山形大学の学認の運用状況と ADFSによるシボレスとWS-Federationの連携

Transcription

1 Microsoft Active Directory の活用 山形大学大学院理工学研究科 山形大学情報ネットワークセンター 伊藤智博 TEL , 資料は多めにつくってあります.

2 アジェンダ 1. なぜ,Active Directory? 2. 学認への参加, シボレスと ADFS

3 山形大学の特徴 山形市 : 本部, 基盤教育院, 理学部, 人文学部, 地域教育文化学部, 医学部 米沢市 : 工学部鶴岡市 : 農学部 分散管理でも十分に対応できる認証データベースが必要

4 2009 年 9 月 UPKI- 学術認証フェデレーション ( 運用 ) に参加 AD 統合認証基盤の経緯 工学部学術情報基盤センター 2004 年 AD 認証によるリモート接続サービス開始 2004 年学内ネームスペースの調整開始 (DNSの調整) 2004 年 UNIX 系の統合開始 (SFUの導入) 2004 年末ネットワーク利用者認証開始 ( ウィルス対策 ) 2005 年夏 SFU スキーマによる UNIX 系を AD 認証に統合したシステムの運用試験開始 データベースアメニティ研究所 2004 年 Verisign サーバ証明書導入 2004 年夏 S/MIME 証明書の試験 Windows 系とUNIX 系のパスワードは別々 2005 年 ASP.NETに90% 以上移行完了 オブジェクト化 2005 年 CA のテスト開始 OID 取得 PKI の勉強を開始 2006 年 Comodo に証明書に変更 2008 年 UPKI サーバ証明書に変更 2007 年教育用実習システムの更新 教育系は統合認証に移行 ( 学内はユーザ認証ベースに移行 ) 2008 年 UPKI サーバ証明書 UPKI- シングルサイオン eduroam への参加

5 AD 統合認証基盤の経緯 工学部学術情報基盤センター 2004 年 AD 認証によるリモート接続サービス開始 2004 年学内ネームスペースの調整開始 (DNSの調整) 2004 年 UNIX 系の統合開始 (SFUの導入) 2004 年末ネットワーク利用者認証開始 ( ウィルス対策 ) 2005 年夏 SFUスキーマによるUNIX 系をAD 認証に統合したシステムの運用試験開始 2007 年教育用実習システムの更新 教育系は統合認証に移行 データベースアメニティ研究所 2004 年 Verisign サーバ証明書導入 2004 年夏 S/MIME 証明書の試験 Windows 系とUNIX 系のパスワードは別々 2005 年 ASP.NETに90% 以上移行完了 オブジェクト化 なぜ Active Directory なの? 2005 年 CAのテスト開始 OID 取得 PKIの勉強を開始 ほかのディレクトリツールもあるよね? (Sun One Directory, OpenLDAPなど ) 2006 年 Comodo に証明書に変更 2008 年 UPKI サーバ証明書に変更 ADについて, 調べた 年 UPKIサーバ証明書 SQLサーバを使っている僕としては UPKI-シングルサイオン,ADには ( 学内は認証ベースに移行 ) eduroamへの参加魅力的な機能があった 年 9 月 UPKI- 学術認証フェデレーション ( 運用 ) に参加

6 AD の技術 1: 統合 Windows 認証 ドメインに参加したクライアントから IIS や SQL サーバにクライアントにログオンした認証情報でアクセスできる認証 (SSO) WEB MS Access 2 認証不要 IIS Sharepoint 2 認証不要 参加 1 ログオン 参加 Exchange 参加 DB ドメインコントーラー ファイルサーバ ドメインに参加した PC でないと利用できない!

7 AD の技術 2: 偽装 (Impersonation) IIS サーバに 基本認証したときに 認証ユーザが IIS サーバ上で 作業をしてるようにする技術 データベースのセキュリティに利用可能 1 ログオン ( ユーザ名 :user1) IIS 不参加 参加 2user1 として DB にアクセス 参加 DB グループ : YZDN Teachers {user1,user7} DC 3user1 の属性情報を照合 セリティロール : 教員 {YZDN Teachers}

8 AD の技術 3: ネットワーク装置や UNIX の認証も可能 UNIX サーバやネットワーク装置の認証も AD 可能 UNIX の場合,SFU(SUA) によるスキーマの拡張が必要 DC 不参加 1ログイン,POP,IMAPなど LDAPでバインド 2 認証 LDAPまたはRadiusでバインド認証 UNIX 系 PAM と NSS を LDAP に拡張 3 ホームパスなどの属性情報を照合 VPN 装置

