Microsoft Active Directoryの活用

山形大学大学院理工学研究科
山形大学 情報ネットワークセンター
伊藤智博
TEL 0238-26-3021, e-mail tomohiro_ito@ieee.org
https://upki.yamagata-u.ac.jp
資料は多めにつくってあります．

アジェンダ１．なぜ，Active Directory？
２．学認への参加，シボレスとADFS山形大学の特徴

山形市： 本部，基盤教育院，理学部，人文学部，地域教育文化学部，医学部
米沢市： 工学部
分散管理でも十分に対応できる
鶴岡市： 農学部

認証データベースが必要

AD統合認証基盤の経緯
工学部学術情報基盤センター
２００４年 ＡＤ認証によるリモート接続サービス開始
2004年 学内ネームスペースの調整開始（ＤＮＳの調整）
2004年 ＵＮＩＸ系の統合開始（ＳＦＵの導入）

データベースアメニティ研究所

２００４年 Verisign サーバ証明書
導入
2004年夏 S/MIME証明書の試験
Windows系とUNIX系のパスワードは別々
2005年 ASP .NETに90%以上移行完了 → オブジェクト化

2004年末 ネットワーク利用者認証開始（ウィルス対策）

2005年 CAのテスト開始、OID取得、PKIの勉強を開始

2005年夏 SFUスキーマによるUNIX系をAD認証に統合したシステムの運用試験開始

2006年Comodoに証明書に変更
2008年UPKIサーバ証明書に変更

2007年 教育用実習システムの 2008年 UPKIサーバ証明書、更新、教育系は統合認証に移行 UPKI-シングルサイオン、（学内はユーザ認証ベースに移行） eduroamへの参加

2009年9月 UPKI-学術認証フェデレーション（運用）に参加

AD統合認証基盤の経緯
工学部学術情報基盤センター
２００４年 ＡＤ認証によるリモート接続サービス開始
2004年 学内ネームスペースの調整開始（ＤＮＳの調整）
2004年 ＵＮＩＸ系の統合開始
なぜ、Active（ＳＦＵの導入）

データベースアメニティ研究所

２００４年 Verisign サーバ証明書導入
2004年夏 S/MIME証明書の試験
Windows系とUNIX系のパスワードは別々
2005年 ASP .NETに90%以上
Directoryなの？
移行完了 → オブジェクト化

2004年末 ネットワーク利用者認証開始（ウィルス対策）

2005年 CAのテスト開始、OID
取得、PKIの勉強を開始•ほかのディレクトリツールもあるよね？
2005年夏 SFUスキーマによ2006年Comodoに証明書に変更（SunOneDirectory，OpenLDAPなど・・・・)
るUNIX系をAD認証に統合したシステムの運用試験開始

2008年UPKIサーバ証明書に変更→ ADについて，調べた．
2007年
教育用実習システムの 2008年 UPKIサーバ証明書、
UPKI-シングルサイオン、更新、教育系は統合認証に移行→ SQLサーバを使っている僕としては，ADにはeduroamへの参加（学内は認証ベースに移行）
魅力的な機能があった．

2009年9月 UPKI-学術認証フェデレーション（運用）に参加

ADの技術①： 統合 Windows 認証• ドメインに参加したクライアントからIISやSQLサーバにクライアントにログオンした認証情報でアクセスできる認証（SSO）
WEB

②認証不要
IIS

MS Access

Sharepoint
②認証不要

参加

①ログオン
参加
Exchange

参加
ドメインコントーラー

DB
ファイルサーバ

ドメインに参加したPCでないと利用できない！

ADの技術②: 偽装 (Impersonation)
IISサーバに、基本認証したときに、認証ユーザがIISサーバ上で、作業をしてるようにする技術。
データベースのセキュリティに利用可能①ログオン（ユーザ名：user1)

参加

不参加

IIS

②user1として、DBにアクセス

参加
DB③user1の属性情報を照合
グループ：
YZDN Teachers{user1,user7}

DC

セリティロール：教員｛YZDN Teachers}

ADの技術③: ネットワーク装置やUNIXの認証も可能
UNIXサーバやネットワーク装置の認証もAD可能
UNIXの場合，SFU（SUA)によるスキーマの拡張が必要①ログイン，POP,IMAPなど
LDAPでバインド

