紹介

学認始めました永井孝

幸＊ 1、山岡裕

美＊ 2nagai@kit.ac.jp ＊ 1、yamaoka@kit.ac.jp ＊ 2
1.

はじめに大学の認証基盤が適切に運営されていなければ京都工芸繊維大学は「学術認証フェフェデ本来利用資格を持たない第三者が不正に電子レーション（学認）」の運用フェデレーション

ジャーナルにアクセスできてしまうことになりへの参加手続きを 2017 年 5 月に終え、学認でます。もし学外サービスのセキュリティが適切提供される各種サービスを利用できるようになに保たれていなければクラッカーなどの攻撃にりました。本稿では学認の仕組みと利用できるよって乗っ取られてしまい、利用者が気付かずサービスについて紹介します。に偽サイトに誘導されてしまうという被害を受けることも考えられます。そのため、学認で2.

学認とはは認証連携に用いる技術・セキュリティ水準

学認とは、国立情報学研究所（NII）と大学に関して「学認技術運用基準」を定め、基準等の学術機関、学術サービスを提供する大学・を満たす機関だけが参加できるようになって企業・出版社によって構成される「学術認証います［2］。

フェデレーション」のことで、各組織のユーザ認証基盤を使って学外の学術サービスを安全に2.1利用できるようにするための仕組みです。

サービスを提供するサーバと認証基盤が同じ学認を支える技術

学外のサービスを利用する際、それぞれの大学の中に存在する場合は、学内ネットワークサービスにユーザアカウントを登録してパスに閉じて認証情報をやりとりします。これに対ワードを発行するというやり方は手間がかかる

し学認ではインターネットを介して大学の認証だけでなく、パスワード情報を外部サービスに基盤と学外サービスの間で認証情報をやりとり預けることから、外部サービスで情報漏洩が起するため、認証情報の盗聴や改ざん、詐称に対きた場合に自分のパスワード情報が漏洩するリして強い仕組みを用いる必要があります。

スクも抱えることになります。学認の提供するこのような要求を満たす認証連携方式として、認証連携の仕組みを用いることでこれらの問題

学認では SAML（ Security Assertion Markupを避けることが出来ます［1］。

Language ）認証［3］を用いています。SAML

学認の枠組みでは関係者間の信頼関係が重要

認証ではユーザに関する情報を IdP と SP の間になります。学外サービスの提供者（Serviceで XML 形式のメッセージとしてやりとりしまProvider, 以下 SP）は各大学のユーザ認証基盤すが、各メッセージに対して暗号化・電子署名（Identity Provider, 以下 IdP）が適切なユーザを施すことで盗聴や改ざん、詐称を防いでいま認証を行うことを前提として学術サービスを提す。各 SP はユーザ認証が必要になった時点で供し、各大学は学外サービスのセキュリティがIdP にユーザ認証を依頼し、ユーザ認証の結果適切に保たれていることを前提としてサービス（ユーザ ID と SP に要求されたユーザ属性）だを利用します。学認上で提供される代表的なけを受け取ります。このため、パスワードに関サービスに電子ジャーナルがありますが、もしする情報を外部サービスに渡すこと無く認証を行うことができます。また、認証結果として外＊1

情報科学センター＊2

高度技術支援センター

准教授
技術専門職員部サービスに返すユーザ ID には匿名化 ID を用いるのが標準です。匿名化 ID とは本人を特− 10 −京都工芸繊維大学情報科学センター広報定することが困難となるようにハッシュ関数なます。

どを用いて生成された ID のことで、外部サー現状、情報科学センターのサービスを利用す

ビスの管理者が利用者を特定できないようにする時は「CIS アカウント」を使ってユーザ認証るために用いられます。もし学内でのユーザを行っていますが、この CIS アカウントは学

ID をそのまま外部サービスに送り返すと個人部生・院生・教員・職員などの「身分」に対し特定につながりプライバシーが侵害される恐れて発行されています。このため、学部から大学があります。匿名化 ID を用いればこの心配は院に進学したり、TA に採用されたりした時にありません。

