学認を活用した大学連携IT基盤の構築に向けて

学認を活用した 大学連携 IT 基盤の構築に向けて 中村素典 / 国立情報学研究所 TIES ワークショップ (2013/6/15)

学内 SSO の仕組みをグローバルに 学内 elearning ユーザディレクトリ (LDAP) 機関認証システム Identity Provider SSO Service Provider Web メイル SSO 履修登録 SSO 給与明細 SSO ejournal 大学 A 大学 B 学内サービスのアウトソース化にも最適 集約 共用によるコスト削減メリット 2

100 90 80 70 60 50 40 30 20 10 0 Jul-09 Dec-09 May-10 Oct-10 Mar-11 機関数 60 IdP 達成 Aug-11 Jan-12 Jun-12 Nov-12 Apr-13 Sep-13 ( 万人 ) 120 100 80 60 40 20 0 Jul-09 Dec-09 ユーザ数 Total Students Staffs May-10 総 ID 数 75 万 Oct-10 Mar-11 Aug-11 Jan-12 Jun-12 Nov-12 Apr-13 Sep-13 試行本格運用 病院も参加しました (NTT 東日本関東病院 ) H25 年より全国の高等専門学校が順次参加予定 学生の割合は 80% 強高等教育人口は 350 万人 3 参加機関一覧 :https://www.gakunin.jp/docs/fed/participants

140 120 メタデータ登録数 ( 公開準備中を含む ) 100 SP 突破 100 80 60 40 20 HighWire Press Stanford University (1 サイトで複数サービス提供 ) 107 0 Jul-09 Sep-09 Nov-09 Jan-10 Mar-10 May-10 Jul-10 Sep-10 Nov-10 Jan-11 Mar-11 May-11 Jul-11 Sep-11 Nov-11 Jan-12 Mar-12 May-12 Jul-12 Sep-12 Nov-12 Jan-13 Mar-13 May-13 Jul-13 H25 年度よりeduGAINにも参加し 別途 edugainのサービスも利用可能に SITF (Student Identity Trust Framework) による学割サービス実現を検討中 4

Elsevier Science Direct Elsevier SCOPUS SpringerLink Thomson Reuters Web of Knowledge Ovid SP ProQuest RefWorks ProQuest RefWorks ProQuest ebrary Cambridge Journals Online Atlases Pathology Images 研究社 : KOD NII: CiNii EBSCO: EBSCO host IEEE Xplore Serials Solutions: 360 Search, 360 Link, Electronic Journal Portal IOP science Royal Society of Chemistry RSC Publishing S.Karger AG BioOne American Society of Clinical Oncology Americal Society of Nephrology BMJ Journals Biologists.com Journals Disaster Medicine and Public Health Preparedness Journal Watch: Medical Journals and Research Articles Journal of Bone and Joint Duke University Press Journals Lyell Collection: Geological Society Publications Online Journals of the Royal College of Psychiatrists Oxford Medicine Oxford Journals OxfordServices Royal Society Publishing RSM Press Rockefeller University Press journals SAGE Journals Annual Reviews Cengage Learning Emerald サンメディア PierOnline (UniBio Press) NII-REO 5

Microsoft: DreamSpark UQ コミュニケーションズモバイル WiMAX キャンパスネットワーク接続サービス NII FaMCUs (MCU for Video Conferencing) NII: FShare (File Sharing Service) NII WebELS (Web-based e-learning System) NII 学認申請システム (GakuNin Registration System) NII meatwiki 金沢大学 File Transfer Service 金沢大学 ARCADE( 学術組織間デジタル資料分散共有システム ) 山形大学大学間連携グループ情報共有サービス 佐賀大学 Opengate アットウェア : しぼすけ 科学技術振興機構 :ReaD&Researchmap NII Eduroam-Shib (Temporary eduroam account issuing) NII 研究クラウド (Gunnii,tinii,colonii) NII edubase Cloud NII GakuNin map NII meatmail 金沢大学 Opens non-bibliographic Contents Service 山形大学科学技術の学術情報共有のための双方向コミュニケーションサービス 広島大学 HINET wlan guest service UNINETT, Foodle 6