9 AD と CA の連携 : 証明書によるセキュリティ強化 1 接続 4 発行要求 6 発行 ー自動証明書発行システムの構築 - 5 発行処理 発行 CA 2 認証 3 承認 6 証明書を AD に登録 認証サーバ (YZDN) 試験運用中の証明書の種類 ポリシー CA CRL 公開サーバ ( 失効リスト ) 1. クライアント証明書 2. スマートユーザ証明書 3. スマートログイン証明書 4. サーバ証明書 ( 管理者向 ) キャンパス CA IC カードによるセキュアな通信環境の実現 電子メールへの署名 暗号化を実現 リモート接続の IC カードによる管理 eduroam の IC カードによる認証 キャンパス CA によるセキュリティ 信頼性の強化 相互連携 情報の流通 XML

10 ドメインコントローラーの配置と対外回線 Internet SINET4 回線 C IPv6 網 -ピアリング JGN-X ボーダールータ A ECSY 小白川キャンパス 情報ネットワークセンター YZDN キャンパス間回線 B ( イーサーネット網 ) 1Gbps 100Mbps DF 医学部 飯田キャンパス 商用 ISP ECSY 回線 B ボーダールータ B DF YZDN 工学部 米沢キャンパス ボーダールータ C ボーダールータ D DF 回線 D ECSY 農学部 鶴岡キャンパス YZDN 地域 IP 網経由 - SINET DF = キャンパス間回線 A (1 対 1 接続 ) 複数キャンパスに分散配置したことによって高可用性を実現

11 統合認証基盤の全体構想 山形大学 - 認証基盤 山形大学内への教育 研究リソースへの統合認証を提供 UPKI 認証連携基盤 (UPKI-Fed) 外部公開用統合認証基盤 IdP 国際無線 LAN ローミング基盤 認証基盤研究プロジェクト 統合認証の研究を行うためのプロジェクトであり Shibboleth SP のアプリケーションおよびデータベース設計 Shibboleth Metadata の管理システムの構築を中心に研究している 学内統合認証用 LDAP プロキシ 外部機関統合認証用 LDAP プロキシ 外部機関統合認証用 Radius プロキシ 学内ネットワーク認証や教育用コンテンツへの展開 双方向信頼関係 運用ドメイン 試験運用ドメイン (10000 人 ) (4000 人 ) 学術情報基盤センター教育 研究用認証情報管理システム Exchange 片方向信頼関係 研究用ドメイン Sharepoint 研究用認証管理システム WEB SP 実証実験 SQL 教育用パソコン UNIX サーバ教育用パソコン 研究用サーバ

12 結論 : なぜ,AD? 教育用システムの利用者端末の OS は Windows AD の導入は必須 Windows 統合認証を利用することによって,SQL サーバなど Windows 系のアプリケーションサーバの認証を統合できる (.NET のライブラリーの充実 ) UNIX 系も AD を認証基盤として統合可能 クライアント証明書との連携可能 リーズナブル 分散 DB を利用可能 ( 分散管理に適する ) 属性エディタなどの 充実したツールが利用可能 (ADSI EDIT など ) 使おうと思えば充分元が取れると踏んで, 展開した.

13 アジェンダ 1. なぜ,Active Directory? 2. 学認への参加, シボレスと ADFS

14 山形大学の認証基盤と GakuNin との関係 強固なセキュリティ ( 個人情報など ) 国立情報学研究所 -UPKI 研究者間コミュニティサービス eduroam GakuNin コンテンツ系 図書館との連携 業務系システム 成績 履修システム 会計システム 研究者情報システム セキュリティボーダライン 業務系認証システム 業務情報の安全な管理システム 相反 山形大学学術認証フェデレーション Radius プロキシ シボレス認証 LDAP プロキシ 3キャンパス米沢キャンパス 5 学部工学部 (ECSY) (YZDN) 学術系認証基盤 ( 教育研究系サービス 全学生が利用可 ) 教育 研究等をシームレスに展開可能な環境 CiNii, Springerlink, ScienceDirect, Web of Knowledge がシボレス認証で利用可 1,100 人 ( 運用後 ) 研究開発 SP の開発 OID の設計 研究コミュニティ CA 高度な認証連携を目指した研究開発

