ＵＰＫＩ全体報告

国立情報学研究所 認証作業部会主査
京都大学学術情報メディアセンター教授

岡 部 寿 男

１．UPKIについて
２．UPKI３年間の成果
３．今後の計画2

１．UPKIについて

3

全国大学共同電子認証基盤（UPKI）とは 平成１７年頃から，７大学情報基盤センターとＮＩＩで，大学の資源を共有する

ための認証基盤を検討
平成１８年２月１５日にキックオフのシンポジウムを開催
大学が保有するスパコン，電子コンテンツ，ネットワーク等の学術情報資源を，安心・安全かつ有効な活用が可能な基盤を目標にする
先行する海外の学術機関の事例，ＰＫＩ以外の技術も積極的に取り入れて研究・開発する
７大学情報基盤センター群とＮＩＩで概算要求を行い，平成１８〜２０年度の３年間，特別教育研究経費（研究推進：大学間連携）が認められた。

4

最先端学術情報基盤を構成するUPKI【ＮＩＩと大学の情報基盤センターや図書館等連携による学術情報ネットワークの運用と学術コンテンツ整備・発信】
・学術情報ネットワーク運営・連携本部 （H17.2設置）
・学術コンテンツ運営・連携本部 （H17.10設置）●

5

UPKI実施体制

6

ＵＰＫＩの構想段階では
 プライベート認証局の連携による，大学間連携を模索
 大学の認証局を用いて，「サーバ証明書」「S/MIME証明書」「コード証明書」「官職証明書」を発行し，大学間連携，産学連携に活用 このため，認証局間の連携方式の調査・分析を実施
イメージ

NII

ルートモデル大学CA

ブリッジモデル

大学CA

大学CA

大学CA
NII
大学CA

短所

・ユーザ規模，用途により下位CAを増やせる
・認証パスの構築が容易
・ウエブブラウザ等の製品が標準でサポート

・ルートCAに権限が集中する・ルートCAの鍵が危殆化した場合，前証明書の再発行が必要

・他CAの追加が容易
・他ドメインのCA鍵危殆化の影響範囲が局所的・認証パスの構築，検証が複雑になる・ウエブブラウザ等が対応していない

・他CAの追加が容易
・ポリシーによる制約が可能

・他CAとの連携維持管理及び認証パス構築が難しい
・相互認証証明書の登録が必要
・ウエブブラウザ等が対応し7ていない

大学CANII

Pear to pear

長所大学CA大学CA大学CA大学CA

UPKI３層アーキテクチャ
 ＰＫＩの階層を３つに分け，認証局の用途や強度レベル等を分けて検討
 階層内，階層間の認証技術，認証アプリケーションの研究・開発を実施
 あわせて，大学で利用できるアプリケーションも開発

8

各階層のコンセプト
 オープンドメインＰＫＩ層
いわゆるパブリックPKI
 ルート証明書が予め配布されたPKI 皆が信頼しているPKI、誰でも検証できるPKI キャンパスＰＫＩ層
各大学が個別のポリシに合わせて構築するプライベートPKI その大学のユーザ(教職員and/or学生)であることを証明する
 ユーザ(教職員and/or学生)への厳格な(対面等の配付が可能) グリッドＰＫＩ層
AP Grid PMAなどグリッド独自のセキュリティレベル
 プロキシ証明書など一般的なPKIとは明らかに異なる概念
9

６つの項目に基づく取り組み
項番

１

２

実施項目

「UPKI共通仕様」の作成と配布

オープンドメイン認証局の構築とサーバ証明書の発行

内容
認証局連携のための運用規程A大学
認証局

大学の認証局のための「認証局運用規程」のひな形を作成
セキュリティレベルを統一して認証局連携を容易にする

B大学
認証局
NII認証局の承認

実績

サーバ証明書の発行

オープンドメイン認証局の構築
サーバ証明書の発行

NIIオープンドメイン
Web Trust CA 認証局の構築 大学のWebサーバ

平成１８年度，１９年度に作成し，Ｗｅｂで公開中
平成１９年度から，「サーバ証明書発行・導入における啓発・評価研究プロジェクト」を開始→ ２１年度から新プロジェクト開始

