PowerPoint プレゼンテーション

Size: px

Start display at page:

Download "PowerPoint プレゼンテーション"

しおりめいこ
5 years ago
Views:

1 eduroam の動向と事業化にともなう今後の運営について平成 28 年度 SINET 説明会国立情報学研究所 eduroam is a registered trademark of the GÉANT Association.

2 eduroam の動向

3 国際学術無線 LAN ローミング基盤 eduroam 教育研究用の学術無線 LAN ローミング基盤欧州 TERENA( 現 GÉANT) で開発キャンパス無線 LAN 相互利用のデファクトスタンダード日本でのサービス名称は eduroam JP 加入すると訪問先加入機関の無線 LAN が無料で利用可能 ESSID は eduroam で世界共通 ID は組織名.jp ex)hoge@example-u.ac.jp 互恵精神に基づく相互利用サービスメリット IEEE802.1X によるセキュアなユーザ認証偽基地局による各種攻撃への対策が可能 Windows/Mac/ スマートフォン等に対応来訪者用ネットワークの随時構築が不要

4 erudoam JP サービス 2006 年 9 月より運用開始実証実験プロジェクトネットワーク運営連携本部認証作業部会による運営 RADIUS Proxy 以外にも様々なシステムを開発運用仮名アカウント発行システム代理認証システム会議向けアカウント発行システム加入機関数国内 :161 機関 (2016/11 現在 ) 関東圏の会議場カフェ等に約 130 のアクセスポイント 2016 年 4 月より NII が正式事業化

eduroam の仕組み互恵精神に基づく相互利用サービス加入機関の構成員は他の加入機関の無線 LAN 環境を利用できる加入機関は他の加入機関の構成員に自組織の無線 LAN 環境を提供する IEEE802.1X による認証所属機関のアカウントをそのまま利用ユーザ ID@ レルム ( 組織名.

5 eduroam の仕組み互恵精神に基づく相互利用サービス加入機関の構成員は他の加入機関の無線 LAN 環境を利用できる加入機関は他の加入機関の構成員に自組織の無線 LAN 環境を提供する IEEE802.1X による認証所属機関のアカウントをそのまま利用ユーザレルム ( 組織名.jp) Web 認証より安全偽基地局による攻撃対策クライアント証明書認証も可能レルムに基づく認証サーバの探索 AU TLR JP A 大 B 大 C 大 D 大 AP user@d 大.jp 訪問先ローミングレルム (realm) GÉANT 運用大学運用 NII 運用所属機関国際 RADIUS 認証プロキシ (TLR: Europe, Asia-Pacific) 国内 RADIUS 認証プロキシ (FLR: 国地域ごとに設置 ) 機関 RADIUS 認証サーバ無線 LAN アクセスポイント RADIUS 認証要求 RADIUS 認証応答

6 国際動向世界 80 ヵ国地域に普及 (2016/09 現在 ) 欧州全域アジア 16 地域カナダ USA ロシア南アメリカ各国南アフリカ共和国カタール UAE など 2010 年 GeGC(Global eduroam Governance Committee) 発足各地域からの代表 11 名日本からも 1 名 ( 東北大学後藤先生 ) APAN(Asia-Pacific Advanced Network) において IAM-TF(Identity and Access Management-TF) 立ち上げアジアにおける認証連携 (SAML フェデレーション ) と eduroam のコミュニティ

7 国際動向 : キャンパス外での普及例スウェーデン (SUNET) 空港や主要鉄道駅で eduroam 提供ノルウェー (UNINETT) 国内 14 の空港で eduroam 提供ルクセンブルク市自治体が運営する HotCity の市街地基地局で利用可能ミュンヘンヨークポルト etc 市街地で利用可能ロンドン自然史博物館その他地元の NREN や大学の貢献度大 ( 経費負担等 )

