情報処理学会研究報告
IPSJ SIG Technical Report

1. は じ め に

仮想環境による SSO 対応 Opengate の構築とその運用

近年，大学などにおいて情報提供や各種情報サービスを目的とした Web を用いる多種多様な情報システムが運用されるようになってきた．このような Web 情報システムは用途ごとに構築される場合が多く，通常は利用者が用途に応じてそれぞれの情報システムにアクセ

大 谷

スする必要がある．そこで，各システムを利用しやすいようにポータルサイトにまとめると

誠†1
江 藤 博 文†1
渡 辺 健 次†2
†1
只 木 進 一渡 辺 義 明†2

いった，利便性を向上させる取り組み1 も行われている．
一方，多くの大学においてネットワーク利用者認証および記録機能を備えた，個人所有のノート PC などを接続可能な情報コンセント，無線 LAN などの設置が行われている．このような認証の仕組みを実現するシステムの 1 つとして Web ブラウザを使ったネットワーク

佐賀大学では，ネットワークの利用者認証と利用記録を行うためのゲートウェイシステム Opengate を開発し，学内において運用を行っている．この Opengate をShibboleth によるシングルサインオン認証に対応させ，2010 年 3 月より全学において運用を開始した．
このようなシステムを全学規模で運用するためには，多数のサーバを準備し統合的に管理・運用をしていく必要がある．多数のサーバを用いるシステムの冗長性確保とコスト削減には，仮想化技術が有用であり，本システムの実現においても仮想化技術(VMware) を用いた．本稿では，仮想環境による SSO 対応 Opengate の構築とその運用について述べる．

利用者認証システムがある．佐賀大学では，このような認証システムとして Opengate2, 3 を全学的に整備しており，学内ネットワークを利用するための認証として利用されている．このような Web によるネットワーク利用者認証システムと，Web による情報システムがシングルサインオン認証に対応すれば，最初にネットワーク利用者認証を行うだけで，Web 情報システムを再認証なしに利用することが可能となり，利用者の利便性が向上すると考えられる．
そこで我々は，シングルサインオン認証に対応した Opengate (以下，SSO-Opengate) の開発を行い 2009 年より試験運用を行ってきた．そして，2010 年 3 月より全学規模で運用

Operation of SSO-Opengate Using virtual machineを開始した．この SSO-Opengate は，Shibboleth によるシングルサインオン認証に対応しており，ネットワーク利用者認証を行うだけで，Shibboleth に対応した Web 情報システム

Makoto Otani,†1 Hirofumi Eto,†1 Kenzi Watanabe,†2

において再認証が必要がなくなる．

Shin-ichi Tadaki†1 and Yoshiaki Watanabe†2

このようなシングルサインオンの認証サービスを全学規模運用していくためには，多数のサーバを準備し，統合的に管理・運用を行っていく必要がある．佐賀大学では，これまでディスクレスによるネットワークブートが可能な機器を複数台用い，マスターサーバによって設We have developed and distributed a network user authentication system“Opengate”. It has been operated in Saga University. We developed Opengate
corresponding to single sign-on authentication by “Shibboleth”, and this has
been working for controlling the open network in the campus since March 2010.
Many systems are needed in order to realize this system at the university.
To reduction of this cost, the system management by the virtual machine technology is useful, and such technology (VMware) is used for this system. This
paper describes operation of SSO-Opengate which used the virtual machine.

