Microsoft PowerPoint - Gakunin2011MieNewFeature.pptx

Size: px

Start display at page:

Download "Microsoft PowerPoint - Gakunin2011MieNewFeature.pptx"

よりとしわしあし
5 years ago
Views:

1 新しい学認機能のご紹介 DS, uapprove.jp, OpenIdP 学認 CAMP / 三重大学 / 2011 年 9 月 14 日中村素典 / 国立情報学研究所

2 トピック埋め込みDS (embedded DS) IdP 機関のためのユーザ同意機構 (uapprove.jp) OpenIdP ( 特定組織に属さないIdP) 2

3 1. 埋め込み DS (embedded DS) 3

4 学認におけるサービス利用時の一般的な手順サービスにアクセス学認ログインを選択 DSに飛ぶ IdP 一覧から選択 IdPに飛ぶ認証情報を入力 SPに戻ってサービス開始サイトが何度も切り替わるとユーザが混乱する

5 SP 埋め込みの DS の登場 (EDS: Embedded DS) 独自方式 (ej サイト等 ) 契約のある機関のみのリストを提供 Shibboleth 方式 SWITCH 方式 5

6 DS を埋め込んだサービス DS に飛ばないため画面遷移が 1 回減りユーザの不安解消につながる一度選択した IdP 情報は SP 間で共有されるその他様々な使い勝手の向上 6

7 学認版 EDS SWITCH 方式 EDS をベースに改良使い勝手の良いインクリメンタルサーチ大学数が多い国では絞り込み機能は必須選択はマウスでもキーボードの矢印キーでも可能 IdPの名前が長くても横スクロールで確認可能どのIdP を選択したかの情報を異なるSP で共有可能不正サイトへの情報漏洩 ( フィッシング支援 ) を防止する工夫怪しいサイトから利用された場合は警告を表示し選択情報はSP 間で共有しない一覧で表示するSPの事前の絞り込み SPがサービス可能なIdPのみを提示可能 (DiscoFeedの利用) JavaScriptがブラウザで許可されていない場合は従来通りにDSサイトに飛ぶリンクを表示 DSサイトでもJavaScriptなしで動作 7

8 参考情報 beddedds embedded-wayf.js/snippet.html 8

9 2. IdP 機関のためのユーザ同意機構 9

10 サービス利用時の個人情報送信 IdP このサービスに送信される属性情報 edupersonaffiliation OrganizationUnit edupersontargetedid DisplayName 必須でないでない属性情報 ( マイページ利用等 ) 3 (SSO) SP 電子ジャーナルこのサービスに送信される属性情報 edupersonprincipalname mail 4 電子メールサービス 1 Access 2 10 利用者 4 Service SP

11 人情報gakuninScopedPersonalUniqueCode 学生番号職員番号学認で利用されている属性情報 11 Name (abbreviation) Description 個OrganizationName (o) 組織名 jaorganizationname (jao) 組織名 ( 日本語 ) OrganizationalUnit (ou) 部門名 jaorganizationalunit (jaou) 部門名 ( 日本語 ) edupersonprincipalname (eppn) フェデレーション内で固有の個人識別子 edupersontargetedid SP 毎に固有の個人識別子 ( 匿名識別子 ) edupersonaffiliation Staff, Faculty, Student, Member edupersonscopedaffiliation Staff, Faculty, Student, Member (@scopeつき) edupersonentitlement SP 毎に固有の付加情報 SurName (sn) 氏名 : 姓 jasurname (jasn) 氏名 : 姓 ( 日本語 ) GivenName 氏名 : 名 jagivenname 氏名 : 名 ( 日本語 ) displayname 表示用氏名 jadisplayname 表示用氏名 ( 日本語 ) mail アドレス学認参加以前に収集した個人情報は目的外利用となるため本人同意が必要

12 個人情報保護法個人情報の保護に関する法律 ( 平成 15 年 5 月 30 日法律第 57 号 ) 私立大学独立行政法人等の保有する個人情報の保護に関する法律 ( 平成 15 年 5 月 30 日法律第 59 号 ) 国立大学 ( 公立大学もこちらに準じる ) 利用目的以外の目的での保有個人情報の提供には本人の同意が必要全ての SP( 将来の追加を含む ) に対する包括的な同意 SP ごとの個別の同意 12

13 IdP におけるユーザ同意機構の実装 (uapprove) SWITCH ( スイス ) から提供 Shibboleth IdP のプラグイン送信される属性情報全てに対するまとめての同意どの属性情報が送信されるかは IdP の管理者が指定する tools/uapprove.html 13

14 ユーザに選択権を与える拡張 :uapprove.jp 送信が必須でない属性情報に関してユーザが送信の可否を個別に選択できる将来の挙動について指定できる必須の属性情報必須でない属性情報 14 次回の同一 SP アクセス時も再び同意が必要同一 SP については将来の同一内容の送信について同意全ての SP に対して全ての属性情報を送ることを同意

