��♦♦♦♦♦♦� �♦♦♦♦♦♦����������������������������1

��1�����������������������������������������������������������������e-Learning ������� LAN ������������
�������������������� EC ����������������������������
���� ID ��������������������������������������������������������������������������������
���������� 20�30 ����������������������������������������������������������������������������������������������������������������������������������������������������������������������������������� ID ������������������������������������������������������������������������������������������������������������2����������������������������

1. ����������������
2. �� LAN ����������������������� (NIS�NT �������)3. ����������������������������� (LDAP�ActiveDirectory ���)4. ���������������� (�������������������)5. ������������������� (��������������� ID ���� (OpenID�OAuth)����������� (Shibboleth, OpenAM))
6. ��������� + ��������������������������� (�����)7. ������������������������ (��������)��������������������������������������������1������������ toyohiro@isc.kyutech.ac.jp27������ ���������� � 27 � 2015.3

��2.1�������������������������������������������������������������
������������������ (���������������) ����������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������
�������������2 �

利用申請・アカウント通知

ログイン，パスワード変更等

利用者
System-A(unix)

ログイン，パスワード変更等

System-B(unix)

System-C(windows)

利用者認証情報(password等)

認証情報(password等)

認証情報(password等)

アカウント登録・更新

管理組織
各システムで認証情報が同期しない� 1: ����������������2.2 1980 ���1990 �� : �� LAN ���������������������������������1980�1990 ��� UNIX ��������� (Sun SPARCstation ��EWS) ���������������������������������������������� (X��) � LAN �����������������������������������PC ������ PC �� OS ��������� (Microsoft Windows NT �) ����PC ���������������������������������������������
������LAN �����������������������������������������������������������������

• �������������������������������• ���������������������������������
���������������������������LAN ����������� (���) ��������������������
�����������������������������
��������������
�������������������UNIX ����� NIS(Network Information System�Sunmicrosystems ����)[1] ��Microsoft Windows ��� NT ������ (Microsoft ����)[2] ������������ LAN �������������������������������������������������������������������� PC ��������������������������������������������2������ ���������� � 27 � 2015.328

���������������������������������������������������������������������������������������������������

利用申請・アカウント通知

ログイン，パスワード変更等

利用者

利用者

System-B(unix)

System-A(unix)

ログイン，パスワード変更等System-C(windows)

認証情報
参照・更新
認証サーバ
(NT認証for windows)

認証サーバ(NIS for unix)

System-D(web app)

System-E(web app)

アカウント
登録・更新

管理組織

通信路が安全ではない

認証情報(password等)

認証情報(password等)

異なる認証サーバ間は同期しない

認証情報(password等)

認証情報(password等)

統合できないシステムが存在(Webアプリケーション等)

� 2: LAN ����������

2.3

2000 ���� : �����������������������������2000 ������������������������������������������������ (PC) �������������������������������������
����������������������������������������������
���������Web ���������������������3 ���� 2000 �����������������������������������������������������
���������������4 �����������LAN ���������������� (NIS � NT ������) �����
����������������������
LAN ������������������ �������������������������
�����������������(���������) ����������������������������������������������������������������������������������� ������������������������������������������������������������������������������������������������������������������������������������������ UNIX �����
�������������UNIX ��������������� Java �����������������OS ����������������������������� Web ����������������������� OS �����������������
41990 �������������������������������� telnet �����������������������������������
329������ ���������� � 27 � 2015.3

��Web �������������� ��������������Web ���������������������������������������� OS �����������������5 ��������������������������������������������
������������������������������������������������������������������������������������������������
����������������������������������������������
���������X.500(DAP) �������� [3]�X.500 ������������������
��������������������� LDAP(��� RFC4511�[4]) �������� (� 3)�
LDAP ����������������������LDAP ������������ (����)������������������� (������) ��������������������������� (���� ID ������) ��������������������������
���LDAP ����������������������������������������
����������� SSL �����������TCP/IP �����������������������������������������
���LDAP ���������������������������������������
���������� LDAP ���������������Web ����������������
�����������
����LDAP ��������������������������������Windows ������������������� Active Directory(AD)[5] ��LDAP ����������������������
NIS � NT �������� LDAP/AD ���������������������������
����6 �ログイン，パスワード変更等

利用者
ログイン，パスワード変更等

利用者

System-A(unix)

System-B(unix)

System-D(LDAP認証対応
web app)

System-C(windows)

System-E(AD認証対応
web app)

