＝日本学術振興会産学協力研究委員会＝
インターネット技術第163委員会
JSPS 163rd Committee on Internet Technology
第21回インターネット技術第163委員会研究会 -ITRC meet21-

大阪大学 事務基幹系システムへのThinClient導入について＝Sun Rayによるスマートカードログオン事例紹介 ＝2007年05月31日
長岡亨+，下條真司+，米村直樹++，斉藤圭吾++++ 大阪大学++ サン・マイクロシステムズ+++ 日本ベリサイン

要約

概要：
本学では、情報漏洩防止などのセキュリティ強化のため、ThinClientを用 いた事務基幹系システムの導入整備を戦略的に取り組んでいる。
ThinClientの利用に際しては、電子証明書による個人認証を必須とし、ICカードによるスマートカー
ドログオンで実現した。また、全学IT認証基盤（PKI/SSO)システムの運用を本年度より本格的にスタートさせており、全学主要システム間のSSO連携に対応するS.B.C.(Server Base Computing)試行開発にも取り組んできた。
本稿では、これら導入の経緯及び、当該システムについての実装等に関して紹介するものである。

本日の内容

１．はじめに
２．大阪大学におけるThinClient導入実績状況
３．スマートカードログオンとは
４．Sun RayのICカード利用によるログイン
５．大阪大学ThinClientのスマートカードログオンについて
６．全学ActiveDirectoryの設計と導入について
７．スマートカードログオンからSSOへの連携について
第21回インターネット技術第163委員会研究会 -ITRC meet21-

はじめに

シーズ

全学IT認証基盤の構築と実用化
大学情報インフラの屋台骨確立と上位層での情報サービスの充足
インターオペラビリティ＆スケーラビリティ
システム間共通認証フレームワーク（全学IT認証基盤）
大学間

認証

認可

セキュアデータアクセス制御共通仕様（暗号化・認可制御・アプライアンス仕様化）＜システム間連携インターフェース：データハブ＞
キャンパスネットワーク

ニーズ

給与
データ

人事
DB

基幹情報管理方法の改善

科研費
データ

財務会計
DB

情報基盤整備旅費
学務
データ施設管理 学費 学籍DB
DB
データ

国立大学法人化による大学の社会責任USR

University Social Responsibilityを果たすための施策案

第21回インターネット技術第163委員会研究会 -ITRC meet21-

システム運用環境の刷新

実証のねらいICカードを認証トークンとし、電子証明書による個人認証を用いた（必須とした）全学規模のThinClient実行環境の構築（技術的視点とミッションクリティカルな業務への適用性評価）
いつでも・どこでも・欲しい情報に安全に手が届く大学基幹系システムの基盤環境の実現
キャンパス内ユビキタス的な、新しい情報アクセス環境のリファレンスモデルの提示○大学運営組織側が期待する効果

ファイル
持ち出し不可MyDeskTopの移動（新しいUI）
ICカード
認証基盤
連携
利用/
運用における
セキュリティ
の向上

ウィルス
感染抑止力
高

大学情報を外部媒体を介して持ち出せない/させない
ウィルスを持ち込ませない（ネットワークからも、人為的操作からも）センター一元運用監視・管理（全学均一なセキュリティレベルの保持）

第21回インターネット技術第163委員会研究会 -ITRC meet21-

ファイル
操作制限

NW起因
障害範囲大

処理速度
操作体感速度日本語USB

高トラヒック時の影響通信を介するが故の違和感できること／できないこと（トレードオフの評価）

大阪大学におけるThinClient導入実績状況（１／２）
1 1 月e12月

1月
基本機能検証（2ヶ月）

2月

プラットフォーム事項
認証機構実装（ActiveDirectory個別対応）
ActiveDirectory個別対応）
NWトポロジー設計
NWトポロジー設計
セキュリティ設定
ネットワークプリンタ
認証機構実装
（全学IT
認証基盤対応）（全学IT認証基盤対応）