15 設定の方法 SP が用意するメタデータ中に必須かどうかの区別を定義 <md:requestedattribute isrequired="true" FriendlyName="eduPersonAffiliation"> </md:requestedattribute> IdP のフィルタリングルール (attribute-filter.xml) で uapprove.jp の結果に従うように指示 <PolicyRequirementRule xsi:type="uapprove:attributeuapprove" /> <AttributeRule attributeid="edupersonaffiliation"> <PermitValueRule xsi:type="uapprove:attributeuapprove" isapproved= true" /> </AttributeRule> 詳細については Web をご参照ください 15

16 uapprove.jp の開発状況試験実装公開中 (IdP 2.1.3, 2.1.5, 2.2.0) 実運用に耐えるバージョンを公開予定 (IdP 2.3.x) IdP では IdP 以降の利用を推奨 Vulnerability of OpenSAML library included in prior to version

17 3. OpenIdP ( 特定組織に属さない IdP) OpenID と似ていますが関係ありません 17

18 学認利用支援に向けて学認は 2010 年度から本格運用を開始 IdP は 28 機関が構築しユーザ総数は概算で 45 万 (2011 年 9 月 14 日現在 ) 各機関での整備は進んでいるがまだまだこれから日本国内の高等教育機関は1200 以上ユーザ総数は350 万以上 ( 文部科学省平成 23 年度学校基本調査 ) 大学 780 校学生 290 万人教員 36 万人 ( 兼務含む ) 短大 387 校学生 15 万人教員 6500 人 ( 兼務含む ) 高専 64 校学生 6 万人教員 5000 人 ( 兼務含む ) 学認利用を支援促進する仕組みが必要 IdP ホスティング OpenIdP 18

19 OpenIdP IdP の構築が完了していない機関ユーザ向けサービス学認には属さない IdP 学認サービスの一部が利用可能大容量ファイル転送サービス Fshare β Communications service for sharing academic information 19 meatwiki FaMCUs ( テレビ会議用 MCU) など ac.jp のメールアドレスを持つユーザであれば自由に登録可メールの到達性を確認します ac.jp ドメイン以外にも対応可能登録可能ドメインの追加は openidp-admin@nii.ac.jp へ

20 大容量ファイル転送サービス Fshare β 電子メールの添付ファイルのようにして学認参加機関のユーザどおしでファイルをやりとりできるサービス送信先も学認参加機関のユーザでないといけないという制約が厳しすぎるという声を受け OpenIdP でも利用可能にした 20

21 Communications service for sharing academic information 山形大学が提供する科学技術の学術情報共有のための双方向コミュニケーションサービス 21

22 meatwiki 学認 map 機能を活用したグループベースの wiki サイトシステムとして confluence を採用 22

シボレスを用いたテレビ会議用 MCU 予約制御システム提供する MCU Tandberg

認証情報 Shibboleth 予約制御 SP 制御 NII 接続接続 Skype-SIP GW

23 シボレスを用いたテレビ会議用 MCU 予約制御システム提供する MCU Tandberg Codian MCU 4510 ( 最大 12 地点 HD 対応 ) Polycom RMX 2000 ( 最大 20 ポート HD 対応 ) 学認への対応予約と制御に認証を要求 ( 教職員に限定学生に権限委譲可 ) テレビ会議への参加には認証不要 ( アクセスコード等利用 ) 認証 IdP 認証情報 Shibboleth 予約制御 SP 制御 NII 接続接続 Skype-SIP GW (NAT 越え可 ) ( 音声のみ ) ConferenceMe 移動先 A 大学代表者 23 接続予約情報の通知 B 大学

24 FaMCUs ( テレビ会議用 MCU) へのアクセス MCU の予約は学認参加機関の教職員に限るが予約の変更や MCU の制御は予約者の責任の下で委譲可 24

25 おわりに今回紹介した新機能埋め込み DS (embedded DS) IdP 機関のためのユーザ同意機構 (uapprove.jp) OpenIdP ( 特定組織に属さない IdP) この他にも 25 学認事務システムの改良 IdP 選択確認のためのブラウザプラグイン学認 map 対応メーリングリストサービスなどなど是非とも改善へのご要望をお寄せ下さい連絡先国立情報学研究所 ( 学認担当 ) gakunin-office@nii.ac.jp

} 学割サービス } StudentBeans } ASKNET (Verification Service for Academic Discount) } アカデミックパス } ウェルネット } SheerID } InAcademia (edugain) } ビッグローブ } edugain

学割サービスをはじめとする最新動向中村素典 / 国立情報学研究所 } 学割サービス } StudentBeans } ASKNET (Verification Service for Academic Discount) } アカデミックパス } ウェルネット } SheerID } InAcademia (edugain) } ビッグローブ } edugain ( フェデレーション間連携 ) }