認証情報
参照・更新
(通信は暗号化)
認証サーバ(Active Directorymaster)

認証サーバ(LDAP master)認証サーバ(LDAP slave)

管理組織
アカウント登録・更新

認証情報(password等)
レプリケーション

認証情報(password等)

認証情報(password等)
レプリケーション

認証サーバ(Active DirectoryMulti master)

認証情報(password等)

異なる認証サーバ間は同期しない
登録すべき認証サーバが利用者ごとに異なる(手動処理の限界)� 3: �����������������������Web �������������������������� UNIX ������������� (Apache+�������+PAM ��) �������6����������������������2000 ������������� LDAP ��������5������ ���������� � 27 � 2015.330

��

2.4

2000 ���� : �����������������������������LDAP � AD ������������LAN �������������������������
����������������������������������� LDAP � AD ���������������������������������������������������
�����������������������������������������������
������������������������
�������� 3 ���������
1. LDAP����������������������������������� 8 �
2. AD, ���������������������������������� 8 �
3. LDAP������������������������������������ 1 ��� (��)������������������������������������������������• ���������������������• �������������������������• �������������������• �������������������������������������������������������������������������• �����������������• �����������������������������• ����������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������
������� 3 �����������������������������������������������������������������������������������������������������������������
����������������2000 ����������������� [6]��������
�������������� (� 4)������������������LDAP � AD �����
��� (������) ���������������������������� (ID ������)�������ID �����������������������������������������������������������������������������������������
��������������������������������ID ������������������������������������������
�� ID �������������� Web �������������������������
��� (��������) ��������Web ��������������������������������������������������������
������������������ ID ����������������� (LDAP�AD �) �������������������������������������������2009 ������������ (Sun Identity Manager) ������2014 ������������ (���UniﬁedOne) ��������7 �
7��������������������OpenIDM[7] ���������������������31������ ���������� � 27 � 2015.3

��

使うシステム毎にログインを求められる

利用者

パスワード変更等
ログイン

利用者

ログイン
System-A(unix)

System-C(windows)

System-E(AD認証対応
web app)

System-D(LDAP認証対応
web app)

パスワード変更等

フロントエンド

管理組織

System-B(unix)

認証サーバ(LDAP master)

認証サーバ(Active Directorymaster)

認証サーバ(学外システム等)

アカウント
登録・更新
認証情報(メタデータ)

プロビジョニングシステム

認証情報(password等)

認証情報(password等)

認証情報(password等)

認証情報配信・同期

認証情報を渡したくない状況への対応

アイデンティティ管理システム

� 4: �����������������������������

2.5 2000 �����2010 ���� : ������������������� (���������)����������������������������������������������������������������������������������������������������������������������� ������������������������������� (�������) �������������������������������������������������������������������������
������������������������������������������������������������ ����������������������������������������������������������
�������������������������������������������������������������������������������������������������������������������������������������������������������������������������
��������������������������������������������
��������������������������������������
������������������������������������������ (IdP�
Identity Provider������������)���idp ����������������������������������� (SP�Service Provider����������)�������������
���������������������������������� (SSO)������ (� 5)�
������������������������������ 2 ������������
1. ��������� ID ���� IdP ����SP ������� (��������� ID ���������)2. IdP � SP ������������������������� (�������������������)������ ���������� � 27 � 2015.3

32

��

利用者クライアント

7. 認証省略・認可後サービス提供

5. 認可・サービス提供

6.ログイン試行

1.ログイン試行

利用者
3. 認証システム
提示System-A(ServiceProvider)
2. 認証要求

System-B(ServiceProvider)

4. 認証結果・
属性返答

認証サーバ
(IdentityProvider) 認証要求・
返答

認証サーバ
(LDAP等)

認証情報(password等)

� 5: �������������������������������
����� ID ���� �������� facebook � Twitter ������������������
�������Yahoo!� Google ���������� (���������) �����������
��������������������������� (����� ID) ������������������� ID �������SMS ���������������������������
���������� ID ����������������������������������
��������������������������������������������� ID
���������������������
����������� ID ���������������������OpenID�OAuth�OpenIDconnect �������� [8, 9]�������������� ID �������������� (IdP)������� ID ���������������� SP �������������������SP ������������������ IdP ������������������������������ (� 6)����� SP ������������������������������
�����������
IdP �� SP ������������������������������OpenID ���
�IdP �
����������������������������������������������
���������������������OAuth �������������������������������������������������� (facebook � twitter �������) �������������SP ���������������������������������
��������������������������������OAuth �����������(��������������������) ���� OpenID connect ��������������
� IdP � OpenID connect ������������33������ ���������� � 27 � 2015.3