試行評価Ⅰ
試行評価Ⅰ−①
リファレンス構築

ベンダー
フィードバック☆仕様改善

・操作ルール
操作ルール
・動作環境
動作環境
・機能制限
機能制限
・改善措置

モデル化

Windowsサーバ構成設計
Windowsサーバ構成設計

120枚

ThinClient個人認証機能（認証リポジトリの移行） ICカード対応機能実装
標準プロダクト選定

共通評価事項
試行評価Ⅰ
試行評価Ⅰ−②

インターネット環境（ブラウザ）
インターネット環境（
ブラウザ）
オフィスソフト

リファレンス構築

グループウェア
メール等
メール等

・動作確認
動作確認//運用確認
・機能制限
機能制限

適用評価（先行）

適用評価STEP1
適用評価STEP1
GoＫＯＡＮ（Ｃ/
ＫＯＡＮ（Ｃ/Ｓ）
WebCT（WebCT（Web)
財務会計システム（Meta版）
財務会計システム（Meta版

第21回インターネット技術第163委員会研究会 -ITRC meet21-

現状移行可否・基幹系業務動作
・運用制約の回避
・機能制限
機能制限

適用評価STEP
２
適用評価STEP２

判定
Go/NoGo
Go/NoGo業務システム評価
新人事給与システム

80台
ＩＣカード

導入運用開始︵技術的見極めに１ヶ月︶

適用性評価⇒
適用性評価⇒導入判定

大阪大学におけるThinClient導入実績状況（２／２）

80台●ThinClient端末●ThinClient端末
Sun
Sun Ray
Ray 270
270 // 22(Sun(Sun RayRay Server
Server Software)
Software)●認証ソリューション
●認証ソリューション
日本VeriSign
日本VeriSign
Kerberos-Smartcard-Logon
Kerberos-Smartcard-Logon--------------------------------------------------------------------●IT/SSO認証基盤SYS●IT/SSO認証基盤SYSSun
Sun Java
Java System
System-- Identity
Identity Manager
ManagerSun
Sun Java
Java System
System-- AccessAccess Manager
Manager

第21回インターネット技術第163委員会研究会 -ITRC meet21-

Sun Ray導入のイメージ
通常業務利用時：100kbps〜300kbps（高負荷時：〜1Mbps）※（Sun Rayの場合）

ODINS基幹ネット

Sun Ray サーバ
Sun Ray 2/270（認証系NWセグメント）

WTS
アプリケーションサーバ

（接触型）
ICカード

L2/L3

ユーザ実行環境
Office系
Mail
個人の作業環境は、認証された先のThinClient端末機に対して紐付けられる（MyDeskTopが自分と一緒に移動する）

L2

Windows-Base
C/S型アプリBrowser

SSO認証基盤
サーバ群
ActiveDirectoryサーバ（DC)MS
OfficeThunder （Mozilla）
Bird
FireFoxWindowsTerminal
Server経由（仮想）DeskTop
認証/認可

第21回インターネット技術第163委員会研究会 -ITRC meet21-

共有ファイルサーバ

スマートカードログオン・・概略•

概要– ICカードを利用したWindowsドメインへのログオン認証– PKIの概念を導入した強固な認証が可能– スマートカードログオンに対応した電子証明書が必要
ROLE

•

利用者
– パソコンに接続されたICカードリーダにICカードを挿入– 本人確認のためICカードのPIN入力•

システム管理者– ログオン認証の種類を設定• ID／パスワード認証と併用• スマートカードログオン認証必須– ICカードを抜いたときの振る舞いを設定• コンピュータのロック• ログアウト

第21回インターネット技術第163委員会研究会 -ITRC meet21-

PIN
秘密鍵

電子証明書（公開鍵）
大阪大学認証局の秘密鍵で署名

スマートカードログオンとは・・

Windowsドメイン環境

ActiveDirectory＜事前作業＞①ICカードを挿入③ICカード内のPrivate証明書をDCに送信②ICカードのPIN
入力により本人
確認④DCのPrivate証明書をクライアン
トに送信⑦Private証明書のユーザプリ
ンシパル名からAD上のドメイン
ユーザを特定DomainController＜事前作業＞⑤お互いに信頼されるルート認証
局から発行されているか確認