10000 1000 2011 年 9 月から 2013 年 2 月までのデータ ( 縦軸 log 総アクセス数順 ) 左より 佐賀大ネットワーク認証 CINII eduroam アカウント発行 WebOfKnowledge 学認申請システム 大容量ファイル転送 map 対応 Wiki テレビ会議 MCU 予約 Researchmap 動作確認用 SP UQ WiMAX NII 研究クラウド map 管理 広島大ネットワーク認証 Karger 研究社 釧路高専 Reo 情報セキュリティ e ラーニング しぼすけ ( スケジュール調整 ) 金沢大学データ共有 WebELS と続く 100 10 1 guestog.sso.cc.saga-u.ac.jp register-ci.nii.ac.jp eduroamshib.nii.ac.jp www.webofknowledge.com office.gakunin.nii.ac.jp fshare.sinet.ad.jp meatwiki.nii.ac.jp mcus.nii.ac.jp researchmap.jp attrviewer20.gakunin.nii.ac.jp jvr.uqwimax.jp gunnii.ecloud.nii.ac.jp map.gakunin.nii.ac.jp hinet-sp.hiroshima-u.ac.jp service.ecloud.nii.ac.jp content.karger.com kod.kenkyusha.co.jp admin-router.webofknowledge.com sp.msls.kushiro-ct.ac.jp reo.nii.ac.jp security-learning.nii.ac.jp shibosuke.net booklooper-h1.greenoffice.jp arcade.cis.kanazawa-u.ac.jp webels.ex.nii.ac.jp attrviewer13.gakunin.nii.ac.jp www.emeraldinsight.com sp.ebrary.com sp1.db.kanazawa-u.ac.jp arcade-storage01.cis.kanazawa-u.ac.jp colonii.ecloud.nii.ac.jp kyodo-lms.nara-edu.ac.jp arcade-storage01.nii.ac.jp www.cc.saga-u.ac.jp idp.repo.nii.ac.jp sp2.db.kanazawa-u.ac.jp c.yz.yamagata-u.ac.jp tinii.ecloud.nii.ac.jp openid.nii.ac.jp ninsho-dav.nii.ac.jp gmembers.sinet.ad.jp meatmail.nii.ac.jp atlases.muni.cz www.karger.com www.isiknowledge.com idp.ixsq.nii.ac.jp webofknowledge.com isiknowledge.com muse.jhu.edu webofknowledge.com www.webofknowledgev4.com www21.mle.cmc.osaka-u.ac.jp 7

属性 内容 OrganizationName (o) 組織名 jaorganizationname (jao) 組織名 ( 日本語 ) OrganizationalUnit (ou) 組織内所属名称 jaorganizationalunit (jaou) 組織内所属名称 ( 日本語 ) edupersonprincipalname (eppn) フェデレーション内の共通識別子 edupersontargetedid フェデレーション内の匿名識別子 edupersonaffiliation 職種 edupersonscopedaffiliation 職種 (@scopeつき) edupersonentitlement 資格 SurName (sn) 氏名 ( 姓 ) jasurname (jasn) 氏名 ( 姓 )( 日本語 ) GivenName 氏名 ( 名 ) jagivenname 氏名 ( 名 )( 日本語 ) displayname 氏名 ( 表示名 ) jadisplayname 氏名 ( 表示名 )( 日本語 ) mail メールアドレス gakuninscopedpersonaluniquecode 学生 職員番号 (@scopeつき) 実際に使われる属性情報の例 サービス A (1 項目必須 ) edupersonprincipalname( 必須 ) サービス B (1 項目必須 ) edupersonaffiliation ( 必須 ) edupersontargetedid サービス C ( 必須項目なし ) edupersonentitlement edupersonaffiliation 必要最低限のみを送出 ( 参考 ) https://www.gakunin.jp/docs/ fed/technical/attribute 8 Copyright (c) 2013, National Institute of Informatics 2013/2/4

提供される MCU Cisco Tandberg Codian MCU 4510 ( 最大 20 地点 ) Cisco Tandberg Codian MCU 4205 ( 最大 12 地点 京大提供 ) Polycom RMX 2000 1000 ( 最大 20 ポート ) 学認への対応 予約と制御に認証を要求 ( 教職員に限定 学生に権限委譲可 ) テレビ会議への参加には認証不要 ( アクセスコード等利用 ) 認証 IdP 認証情報 Shibboleth 予約 制御 SP 制御 NII 接続 接続 Vidyo GW (NAT 越え可 ) ConferenceMe 移動先 A 大学 9 代表者 接続 予約情報の通知 Copyright (c) 2013, National Institute of Informatics B 大学

情報セキュリティー講習への需要 大学ごとに同様のコンテンツやシステムを整備するのは非効率 共用 E ラーニング SP 学認連携 Moodle 講習サイト ヒカリ& つばさ と 倫倫姫 ( 群馬大学 ) を提供予定 https://security-learning.nii.ac.jp/ 教職員 学生が受講 セキュリティラーニングシステム 受講状況を機関にフィードバック 類似サービスを各機関で個別に導入する必要なし 10

大学 IdP 変換 利用申請 StoredID 推奨認証 NII 利用者 アクセス ( 講習 ) SP 11 管理者修了状況の大学へのフィードバックをサポート! 大学からの 利用申請 がなくても自習可能