定等を一元管理することで，管理コストを抑えつつ，ネットワークの認証サービスを提供してきた4 ．しかし，この方法では 1 台のサーバを構築するために，それに対応する物理サーバをそれぞれ 1 台準備する必要があった．このような多数のサーバを構築する際の冗長性確保と運用コスト削減において，近年，仮想化技術が注目されている．そこで SSO-Opengate†1 佐賀大学 総合情報基盤センター
Computer and Network Center，Saga University†2 佐賀大学 工学系研究科
Faculty of Science and Engineering，Saga University

1c 2010 Information Processing Society of Japan°

情報処理学会研究報告
IPSJ SIG Technical Report

そこで，Opengate を Shibboleth によるシングルサインオン認証に対応させた SSO-による新たなサービスの実現において，VMware による仮想化技術を用いた．

2. 背Opengate を開発し，実際に 2010 年 3 月より学内において運用を開始した．

景3. SSO-Opengate

2.1 Opengate の概要

3.1 シングルサインオン認証

我々は，ネットワーク利用者認証システムとして Opengate を開発・改良し，2001 年よSSO-Opengate におけるシングルサインオン認証の実現に，Shibboleth を利用した6 ．

り全学規模で運用を行ってきた．Opengate では利用者が Web ブラウザを起動し，任意のページにアクセスする際の通信を奪い取り，認証ページを表示する．認証ページを用いて利Shibboleth は，Internet2 の教育機関向けプロジェクトである MACE (Middleware Archi-

用者認証を行うことでファイアウォールが開き，IPv4/IPv6 ネットワークの利用が可能とtecture Committee for Education) で開発された SAML ベース (OpenSAML) の認証シなる．

ステムである．

認証後は，ログイン状況を表示するとともに，同時に利用案内のページが表示される．

Shibboleth は，利用者の認証と利用者の属性情報を提供する IdP (Identity Provider) ，Opengate は，認証を行った Web ブラウザのウィンドウの閉鎖をネットワーク利用終了とIdP からの属性情報によりサービスを提供する SP (Service Provider) ，IdP が複数存在す判断し，ファイアウォールを閉鎖する．Opengate では，認証で得られた利用者の情報，端る場合に，IdP のリストを提供する DS (Discovery Service) で構成される．IdP,SP,DS と末情報，利用開始・終了時刻を記録する．

して動作させるためのソフトウェアは，Internet2 から公開され，このソフトウェアと Webサービスを連携させることにより，シングルサインオン認証の実現が可能となる．

佐賀大学では現在，学内のほぼ全ての教室や図書館などにおいて，有線および無線によるOpengate の使用が可能である．会議室や研究室にもサービスを提供し，学生だけでなく教SSO-Opengate では，ネットワーク利用時に認証を利用者に求めるが，SSO-Opengate員も利用している．また，利用申請を行ってもらうことで，来訪者の利用も可能である．

自体は，IdP として動作するわけではない．SSO-Opengate は，別途準備された IdP よりネットワーク利用者の属性情報の提供を受け，その属性情報をもとにネットワーク利用を許2.2 Opengate におけるシングルサインオン認証の必要性可するサービスとなる．よって，Shibboleth に対応しサービスを提供する他の Web 情報シ

利用者認証基盤として，佐賀大学では総合情報基盤センターの統合認証システム5 を用いステムと同様に，SP として動作している．ている．この統合認証システムは 2003 年に導入され，Opengate を含む学内の情報システ

3.2 SSO-Opengate のシステム構成

ムにそれぞれ認証情報を提供している．各情報システムでは，総合情報基盤センターの共通

SSO-Opengate は，従来の Opengate と同様に利用者端末のネットワークとの間に，ゲーのユーザ ID とパスワードで認証が行われており，統合認証システムは学内の認証基盤としトウェイとなるよう設置し，そこを通過する IPv4/IPv6 パケットをファイアウォールで制て位置づけられている．

御することによってネットワーク認証を行うシステムである．利用者の認証は，シングルサ

利用者は持ち込み PC などを学内ネットワークに接続し，各種 Web 情報システムを利用イン認証を行うために別途準備された IdP を用いる．図 1 にシステムの構成を示す．

する場合は，まずはネットワーク利用者認証システムである Opengate により認証を行う

SSO-Opengate は，Web サーバから CGI として起動され，利用者のインターネット利用こととなる．その後に，教務・財務システム，e ラーニング，Web メールなど，各種 Webのためのファイアウォールの制御を行う．SSO-Opengate は，FreeBSD 上で構築されてお情報システムで個別に認証し，それぞれのサービスを受けることになる．

