UPKIシングルサインオン実証実験～Shibbolethを利用した大学間認証連携の実現～

九州大学・報告書

開かれた研究教育活動のための情報基盤－オープン・安全・信用の実現に向けて－
中國真教，笠原義晃，伊東栄典，岡村耕二，井上仁，鈴木孝彦 *片岡真，牧瀬ゆかり，香川朋子，井上創造 *** 九州大学情報統括本部，** 九州大学附属図書館

1

2

１．はじめに九州大学は2006年からUPKIプロジェクトに参画しています。国立情報学研究所や全国の参加大学と連携しつつ，全学共通認証基盤の構築，eduroamへの参加，NIIサーバ証明書配布プロジェクトの積極的な利用等を進めてきました。今年度にはSSO実証実験に参加し，大学間におけるサービス連携のための研究開発を進めています。

開かれた研究教育活動のための情報基盤の整備～情報通信におけるオープン，安全・安心，信用の向上～

ユーザ• 利用者のアカウント管理• 利用者認証機構の整備• 認証機構の高度化• Shibboleth SSOUser研究ホスト• 計算機の信用性向上• 通信の安全性向上• Shibboleth SSO

ネットワーク

教育HostNetwork

Open
SecureTrustful

業務Content

４つの分野で活動• 安全・安心なネットワーク• ネットワーク接続時の機器認証，利用者認証• 来訪者にも便利コンテンツ• 学内から発信するコンテンツの信用性保証• 学外コンテンツの利用• Shibboleth SSO

3

1.1 ユーザ：全学共通認証基盤の構築

情報サービスにおける利便性・安全性・信用性を向上するために，全構成員を対象とする利用者認証基盤を整備しました。学生には以前からID発行および認証機構が存在していましたが， H17年から教職員へのID発行を実現しました。また，学内に散在していた各種情報サービスと，構築した全学共通認証基盤を連携させ，安全かつ便利な利用者認証環境を実現しました。
九州大学・全学共通認証基盤
人事給与DB（教員・職員）

全学共通ＩＤ（SSO-KID）発行

全学共通ＩＤ
管理システムＩＣカード発行（将来）
ActiveDirectory
事務用計算機システム

ActiveDirectory
学生向け
教育情報システム

マトリックス
パスワードLDAP
サーバ

ログオン

パスワード変更

セキュリティ重視の重要サービス
参照 Shibboleth

IdP (SSO)
参照

全学 どこでもWebCT
メール きゅうとShibboleth
認証

学務DB
（学生）

パスワード
変更システム参照
無線LAN(kitenet)

ログオン

その他の活動従事者

認証

SSO
認証

重要重要
Web情報 Web情報サービス サービス
Reverse Proxy型
SSOシステム
ID/PW &マトリックス認証

パスワード
変更

4

1.2 ホスト：サーバ証明書発行支援，認証機能提供
ホストの信用性と通信の安全性向上のために，サーバ証明書の発行を支援しています。国立情報学研究所のサーバ証明書発行プロジェクトに参加し，学内の情報サービスに対しサーバ証明書を発行しました（2008年11月現在で，４５個を受付け）。
また，学内の全学的な情報サービスを対象に，全学共通IDによる利用者認証機能を提供しています （2008年11月現在で５個のサービスが利用）。
サーバ証明書の発行受付

学内サービスへ利用者認証機能提供

情報サービス管理者

九州大学
情報統括本部
１．公開鍵および秘密鍵の作成
２．署名要求(CSR)を作成
３．エクセルファイルに記載してCSRを送付

４．サーバの実在性確認
５．管理者の本人性・実在性の確認

国立情報学研究所(NII)

全学共通認証基盤

認証機能の利用申請

LDAP
サーバ

情報サービスCA （認証局）

管理者
全学IDでの利用者認証
６．申請書の送付
８．サーバ証明書の送付

７．サーバ
証明書の発行

学生・院生

職員

利用者

5

1.3 ネットワーク：802.1Xネットワーク環境
大学内無線LANアクセスサービス（通称kitenet）では，802.1X認証に本認証基盤を利用しています。認証基盤用LDAPとRADIUSの連携システムは，eduroamなどその他のRADIUS認証サービスとの連携を考慮して構築しています。kitenetやeduroamは，学内者および来訪者も想定した構成になっており，オープンなネットワーク環境が実現できています。

kitenetおよびeduroamの構成図
Campus wide authN platform
Top level
eduroam server
LDAP User(eduroam.jp)
RADIUS