SINETのL2VPNサービスを利用して 大学とUQネットワークを接続 WiMAX 端末には 大学が用意したIPアドレスが割り当てられる あたかもキャンパス内にいるかのように学内専用サービスやインターネットにアクセス可能 http://www.uqwimax.jp/service/corporate/campusconnect.html SINETとUQネットワークの間の回線はUQ 負担 (SINETクラウド接続サービス利用) http://www.sinet.ad.jp/service/other/cloud_services/ 大学 学内ネットワーク 大学管理の IP アドレスが割り当てられる WiMAX UQ ネットワーク 学認 IdP VLAN L2VPN ( 学内扱いの通信 ) 学内専用サ - ビス ファイアーウォール 大学手配のアクセス回線 ( 既存 ) インターネット 12 学認 SP クラウド接続サービス 大学の IP アドレスから利用できる学外コンテンツやサービスにもアクセス可能

第 11 回 MCPC award モバイルコンピューティング推進コンソーシアム 最優秀事例には グランプリ 総務大臣賞が贈られる モバイル WiMAX キャンパスネットワーク接続 WiMAX キャンパスネットワーク開発チームとして応募 慶應義塾大学 京都大学 九州大学 NII 2013 年 4 月 19 日最終審査 表彰式 13 Copyright (c) 2013, National Institute of Informatics

統合認証システム AXIOLE, NetSpring HP IceWall SSO, 日本 HP jw-sign ontm, エヌ ティ ティ データ カスタマサービス株式会社 LiveSignOn, NTTデータ九州 Secioss Access Manager, 株式会社セシオス Shibboleth-IdPアクセス制御プラグイン, 株式会社セシオス WebSAM SECUREMASTER, 日本電気株式会社 WisePoint, ファルコンシステムコンサルティング株式会社 メールサービス DEEPMail/MailSuite, ディープソフト株式会社 施設予約システム ガルーン, サイボウズ i-ware, NTTデータ九州 給与システム 給与支給明細オンライン照会システム, 株式会社サジェコ源泉徴収関係届出オンラインシステム, 株式会社サジェコ elearning システム Mediasite System, メディアサイト株式会社 WebClass, 日本データパシフィック株式会社 履修登録システム LiveCampus, NTTデータ九州 DreamCampus, SCSK 株式会社 教務事務システム LiveCampus, NTT データ九州 図書館情報システム E-CatsLibrary, 株式会社シー エム エス 日本電気株式会社 NALIS, NTTデータ九州 https://meatwiki.nii.ac.jp/confluence/x/zgkf にて情報公開中 追加情報をお待ちしております! 14

学術関係者 事前の許諾は不要です その他の使用者 事前に許諾をお願いします 学認として審査 認定しているわけではありません 15

学認申請システム 学認への参加申請, メタデータ ( サーバ証明書等 ) 登録 更新等は Web を通してオンラインで可能 ( 学認申請システム ) テストフェデレーション ( 技術検証環境 ) 0. OpenIdP でのアカウント作成 1. 申請情報登録 2. 事務局での参加承認 3. フェデレーションメタデータへの登録 通常一日で参加完了利用開始可能 運用フェデレーション ( 実アカウントを用いた本格利用 ) オフラインによる確認 ( 申請書の郵送 ) が 1 ステップ増えるだけ こちらは早くて一週間程度 16

UPKI オープンドメイン証明書自動発行検証プロジェクト サーバ証明書発行の無償提供サービスを実施中です 現在の活動状況 参加機関数 317 発行枚数 8254 枚 (2 月 18 日現在 ) のべ発行枚数の推移 更なるご参加をお待ちしております! 17 2048bit 未満の証明書の利用停止 (2013 年 12 月以降 )

ポリシーに準拠し参加機関間の認証連携を実現 学術認証フェデレーション実施要領 ( 平成 24 年 3 月 22 日改正 ) 学術認証フェデレーションシステム運用基準 (Ver.1.2) ( 平成 23 年 8 月 24 日改正 ) 機関認証システム Identity Provider 登録 配布 ( ダウンロード ) メタデータ 登録 配布 ( ダウンロード ) 学術サービス 相互信頼参加機関 ポリシーに準拠することにより学認に参加可能事務局 参加が承認されたIdPとSPの情報はメタデータに登録 IdP,SPサーバ メタデータに登録されたIdPとSPだけが互いに接続することができる The Circle of Trust 18

IdP ホスティングサービス ( 試験提供中 ) 運用中 :2 大学 準備中 :3 大学 あくまでも試験提供であり永続的サービスはしない InCommon では FISCHER などが提供開始 http://www.fischerinternational.com/press/press_releases/fisc_news_in common_ignite.htm たとえば セシオスが SaaS 型 IdP サービスを提供可能 https://www.secioss.co.jp/2013/04/_seciosslink_education.html 19

地域連携 ( 大学コンソーシアム ) 大学コンソーシアム京都 コンソーシアム石川 高等教育コンソーシアム信州 e-knowledge コンソーシアム四国など 専門教育連携 大学院連合農学研究科 大学院連合獣医学研究科 がんプロフェッショナル養成基盤推進プランなど 20