り，ファイアウォールの制御には ipfw，Web サーバには Apache を用いて実現した．IdP

そのため，たとえ統合認証システムにより各 Web 情報システムを同じユーザ ID とパス

および，SSO-Opengate のソフトウェア構成を表 1 に示す．

ワードで利用可能であったとしても，利用者認証が何度も行う必要があり，利用者にとってSSO-Opengate については，VMware による仮想環境上で動作している．これについては不便である．よって，ネットワーク利用者認証システムと Web 情報システムがそれぞれは，第 4 章において述べる．

シングルサインオン認証に対応し，各種 Web 情報システムのログインの手間を省くことができれば利便性が大幅に向上すると考えられる．

2c 2010 Information Processing Society of Japan°

情報処理学会研究報告
IPSJ SIG Technical Report!" 

ネットへの通信路が閉鎖され，(1) の状態に戻る．

SSO-Opengate では，自分自身ではなく IdP を経由して認証を行うが，利用者の操作は#%$& ('

変わらないため，従来の Opengate 利用していた利用者に対しては，特に利用指導を行うことなく，この SSO-Opengate を導入することができる．佐賀大学においても特に新たな利 

4560798;:<

用指導なしに，従来の Opengate から SSO-Opengate への切り替えを行ったが，トラブルも発生せずスムーズに移行が可能であった．

3.4 認証フェデレーションによる来訪者への提供)*,+.-0/132

SSO-Opengate は，複数の IdP を利用する必要がある場合でも，Shibboleth の DS を用=?>

いて IdP の選択を行い，認証を行うことが可能である．これにより，他大学などで構築された IdP を用いて認証連携することで，来訪者がネットワークを別途申請なしに利用する
図 1 システム構成
Fig. 1 System architecture.

ことも可能である．
佐賀大学では現在，学術認証フェデレーション（学認: Gakunin7 ) 参加者用に，無線接続で利用できる SSO-Opengate ネットワーク (アクセスポイント数:300 弱) を準備しており，

表 1 ソフトウェア構成
Table 1 Software architecture.

IdP

SSO-Opengate

OS
シングルサインオン
Web サーバOS
シングルサインオン
Web サーバ
ファイアウォール

「学認」の参加者であれば，学内の多くの場所で申請なしに SSO-Opengate によるネットワークの利用が可能である．

Solaris 10
Shibboleth IdP 2.1.2
Apache 2.2.14
FreeBSD 6.4-RELEASE
Shibboleth SP 2.1
Apache 2.2.14
ipfw (OS 付属)

4. 仮想システムを用いた SSO-Opengate の構築
4.1 SSO-Opengate の仮想化
SSO-Opengate は，ゲートウェイとして動作することが想定されているため，通常のネットワークにおいて機能しているルーティング装置の役割も，このシステムが担うことにな

3.3 SSO-Opengate の利用手順

る．従って，本システムは，安定なサービス提供とともに適切な負荷分散と冗長性を確保す

SSO-Opengate が動作している環境で，インターネットを利用する手順を以下に示す．

るためにも，1 つのサーバとしてではなく複数のサーバとして導入し，これらを一括して管理・運用していくことが望ましいと考えられる．

( 1 ) 利用者が Web ブラウザを用いて任意の URL へアクセスを行うと，通信が奪い取られ，ユーザ ID とパスワードを要求する認証ページが送られてくる ．

従来の Opengate は，複数のサーバ (20 台前後) で構成していた．この複数のサーバに( 2 ) 利用者は，この認証ページにユーザ ID とパスワードを入力する．

は，ディスクレスによるネットワークブートが可能な機器を用いていた．また，ネットワー( 3 ) 認証に成功すると，認証が成功したことを示す認証許可ページが表示されるとともに，クブートのために必要となるマスターサーバ上で設定等を一元管理することで，管理コスト認証後に表示するように設定されているサイトが別ウィンドウ (ブラウザの設定によっを抑えていた4 ．しかしながら，この方法では 1 台のサーバを構築するために，それに対応ては，別タブ) で表示される．