CRL配布サーバにプライベート認証局の失効リストを発行⑥お互いに失効状態を確認

クライアントActiveDirectoryに阪大認証局のルート
証明書を発行CRL配布サーバ⑧ドメインログオン完了でデスク
トップ表示＜事前作業＞＜事前作業＞

利用者のICカードに
Private証明書を発行

ドメインコントローラに
Private証明書を発行

大阪大学（IT認証基盤）
Private認証局

Kerberos Smartcard Logon（with Certificate）
第21回インターネット技術第163委員会研究会 -ITRC meet21-

参考）Windowsドメインのスマートカードログオン：プロダクト仕様
阪大ICカード

リーダライタWindows端末

DomainController

ISO7816-1,2,3,4(T=0, T=1)

ActiveDirectoryサーバ

Kerberos with
Certificate

Windows起動-GINA画面

カード挿入

クライアント証明書チェーンの確認
証明書発行のCA（Issure）の確認
失効リストの確認
KRB̲AS＿REQ内のAuthenticatorの署名の確認（リプレイ攻撃を防ぐためのタイム
スタンプ確認を含む）
UPNの取り出し
Active Directoryでの認証確認

PC/CS
PIN 認証画面－PIN入力
TGT要求（KRB̲AS̲REQ）

PIN 送信PIN チェックO.K.

Pre-Authentication Data

クライアント証明書チェーンの確認
証明書発行のCA（Issure）の確認
失効リストの確認
KDC署名の確認
スマートカードに保存された秘密鍵によりセッション鍵とチケットの取り出し

TGTとセッション鍵（KRB̲AS̲REP）

ActiveDirectory
SID

SID

ドメインコントローラ
セッション鍵

デスクトップ表示
SID群＝TGTTGTを暗号化しているのはランダム鍵

第21回インターネット技術第163委員会研究会 -ITRC meet21-

ランダム鍵を暗号化しているのは証明書の公開鍵

ユーザ（およびそのユーザが含まれるグループ）のSIDをAuthentication dataフィー
ルドに格納
セッション鍵を生成し、そのセッション鍵をクライアントの証明書の公開鍵で暗号化したものをPre-authentication dataフィールドに格納
KDCの証明書で署名

Sun RayのICカード利用によるログイン
Solaris OSへの認証手続き

Card-ID①ICカードを挿入②ICカードのSerial ID
をサーバで認識

Sun Ray Server③ログイン画面表示
サービス④Account/Passwd
オプション）Serial IDから認証タイプを判断

クライアント⑦OSアカウントへのログオン完了
でデスクトップ表示

第21回インターネット技術第163委員会研究会 -ITRC meet21-

Serial-ID認証 or電子証明書認証

Windowsドメインへのスマートカードログオン
認証へ・・・

参考）Sun RayのICカード利用ログインのプロダクト仕様
Sun Ray のスマートカードによる認証には２段階ある。
●STEP1Sun Ray 端末

スマートカード

Sun Ray サーバ●STEP2

DHCP
TFTP
APL

ISO7816-1,2,3,4(T=0, T=1)

:Sun Ray サーバOSに対するログイン認証（ユーザ、パスワードは正当な組合せ
か）

DHCP request
Boot
シーケンス

:カードのタイプ･シリアルIDに対する認証 （カードがアクセス可能か）DTU IP, Server IP
MAC Address

TokenID (pseudo.MACADDRESS) のアクセス権限をチェック
アクセス許可の場合 TokenIDに対するセッションを検索
セッションが既にある場合そのサーバにリダイレクトしセッションを再開
無ければ負荷の低いサーバにリダイレクトしセッションを生成
新規セッションの場合はログイン画面を表示（アクセス制御モードの場合は、専用ユーザで自動ログインして指定されたアプリケーションを起動）

dtlogin
OSのユーザアカウント機構(LDAP, NIS, /etc/shadow 等)で認証

user/password
カード挿入

ATRからカードタイプが登録されているか検索
登録済みの場合、カードタイプに応じた APDU等を発行（カードによっては APDUにてカードタイプを特定する場合もあり）

reset
ATR
APDU
APDU response
dtlogin
略語一覧
user/password
APL
Appliance Link Protocol
ATR
Answer To Reset
APDU Application Protocol Data Unit
DTU
Desktop Terminal Unit
第21回インターネット技術第163委員会研究会 -ITRC meet21-