��

System-A
管理組織
加盟
申請

System-A(ServiceProvider)

System-B
管理組織

フェデレーションA

System-B(ServiceProvider)

System-C
管理組織

フェデレーションA

加盟
申請

フェデレーションへの加盟により，System-A,B : 認証サーバAによるSSO
System-C：認証サーバBによるSSO

フェデレーション
メタデータ
IdP
管理組織

フェデレーションA
管理組織

フェデレーションB
加盟
申請

メタデータ：
各システムのサーバ証明書(公開鍵)を主体としたデータの集合

メタデータ
配信

メタデータ
管理

System-C(ServiceProvider)

加盟申請

認証サーバA(IdentityProvider)

認証サーバB(IdentityProvider)フェデレーションB

フェデレーションA

メタデータ
配信
フェデレーション
メタデータ
IdP
管理組織

加盟申請

メタデータ
管理
フェデレーションB
管理組織

� 6: ����� ID �������������������������� ����� ID ������SP ����� IdP ����������������������������������������������� SP ������������������
������
�IdP � SP ���������� (��������)����������������
�����������������������������������������Shibboleth
� OpenAM �������� [10, 11, 12]�������������� ID ����������������� IdP �������� SP ��������������������������������� ID ��������������
����������������������������� IdP � SP ������������
��������������������������� IdP � SP ��������������
������������������ (� 7)�
���������������������������������������������
����������������������� (�� [13]) �����Shibboleth ��������
����������������������������������� IdP ���������
�����������������������127 � SP �������������� 22 �� IdP�������������������������������������� [14] ������
����

System-A
管理組織
加盟
申請

System-A(ServiceProvider)

System-B
管理組織

フェデレーションA

フェデレーション
メタデータ
IdP
管理組織

フェデレーションA
管理組織

System-C
管理組織

フェデレーションA

加盟
申請

メタデータ
交換

メタデータ
管理

System-B(ServiceProvider)

加盟申請

System-C(ServiceProvider)フェデレーションB
加盟
申請

フェデレーションへの加盟により，System-A,B : 認証サーバAによるSSO
System-C：認証サーバBによるSSO

認証サーバA(IdentityProvider)

認証サーバB(IdentityProvider)フェデレーションBフェデレーションA

メタデータ
交換
フェデレーション
メタデータ
IdP
管理組織

加盟申請

� 7: ���������������������������� ���������� � 27 � 2015.3

34

メタデータ
管理
フェデレーションB
管理組織

��

2.6

2010 �� : ��������� + ���������������������������

�������������������������������������������������������������������������������������������������������������������������������������������
�������������������������
�����Web ������������ SP ������������������ EC ��������� SP ���������������������������������������������������
�A: Web ����������
�B: ��������������
�C: ����
��������������������������������� (A,B) ��� (C) ������������������������������C ������������������������������������������������������������������
������������������������������������������������������
����������������������������������������������
�����������������������������������������������
�������������������������� (� 8�9)�
利用者クライアント

7. 認証省略・認可後サービス提供

5. 認可・サービス提供

6.ログイン試行

1.ログイン試行

利用者
3. 認証システム
提示

System-A(ServiceProvider)
2. 認証要求システムの重要度を考慮せず，SSO可能= 認証強度の切り替えが行えるべき

System-B(ServiceProvider)

4. 認証結果・
属性返答

認証サーバ
(IdentityProvider) 認証要求・
返答

認証サーバ
(LDAP等)

認証情報(password等)

� 8: �������������
������������������IdP ������������������������������������SP ������������������������������������ SP ��������SP � IdP �����������������������������IdP � SP �������������������������������������������������������������������������������������������
ID ���������������������������
������������ (�������������������)�����������������������8 �������������������������������������������������������
�����������������
835������ ���������� � 27 � 2015.3

��

利用者クライアント

10. 認可・サービス提供

5. 認可・サービス提供

6.ログイン試行

1.ログイン試行

利用者

System-A(ServiceProvider)
重要度小，要パスワード認証

2.
重要度(小)通知・
認証要求

System-B(ServiceProvider)
重要度大，要生体認証

4. 認証結果・
属性返答
7.
重要度(大)通知・
認証要求

9. 認証結果・
属性返答

認証サーバ
(LDAP等)

多要素認証対応
認証サーバ(IdentityProvider)

認証要求・
返答

認証情報
(password等)