eduroamparticipant
institute

Accounts

FW
RADIUS

switchID・Password
ID・X509FW
RADIUS

VPN only802.11 SSID
eduroam802.1X
User AuthN

Internet

RADIUS

KITE
Kyushu Univ.
Campus Network

switch802.11 SSID
eduroam802.11 SSID

kitenet

九州大学

九州大学

ID・Password
ID・X509802.1xUser AuthN

6

1.4 コンテンツ：学外からの利用，信用性保証
学内からのみアクセスが許されている契約電子ジャーナルに対し，学外からの利用を可能にするために，認証基盤と連動するEZproxyを用意しました。これに「どこでもきゅうと」と名付けてサービスを提供しています。現在，EZproxyのSSO対応を行っています。
また，学内から発信されるコンテンツの信用性保証の仕組みを研究開発しています。機関リポ
ジトリのようなコンテンツ蓄積・発信が普及するにつれ，コンテンツの信用性を保証する仕組みが重要となります。そこでPENSと名付けた信用性保証システムを開発しています。

どこでもきゅうと
EZproxyを用いたコンテンツ利用
EZproxy経由で，学外からのeリソースへのアクセスを実現
情報統括本部
附属図書館
全学共通認証 どこでもきゅうと基盤（LDAP）（EZproxy）
KITE
キャンパス
ネットワークInternet

PENSシステム（開発中）
コンテンツの信用保証の仕組み
作成者，発行日時，発行元，改竄の有無をチェック
全学共通認証基盤（LDAP）

ｅリソース
提供サイト

認証

登録者

連
携
認証

Ezproxyで，LDAPサーバを使って利用者認証を実施

連携

コンテンツ，メタデータ，ハッシュ値

Uploadcontent

DB
PENS
サーバ

Upload content

電子ジャーナル
学術DB

閲覧者

メタデータ提示

ハッシュ値で検索

PENS
サーバ

DB

7

２．UPKIシングルサインオン実証実験
UPKIシングルサインオン実証実験で３つの活動を行いました。
1. Shibboleth SSOに適する情報サービスの調査
2. Shibboleth SSO環境の整備• 試験用IdP，SPの構築• EZproxyおよびWebCTのShibboleth化• 本サービス用IdPの構築
3. Shibboleth SSO環境を用いた研究開発• コミュニティ認可機構• 要認証サービスのマッシュアップ

8

３．Shibboleth SSOに適する情報サービスの調査
学内向けの情報サービスについて，Shibboleth SSOの対象に適するもの，適さないものを検討しました。各サービスが，利便性を重視するものか，それともセキュリティを重視するかで分類し，また情報サービスの設置場所が学内のものか，学外のものかで分類しました。分類して検討した結果，利便性を重視するサービスにShibboleth SSOを適用することが良いと判断しました。

学
内

学
外

利便性重視

セキュリティ重視• Campusmate-portal （学生向けWebポータル）• GraceMail （学生向けWebメール）• WebCT （eラーニングシステム）• きゅうとMy Library （図書館Webシステム，貸出更新，貸出状
況確認，文献複写/貸借申込など）• どこでもきゅうと （Ezproxyによる学外からのeリソース利用）• 学務システム（履修登録・成績管理）• 財務システム（予算管理，物品購入）• 学術機関向けWebメール(Google Apps, MS Live, Yahoo)• RefWorks (文献リスト管理)（現在のところ，サービスは存在しない）

Shibboleth SSO環境に適したサービス

9

Shibboleth SSO導入の利点• 学内向けサービスの改善– 利用者の利便性向上• 一度の認証で，複数のサービスが利用• 学外・学外を意識する必要がなくなる（利用時は，かならずIdPで認証）– 管理作業の効率化• 外部サービス(SaaS)での認証を一本化– セキュリティの問題• 複数レベルを設定できるのか– 低セキュリティレベルサービスの認証はID/PWだけで，– 高セキュリティレベルサービスの認証は，他の方法をするなど• 大学間フェデレーションによる効率化– eリソース（電子ジャーナルなど）の団体利用など– 利用者のすそ野が増えれば，現在は対応していないサービスがSaaS化される可能性もある• 大学間でのサービス連携の可能性– 認証レベル・方式が共通化すれば，その基盤上にサービスを提供可能– 大学間のサービスを組み合わせた，新しいサービスが構築できる可能性10

