お茶の水女子大学
学認参加事例報告
お茶の水女子大学
図書・情報チーム 兵藤徳和(NII実務研修生）
平成25年12月11日（水）

2

大学紹介
• 大学の規模
学部生 2,000名
大学院生 1,000名
教職員450名＋非常勤職員

合計約4,000名• 認証基盤の状況
メール

グループ
ウェア

図書館システム

全学統合認
証基盤
LDAP

CAS
サーバ

メールやグループウェ
ア、図書館システムはLDAPと連携して認証

教務系のシステム等も、CASサー
バにて認証連携
学生ポー
タル
シラバス
システム

Moodle3

国立情報学研究所（NII）の実務研修生制度• NIIの研修制度のひとつ• 期間は数ヶ月～1年以内• On the Job Trainingを通じて知識・技術を習得• 研修のテーマは、NII、派遣機関、研修生の協議で決定

4

研修テーマ
• 「学術認証フェデレーション（学認）を用いたシングルサインオンによる全学システム整備に関すること」
具体的には• 学認説明用資料の作成• NII技術セミナーの講師補助• 各種関連委員会に陪席• お茶大のIdPを構築し学認へ参加

研修に行ったら学認に参加できた

5

ことの始まり• 2013年度

図書・情報チームに新しい課長• 色々な研修を紹介してもらう• まずは、• 6/14 NIIオープンハウスオープン 大学ICT「クラウド」構築・利用を支えるSINET＆学認

6

ことの始まり２• 次に、• 7/29-30 NII「情報処理技術セミナー」

7

ことの始まり3• 最後に、•

NII実務研修生

期間は3ヶ月でいい？
えっ…
…！？

11

研修テーマ
• 「学術認証フェデレーション（学認）を用いたシングルサインオンによる全学システム整備に関すること」
具体的には• 学認説明用資料の作成• NII技術セミナーの講師補助• 各種関連委員会に陪席• お茶大のIdPを構築し学認へ参加

研修に行ったら学認に参加できた

12

学認参加のために• まず手をつけたことは、• 学内の運用方針の決定• 案１としては、情報基盤センターが中心となって行うこと• 案2としては、図書館が中心となって行うこと

13

情報基盤センターが主体となる場合（図書館から見たメリット／デメリット）－メリット－デメリット・図書館の負担は増えない

・やってもらえるよう情報基盤センターの説得が必要

・技術力があるので、サーバ構築の技術的ハードルが低い
・技術がある人員が揃っているので、担当がいなくなっても引継ぎしやすい・他大学では情報センター系が担当していることが多い・説得した後も、実際に構築にかかる日数が見えない

・電子ジャーナルの学認利用のやり取りに、結局図書館が絡む必要あり14

図書館が主体となる場
合（図書館から見たメリット／デメリット）－メリット－デメリット・上層部の了承が取れれば、学内の他部署の説得が不要

・長期的な運用を考えた場合、技術的な引継ぎがうまくいかない場合がある。どこかの段階でサーバの運用を基盤センターに移譲するか、業者にホスティングで外注するなどの検討が必要。

・実務研修中にお茶大のシステムが構築ができれば早期の運用開始が可能
・電子ジャーナルの学認利用の連絡が図書館内で済むので話がはやい・情報基盤センターが積極的には絡まないため、電子ジャーナル以外の学認利用が伸びず、メールやグループウェアのシングルサインオン化が遅くなる可
能性がある

15

9/27 方針決定• 図書館長と課長で検討• 図書館主導で、電子コンテンツのリモートアクセス環境改善を目標にスモールスタート• 学内他システムに広げる際には運用主体を再検討する

16

やるべき事
• 1.学内の了承• 2.学認に接続するためのシステム（IdP）の構築• 3.学認事務局への参加
申請

17

まず手をつけたのは• サーバのハードウェアの用意• 10/10 サーバの用意ができる。DNSにも登録済み。

• お茶大では、キャンパスクラウドとして仮想化環境を導入済み• IdPの構築開始• 情報基盤センターにリソースの割当てを依頼

18

IdPの構築• 学認が公開している技術ガイドに従って設定
https://meatwiki.nii.ac.jp/confluence/x/r4S5• 少なくとも、Linuxに触った事がある、サーバを立ち上げた事があるといった程度の知識は必要か• 10/26 一通り設定完了

19

テストフェデレーション
への参加１• 申請は学認申請システ
ムからhttps://office.gakunin.nii.ac.jp/TestFed/• OpenIdPというシステムにユーザ登録し、そのユーザを使って学認申請システムにログイン

20

テストフェデレーション
への参加２• ログイン後、新規IdPの登録• 学認事務局が内容を確認し参加を承認 10/28• 属性表示サービスを使い動作確認

21

IdPの構築時の問題点
その１
LDAP上にデータがない• eduPersonAffiliation(ePA）の値が、お茶大のLDAPには存在しない• LDAPのgidNumber(グループID)を利用し、対応する値をセットする• 方法は、学認技術ガイドwikiに大阪大学さんの事例を参照
https://meatwiki.nii.ac.jp/confluence/x/U4DfgidNu
mber