TokenID (cardType.cardID) のアクセス権限をチェック
アクセス許可の場合 TokenIDに対するセッションを検索
セッションが既にある場合そのサーバにリダイレクトしセッションを再開
無ければ負荷の低いサーバにリダイレクトしセッションを生成
新規セッションの場合はログイン画面を表示（アクセス制御モードの場合は、専用ユーザで自動ログインして指定されたアプリケーションを起動）

OSのユーザアカウント機構(LDAP, NIS, /etc/shadow 等)で認証# 主要なシーケンス及びパターンのみを抜粋

大阪大学ThinClientのスマートカードログオンについて
•

方針
–
–
–
–

•

検証
–
–
–
–

•

本人認証に全学IT認証基盤システムの利用者証明書とICカードを利用
事務基幹系システムの移行においては、既存のクラサバシステムの環境を維持
シンクライアントシステムには、Sun Microsystems のSun Rayを採用
スマートカードログオン対応ICカードと、電子証明書には、VeriSignのマネージドPKI
サービスを採用

事前準備：Sun Ray Serverと、Sun Rayクライアントの手配
ステップ1：Windowsネイティブのスマートカードログオン環境準備
ステップ２：上記にターミナルサービスを追加しスマートカードログオンを実施
ステップ３：上記にSun Rayシステムを組み合わせてスマートカードログオンを実施

構築– 大阪大学が事務用端末としてSun Rayシンクライアントを採用– （ 全学IT認証基盤と連携したシングル・サインオンも実現）– http://jp.sun.com/company/Press/release/2007/0312.html

第21回インターネット技術第163委員会研究会 -ITRC meet21-

検証：スマートカードログオン導入ステップ
ステップ１

DC Certificate
CA Certificate
CRL File

WindowsXPからスマートカードログオン

IC CardUser Certificate

WindowsXP（Smart Card Client）

このプロセス相当がTSサーバ上で動作

Active Directory on
Windows2003 Server

ステップ２

XPリモートデスクトップからスマートカードログオン

IC CardUser Certificate

WindowsXP（Smart Card Client）

ステップ３

Sun Rayシステムからスマートカードログオン

IC CardUser Certificate

Sun Ray 270

1.
2.
3.

Terminal Server on
Windows2003 Server
このプロセス相当がSunRayサーバ上で動作

Sun Ray Connector for Windows
PC/SC SRCOM bypass
ICカード構成ファイル

Sun Ray Server on
Solaris10 Server

利用者端末には、HDDが存在せず、完全なセキュア環境を実現
ICカード（電子証明書）と、PIN入力の2要素で本人認証を実現
Sun Rayシステム（Solarisベース）と、Windows環境を統合

第21回インターネット技術第163委員会研究会 -ITRC meet21-

参考）処理シーケンス概略
阪大ICカード

Sun Ray 端末

Sun Ray サーバ
DHCP
TFTP
APL

ISO7816-1,2,3,4(T=0, T=1)

カード挿入

Terminal サーバ

RDP

PC/SC SRCOM Bypass ライブラリを使用すると
Sun Ray 端末本体のスマートカードリーダを
リモートデスクトップ接続するWindowsにActiveDirectoryサーバ
認識させることが可能
PC/SC (Personal Computer/Smart Card) は、
PC上でスマートカードを利用するための標準インタフェース
Sun Ray のアクセス制御モードを利用してSun Ray サーバ
OSでの認証を省略させている

端末のIP取得は省略
ATRからカードタイプが登録されているか検索
登録済みの場合、カードタイプに応じた APDU等を発行（カードによっては APDUにてカードタイプを特定する場合もあり）

reset
ATR

TokenID (cardType.cardID) のアクセス権限をチェック
アクセス許可の場合 TokenIDに対するセッションを検索
セッションが既にある場合そのサーバにリダイレクトしセッションを再開
無ければ負荷の低いサーバにリダイレクトしセッションを生成
アクセス制御モードなので、専用ユーザで自動ログインしてSun Ray Connector for Windows (uttsc) を起動

APDU
APDU response

uttsc with
PC/SC SRCOM Bypass
PIN 認証画面

Windows側にカードのミドルウェアが、Sun Rayサーバに
PC/SC SRCOM Bypassライブラリがインストールされており、
uttscコマンドにスマートカードリダイレクトオプションを付加す
ると、Windowsは通常の user/passwordログイン画面ではなくPIN
コード入力の画面を表示する

PIN 入力PIN 送信PIN チェック
O.K.