15 山形大学の認証基盤と GakuNin との関係 強固なセキュリティ ( 個人情報など ) 国立情報学研究所 -UPKI 研究者間コミュニティサービス eduroam GakuNin コンテンツ系 図書館との連携 業務系システム 成績 履修システム 会計システム セキュリティボーダライン 業務系認証システム 業務情報の安全な管理システム 山形大学学術認証フェデレーション Radius プロキシ シボレス認証 LDAP プロキシ 3キャンパス米沢キャンパス 5 学部工学部 (ECSY) (YZDN) 学術系認証基盤 ( 教育研究系サービス 全学生が利用可 ) CiNii, Springerlink, ScienceDirect, Web of Knowledge がシボレス認証で利用可 1,100 人 ( 運用後 ) 研究開発 せっかくのユーザ認証基盤を利用しなきゃ, 損. アカウントの発行 管理コストを最小にして, サー研究者情報ビスの向上を目指そうシステム. SP の開発 OID の設計 研究コミュニティ 認証を利用したサービスの相反 1つとして, 学認, 教育 研究等をシームレ eduroamに参加スに展開可能な環境 CA 高度な認証連携を目指した研究開発

16 ADFS って何? ADFS = Active Directory フェデレーションサービス 何ができるの? 外部の Web サーバと ADFS サーバ経由でシングルサインオンを実現できるサービス 信頼関係 AD サーバ ADFS Web SSO Shibboleth IdP シボレス SP ADFS 2.0 は,SAML 2.0 も使えます.

17 ADFS が使える認証の種類 Web.config より <localauthenticationtypes> Windows 統合認証 <add name="integrated" page="auth/integrated/" /> (Authentication Context = urn:federation:authentication:windows) <add name="forms" page="formssignin.aspx" /> フォームベース認証 <add name="tlsclient" page="auth/sslclient/" /> <add name="basic" page="auth/basic/" /> </localauthenticationtypes> クライアント証明書認証 (Windows CA, スマートカード OK) 基本認証 ADFS と Shibboleth IdP は,Identity Provider としては, 同等の機能を有する. 上手に使うと Shibboleth IdP の代替手段になる.

18 相互連携はできるかなぁ? メタデータ ADFS メタデータを EntityID 毎に登録信頼関係を設定 メタデータ SP AD サーバ ADFS メタデータ 信頼関係 動作可能 シボレス SP メタデータ IdP 難しいできそうで, できない? WIF SSO Shibboleth IdP Web SSO 1:1 でメタデータを交換して, 信頼関係を設定すれば,ADFS を認証連携サービスとして利用可能. Shibboleth IdP の同等の機能あり (StoredID を除く ) SP のメタデータを自動登録するには, 技が必要.

19 * 学認が実現する日本の学力水準の向上 / 成城大学五十嵐一浩, 山形大学の認証連携システムの概要 学内サービス クラウド 新しい認証連携基盤として展開 ( 予定 ) GC * GC GC GC

20 地理的負荷分散装置によるシボレス IdP の冗長化 SINET4 対外接続用ボーダールータ ISP Monitor IP 2 Monitor IP 1 Monitor IP 0 Gateway IP 2 DNS クエリ DNS クエリ Gateway IP 1 DNS クエリ Firewall B Firewall A 学内接続用ルータ VIP C GTM 間同期 VIP B VIP A LTM+GTM LTM+GTM LTM LTM シボレスサーバ ECSY YZDN YZDN シボレスサーバ 小白川キャンパス レプリケーション SSIS eptid の収集 SSIS SQL サーバ 米沢キャンパス ECSY ECSY YZDN 飯田キャンパス鶴岡キャンパス 設計 : 東京エレクトロンデバイス クッキー情報の確保のため, VIP B VIP A VIP C の順番で DNS リクエスト時に A レコードを返答

21 まとめ 1. なぜ Active Directory? センター端末や利用者の端末の OS が主に Windows であるので, それらの端末との親和性を考慮すると AD が最適であると判断した.Windows 系の統合認証は, 問題なし. 機能も十分であり,UNIX などとの連携ができ, かつ, リーズナブルであるので,AD を採用した. 2. 学認への参加, シボレスと ADFS AD の認証基盤にシボレスや ADFS を認証連携アプリケーションとして接続することで, 学認や外部のサービスの認証連携可能である.

22 謝辞 本研究を進めるにあたり ご指導を賜りました情報担当副学長 情報系センター 図書館の皆様に深く感謝申しあげます 日頃から 様々な情報を収集する機会を与えて頂いた東北学術研究インターネットコミュニティ (TOPIC) の皆様に深く感謝申し上げます 一部のシステムは 文部科学省平成 22 年度補正予算のご協力により 構築されております