する物理サーバをそれぞれ 1 台準備する必要があった．ディスクレスであるため，障害の?1

発生率も低く，これまで安定して運用してきたが，2001 年より同一筐体で運用を続けてお( 4 ) ネットワークの利用を終了する際には，認証許可ページを閉じる．これによりインターり，低スペック (CPU: Pentium III 1GHz , Memory: 512MB) であるため，これを用いて?1 来訪者へのサービスとして DS を用いている場合は，まず DS による IdP 選択の画面が現れるので，利用するIdP を選択する

SSO-Opengate の安定運用を行うのは難しい．そこで，SSO-Opengate の運用を始めるに

3

c 2010 Information Processing Society of Japan°

情報処理学会研究報告
IPSJ SIG Technical Report

することができる．そこで，SSO-Opengate を複数台構築するにあたり，雛形となるマスターサーバを 1 台構築し，そのクローンを作成することで SSO-Opengate を運用するサーバを複数台構築することとした．以下に，その構築手順を示す．

( 1 ) 仮想サーバの設定を行う vSphere Client を用いて，vCenter Server に接続する．これ以降の作業は，基本的に vSphere Client を用いて行う．

( 2 ) 各 SSO-Opengate の雛形となるマスターサーバを構築するため，新規マシンの作成を行い，その新規マシンに FreeBSD6.4 のインストールを行う．
ここで，仮想マシンの各リソースを以下のように設定した．

• CPU: 1CPU(クロック数は動的割り当て)• Memory: 2GB• HDD: 32GB
• Ethernet: 10/100/1000BASE-T 3 ポート (WAN,LAN, ログ出力用)( 3 ) SSO-Opengate に必要な各種ソフトウェア (表 1 等) のインストールを行い，基本設定

図 2 仮想システムによる SSO-Opengate の運用
Fig. 2 Operation of SSO-Opengate by virtual machine.

を行う．

( 4 ) ゲスト OS と vSphere との連携を行うことで仮想システムの効果的な利用を可能とす
あたり，新たな運用環境を構築する必要があった．

る，VMware Tools のインストールを行う．SSO-Opengate の運用においては，電源

我々は近年急速に普及してきた仮想化システムに注目し，SSO-Opengate の運用に用い異常が発生した際に，UPS 装置と連携し SSO-Opengate を正常にシャットダウンさせた．実際に使用した仮想化システムは，VMware (vSphere 4.0) である．仮想化システムにるために，この VMware Tools を利用する．

おいて SSO-Opengate が利用する FreeBSD OS を標準的にサポートするものは少ないが，( 5 ) 以上で，SSO-Opengate の雛形となるマスターサーバが完成となる．このマスターサー

vSphere 4.0 は FreeBSD もサポート対象の OS であり，SSO-Opengate の安定運用が期待バからクローンを作成し，複数台の SSO-Opengate を作成する．クローンの作成後は，できる．

各サーバ毎の個別設定 (ネットワーク設定,SSL サーバ証明書設定等) を行い，新規設定

vSphere 4.0 では仮想化 OS(ハイパーバイザ) として ESX が用いられるが，この ESX をでサーバを起動する．

動作させる物理サーバとして，以下のスペックのサーバを 7 台準備した．

クローンの作成後，個別の設定を行う際には，クローンとして作成した仮想サーバを一度• CPU: Xeon E5540 2.53GHz (Quad Core) × 2起動する必要がある．しかしながらこの起動した仮想サーバは，雛形として作成したマス• Memory: 20GB