8 eduroam のアカウント管理方法 A) 機関に RADIUS 対応認証サーバを設置機関の認証基盤と連携 / 非連携認証システム導入時から eduroam 対応の検討を推奨既存の認証基盤に接続できない可能性があるため RADIUS 認証対応アプライアンス製品を使う方法もあり B) 代理認証システム eduroam JP が提供するアカウント発行 Web サービス機関の RADIUS 対応認証サーバ設置不要機関の管理責任者のオンラインサインアップのみで利用可能 C) 仮名アカウント発行システム機関の RADIUS 対応認証サーバ設置不要学認のアカウントと連携利用者は随時 eduroam 用のアカウントを取得可能新機能 : 少数のゲストアカウント発行少人数の打合せ向け, 打合せ担当教員等による責任で発行, 短期間利用

9 無線アクセスネットワークの整備ゲスト用ネットワークの IP アドレス i. 自機関が保有する IP アドレスブロックを利用 (eduroam 用の IP アドレスブロックの切り出し ) ii. 新たに IP アドレスブロックを取得して利用ア ) 新たに商用回線等を導入しその回線に付随する IP アドレスを利用イ ) 既接続回線提供者 (SINET 含む ) から IP アドレスブロックの割り当てを受け当該回線で利用 ( ただし最近は IPv4 で十分なサイズの IP アドレスブロックの割り当てを受けることは非常に困難 ) ウ ) eduroam JP から SINET 接続による eduroam サービス提供用として割当を受けたアドレス (IPv4/IPv6) を利用 ( 前項の IP アドレスブロック割り当て手続きの簡略化ただし接続形態を規定詳細は次ページ参照 )

10 SINETによるeduroamアクセスネットワーク収容のイメージ (SINET5でも継続提供) 前頁 ii- ウの事例 IPv4 アドレスの割当 (/30) by eduroam.jp (IPv6 も提供可 ) DHCP/NAPT ログの一定期間の保存が必要 XXX.1/24 SINET SINET Router xxx.xxx.xxx.a/30 xxx.xxx.xxx.b/30 NAPT Router SINET 接続回線 L2 SW IPdual サービス Tag VLAN 既設 Router Tag VLAN を用いずに個別接続とすることも可能大学 IPv4 プライベートアドレスの利用 (DHCP) eduroam eduroam ゲスト用ネットワーク XXX.X/24 既存学内ネットワーク詳細は次のURLをご参照ください (c)2015 National Institute of Informatics 10

11 認証 VLAN 導入の奨め一般的なゲスト用 eduroam ネットワーク利用者が自機関で eduroam 接続を利用する場合も外部アクセスと判定自機関内での利用時に利便性があまりよくない認証 VLAN 利用者による自機関内での eduroam 接続を学内 LAN に直接収容可能利便性が大幅に向上

12 大学での eduroam システム構成例 etlr JP FLR FLR: Federation Level RADIUS Internet RADIUS (client side) Access NW Access Point Access Point RADIUS (server side) 選択肢 (A) 選択肢 (B) 代理認証システム選択肢 (C) 学認大学 LDAP 学認 IdP 仮名アカウント発行 SP (eduroamshib) (c)2016 National Institute of Informatics 12

13 大学での eduroam システム冗長構成例 etlr JP FLR 冗長構成 FLR: Federation Level RADIUS Internet RADIUS (client side) Access NW Access Point Access Point RADIUS (server side) 選択肢 (A) 選択肢 (B) 代理認証システム選択肢 (C) 学認大学 LDAP 学認 IdP 仮名アカウント発行 SP (eduroamshib) (c)2016 National Institute of Informatics 13

14 アクセスポイントネットワークの基本設計 Access Network Router (NAT) DHCP DNS Access Point Management Network eduroam JP RADIUS RADIUS Proxy (client side) DMZ RADIUS Server (server side) LDAP/AD インシデント対応のために RADIUS (ID/MAC) DHCP (MAC/IP) NAT (IP/port) などのログを取得することも検討が必要 (c)2016 National Institute of Informatics 14

15 参考資料学術基盤オープンフォーラム 2016 資料国際学術無線 LAN ローミングサービス eduroam について pdf/ am_g_03_nakamura.pdf

