学術情報基盤オープンフォーラム2024
AXIES認証基盤部会‧学認合同企画セッション

東北⼤学におけるSSO認証基盤の更新
国⽴⼤学法⼈ 東北⼤学
情報部デジタル変⾰推進課
デジタルイノベーションユニット専⾨員
⼩野崎 伸久2024年6月12日（水）概要
東北⼤学では、2023年度にSSO認証基盤の更新を⾏い、クラウドサービ
スIDaaS（Identity as a Service）の㈱セシオス社製「SeciossLink」を導⼊しました。
本発表では、システム更新の背景、新システムの要件、構築‧移⾏時に発⽣した課題と解決策等を紹介します。

2

3

はじめに

東北⼤学のアカウントについて●●●

4東北⼤ID○ 統合電⼦認証システムから、教職員および学⽣等の東北⼤学構成員（約3万⼈）に対して発⾏される、全学⼀意のIDである。
○ ⼈事給与システム、学務情報システムを源泉としている。それ以外の構成員は申請により発⾏。
Google Workspace（全学メール）○ 東北⼤IDに紐づいて発⾏されるGoogle Workspaceアカウントである。
○ 2019年に別々に稼働していた教職員⽤の東北⼤メールと学⽣⽤のDCメールからGoogleに統合した。メール以外のドライブ、Meet、Classroom等を含めて活⽤。
○ 東北⼤ID無効後も猶予期間やメール転送期間あり。Alumniメールへの切替もあり。
○ 東北⼤IDのライフサイクルと異なるため、SSOは⾏っていない。
Microsoft365○ 東北⼤IDに紐づいて発⾏されるMicrosoft365アカウントである。
○ Oﬃceのインストールライセンスを主⽬的として導⼊。
○ Teams等も利⽤可能。
○ SSO認証基盤更新に合わせて東北⼤IDのSSOに切り替え。

東北⼤学の旧Idpについて●●SRP（Secure Reverse Proxy）システム（旧SSO認証基盤）○ 2010年導⼊（WisePointのカスタマイズ）○ 学外アクセス時は⼆段階認証■ 東北⼤ID∕パスワード認証に加えてイメージマトリクス認証も⾏われる。
○ Shibboleth認証■ 教職員グループウェア○ リバースプロキシ代理認証■ 財務会計、学務情報、ISTU、勤務時間管理システム等■ 学内ネットワークに閉じたシステムに学外からログイン可能○ 設定変更の度にサービス再起動が必要なため、気軽にできない。
学認Idp○ 2014年導⼊○ Shibbolethに対応○ 学認SPにログインするためだけに構築されたIdp。
○ SRPとは別システムである。構築‧保守ベンダーも異なる。

5

システム更新前の構成

6

システム更新前の構成（簡易版）

グループウェア
Sibboleth

接続システム
SRP

認証要求
初回認
証のみ

接続システムLDAP

接続システムローカル認証7

多数の接続システム

学認SP

データ連携

認証要求

認証後
もSRP
経由

学認 Shibboleth IdPサーバ

認証

SRPシステム

データ連携

データ連携管理サーバ
データ連携

認証
Idp/SPサーバ
WisePoint6

⼈給‧学務

ID管理サーバ
LDAP Manager6.9

認証LDAPサーバ
OpenLDAP

GCDS
サーバ

データ連携

統合電⼦認証システム

Googleア
カウント連
携システム

SRPシステムのログインイメージ

8

9

システム更新旧システムの課題

10【現⾏システムの課題】
1.

学外アクセス時の「⼆段階認証」を「多要素認証」にグレードアップしてセキュリティを強化したい。
多要素認証については、パスワードレス等、常に最新の⽅式を使えるようにしたい。

2.

クラウドサービスへのSSOに対応したい。

3.

業務システム⽤Idpと学認サービス⽤Idpを統合したい。

4.

BCP対策を強化したい。

【新システムに移⾏する際の要件】
1.

SAMLやShibolethに未対応の学内既存システムにも引き続きSSOできるようにしたい。

2.

学認Idpで使⽤しているスコープ及びentityIDを継続利⽤したい。
（変更するとアカウントデータに影響あり）

製品⽐較

11

製品

A製品

B製品

C製品

SeciossLink

形式

パッケージ

パッケージ

IDaaS

IDaaS

学認Idp

〇

〇

△（entityID継続不可）〇

SAML認証〇〇〇〇ﾘﾊﾞｰｽﾌﾟﾛｷｼ代理認証⽅式〇

×（別サーバが必要）

×（別サーバが必要）

×（別サーバが必要）

イメージマトリクス認証

〇

×

×

×

ﾊﾟｽﾜｰﾄﾞﾚｽ認証(FIDO2)〇〇△（オプション）〇TOTP認証（トークン）〇〇〇〇

TOTP認証（メール）

〇

〇

〇〇

このブラウザを信頼する×〇×〇

不審挙動検知×××

〇

⽇英切替

×〇

×〇

※2022年7⽉頃の情報です。
現在は仕様が変わっている可能性があります。

IDaaSの決め⼿【メリット】
1.