ターサーバと全く同じ設定であるため，そのまま起動すると，ネットワーク等の設定が重• CNA (Converged Network Adapter): 2 ポート

複しトラブルが発生する場合がある．そこで，クローンにより作成した仮想サーバの初回• Ethernet: 10/100/1000BASE-T 2 ポート

起動時には，各 NIC がネットワークに接続しないように設定を変更 (図 3 の「パワーオンまた，これら 7 台の ESX サーバを一元的に管理するために必要な vCenter Server を動時に接続」のチェックをオフ) した後に，サーバを起動し，各種設定変更を行う必要がある．
ネットワークに関する設定の詳細は，第 4.3 節にて説明する．

作させるサーバとして，同一スペックのサーバをもう 1 台準備した (図 2)．

現在は，上記の ESX サーバ 1 台上で SSO-Opengate を 8 台ほど仮想に動作させ，学内4.2 仮想環境での SSO-Opengate の構築手順にサービス提供している．この 8 台はそれぞれ，文化教育学部・教養教育, 経済学部, 理工vSphere 4.0 では，vCenter Server 上で一度作成した仮想サーバのクローンを簡単に作成

4c 2010 Information Processing Society of Japan°

情報処理学会研究報告
IPSJ SIG Technical Report

図 4 仮想サーバの状態確認画面
Fig. 4 Status screen of virtual server.

よって，ネットワーク自体の冗長性や柔軟性，帯域の確保が重要な課題となる．このよう

図 3 仮想サーバの設定画面
Fig. 3 Setting screen of virtual server.

な要件を満たし，かつ既存のネットワークから柔軟に移行を行うことを想定すると，仮想サーバを用いてネットワークを構成する場合においても，ネットワークの設定が既存の物理ネットワーク機器 (L2 スイッチ) と同様に行えることが望ましい．

学部, 農学部, 医学部, 遠隔施設, その他組織,「学認」参加者用である．従来の Opengate では，先に述べたように 20 台前後の物理サーバでサービスの提供を行っていた．仮想システ

そこで，仮想サーバ全体のネットワークの統合的な管理を実現し，かつ物理ネットワークムにおいては，処理能力の向上もあり仮想サーバ 8 台でサービスを提供しているが，これま機器 (L2 スイッチ) と同様に設定可能となる仮想ソフトウェアスイッチ (Nexus 1000V8 ) もで問題なく動作している．

あわせて導入した．Nexus 1000V は，Cisco Nexus スイッチをソフトウェアとして実装す運用開始が 3 月 (春休み) であったため，授業開講時と比べ利用者は少なめ (同時利用者るものである．このソフトウェアは，仮想 OS を管理するハイパーバイザ (ESX) に統合さ数:最大 200 人前後) であるが，この規模でも各サーバの CPU・メモリの利用率はかなり低れ，仮想マシン対応のネットワークサービスを提供する．以下に，Nexus1000V の設定例をく (図 4)，授業開講時に利用者が大幅に増えたとしても十分耐えられると思われる．もし示す．

¶Nexus1000V 設定例

サーバの台数を増やす必要性が生じた場合にも，先に述べたようにサーバの複製も容易で，柔軟に対応することが可能である．

³n1000v(conﬁg)# port-proﬁle type vethernet Opengate WAN

4.3 ネットワークの仮想化

n1000v(conﬁg)# vmware port-group

SSO-Opengate は，先にも述べたようにゲートウェイとして動作する．よって，この SSO-n1000v(conﬁg)# switchport mode access

Opengate 自体がルータとしても動作することでネットワークが構築される．現在，主に持n1000v(conﬁg)# switchport access vlan 100

ち込み PC を想定した SSO-Opengate が運用されるネットワークだけでなく，その他のネッn1000v(conﬁg)# no shutdown

トワークに対してもポータルサイトなどを表示することを想定した場合，数十台のルータ

n1000v(conﬁg)# state enabledµ(SSO-Opengate) を仮想システムを用いて構築していくこととなる．

5´c 2010 Information Processing Society of Japan°

情報処理学会研究報告
IPSJ SIG Technical Report

6. ま と め

Nexus1000V 特有の設定が含まれているものの，物理的な Cisco スイッチと同様に設定

佐賀大学ではネットワーク利用者認証システム Opengate を全学的に整備している．こが可能であり，上記のような設定を行うと，仮想サーバの設定画面上 (図 3) でネットワーの Opengate は，主に持ち込み PC を学内ネットワークに接続する際の最初の認証になる．