16 事業化にともなう今後の運営について

17 eduroam JP 運営体制の変更 2006/09~2016/03 学術ネットワーク運営連携本部認証作業部会による提供実証実験プロジェクトとして提供実証研究の一環として試験的な運営加入機関の増加による対応コストの問題 2016/04~2017/03( 移行期間 ) NII の事業として継続的に提供東北大学および旧認証作業部会の支援を受けつつ NII 学術基盤課が提供運営体制を整備 2017/04~ 新しい運営体制の下で NII 学術基盤課が提供

18 事業範囲の変更これまで認証作業部会による運営範囲 RADIUS Proxy サーバ運用 eduroam JP 窓口業務加入変更脱退申請の受付問い合わせ対応 eduroam JP Web サイト運営仮名アカウント発行システム代理認証システム会議向けアカウント発行システム広報これから NII による事業化後の運営範囲 RADIUS Proxy サーバ運用 eduroam JP 窓口業務加入変更脱退申請の受付問い合わせ対応 eduroam JP Web サイト運営加入機関向けメーリングリスト運用仮名アカウント発行システム広報代理認証システム会議向けアカウント発行システム ( 当面の間, 東北大学の支援により運用 )

19 運営体制移行により整備されるもの規程等の制定 eduroam JP サービス加入規程 eduroam JP サービス実施要領運用基準などを準備中申請フォームの整備各種申請書 / 変更届を準備中加入申請変更申請 / 変更届脱退申請フォームが準備でき次第 Web サイト等でお知らせいたします eduroam 運用委員会 ( 仮 ) の設置規程実施要領運用基準等の改訂の議論など海外での活動 eduroam コミュニティ運用担当者の情報交換メーリングリストを用意いたします

20 体制変更に伴う加入機関様へのお願い eduroam JP サービス加入規程既に加入済みの機関様は引き続き利用可能機関責任者および技術担当者の設置機関責任者は一人, 技術担当者はレルムごとに二人必要詳細は後日公開される規程および実施要領運用基準を参照すること継続参加の意思確認各加入機関様に今後も継続参加いただけるか確認いたします年次運用状況調査の実施 ( 予定 ) 届出どおりの設定で運用されているか運用基準に沿って運用されているか責任者や技術担当者に交代はないか可能な限り煩雑にならないようにいたします

21 体制変更に伴う加入機関様へのお願い実施要領インシデント発生時の処置と責任インシデント発生時は調査へのご協力をお願いします特に該当アカウントの発行機関様は責任を持って対処調査報告協力をお願いします運用基準技術的要件および制約認証方式は IEEE802.1X のみ基地局マップなどの運用状況データの提出各種ログの記録と保存プロトコル制限についての制約原則として制限をかけないことやむを得ず制限を掛ける場合は制限対象のプロトコルを利用者に公知

22 継続参加の意思確認 2017 年 1 月 ~3 月まで制定された規程および実施要領運用基準への同意新体制による運営への同意各加入機関の責任者技術担当者の方に連絡いたします責任者および技術担当者について現在の届出から交代がある場合変更のご連絡をお願いします継続参加の意思確認の連絡をはじめ大切なお知らせが届かない可能性があります

23 その他の eduroam JP のシステム代理認証システム会議向けアカウント発行システム上記二つについては開発改良を継続中であるため, 当面の間, 東北大学様の支援を受けて運用

24 その他 RADIUS JP Proxy 更新に伴う接続先切り替え RADIUS JP Proxy サーバの IP アドレスの変更が必要です各機関様の RADIUS サーバ設定変更をお願いいたします切り替えの時期については Web サイトで告知および機関責任者技術担当者の方に連絡いたします

25 お問い合わせ先参加の詳細については以下を参照ください eduroam 全般のお問い合わせ先 : tech@eduroam.jp

PowerPoint プレゼンテーション

PowerPoint プレゼンテーション eduroam JP のサービスについて末永光弘 ( 国立情報学研究所 ) 2017 年 6 月 7 日 NII 学術情報基盤オープンフォーラム 2008 年 10 月 2009 年 4 月 2009 年 10 月 2010 年 4 月 2010 年 10 月 2011 年 4 月 2011 年 10 月 2012 年 4 月 2012 年 10 月 2013 年 4 月 2013 年 10 月