常に最新機能（最新⽅式の多要素認証等）が使⽤できる。

2.

セキュリティパッチ等の対応をお任せできる。

3.

可⽤性‧完全性（負荷分散、バックアップ、BCP対策等）をお任せできる。

【デメリット】
1.

パッケージと⽐較して費⽤が⾼い。

2.

IDaaSは本学独⾃の要件に応じてカスタマイズできない。
⇒パッケージをカスタマイズする場合、本来の性能が落ちたり、保守費⽤があがるため、デメリットもある。

12

新システムの構成

13

新システムのログイン⽅法
データシナジー創⽣機構 - Single Sign-On
https://sites.google.com/tohoku.ac.jp/oids-out/sso

14

更新スケジュール
2023年11月

12月

2024年1月15
2月

3月

現行システム新システム【試行】【12月～2月上旬】

5月▲現行システム稼働終了

新システム【一部切替】【2月上旬～3月末】

新システムのお試し

以下のシステムのログイン方法を切替①ログインの確認②多要素認証の設定変更①教職員グループウェア②設備統合管理システム③学認④Microsoft365⇒初期設定は全学メールですが、AuthenticatorアプリやWindows Hello等の追加登録を依頼

4月※上記以外は、どちらからもアクセス可

新システム【完全切替】【4月～】
全てのシステムのログイン方法が切り替わります。

16

構築‧移⾏時に発⽣した課題と解決策

課題と解決策（IDaaS）
課題

17
解決策

痒い所に手が届かない機能があった。
例えば、SeciossLinkポータル画面の SSO先アプリケーションの名称が「日英表示切替」に未対応だった。

どんどん要望をあげた。
⇒どんどん機能追加していただいた。

4月1日の年度更新を想定したテストを行ったところ、 ID
登録処理の処理時間が長く、業務開始時間までに間に合わない懸念があった。

改善を依頼した。
⇒SeciossLink内のボトルネック箇所が特定され、そのサーバリソースを増強していただき、処理速度が改善された。

テスト工程で不具合のような動作が発覚した。

改善を依頼した。
⇒早急に改修していただいた。

リリース情報 ‒ Secioss Help Center※⾔いにくいこともありました。

‧要望に真摯に対応していただけるクラウドサービスを選択する。
‧クラウドサービスといえども、テストは細かく⾏う。

課題と解決策（ユーザー対応）
課題

18
解決策

ユーザーガイド をGoogleサイトで公開
ショート動画も公開
日英両方用意ユーザーからの問い合わせ対応⇒自己解決してほしい。
でも、問い合わせを減らすために、難しそうな機能を制限することは NG。

●●●

学外でログインできない人への対応⇒電話で本人確認して個別対応するのは大変。

通知用メールアドレス変更について、本人申請フォーム、事務担当者・教職員の代理申請フォームを作成し自動化（GoogleAppsScriptとSeciossLinkのAPIを活用し、ワンタイムパスワードの通知先メールアドレスの更新まで自動化）‧ユーザーマニュアルや問い合わせ対応もDX化していく。

課題と解決策（多要素認証（MFA））

19

課題

解決策

ワンタイムパスワードでログインできない。
⇒本人はスマートフォンで操作しており、メールに通知されたパスワードを正しく入力しているという。

メールを開く際にワンタイムパスワード画面を閉じていたため、再アクセス時に別のワンタイムパスワードが発行され、ログインできなかった。
⇒再発防止策としてワンタイムパスワード画面に「画面を閉じないで」と Javascriptで追記。
⇒SeciossLinkにも要望をあげている。

iPhoneでFIDO認証ができない

iPhoneのGmailアプリに内蔵された Googleブラウザが原因だった。（ SafariやChromeは正常動作）⇒問い合わせが 1名なので再発防止策は保留。

※３〜４⽉に問い合わせが多かったが、4⽉中旬以降は落ち着いた。
※⾔いにくいこともありました。

‧MFAは普及されつつあるが、まだ使ったことがないユーザーもいる。
事前に問い合わせを想定することも難しいのでベンダーと協⼒して対応。

20

まとめ

まとめ
●

●

IDaaSを導⼊して良かったこと○ 利便性とセキュリティ強化のバランスが取れている■ 学外アクセス時の多要素認証■ 最新のパスワードレス認証にも対応■ 不審挙動検知メール（でも精度はあげてほしい）■ ブラウザを信頼する○ DXにより、SSOの案件が増えたが、迅速に対応できている○ 動作が遅い等の問題もない○ SINET仙台（宮城）ノードのメンテナンス時も、IDaaSは稼働しているので、MicrosoftアカウントへのSSOも無事に動いた
IDaaSを導⼊するときに気を付けること○ 課題と解決策ページに記載した通り、ベンダーと密に会話していくことが重要。

21

22

おまけ東北⼤学DX

23

東北大学は、New Normal時代における新たな大学の姿を先導し、学生・教職員が、今まで以上に学業や教育・研究活動に専念できる場をこれからも提供して参ります。
ご意見・ご感想・ミーティング依頼等はお気軽にこちらよりご連絡ください。

東北大学のDXに関する最新情報はWebでご覧ください。

東北大学 DX