内容

ePA

1

管理者

faculty,member

2

教員

faculty,member

3

職員

staff,member

4

学生

student,member

5単位互換等聴講生

値無し

6

研修生等

値無し

7

留学生

値無し

8

附属校生徒

値無し

22

IdPの構築時の問題点
その2
構成員以外のLDAP登録者• 聴講生や生協職員、大学関係のNPO法人の職員が登録• 学認の運用基準では、「3.2) 自組織に所属しない利用者の属性を保証すべきではない。」• 利用できないよう制限をかける必要がある• login.configファイル
edu.vt.middleware.ldap.jaas.LdapLoginModule required
ldapUrl="ldaps://ldapxx.cc.ocha.ac.jp"
baseDn="ou=xxxx,dc=xx,dc=ocha,dc=ac,dc=jp"
ssl=“true"
userFilter="uid={0}"subtreeSearch="true“

authorizationFilter="(|(gidNumber=1)(gidNumber=2)(gidNumber=3)(gidNumber=4))“;

LDAPのgidNumberの値が1,2,3,4の人だけ使えるようフィルタをかけた→ ログインしようとすると、パスワード間違いと同じ画面になる。

23

学内了承を得る作業• 11/7 情報推進室会議（全学の情報基盤に関する事項を審議する委員会）にて、学認参加を議題としてあげ了承• 11/12 企画経営統括本部会議（役員レベルの定例会）にて了承※本学の場合はIdP構築の後に学内了承を得まし
たが、本来であれば構築作業のまえに、学内了承を得たほうが良いかと思います。

24

学認の参加申請1• IｄP構築完了＆学内了承済み• 学認事務局へ参加申請を行う• 学認申請システム（運用フェデレーション）から、OpenIdPで作ったユーザでログインして申請• 学認事務局で問題ないと確認されると、申請書の様式PDFがダウンロードできる25

学認の参加申請2• 【参考】お茶大の体制
申請者：図書館長
責任者：図書館長
運用担当者：兵藤※申請者と責任者がかぶってしまったので、責任者は図書課長の方が良かったかも

審議委員会：情報推進室• 11/15 学内にて決裁。申請書に公印を押す• 11/18 学認事務局へ提出

26

学認参加！
• 11/20 学認事務局から参加了承のご連絡をもらう• 学認参加！！

27

その後• IdPの設定を運用フェデレーション用に修正、動作確認• 12/2 まずは、Elsevier、EBSCO、Springerへ、学認による電子ジャーナル利用の依頼• 12/2-3 当日～翌日には設定完了の連絡あり

28

構築にかかった時間• ここから• ここまで• サーバ構築に詳しい人ならもっと早いと思います29

かかったコスト• ハードウェア→ 0円（学内の仮想化環境を使用）• ソフトウェア→ 0円（有料ソフトなし）• 構築費用→ 0円（自力構築）• しいて言うなら、私の研修中にお茶大の席に座ってもらっている派遣職員さん分くらい？

30

コスト参考
• 実務研修の成果の一つとして、中規模大学を想定して、いくつかの業者に見積もりを依頼• アカウント数は5000件、既に学内にLDAPがあり、必要な属性はすべてLDAPから取得できると想定

サーバ構築費用

A社
300,000
100,000
50,000-IdP構築作業
uApprove.jp導入作業
SP登録作業（5機関分）
テスト作業
マニュアル
説明会対応、管理等

B社
500,000
100,000
50,000250,000
200,000
55,0001,155,000

C社
500,000
450,000
400,000
500,000
150,000
100,000
2,100,000

C社

17,500367,500

B社
750,000
150,000
45,000945,000

A社

B社

150,000

950,000

7,500
157,500

47,500997,500

C社
350,000
150,000
25,000525,000

350,000
消費税
合計

40,000840,000

ハードウェア費用
A社
サーバ本体
UPS

350,000
消費税
合計

―

次年度保守
Shibboleth-IdP(1台構成) 年間保守
uApprove.jpの年間保守
消費税
合計

数字を見やすくするため、四捨五入等しておりますので、見積もり額そのままではありません。
また、実際には、本学のようにLDAPに必要な情報がないなど、各大学でカスタマイズ部分が追加でかかりますので、実際の金額については、各大学で業者さんに見積もりを依頼下さい。

31

最後に：お茶大がうまくいったと思うポイント• NII実務研修（研修テーマ「学認」）• ご清聴ありがとうございました。

- 事務関係の手続きで分からないことがあってもすぐ聞けた- 技術関係でも色々とアドバイスをもらえた- IdP構築に集中できた- 学認事務局の目線から学認を見る事ができた→ 今後の運用でも役に立つ• 上層部に理解があった• 小さい大学だから意思決定が早かった

お茶の水女子大学• 情報基盤センターと図書館の協力体制

図書・情報チーム
情報基盤係 兵藤