ログオン成功、デスクトップ表示

第21回インターネット技術第163委員会研究会 -ITRC meet21-

詳細仕様はMicroSoft非開示のためリーチできず・・(><);;

全学ActiveDirectoryの設計と導入について検証
進行中
IT認証基盤

マスター

PID-DBCA
Sync

フォレスト（双方向信頼関係）

AD
(DC)

AD
(DC)

（全学AD）

外大ADmaster.osaka-u.ac.jp
ドメイン・
ツリー

sub_office.osaka-u.ac.jp
親⇒子

箕面キャンパス

AD（事務AD；代表）

(DC)

AD

jimu.master.cmc.osaka-u.ac.jp
第21回インターネット技術第163委員会研究会 -ITRC meet21-

全学汎用
ThinClient

gai-go.osaka-u.ac.jp

ドメイン間のモビリティについて（継続検証中）
ICカードに書き込んであるドメイン=AAA.osaka-u.ac.jp の場合

AAA.osaka-u.ac.jp（単一）フォレスト関係
Sun Ray Server

GGG.osaka-u.ac.jp
AD

第21回インターネット技術第163委員会研究会 -ITRC meet21-

ADSSOオペレーションイメージ：実装差異／動作環境差異
ThinClientシステム（含制御サーバ）
WebベースSSO連携サイト
スマートカード
ログオン
サイトA

PINの再入力

IT認証基盤
サイトB（URL）アクセスリクエスト

サイトB
認証連携

LDAP

オペレーションなし
サイトC（URL）アクセスリクエスト

サイトC

第21回インターネット技術第163委員会研究会 -ITRC meet21-

参考）SSOオペレーションイメージ：ブラウザ実装差異／動作の差異

OS(Windows)

ブラウザ

SSO連携対象
Webサイト（Policy Agent)

IT認証基盤

ActiveDirectory(Access Manager)(Win DomainCtrler)

スマートカードログオン
有効
チケット

PIN入力

チケット発行

スマートカードログオン（S.C.Lonでない場合）
CSP
からのSSO連携挙動
Sun Ray (WTS)

URLリクエスト

module（IE）（Card参照）
PIN再入力有効
チケット（A） Pkcs#11
Lib(Ffox)

汎用パソコンリダイレクト

特に個別設定なくSSO連携正常動作

特に個別設定なくSSO連携正常動作（既知の問題はある）（既知の問題はある）
認証

PKCS#11ライブラリのインストール必須 PKCS#11ライブラリ
有効のインストール必須（B ）（キャッシュ参照）（利用開始）

有効
Cookie（ログイン）

SSO連携後の強制終了
SSL有効（ログアウト処理未実施）
セッション
後の再SSO処理にて異常となる。
・ICカード再認識しない
・SSO認証できず手動
ログイン処理に移る

セッション
情報生成

SSO動作に関して
正常性を確認。

認証（利用開始）URLリクエスト有効
Cookie

第21回インターネット技術第163委員会研究会 -ITRC meet21-

SSL有効
セッション

有効
セッション
情報保持

ノウハウ１）Sun RayとWTS(DC)の連携実装について
阪大ICカード

Sun Ray 端末

Sun Ray サーバ

Terminal サーバ

Application Server

Active Directory(DC)

認証/認可

SUN Ray
Smart Card
ReaderSun Ray 端末のカードリーダをPC/SC互換のカードリーダとしてアプリケーションから利用できるようにするためのAPI（Open Source MUSCLE project の一部）