UNIX系
PAMとNSSをLDAPに拡張②認証③ホームパスなどの属性情報を照合

不参加

VPN装置
LDAPまたはRadiusでバインド
認証
DCADとCAの連携：証明書によるセキュリティ強化
ー 自動証明書発行システムの構築 －
①接続

②認証

③承認
⑥ 証明書をADに登録

④発行要求
⑥発行

⑤発行処理

発行CA

認証サーバ
（YZDN）

試験運用中の証明書の種類

ポリシーCA

CRL公開サーバ（失効リスト）１．クライアント証明書
２．スマートユーザ証明書
３．スマートログイン証明書
４．サーバ証明書（管理者向）ICカードによるセキュアな通信環境の実現→ 電子メールへの署名・暗号化を実現→ リモート接続のICカードによる管理→ eduroamのICカードによる認証

キャンパスCAキャンパスCAによるセキュリティ・信頼性の強化

相互連携

情報の流通 → XML

ドメインコントローラーの配置と対外回線Internet
SINET4回線C

IPv6網-ピアリング

JGN-X
ボーダー
ルータA

ECSY

情報ネット YZDN
ワークセンターキャンパス間回線B（イーサーネット網）

小白川キャンパス
1Gbps
100Mbps

DF

DF

ECSY

ECSY

YZDN

医学部

工学部
ボーダー
ルータB

飯田キャンパス

商用ISP

DF

回線B

米沢キャンパス

ボーダー
ルータC

YZDN

農学部
ボーダー
ルータD

鶴岡キャンパス

回線D

地域IP網経由- SINET
DF = キャンパス間回線A (1対1接続）

複数キャンパスに分散配置したことによって高可用性を実現

統合認証基盤の全体構想
山形大学-認証基盤

外部公開用 統合認証基盤

山形大学内への教育・研究リソースへの統合認証を提供

認証基盤 研究プロジェクト

統合認証の研究を行うためのプロジェクトであり、UPKI認証連携基盤(UPKI-Fed)・Shibboleth SPのアプリケーションおよびデータベース設計
・Shibboleth Metadataの管理システムの構築

国際無線LANローミング基盤を中心に研究している。
IdP
学内統合認証用
LDAPプロキシ

外部機関統合認証用
LDAPプロキシ

外部機関統合認証用
Radiusプロキシ

双方向信頼関係

学内ネットワーク認証や教育用コンテ
ンツへの展開片方向信頼関係

試験運用ドメイン（4000人）運用ドメイン（10000人）

研究用ドメインSharepoint

Exchange

学術情報基盤センター
教育・研究用認証情報管理システム

研究用認証管理システム

WEB
SP実証実験

SQL
教育用パソコン

ＵＮＩＸサーバ

教育用パソコン

研究用サーバ結論：なぜ，AD？
• 教育用システムの利用者端末のOSはWindows→ ADの導入は必須• Windows統合認証を利用することによって，SQLサーバなどWindows系のアプリケーションサーバの認証を統合できる(.NET のライブラリーの充実）• UNIX系もADを認証基盤として統合可能• クライアント証明書との連携可能• リーズナブル• 分散DBを利用可能（分散管理に適する）• 属性エディタなどの充実したツールが利用可能(ADSI EDITなど)
使おうと思えば 充分元が取れると踏んで，展開した．

アジェンダ１．なぜ，Active Directory？
２．学認への参加，シボレスとADFS山形大学の認証基盤とGakuNinとの関係
国立情報学研究所-UPKI

強固なセキュリティ

研究者間コミュニティサービス

（個人情報など）

eduroam

会計システム

研究者情報システム
業務系認証システム

業務情報の安全な管理システム

GakuNin山形大学学術認証フェデレーション

業務系システム
成績・履修システム

コンテンツ系

セキュリティボーダライン

Radiusプロキシ

シボレス認証LDAP
プロキシ

図書館との連携
CiNii , Springerlink,
ScienceDirect,
Web of Knowledge がシボレス認証で利用可⇒ 1,100人(運用後)研究開発
ＳＰの開発 OIDの設計

×３キャンパス
５学部

米沢キャンパス
工学部（ECSY）（YZDN）
学術系認証基盤（教育研究系サービス、全学生が利用可）

相反

教育・研究等をシームレスに展開可能な環境

研究コミュニティ

CA

高度な認証連携を目指した研究開発

山形大学の認証基盤とGakuNinとの関係
国立情報学研究所-UPKI

強固なセキュリティ

研究者間コミュニティサービス

（個人情報など）

eduroam

会計システム

GakuNin山形大学学術認証フェデレーション

業務系システム
成績・履修システム

コンテンツ系

セキュリティボーダライン

Radiusプロキシ

シボレス認証LDAP
プロキシ

図書館との連携
CiNii , Springerlink,ScienceDirect,
Web of Knowledge がシボレス認証で利用可⇒ 1,100人(運用後)
研究開発•せっかくのユーザ認証基盤を利用しなきゃ，損．
ＳＰの開発 OIDの設計•アカウントの発行・管理コストを最小にして，サー３キャンパス
米沢キャンパス
研究者情報
５学部
工学部
システム
ビスの向上を目指そう．
（ECSY）（YZDN）
業務系認証システム