は新しい CIS アカウントが割当てられ、1 人で複数の CIS アカウントを持つことになります。

2.2

運用フェデレーション参加までの道筋

同一人物がどの CIS アカウントでログインしSAML 認 証 に 対 応 し た 認 証 サ ー バ の 実ても同じ匿名化 ID に読み替えられるようにす

装 は Internet2 プ ロ ジ ェ ク ト で 開 発 さ れ たるには、発行済みの CIS アカウントがどの人Shibboleth［4］が代表で、学認技術運用基準物に対して発行されたものかをデータベース化

で も Shibboleth の 利 用 が 推 奨 さ れ て い ま す。

すればよいのですが、データベース化するに最 近 で は Shibboleth 以 外 に SimpleSAMLphp、は個人を一意に識別するための ID が必要です。

OpenAM、CAS 等 の オ ー プ ン ソ ー ス ソ フ ト

ここでしばらく足踏み状態だったのですが、個ウ ェ ア で も SAML 認 証 を 利 用 で き る よ う に

人識別用 ID として 2015 年度末に「統一アカなってきていますが学認技術運用基準を全て満ウント」が策定され、CIS アカウントと個人のたすには足りない部分があり、学認に参加する対応付けデータベースを整備するための土台がには Shibboleth を使って認証サーバを構築す整いました。この統一アカウントは「生涯メーることが避けて通れません。

ルサービス」のアカウントとして用いるために京都工芸繊維大学では 2010 年度に System8策定されたものですが、学認用の認証基盤ではを導入した時点で全学の認証基盤としてこの統一アカウントを元にして匿名化 ID を自Shibboleth を導入していました。ところが、今動生成しています。

回の学認参加までに 7 年かかっています。これ

次の壁は法律への対応です。国立大学法人のは何故かというと認証連携を実現するには技術

場合、個人情報の取り扱いは「独立行政法人等要件を満たす認証サーバだけでなく、ユーザアの保有する個人情報の保護に関する法律」［5］

カウントの発行管理や利用規程の整備も含めたに準じます。学認の場合、サービスによっては組織全体での体制作りが必要になるためです。

ユーザ属性として電子メールアドレスを利用し体制作りの上で最初の壁になるのが学認で利ますが、個人が特定できる電子メールアドレス用するユーザ ID の割当てです。先ほど説明しは個人情報に該当するため、利用者に無断で外たように学認では匿名化 ID を用いますが、「同部サービスに利用することは禁止されています。

一人物に対して同一の匿名化 ID を割当てるこサービスを利用する前に利用者から明示的に許と」が条件となっています。学認への参加条件

諾を得る必要があります（いわゆるオプトインを満たすには、学認サービス用の匿名アカウン方式）。また法律ではありませんが国立大学にトを新たに全員に配付して使ってもらうこともおいても「政府機関の情報セキュリティ対策の考えられますが、匿名化 ID は覚えにくく、アための統一基準」［6］に基づいたセキュリティカウント情報の配付やパスワード管理の手間を対策を行うことが求められており、認証基盤自考えるとできれば避けたいところです。既存の体のセキュリティ対策だけでなくサービス運用ユーザアカウントで Shibboleth にログインし、規程の整備も必要です。

学認のサービスを使うときには自動で自分用の学術認証フェデレーションに関する規定とし匿名化 ID に読み替えるようになっている方がて 2017 年に「学術認証フェデレーション認証便利です。そこで、既存アカウントと学認サー連携サービス運営ポリシー」「ユーザ属性情報ビス用の匿名化 ID の対応表を作ることになりの外部送信に関する同意取得実施手順」［7］を№ 36