PC/SC
PC/SC
BypassBypass
Library
Library

業務処理

スマートカード
リダイレクション機能

スマートカード
ログオン機能Sun Ray
Connector for
Windows

スマートカード
ミドルウェアSun Ray Server Software

PC/SC
PC/SC
on
on
RDP
RDP

DB

カード
リーダ
ドライバ

Sun Ray 端末上で動作する RDP Client。

Sun Ray サーバにて、PC/SC Bypass libraryとSun Ray Connector for Windows のスマートカードリダイレクション機能を適用し、Windows Terminal Server 上のアプリケーションから
Sun Ray 端末のカードリーダにアクセス、ICカードに格納されたクライアント証明書などの情報を読み取り、ログイン認証やブラウザ・メーラ等でのクライアント認証及び電子署名、暗号化等の実行環境を実現。
第21回インターネット技術第163委員会研究会 -ITRC meet21-

ノウハウ２）ICカードによる認証振り分け
阪大ICカード

Sun Ray 端末

Sun Ray サーバ

WTS／DC

SolarisWindows Server
スマートカードログオン
対象者をSerial IDで振分け

利用者
判定

Serial ID（Card-ID)

認証
要求

カード情報

証明書あり

証明書なし

認証判定
証明書有無

電子証明書
手動ログイン

Solaris スマートカードログオン

テンポラリーユーザ（権限委譲受託ユーザ）

スマートカードログオン
認証判定（Solaris
OS未対応） 手動ログイン テンポラリーユーザ（権限委譲受託ユーザ）
証明書有無
ICカード発行運用においICカード発行運用においいて、電子証明書の発
いて、電子証明書の発行を受けた利用者と、テ行を受けた利用者と、テンポラリカードの発行（複ンポラリカードの発行（複数人共有カード）を受け数人共有カード）を受けた利用者が混在する場
た利用者が混在する場
合のシステム必須機能
合のシステム必須機能

第21回インターネット技術第163委員会研究会 -ITRC meet21-

Solarisアカウント認証

Windowsドメイン
ログオン認証（Sun Ray DeskTopユーザ）

SSO連携サービス

Windowsドメイン
アカウント認証（手動ログイン）ノウハウ３）WTS (Windows Terminal Server) 環境における不具合 …. (><);;
リエントラント実装対応になっていないアプリケーションでも、利用は避けられない
ThinClient環境の適用により多くの場合、WTS環境をRDPで利用する（1:n）。Office系パッケージを含め、
Winパソコンベースのパッケージソフトは、通常インストールでは動作しないと思うべき。従ってSBC導入（取組み）決定は慎重に決断する必要が（入念な動作確認が）・・・ある。 さらにOwn-risk・・＜見つけだした策＞●アプリケーションの インストールディレクトリに対して、Authenticated_Userにフルコントロール を与えることで正常動作させることができることを発見（セキュリティ運用面では暫定措置としての域でしかない）。
●ただしインストールディレクトリ内で競合が発生する場合、コンピュータ名ごとにインストールディレクトリを複数用意し使い分けて利用する策は有効。
●*iniファイルのＰＡＴＨが素直なインストールでは通らない場合には、
HKEY_LOCAL_MACHINE¥SOFTWARE¥Microsoft¥Windows NT¥CurrentVersion¥Terminal
Server¥Compatibility¥Applications 配下にレジストリ値を手動で追加する事で正常動作できる。

WTSダウン多発：SBCたるがゆえに業務アプリケーションの全停止回避の為に重要
重要パッチ情報
http://support.microsoft.com/kb/924806/ja
文書番号：９２４８００６
最終更新日：２００７／２／１
リビジョン：１．０｢クライアントがｓｅｒｖｉｃｅ ｐａｃｋ１でＷｉｎｄｏｗｓＳｅｒｖｅｒ2003を実行しているサーバーでターミナルサービスセッションからログオフ
すると、停止エラーメッセージ：「０ｘ００００００ＡＢ >> （session_has_valid_pool_on_exit）を停止する」

第21回インターネット技術第163委員会研究会 -ITRC meet21-

今のところの評価）S.B.C.導入とスマートカードログオンに対しての評価
１．利便性のUP
実行環境の高速化が図れる：アプリケーション起動時の高速化、処理そのものが体感的に高速→一人に割り振る事が可能なリソースが大きいので、プログラム の起動時間も短く、レスポンスよく高速に動作するようでその点では利用者満足度UP。
→S.B.C の場合は通常サーバを起動しっぱなしであり、 ユーザが帰宅する際もログアウトせずカードを抜くだけという運用なので、通常のPCに比べて、起動・終了・ログオン・ログアウトの時間も削減できている。

２．ADと認証基盤との間でのアカウント情報の自動同期の仕組み→WindowsドメインにログインするためのAD認証情報と、認証マスタデータに相当する認証基盤の認証情報を動的に同期更新する方法を至急確立する必要がある（LDAPから抽出できれば）。
（案）
1.
2.
3.

