

②利用者の鍵ペア生成と格納媒体

z両大学共にアウトソース先のサーバ内において利用者の鍵ペアを生成し、鍵ペア及び証明書の格納媒体としてICカードを利用している。IC
カードは入館証や身分証明書の役割も果たしている。
zまた、鍵ペアの生成については、認証局設備と同等の設備内で内部けん制の働く環境において行われるべきであり、両大学においてもアウトソース先の安全なファシリティ内で複数人コントロールの下で実施されている。

③利用者への配付

z両大学共に利用者への配付はオリエンテーション時や窓口にて対面で実施されている。券面に印字された顔写真等を元に本人確認される。A
大学については、ICカードの配付と同時に誓約書を利用者に提出させ、学内の情報セキュリティ規則への遵守及び証明書の受領について同意させる方法を用いている。

28

 調査結果（アウトソースモデル）（その１）
二段階のアウトソースモデル
運用先モデルアウトソース運用形態

フルアウトソースIA
アウトソース

IA：

RA：

LRA：

発行局

登録局

登録端末

○○

●△○●●△

ICカード発行※ ○：アウトソースする、●：インソースする、△：オプションでアウトソースする

29

 調査結果（アウトソースモデル）（その２）
フルアウトソースモデル
アウトソース先学内IARA（登録局） （発行局）

IAアウトソースモデル
アウトソース先学内RA（登録局）

IA（発行局）

2.3 キャンパスPKIガイドライン概要30

アウトソースモデルを対象に、先行大学の調査結果を踏まえて、キャンパスPKI共通仕様として以下に示すガイドラインを作成した。
(1)作成にあたって：キャンパスPKIガイドラインの作成にあたっては、以下の点に留意した。
¾各大学の調達・設計における参考資料、たたき台、雛形として活用できること¾必ずしも準拠性を求めるものではないが、将来的に相互接続を想定している場合には本仕様に準拠することが望ましい(2)ガイドラインの構成：ガイドラインの構成は、下記のとおり。
キャンパス
PKI共通仕様(1)ガイドライン利用の手引き(2)キャンパス PKI 調達仕様ガイドライン①キャンパス PKI調達仕様ガイドライン編②キャンパス PKI調達仕様テンプレート編(3)キャンパス PKI CP/CPSガイドライン①キャンパス PKI CP/CPSガイドライン編②キャンパス PKI CP/CPSテンプレート編
ダウンロード先：https://upki-portal.nii.ac.jp/upkispecific ガイドラインの利用法（利用の手引き）① 「キャンパスPKI CP/CPSテンプレート」、「キャンパスPKI 調達仕様テンプレート」を各大学にて編集し利用することを想定。
② テンプレートとして、フルアウトソースモデル、IAアウトソースモデルの2種類を用意。
③ 各大学はこれらのモデルから各大学の運用方針に適するものを選択して用いることとする。
④ 具体的なテンプレートの利用方法としては、認証局構築モデルを選択後、各テンプレート内の空欄を認証局の運用方針、予算、証明書利用用途に従い項目毎に取捨選択及び空欄を補充することとする。
⑤ 各大学において本「キャンパスPKI CP/CPSテンプレート」、「キャンパスPKI調達仕様テンプレート」の改変は自由に行えるが、将来の大学間連携を見据えて、認証局のポリシーレベルを合わせる観点からも、各大学では最小限の改変に留めることを推奨する。