2017− 11 −

定め、「学認技術運用基準」を満たす認証サーバを新たに情報科学センターにて構築しました。
既存の Shibboleth サーバを学認に対応させるには統一アカウント情報との連携やオプトイン方式に対応するための改修が必要になりますが、2018 年度から新システム（System10）に切り替わることを考えて今回は新たな Shibboleth
月に学認への正式参加手続きを完了し、その後アカウント原簿の整備や認証連携動作の試験をサーバを内製することにしました。2017 年 5（4）ログインが完了しサービスを利用するこᏛㄆ㐃ᦠࢧ࣮ࣅࢫࡢ⤂௓とができます。

経て 6 月には本学が契約している学認対応電子ジャーナルを利用できるようになりました。また、今回構築した学認用認証サーバを用いることで、人事労務課が実施する「ストレスチェック」において、外部業者の提供する「クラウド型ストレスチェックシステム」の円滑な導入をᏛㄆ㐃ᦠࢧ࣮ࣅࢫࡢ⤂௓
実現しました。

Ꮫㄆ㐃ᦠࢧ࣮ࣅࢫࡢ⤂௓3.

学認連携サービスの紹介Ꮫㄆ㐃ᦠࢧ࣮ࣅࢫࡢ⤂௓Ꮫ㐃ㄆᦠ㐃ࢧᦠ࣮ࢧࣅ࣮ࢫ
ࣅࡢࢫ⤂ࡢ௓
⤂௓
利用できるサービス、利用手順について紹介ᏛㄆᏛㄆ
ㄆ㐃
㐃ᦠ
ᦠࢧ
ࢧ࣮
࣮ࣅࣅࢫ
ࢫࡢࡢ⤂⤂௓௓Ꮫします。

FaMCUs（テレビ会議多地点接続サービス）
https://famcus.nii.ac.jp/
対象：本学の教員・職員
サービス内容：テレビ会議用 MCU サービス

3.1

国立情報学研究所が提供するサービス

利用手順：

FileSender（ファイル共有サービス）（1）所属機関の をクリックし［京都工芸繊維

https://ﬁlesender.nii.ac.jp/大学］を選択し［選択］をクリックします。

対象：本学の教員・職員・学生
サービス内容：大容量ファイル転送サービス
利用手順：（1）ログインをクリックします。

（2）所属機関の をクリックし［京都工芸繊維大学］を選択し［選択］をクリックします。

（2）認証情報を入力し、サービスに送信される情報の確認、同意を行います。

（3）認証情報を入力し、サービスに送信される情報の確認、同意を行います。

− 12 −



京都工芸繊維大学情報科学センター広報

（3）ログインが完了しサービスを利用することができます。

3.2 出版社が提供する電子ジャーナルサービスᏛㄆ㐃ᦠࢧ࣮ࣅࢫࡢ⤂௓

以下の電子ジャーナルについて、学認による認証を行うことで学外からの利用時に VPN 接続が不要となります。

eduroam 認証連携 ID サービス
https://federated-id.eduroam.jp/

Nature Publishing Group

対象：本学の教員・職員

http://www.nature.com/

サービス内容：eduroam のアカウント発行

対象：図書館利用資格を満たす教職員・学生

利用手順：
利用手順：

（1）［ログイン］をクリックします。

（1）トップページ右上の［login］をクリックします。

（2）所属機関の をクリックし［京都工芸繊維

大学］を選択し［選択］をクリックします。

（2）［Login via your institution］をクリックします。

（3）認証情報を入力し、サービスに送信される情報の確認、同意を行います。
（4）ログインが完了しサービスを利用することができます。

№ 362017− 13 −（3）「Otherwise, please…」の項目にて［Japan］（2）［Other institution］をクリックします。

を選択し［Go］をクリックします。
［Go］ の ボ タ ン の 下 に リ ス ト が 表 示
さ れ ま す の で［Kyoto Institute ofTechnology］をクリックします。

（3）「Search for your…」 に て「kyoto」と 入 力 す る と［Kyoto Institute ofTechnology］がリストアップされます。
マウスポイントを当て［login］をクリックします。