クラベルとして指定が可能となり，指定後にネットワークの利用が可能となる．
この Nexus 1000V を導入したことにより，運用するサーバの台数が増えてもネットワー

この Opengate の認証と Web による情報システムが，ともにシングルサインオン認証に対クに関するケーブリングが新たに発生せず，かつ従来の物理スイッチと同様に，ネットワー応すれば，最初にネットワーク利用者認証を行うだけで，Web 情報システムを再認証なし

クを管理 (SNMP の利用, ポートミラーリング等) することが可能であるため，移行も非常に利用することが可能となり，利用者の利便性が向上する．
そこでシングルサインオン認証に対応した SSO-Opengate の開発を行い，2010 年 3 月にスムーズに行えた．また，vSphere の機能として仮想サーバについての様々なデータを統より全学規模で運用を開始した．また，この SSO-Opengate を構築・運用するにあたり，合的に把握することが可能となり (図 4 など)，管理コストの軽減にも繋がった．

VMware による仮想化技術を用いた．これにより冗長性確保と運用コストの削減とともに，従来システムからの移行負荷も軽減することができた．

5. Web 情報システムのシングルサインオン認証対応

参SSO-Opengate が導入されたネットワークにおいては，ネットワークの利用者認証の際に，ポータルサイトなどを表示し，そこで Web 情報システムへのリンクを提示することに

考文献

1) 名古屋大学ポータルによる情報サービスの統合と課題, 梶田将司, 内藤久資, 平野靖, 瀬川午直, 小尻智子, 間瀬健二, 情報処理学会研究報告, 2007-DSM-046, pp.1-6 (2007)
2) HTTP コネクションの監視により利用終了検知を行うネットワーク利用者認証システムの開発とその円滑な導入, 大谷誠, 江藤博文, 渡辺健次, 只木進一, 渡辺義明, 情報処理学会論文誌, Vol.50, No.3, pp.1032-1042 (2009)3) Opengate とシングルサインオン, 江藤博文, 大谷誠, 渡辺健次, 只木進一, 情報処理学会研究報告, 2009-IOT-4, pp.259-264 (2009)4) 公開端末及び利用者移動端末の認証システムとそのディスクレスマシンによる運用，只木進一，江藤博文，渡辺健次，渡辺義明，学術情報処理研究, No.5, pp.15-20 (2001)
5) 江藤博文, 渡辺健次, 只木進一, 渡辺義明, 大学における情報基盤整備の中核となる統合認証システム, 分散システム/インターネット運用技術シンポジウム,2003
6) Shibboleth,http://shibboleth.internet2.edu/
7) UPKI イニシアティブ 学術認証フェデレーション（学認：Gakunin),https://upki-portal.nii.ac.jp/SSO
8) Cisco Nexus 1000V,
http://www.cisco.com/web/JP/product/hs/switches/nexus1000/

よって，各システムの利用を促すことが可能である．Web 情報システムの利便性を向上するためには，先に述べたようにそれぞれの Web 情報システムをシングルサインオン認証に対応させていく必要がある．
現在，佐賀大学においてシングルサインオン認証に対応 (または予定) する主なサービス
は以下の通りである．

• SSO-Opengate• 総合情報基盤センターポータルサイト• 図書館ポータルサイト• 教職員グループウェア• 統合認証パスワード変更• 佐賀大学 e-Learning システム (試験運用中)• 教務ポータル・教務システム (2010 年 7 月〜)
多くの Web 情報システムがシングルサインオン認証に対応しつつあるが，これ以外のシステムも学内に多く存在する．また，大学では次々の新しい Web 情報システムが発生するため，情報システムをシングルサインオン対応とするための手順の整理や支援体制の構築が今後重要になると思われる．

6c 2010 Information Processing Society of Japan°