31

 主な記述内容（調達仕様ガイドライン）
鍵管理者、システム管理者(1) IAシステム要件
耐タンパ装置(2) RAシステム要件(3) RAサーバアプリケーション要件
認証局サーバ（IA/RA）(4) 登録アプリケーション要件(5) 認証基盤リポジトリ→Webサーバ要件、LDAPサーバ要件、OCSPレスポンダ要件(6) アウトソース及びインソースでのファシリティ、その他の要件→IA/RAサーバの運用をアウトソースする場合→IAサーバの運用をアウトソースする場合→ICカード発行業務をアウトソースする場合＊（オプション）(7) ICカードに関する要件＊（オプション）(8) 認証局運用規程及び運用手順書の提供(9) 保守、トレーニング要件(10)費用32（実際の）調達仕様ガイドラインでの記述例
3.2.2 RAサーバアプリケーション要件(2)ログ収集機能★登録局サーバを操作した全てのログについて操作日時、アクセス元端末特定情報、操作者、操作時刻、リクエスト先、イベント内容、リクエスト結果が分かる記録を取得できること★操作者を認証し、ログの検索、参照を可能とすること★ログの改ざん検知が可能であること(3)個人情報連携機能★利用者の情報を予め信頼しているデータベース等と照合するかCSV形式で入出力し、その存在性、同一性の確認ができること(4)メールによるサーバ証明書配付、通知機能☆指定された申請者のメールアドレスに対し、証明書の取得方法、あるいは証明書ファイルを送付できること＊（主に機器に対して証明書を発行した場合で機器の管理者に対して配付する方法として）本ガイドラインでは、認証システム及びICカードに関して必要（★）、ある方が望ましい（☆）、と思われる要件を示す。各大学の要件に応じて追加すべき内容及び相互認証を行う上で将来的に調整が必要な内容が含まれることに留意すること。

3334

 CP/CPS（運用ポリシー）
z CP：証明書ポリシー– 証明書を発行する際の基準。
身元確認方法や鍵ペアの生成方法、想定するアプリケーションなどを記述したもの。
一般的には、証明書を発行する
公開認証局毎に定義して用いる。

z CPS：認証局運用規定– CPの要件を満たすために、認証局がどのような運用を行うかを規程したもの

認証局CP/CPS
信用利用者

CP : Certificate Policy
CPS: Certification Practice Statement

35

 主な記述内容（CP/CPSガイドライン）
本CP/CPSの記述内容は、先行大学からの調査結果に加え、RFC3647（CP/CPSのフレームワークを規定）を参考に記述している。主な内容は、下記のとおり。
(1) 概要(2) 公開とリポジトリの責任(3) 本人性確認と認証(4) 証明書のライフサイクル(5) 設備、管理、運用上の統制(6) 技術的セキュリティ管理(7) 証明書、失効リスト、OCSPのプロファイル(8) 準拠性監査とその他の評価(9) 他の業務上の問題及び法的問題(10）証明書、ARL/CRLプロファイル例

CP/CPS36（実際の）CP/CPSガイドラインでの記述例
4.1.1 概要【解説】
本節では認証局の名前、サービス名、大枠のサービス内容、相互認証を行う等の宣言を行い、認証局の概要について記す。また、相互認証の方式についても簡単に定義しておくことが望ましい。
【記述例】
1 はじめに○○電子認証局は、○○大学により運営され、○○大学内及び大学間のサービスにおける電子認証のために必要となる電子証明書（以下、「証明書」という）を発行する。
本文書において、「○○ 電子認証局（以下、「本認証局」という）」の権利または義務は国立大学法人たる○○大学 に帰属することを意味する。
本認証局は、大学間のサービスを共有するために相互認証接続を行う 。

上記のように、ガイドラインの各章において、それぞれ解説と記述例を示し、理解し易いようにしている。

 ダウンロード先37

https://upki-portal.nii.ac.jp/upkispecific

一括ダウンロードがお薦め38

2.4 まとめUPKI共通仕様の計画¾H18年度から3年計画
キャンパスＰＫＩモデル¾二段階のアウトソースモデル化
共通仕様（アウトソース）ガイドライン作成¾調達仕様ガイドライン、テンプレート¾CP/CPSガイドライン、テンプレート
UPKIイニシアティブに公開中¾H19/6/6～：UPKI共通仕様書（ｱｳﾄｿｰｽ）を公開¾H20/3末～：ｲﾝｿｰｽ編を公開予定