（4）認証情報を入力し、サービスに送信される情報の確認、同意を行います。

（4）認証情報を入力し、サービスに送信される情報の確認、同意を行います。

（5）ログインが完了しサービスを利用することができます。

（5）ログインが完了しサービスを利用することができます。

ScienceDirect
http://www.sciencedirect.com/
対象：図書館利用資格を満たす教職員・学生
利用手順：（1）トップページ右上の［Sign In］をクリッ

クします。
Scopushttp://www.scopus.com/

対象：図書館利用資格を満たす教職員・学生
利用手順：
（1）トップページの［所属機関を選択してログイン］をクリックします。

− 14 −

京都工芸繊維大学情報科学センター広報（2）［Institutional login］をクリックします。

（2）「 所 属 機 関 を 選 択 し …」 に て「kyoto」と 入 力 す る と［Kyoto Institute ofTechnology］がリストアップされます。
マウスポイントを当て［login］をクリッ

クします。

（3）「kyoto」と入力すると［Kyoto Instituteof Technology］がリストアップされますので選択し［Log in］をクリックします。

（3）認証情報を入力し、サービスに送信される情報の確認、同意を行います。

（4）認証情報を入力し、サービスに送信される情報の確認、同意を行います。

（4）ログインが完了しサービスを利用することができます。

（5）ログインが完了しサービスを利用することができます。



WILEY ONLINE LIBRARY
http://onlinelibrary.wiley.com/

Royal Society of Chemistry

対象：図書館利用資格を満たす教職員・学生

http://pubs.rsc.org/en/journals

利用手順：

対象：図書館利用資格を満たす教職員・学生（1）トップページ右上の［Log in / Register］

利用手順：をクリックします。

（1）トップページ右上の［Log in / Register］をクリックします。

№ 36

2017− 15 −Ꮫㄆ㐃ᦠࢧ࣮ࣅࢫࡢ⤂௓

日経 BP 記事検索サービスアカデミック版
http://bizboard.nikkeibp.co.jp/academic/
対象：図書館利用資格を満たす教職員・学生
利用手順：（1）コンテンツを閲覧するとログインページ
が表示されます。［学認アカウントで利用する］をクリックします。

（2）［Find my institution］をクリックします。

（3）「Please choose …」にて［Gakunin］を（2）所属機関のをクリックし［京都工芸クリックすると画面上にリストが表

繊維大学］を選択し［選択］をクリック

示 さ れ ま す の で［Kyoto Institute ofします。

Technology］を選択します。

（3）認証情報を入力し、サービスに送信される情報の確認、同意を行います。
（4）認証情報を入力し、サービスに送信される情報の確認、同意を行います。
（4）ログインが完了しコンテンツを閲覧することができます。

（5）ログインが完了しサービスを利用することができます。

− 16 −京都工芸繊維大学情報科学センター広報3.3

Microsoft 社が提供するサービス

Microsoft Imagine Standard
https://kit-jp.onthehub.com/
対象：Microsoft Imagine 利用資格を満たす
教職員・学生࡛ヨసࡋࡓ
図 2 Azure for Students で 試 作 し た WordPressᅗ ࡛ヨసࡋࡓࢧ ࢖ ࢺ サイトࢧ࢖ࢺᅗ

図Microsoft Imagine Webᅗ 1 京都工芸繊維大学用ி㒔ᕤⱁ⧄⥔኱Ꮫ⏝ᅗ ストア
 ி㒔ᕤⱁ⧄⥔኱Ꮫ⏝

Microsoft Imagine に は ソ フ ト ウ ェ ア を オࢫࢺ࢔ࢫࢺ࢔MicrosoftImagine Standard で は Microsoft

ンライン配付するための「ELMS（ElectronicAzure for Students、Windows Server、SQL

License Management System）Web ス ト ア 」

Server に加えて Visual Studio 等の開発ツールと呼ばれる仕組みが用意されており、学認をを利用することができます。Microsoft Imagine