×

学術系認証基盤（教育研究系サービス、全学生が利用可）

研究コミュニティ

CA→認証を利用したサービスの１つとして，学認，相反教育・研究等をシームレ
高度な認証連携を業務情報の安全スに展開可能な環境目指した研究開発
eduroamに参加
な管理システム

ADFSって何？
ADFS = Active Directory フェデレーション サービス
○何ができるの？
外部のWebサーバとADFSサーバ経由でシングルサインオンを実現できるサービス
信頼関係
ADサーバ

ADFS

Web SSO

Shibboleth IdP

シボレス SPADFS 2.0は，SAML 2.0も使えます．

ADFSが使える認証の種類
Web.configより<localAuthenticationTypes><add name="Integrated" page="auth/integrated/" />Windows統合認証(Authentication Context = urn:federation:authentication:windows)<add name="Forms" page="FormsSignIn.aspx" />フォームベース認証

クライアント証明書認証（Windows CA, スマートカードOK)<add name="TlsClient" page="auth/sslclient/" /><add name="Basic" page="auth/basic/" />基本認証</localAuthenticationTypes>

ADFSとShibboleth IdPは，Identity Providerとしては，同等の機能を有する． → 上手に使うとShibboleth IdPの代替手段になる．

相互連携はできるかなぁ？
メタデータ

ADFS

メタデータをEntityID毎に登録
信頼関係を設定

メタデータ

SP

動作可能

信頼関係
ADサーバ

シボレス SP

ADFS

メタデータ

メタデータ

IdP

難しいWIF SSO

できそうで，できない？
Shibboleth IdPWeb SSO

・1:1でメタデータを交換して，信頼関係を設定すれば，ADFSを認証連携サービスとして利用可能．
→ Shibboleth IdPの同等の機能あり（StoredIDを除く）
・SPのメタデータを自動登録するには，技が必要．

山形大学の認証連携システムの概要

クラウド

学内サービス

新しい認証連携基盤として展開
（予定）

GC*GC

GC

GC・・・
*学認が実現する日本の学力水準の向上／成城大学 五十嵐 一浩, http://www.gakunin.jp/docs/files/06seijou.pdf

地理的負荷分散装置によるシボレスIdPの冗長化
SINET4
Monitor IP 2
Gateway IP 2Monitor IP 1

DNSクエリ

DNSクエリFirewall B

ISP

対外接続用ボーダールータ
Monitor IP 0

DNSクエリ

Gateway IP 1

Firewall A

学内接続用ルータ

VIP C

VIP B

GTM間同期

LTM+GTM

VIP A

LTM+GTM
LTM

LTM

シボレスサーバ

ECSY

YZDN

シボレスサーバ

YZDN
レプリケーション

小白川キャンパス

SSIS
ePTIDの収集

SSIS

SQLサーバ
米沢キャンパス

ECSY
飯田キャンパス

ECSY

YZDN

鶴岡キャンパス

設計： 東京エレクトロンデバイス

クッキー情報の確保のため，
VIP B ⇒ VIP A ⇒ VIP Cの順番でDNSリクエスト時にAレコードを返答

まとめ
１．なぜActive Directory？
センター端末や利用者の端末のOSが主にWindowsであるので，それらの端末との親和性を考慮するとADが最適であると判断した．Windows系の統合認証は，問題なし．
機能も十分であり，UNIXなどとの連携ができ，かつ，リーズナブルであるので，ADを採用した．
２．学認への参加，シボレスとADFS
ADの認証基盤にシボレスやADFSを認証連携アプリケーションとして接続することで，学認や外部のサービスの認証連携可能である．

謝辞
本研究を進めるにあたり、ご指導を賜りました情報担
当副学長、情報系センター、図書館の皆様に深く感謝申しあげます。
日頃から、様々な情報を収集する機会を与えて頂いた
東北学術研究インターネットコミュニティ (TOPIC)の皆様に深く感謝申し上げます。
一部のシステムは、文部科学省 平成22年度補正予算のご協力により、構築されております。