Sun Java System Identity Manager より事務AD に必要なデータを直接同期
事務AD を廃止して全学AD を使用する
全学AD と事務AD 間で何らかの同期を行う

３．全学ネットワークのトポロジ構成に密接に影響をうけるThinClient構成設計→現行Sun RayはDHCPで運用しており、DHCPサーバの論理位置やアドレス管理範囲が大きく影響する。
選択肢として、Sun Ray だけの Private Network を組む（遠隔地には VLAN で伸ばして）ことも考慮したが、 大阪大学では PC のネットワークとの混在が避けられなかったので Sun Ray だけの Private Network を組まない構成で運用。
※SunRay次期バージョンでは DHCP だけではなく static IP アドレス での運用も実装予定らしい・・・
http://www.sun.com/software/sunray/features_beta.jsp

第21回インターネット技術第163委員会研究会 -ITRC meet21-

参考）電子証明書による認証スキーム••

Kerberos認証ではKDC （キー配付センター：Key Distribution Center）が認証を実施
Windows環境において、KDCはドメインコントローラー（DC）に相当••

ドメインコントローラにはドメインコントローラの電子証明書が必要
相互に信頼の連鎖を確認できることが必要– ICカード内の利用者証明書の有効期間を検証– 利用者証明書の信頼チェーン確認– 利用者証明書の発行元のCA（Issure）証明書の有効期間を検証– 各証明書の失効情報の確認– KRB_AS_REQ内のAuthenticatorの署名検証• リプレイ攻撃を防ぐためのタイムスタンプ確認を含む••– 利用者証明書からUPN名の取り出し– Active Directoryでアカウント認証を実施相互に行う失効情報の確認では、電子証明書のCDP（ｃｒｌDistributionPoint）に記載されているURIを参照してCRLファイルを入手
相互にCRLファイルを有効期間中はキャッシュ。

第21回インターネット技術第163委員会研究会 -ITRC meet21-

以上
著者：長岡亨+,下條真司+
共著：米村直樹++，斉藤圭吾++++ 大阪大学 、++ サン・マイクロシステムズ、+++ 日本ベリサイン

商標●Microsoft Windowsは、米国Microsoft Corporationの米国およびその他の国に おける登録商標または商標です。Internet Explorerは、米国Microsoft Corporationの米国およびその他の国における登録商標または商標です。Outlook Expressは、米国Microsoft Corporationの米国およびその他の国における登録商 標または商標です。
●Sun、Sun Microsystems、サンのロゴマーク、iForce、Java、Netra、Solaris、 Sun Fire、Sun Ray、
SunSpectrum、Sun StorageTek、SunTone、The Network is The Computer、Sun/Solaris/Java に関連するすべての商標およびロゴマーク、 およびこのWebサイト (Sun Trademarks (sun.com) 参照) に表示される他の特定の商標およびロゴマークは、米国 Sun Microsystems, Inc. の米国およびその他 の国における商標または登録商標です。
●VeriSignはVeriSign,Inc.の米国およびその他の国における登録商標です。 VeriSign ロゴ、VeriSign Trust
NetworkはVeriSign,Inc.の米国およびその他の 国における商標およびサービスマークです。
●本書に登場する会社名、システム名、製品名などは、各社の商標または登録商 標です。
使用制限
本書の全部または一部を、いかなる形式またはいかなる手段を用いるかを問わず (電子的方法、機械的方法、複写、録音、その他) 著者（共著含）の書面による 事前の許可を得ることなしに複製、保存、検索システ
ムへの導入、転送すること を禁じます。 本書で記載している各社各製品のURL情報は、本書作成時点で確認した情報にな ります。各社のURLやURL先の内容は予告なく削除・変更される場合がございます のでご了承ください。
第21回インターネット技術第163委員会研究会 -ITRC meet21-