使った本人確認に対応しています。学認の運用

Premium で は こ れ に 加 え て Windows10 等 のフェデレーション参加に合わせて京都工芸繊維

クライアント OS、Microsoft Visio、Microsoft大学用の Web ストア（図 1）を開設し、利用

Project、SharePoint Server 等の本格的なソフ

資格を満たすユーザが自分でソフトウェアをダトウェア開発ツールを利用することができます。

ウンロードできるようにしました。

学生・教職員は教育および研究目的であれば、Microsoft Imagine Standard の 利 用 資 格 がMicrosoft Imagine によって提供されるソフト

あれば Microsoft のクラウドサービスであるウェアを自分の PC にインストールすることが「Microsoft Azure for Students［10］」 も 無 償できます。

で利用することができます。Azure の全機能

ただし、Microsoft Imagine で提供されるソが利用できるわけではありませんが Web サー

フトウェアは教育・研究目的での利用に限られバやデータベースサーバを構築することがでていることに注意が必要です。事務局・情報セ

きますので、PHP や JavaScript を使った Webンター等での業務利用やインフラとしての利用アプリケーションを作成するには十分な機能は認められていません。例えば、学科のメールがあります。図 2 は動作テスト用に作成したサーバーやデータベースに用いることはできま

WordPress サイトの画面ですが、このようにせんし、商用システムや実稼動システムに用いCMS を使った Web サイトを作ることまでできることもできません。また、教職員についてもます。
「研究用にちょっとした Web アプリケー全員が利用できるわけではなく、科目担当者やションを作る必要があるけれども、サーバまで非商業的研究のために雇用された者など、教自分で用意するのは難しい」というような場合
Ꮫㄆ㐃ᦠࢧ࣮ࣅࢫࡢ౑࠸᪉

育・研究や学生の技術サポートに関与する教職に役に立つでしょう。

Ꮫㄆ㐃ᦠࢧ࣮ࣅࢫࡢ౑࠸᪉

員に限って利用が認められています［8］［9］。
4.

学認連携サービスの使い方
学認に連携したサービスを利用するには各サービスのログイン用ページにアクセスした後、ユーザ名・パスワードを入力し本人確認を行います。その後、引き続き各サービスの利用規№ 36

2017− 17 −

約・ユーザ属性送信の内容に同意する操作を行（2）認証情報を入力します。

う必要があります。（図 3）
本人確認から同意までの一連の流れについて、情報科学センター内に設置した動作テスト用サービスを例に説明します㸦 㸧 ࢧ ࣮ ࣅ ࢫ ࡢ ࣌ ࣮ ࢪ ࡬    ࢔ࢡࢭࢫ㸦 㸧 ࣟ ࢢ ࢖ ࣥ ࣌ ࣮ ࢪ ࡟ ࡚    ㄆド᝟ሗࡢධຊ
（3）学認利用規約を確認し同意を行います。

㸦 㸧 Ꮫ ㄆ ฼ ⏝ つ ⣙ ࡢ ☜ ㄆ 「利用規約に同意します。」にチェックを   ྠព㸦ึᅇࡢࡳ㸧

入れ［送信］をクリックします。
㸦 㸧 ࢧ ࣮ ࣅ ࢫ ࡟ ㏦ ಙ ࡉ ࢀ ࡿ    ᒓᛶ᝟ሗࢆ☜ㄆ࣭ྠព㸦 㸧 ࢧ ࣮ ࣅ ࢫ ࡢ ฼ ⏝ 㛤 ጞ 㸦 㸧 ࢧ ࣮ ࣅ ࢫ ࡢ ࣟ ࢢ ࢔ ࢘ ࢺ 

図3

学認連携サービスの使い方の流れ（1）動 作 テ ス ト 用 サ ー ビ ス に ア ク セ ス し［Login Test］をクリックします。
URL：https://idp.cis.kit.ac.jp/（4）サービスに送信される属性情報を確認し

同意を行います。初めてサービスを利用する場合、情報の送信に同意するかどうか、また次回ログイン時の確認について選択する必要があります。情報の送信に同意できない場合は［拒否］をクリックします。同意方法の確認については希望− 18 −京都工芸繊維大学情報科学センター広報⤊ࢃࡾ࡟⤊ࢃࡾ࡟⤊ࢃࡾ࡟の項目を選択しますが「このサービスに5.