B大学

３

大学間無線LANローミングの実現

認証を用いた大学間の海外の大学

A大学

無線LANローミングの実現

平成１８年度から，eduroam方式による無線ＬＡＮローミングを開始

1つのIDで複数のDBにアクセスを可能とする仕様を検討

平成２０年度，２７機関の協力により，シングルサインオン実証実験を実施→ ２１年度から試行運用を開始

C大学

４

コンテンツサービスのシングルサインオン実現（フェデレーション構築）

５

NAREGI-CAを利用したキャンパスPKIス
タートパックの開発

６

S/MIME証明書の試験利用

Shibboleth
電子ジャーナルオープンソースの認証局ソフトウェアある
NAREGI-CAを用いて，大学認証局を簡単に構築できるソフトウェアを開発

電子署名付きメール，メールの暗号化の実現

S/MIMEを関係者間で使用するとともに，発行方法等の検討を実施

平成１８年度に開発し，Ｗｅｂで公開中

平成１８年度から試験利用を開始
一部はサーバ証明書発行のための本人
10
確認に利用

UPKIイニシアティブ
 UPKIの相互運用性，利用促進に関しての意見交換や技術的な検証を行う場として設立（平成18年8月16日）
 運営主体は認証作業部会
 UPKIイニシアティブの活動は，主にホームページ上のUPKIポータルを使用（https://upki-portal.nii.ac.jp/）
 各活動のページから関連情報、資料を発信

UPKIポータルのトップページ各活動のページが並んでいます。

11

２．UPKI３年間の成果

12

ＵＰＫＩ共通仕様の作成
 目的
 大学認証局のセキュリティレベルを揃え，連携を容易にする→ キャンパスPKI層の大学連携CP/CPSのサンプル，仕様書のサンプルを作成し，運用コスト，調達コストを低減する

 概要
 認証局を調達するための「仕様書」
 認証局のCP/CPSのひな形
 CP/CPSは，アウトソース版とインソース版を作成
 情報セキュリティポリシーサンプル規程集の一部としても活用
UPKI共通仕様

キャンパス PKI 調達仕様ガイドライン（アウトソース版）①キャンパス PKI調達仕様ガイドライン編②キャンパス PKI調達仕様テンプレート編

キャンパス PKI CP/CPSガイドライン（アウトソース版）①キャンパス PKI CP/CPSガイドライン編②キャンパス PKI CP/CPSテンプレート編

キャンパス PKI CP/CPSガイドライン（インソース版）①キャンパス PKI CP/CPSガイドライン編②キャンパス PKI CP/CPSテンプレート編

13

サーバ証明書発行・導入における啓発・評価
研究プロジェクト
 目的
 オープンドメイン層の認証基盤の構築
 大学等における，サーバ証明書発行時の審査・証明書配付方式の最適化
 サーバ証明書の重要性の啓蒙活動
 概要
 サーバ証明書発行業務（審査）の一部を大学で実施
 プロジェクトではあるが，発行する証明書は 本物 のサーバ証明書 １月末現在，９０機関が参加し，１９００枚の証明書を発行
 現在のプロジェクトは６月で終了し，新プロジェクトを４月から開始→ 詳細は午後の講演で説明します14シングルサインオン（フェデレーション構築）
 目的
 キャンパスＰＫＩ層の学内認証と，大学間の認証連携を実現
 コンテンツサービス利用を中心とした認証基盤の構築
 概要
 Ｉｎｔｅｒｎｅｔ２が開発したＳｈｉｂｂｏｌｅｔｈを利用 学内に，ＬＤＡＰ等で構築したデータベースがあれば，そのまま利用可能 欧米の図書館を中心に，電子ジャーナル利用等に普及
 平成２０年７月から，２７機関により実証実験を開始
 Ｓｃｉｅｎｃｅ Ｄｉｒｅｃｔ（Ｅｌｓｅｖｉｅｒ）との利用実験を実施

認証

ＩｄＰ
Shibboleth
IdP

利用者

認証ＤＢ
フィルタ
必要最小限の情報 LDAP 教職員のＩＤ

大学認証基盤
学術コンテンツ等

15シングルサインオン実証実験（平成２０年度）
平成１８年度

平成１９年度

平成２０年度

平成２１年度 …

シングルサインオンの海外状況調査

シングルサインオンの実現方法の検討

実証実験の実施

試行運用の実施

米国，欧州，オーストラリア

Ｓｈｉｂｂｏｌｅｔｈを用いたテストを実施

複数機関が連携して，安全・安心な運用ができることを実証

実データを用いて，電子ジャーナル等の認証基盤として運用運用に必要な規程類の整備，技術基準の整備運用規程（ルール）が確立していないため，２１年度は試行

日本のフェデレーションを構築することが目的

16

無線ＬＡＮローミング
 目的
 大学間で無線ＬＡＮを共有し，安心・安全にインターネット環境を提供する
 概要
欧州，アジア・オセアニア等で普及しているｅｄｕｒｏａｍ方式により，無線ＬＡＮローミングを実現
 ＲＡＤＩＵＳ連携で実現できることから構築が容易
 海外のｅｄｕｒｏａｍ機関との連携により，海外の学術機関とも相互利用 平成２１年２月現在，国内１０機関が運用