４．Shibboleth SSO環境の整備○ 試験用IdPの構築
NIIが提供している Vmware イメージを利用して，試験用のIdP（upki-idp.cc.kyushu-u.ac.jp）を構築しました。このさい，OpenLDAPで利用者情報提供サーバを構築し，IdPと接続しました。また，利用者のアカウントとしては，実験用の仮アカウントを作成しました。
○ 試験用SPの構築
SPとして，いくつかの環境を調査しました。まず，NIIが提供する VMware イメージを用いたSP(upki-sp1.cc.kyushu-u.ac.jp)を構築しました。Web CMSであるPloneを用いたShibboleth環境も構築しました。また，Apache WebサーバにShibboleth認証モジュールである mod_shib を導入し，それを用いた環境も構築しました。

IdP

OpenLDAPSPSP

Shibboleth
IdP

mod_shib

Plone

TomcatApacheApache11

附属図書館 「どこでもきゅうと」（EZproxy）
情報統括本部 WebCT
情報統括本部

WebCT

附属図書館

全学共通認証基盤（LDAP）

どこでもきゅうと（EZproxy）

連
携

KITE
キャンパス
ネットワークｅリソース
提供サイト
Internet

電子ジャーナル
学術DB

Shibboleth IdP• 現在はLDAP
サーバで認証• 現在は，EZproxyを経由で学外からもeリソースへアクセス可能。
• Ezproxy側はLDAPサーバで利用
者認証

今後は，Shibbolteh IdPによるSSOに期待12

５．Shibboleth SSO環境を用いた研究開発二つの研究開発を行っています。

•コミュニティ認可機構– 大規模な人員ディレクトリを用いた属性認可が適用しずらい，小規模グループでの情報共有のための認可機構– 小規模なグループとして，SNSのコミュニティや，eラーニングシステム
WebCTの受講者グループを利用•

要認証サービスのマッシュアップ– 認証を要するサービスの増加と，SaaSと呼ばれる外部サービスの内部利用が背景にある。
– 認証を要するサービスを，複数組み合わせるための仕組みを検討

135.1 コミュニティ認可機構
サービスの提供において，細かなアクセス制御を行なうためには，認証だけでなく認可も必要です。認可とは，ある情報資源に対する閲覧・編集といった操作の権限設定を行う操作です。
Shibboloethでは利用者の所属部局や性別といった属性に応じて認可制御を行う，属性認可機構が提提供されています。この属性認可は，利用者情報を均一かつ大規模に管理している情報サービスには適しています。しかし，利用者数が小規模な場合や，利用者の管理組織が複数の場合には適用が困難になります。利用者数が小規模な場合のために，Shibboleth化されたサービス内で構成されている「コミュニティ」を用いて認可を行う仕組みについて検討しました。
具体例として，WebCT内部で定義されたグループ情報（各講義の履修者情報）を得ることで，認可を行なうことを試みています。

14

組織間サービス連携のための，グループ・コミュニティを利用した認可機構

SP

WebCT

コンテンツ

IdP

認可(AuthZ)

User

SP

①②AuthN?

WebCT

WebCT

Shibboleth
IdP

ShibbolethIdP

認証(AuthN)

User

User

University X

University Y④AuthN③Redirect⑤⑥AuthZ?

⑧AuthZ（Is Member?)⑨⑦ Redirect⑩ Provide
Content

15

5.2 要認証サービスのマッシュアップ
複数のサービスを連携させ新しいサービスを提供するMashup技術があります。Mashupを利用したサービスは複数のサービスが，あたかも一つのWebサービスであるかのように見せることができます。従来，認証を要する情報サービスの組込みは困難でした。しかし，Shibboleth SSOを用いれば，認証に関する部分の障壁が下がり，要認証Web情報サービスでもマッシュアップを行うことが可能になると考えました。そこで，Shibboleth化された複数の情報サービスを連携するマッシュアップのための基盤について研究開発を行いました。

16iKow

My Open Archive

mitter17

６．おわりに九州大学では，NIIのCSI事業およびUPKIプロジェクトの開始に合わせて，H17年度より認証基盤の整備を進めてきました。その成果として，H19年度から全学共通認証サービスの提供を開始しました。
H20年度から始まったUPKIシングルサインオン実証実験では，以下を実施しました。
1. Shibboleth SSOに適する情報サービスの調査
2. Shibboleth SSO環境の整備
3. Shibboleth SSO環境を用いた研究開発
今後，以下を行う予定です。
• 実用サービスでのShibboleth SSO適用• コミュニティ認可機構• 要認証サービスのマッシュアップ• 国内フェデレーションへの参加および協力• Shibboleth SSOを用いたサービスについての研究開発