終わりに送信する情報が変わった場合は、再度2010 年の Shibboleth 導入から 7 年を経て本チェックします。」を推奨します。最後

学でも学認上のサービスを利用できるようになに［同意］をクリックします。

りました。学内の認証基盤を使って学外サービスを安全に利用できるようにする仕組みは、今後インターネット上で提供されるクラウド型サービスを本学の活動に取り入れるうえで不可欠です。SAML 認証に対応した商用サービスには Amazon Web Service、Oﬃce365、GSuite、Box、Dropbox、Evernote 等があり、技術的には認証連携設定を追加するだけでこれらのサービスを本学の認証基盤を通じて利用することができます（サービスによっては SAML 認証を利用するための追加料金が必要になります）。
大学の認証基盤を用いてユーザ認証を行うことで、ユーザ本人が学内にいなくても本学に籍を有する者であることが保証できます。学内構成員にだけ利用を認める電子ジャーナルのようなサービスでは、学内ネットワークからのアクセスかどうかで利用を制限する方式がこれまで

（5）サービスの利用を開始します。動作テス用いられてきましたが、認証基盤を強化するこト用サービスでは、ユーザ属性を表示すとで学外からでも学内構成員としてアクセスでる画面に遷移します。

きるようになります。留学やインターンシップなどキャンパス外での活動が増えるにつれて、学内のサービスを学外から安全に利用するための仕組みが重要になっていきます。
2018 年 に 導 入 す る 次 期 シ ス テ ム System10
で は 全 学 の Shibboleth サ ー バ と 学 認 用 のཧ⪃ᩥ⊩Shibbolethཧ ⪃ ᩥ ⊩サーバを統合して使い勝手をよくすཧ⪃ᩥ⊩
るとともに、多要素認証を取り入れたセキュリ

ティの向上も実現する予定です。
6.

෌ᗘ（6）再度 https://idp.cis.kit.ac.jp/ にアクセス

参考文献［1］ Shibboleth に よ る 学 術 認 証 フ ェ デ レ ー

し Logout のリンクをクリックします。

ションへの参加メリット
https://www.gakunin.jp/fed/beneﬁt/［2］ 運用フェデレーション参加手続き
https://www.gakunin.jp/join/

production/［3］ Security Assertion Markup Language（SAML）v2.0
https://www.oasis-open.org/
standards#samlv2.0［4］ Shibboleth

№ 36

2017

− 19 −

https://www.internet2.edu/productsservices/trust-identity/shibboleth/

http://www.cis.kit.ac.jp/gakunin［8］ 教育機関向け Microsoft Imagine 利用ガ［5］ 独立行政法人等の保有する個人情報の保イドライン

護に関する法律h t t ps : / / w w w . m i c r o s o f t .c o m / ja - jp /http://law.e-gov.go.jp/htmldata/H15/

education/imagine-institutions.

H15HO059.html

aspx#guidelinesForInstitutions［6］ 政府機関の情報セキュリティ対策のため［9］ Microsoft Imagine よく寄せられる質問の統一基準、内閣サイバーセキュリティ

https://imagine.microsoft.com/ja-jp/

センター

institutions/faq

https://www.nisc.go.jp/active/general/［10］Microsoft Azure for Students

kijun01.html

https://imagine.microsoft.com/en-us/［7］ 情報科学センター Web「学認」

Catalog/Product/99− 20 −

京都工芸繊維大学情報科学センター広報