17

キャンパスＰＫＩスタートパックの開発
 目的
 オープンソースの認証局ソフトウェアであるＮＡＲＥＧＩ−ＣＡを活用し，低コストでの認証局構築をサポートする
 概要
 ＮＡＲＥＧＩ−ＣＡをコンパイル，インストールするためのスクリプト群から構成されている
 難しい設定をしなくても，無線ＬＡＮ向け認証局として利用できる環境が自動的に設定される
 本格利用のためには，手動で環境設定が必要
 ＵＰＫＩイニシアティブのサイトからダウンロード可能18

グリッドとの連携
 目的

大学の認証基盤を用いて，グリッドコンピュータ利用に必要な証明書発行を行う

 概要
 ＵＰＫＩ３層の，グリッド層とキャンパスＰＫＩ層の連携
 グリッド用の証明書は，厳格な管理と本人確認を求められている
 アジア太平洋地区は”ＡｐＧｒｉｄ”の基準を満たす必要がある この実現のための，ポリシー検討等を実施した

キャンパス
ＰＫＩ

グリッド利用
本人確認

ＡｐＧｒｉｄ準拠

証明書申請
ユーザ

19

３．今後の計画

20平成２１年度以降のＵＰＫＩ
２１年度から，ＵＰＫＩは研究開発のフェーズから運用フェーズに向けて一歩前進します。これまでの成果を生かして，次の２つの項目を実施します。
 サーバ証明書プロジェクトの継続
 現プロジェクトは，平成２１年６月末で終了
 平成２１年４月〜２４年３月までの３年間，新プロジェクトを実施
 平成２１年４月〜６月の３ヶ月間は移行期間
 新プロジェクトは，ウェブ画面からの証明書発行申請を可能に
 自動発行の技術的検証を実施
 認証フェデレーション試行運用
 実証実験の成果を利用し，日本での認証フェデレーション運用を開始
 まずは，実証実験参加機関を中心に，実利用可能な認証基盤の構築
 電子ジャーナル等の実利用を実現
 ＮＩＩのコンテンツサービスであるＣｉＮｉｉも対応
 フェデレーション運用のためのルール（規程等）の整備をあわせて実施 グリッド，ネットワーク利用のための認証基盤として利用
21

認証フェデレーションの構築
利用者（教職員，学生等）

所属大学で認証を受けると，どこからでも簡単に，他大学，他機関のサービスが利用できる。

認証Ｅｌｓｅｖｉｅｒ
Ｓｐｒｉｎｇｅｒ
Ｗｉｌｅｙ−Ｂｌａｃｋｗｅｌｌ

利用

ＯＵＰ
ＣＵＰ
ＬＷＷ／Ｏｖｉｄなどが参加表明

利用

認証フェデレーション（運用機関ＮＩＩ）
・ 運用規程作成と参加調整
・ 技術仕様作成・サポート
・ 海外フェデレーションとの連携交渉

ＯＰＡＣ
認証サーバ 機関リポジトリ
（ＩｄＰ）

大学等

•••
•

サイボウズなど

グリッド
無線ＬＡＮ等

ＮＩＩ，ＮＤＬ，ＪＳＴ等

電子ジャーナル

データベース等

学術Ｅリソース

大学等とＮＩＩが連携して「認証フェデレーション」を構築・運用する
２００９年４月からフェデレーション試行運用を開始
２００９年４月時点で，複数の大学，ＮＩＩ内でのシングルサインオン実現
２０１０年４月からの本格運用を目指す
22

世界のフェデレーション

Internet2 informatin kits http://www.internet2.edu/pubs/national_federations200809.pdf から引用

日本はまだ準備中，世界に遅れないためにもフェデレーションの運用開始は重要

23

まとめにかえて 午後の講演

14:00〜 認証を用いたセキュリティ対策
岡 田 仁 志 （情報社会相関研究系准教授，高等教育機関における情報セキュリティポリシー推進部会副主査）



14:20〜 電子証明書の意義とサーバ証明書新プロジェクトの計画
島 岡 政 基 （学術ネットワーク研究開発センター特任准教授）



14:40〜 Shibbolethを用いたフェデレーション構築計画
片 岡 俊 幸 （学術ネットワーク研究開発センター特任准教授）
Nate Klingenstein （Internet2 Technical analyst）



15:10〜 認証基盤を活用したコンテンツサービスの展開
阿蘓品 治夫 （学術基盤推進部学術コンテンツ課係長）

24