� 9: ������������������
���������������� OpenAM ���������������Shibboleth �������������������������������

2.7 2010 ���� : ���������������������������������������������������������������������
�������������������������������� SP ������������������������������������������ (����) ����������������������������������������������������������������������
�����������������������������������������������������
�������������������������� (����������) ���������
����������������������������������������������
����������������������� (� 10)������������������������� OpenAM �������� [15]�

3����������

������������������������������������������������������������������������������������������������������������������������������������������������������������������������������� ���������� � 27 � 2015.3

36

��

利用者クライアント

14. 認可・サービス提供

7. 認可・サービス提供

8.ログイン試行

1.ログイン試行

利用者

System-A(ServiceProvider)
重要度大

重要度小

2.
重要度(小)通知・
認証要求

System-B(ServiceProvider)

6. 認証結果・
属性返答
9.
重要度(大)通知・
認証要求

多要素認証対応
認証サーバ

リスクベース
エンジン

利用者の振舞蓄積(IdentityProvider)

認証要求・
返答

3,10. 振舞，アクセス先等送信

13. 認証結果・
属性返答

認証サーバ
(LDAP等)

認証情報(password等)

4,11. リスク返答

� 10: ��������������������������������������������������������
������• ��� eduGAIN(https://wiki.edugain.org/) ���� ��������������������
������ eduGAIN[16] ����������������eduGAIN � SP ���� IdP �eduGAIN ���������������� IdP ������eduGAIN ��� SP ������
������
• Shibboleth � OpenAM ���� Shibboleth�OpenAM ���������������������������������������������������������������
�������������������OpenAM IdP ������������Shibboleth �������������������������� [17]�OpenAM �������������
��� Shibboleth ��������������������������������������������������
• ���������������� ID ��������������������� ID ��������������������������������������������Shibboleth�
SAML�OpenID Connect (OAuth) ��������������� (Gluu Server�http://www.gluu.org/gluuserver/overview/) ������������ [18]�
����������������������������������������������
����������������������� ID ���������������������
�������������������

37������ ���������� � 27 � 2015.3

��4

���

�����������������
�����������������������������
������������������������������������������ ID ������������������������������������������������
��������������������������������������������������������������������
��������������������������������������������������������������������������������������������
�������������������������
���������������������������������������������
����������������������������������������������
����������������������������������������������
�������������������������������
[1] Solaris Naming Administration Guide�Part I�Chapter 1 Introduction to Name Services�
http://docs.oracle.com/cd/E19455-01/806-1387/6jam6926b/index.html[2] Windows NT Server Product Documentation�Managing Windows NT Server Domains�
http://www.microsoft.com/resources/documentation/windowsnt/4/server/
proddocs/en-us/concept/xcp01.mspx?mfr=true[3] X.500 Directory standard�
http://www.x500standard.com/[4] Lightweight Directory Access Protocol (LDAP): The Protocol�RFC4511�
https://tools.ietf.org/html/rfc4511[5] Active Directory �����
http://technet.microsoft.com/ja-jp/windowsserver/bb466131[6] White Paper�Oracle Identity Management�
http://www.oracle.com/technetwork/jp/middleware/id-mgmt/
idm-tech-wp-11g-r1-334850-ja.pdf[7] OpenIDM - open source provisioning solution�
http://forgerock.com/products/open-identity-stack/openidm/[8] OpenID Foundation�http://openid.net/[9] What is OpenID Connect?�http://openid.net/connect/faq/[10] OASIS standards SAML V2.0 Standard�
https://wiki.oasis-open.org/security/FrontPage[11] OpenAM - open-identity-stack�
http://forgerock.com/products/open-identity-stack/openam/������ ���������� � 27 � 2015.338

��[12] Shibboleth - world’s most widely deployed federated identity solutions�
https://shibboleth.net/[13] ����������������������
http://www.gakunin.jp/[14] � ��������������������� (��) ������������������������ � 24 ��
http://www.isc.kyutech.ac.jp/kouhou/kouho24/pdf/kaisetu4.pdf �2012[15] �� ���OpenAM �������������
http://codezine.jp/article/detail/6853[16] The eduGAIN service�http://www.geant.net/service/eduGAIN/Pages/home.aspx[17] �������Shibboleth���OpenAM��������������������������
���
http://www.hitachi.co.jp/Div/jkk/kyoiku/casestudy/fukuoka/casestudy1.
html[18] gluu server�http://www.gluu.org/39������ ���������� � 27 � 2015.3