Read&Researchmap 将来的には e-rad も視野に HPCI (High Performance Computing Infrastructure) 21 理研 +7 大学 + 東工大 + 筑波の計算環境を利用するユーザ 独立行政法人国立女性教育会館 女性教育関係者に対する支援 UMIN ( 東大 大学病院医療情報ネットワーク研究センター ) など 大学病院業務及び医学 生物学研究者の研究教育活動の支援

組織の構成員であることの保証 卒業 退職などによる異動の適切な反映 名誉教授 OB 図書館の地域内利用者 その他ゲスト等の扱い識別子再利用についての考慮 同一識別子を利用する場合は 一定期間あけるユーザの同一性の保証 パスワード配布時の本人確認 適切に管理された役職アカウント個人情報保護への対応 国公立大学ではオプトインが原則ログの保存 インシデント対応のための edupersontargetdidやtransient-idの記録 機関として責任を持った ID および属性の保証 定期アンケート ( 毎年 ) によるチェックとフィードバックで維持 IdP of The Year 2012 を大阪大学が受賞 22

NIHのサービスを学認 SPとして利用 米国連邦政府内のサービス (SP) を 外部の認証システム (IdP) に接続する場合には SP 側がIdPの保証レベル (Level of Assurance, LoA) を要求 4つのレベルを規定 レベル1:whitehouse.govのWebサイトでのオンラインディスカッションに参加 レベル2: 社会保障 Webサイトを通じて自身の住所記録を変更 レベル3: 特許弁理士が特許商標局に対し 機密の特許情報を電子的に提出 レベル4: 法執行官が 犯罪歴が格納されている法執行データベースにアクセス PubMedの要求はLevel 1( 最低 ) であり 利用するためには学認のIdPが米国の基準に則ったLevel 1を取得する必要あり 学認は 学認のIdPにLevel 1を発行できる Trust Framework Providerに 米 OIX (Open Identity exchange) の ( スペシャル ) メンバーに 23 Copyright (c) 2011, National Institute of Informatics

オンライン手続きにおけるリスク評価及び電子署名 認証ガイドライン http://www.kantei.go.jp/jp/singi/it2/guide/guide_line/guideline100831.pdf 我が国の電子政府における認証方式の設計にあたり活用可能な ものさし を確立することを目的として策定 ガイドラインは 対象となる電子手続に関するリスク評価手法とこの手法により導出される リスクの影響度 影響度に応じた認証方式の 保証レベル の導出 各保証レベルに求められる対策基準を規定 OMB M-04-04 や NIST 800-30 など米国政府を参考 リスクの影響度の定義 ( ガイドラインより引用 ) 24 Copyright (c) 2011, National Institute of Informatics

レベル 1 ユーザの同一性を保証 ( 身元識別は不要 ) 認証の有効期限なし チャレンジ-レスポンス可 ( 辞書攻撃に弱い ) レベル 2 単一要素認証 身元識別あり 失効処理の保証 オンライン推測攻撃を防止すること ( パスワード /TLS 可 ) 認証サーバでの平文パスワード保持の禁止 レベル 3 複数要素認証 ソフト暗号化トークン使用可なりすまし攻撃 中間者攻撃を防止すること レベル 4 翻訳版 :http://www.ipa.go.jp/security/publications/nist/documents/sp800-63-j.pdf 実用上最大限の保証 ハード暗号化トークンを使用認証後の暗号化処理も認証プロセスに結びつく鍵を使用 25 Copyright (c) 2011, National Institute of Informatics

http://www.kantei.go.jp/jp/singi/it2/guide/ オンライン手続におけるリスク評価及び電子署名 認証ガイドライン ( 概要版 )[PDF] より引用 26 Copyright (c) 2011, National Institute of Informatics

If your credentials protect access to any sensitive data, you must care whether they are good enough for that What standard do you use? NIST Levels of Assurance 1 4 Bronze & Silver Imply Levels 1 & 2 Specifications written for US Higher Ed Approved by US government for access to federal agency services Approved by International Grid Trust Federation for access to national & international HPC From InCommon Community Feedback Do you intend to pursue Bronze and/or Silver? 27% said both in 2013 350IdP*0.27 95IdP 8% said Bronze only and 8% said Silver only 27

ユーザの所属情報の扱い 電子ジャーナル等のサイトライセンスに基づくアクセスの識別方法 IdP 名 O 属性 (OU 属性 ) edupersonentitlement IdP の区別 SP としては 区別したいはず? LoA 大学向けサービス 医学関係者向けサービス 課金サービス等に対する本人確認の厳密性 LoA (Level of Assurance) LoAの認定基準実現する認証技術レベルを指定した認証要求 28

LoA2 要求の場合 IC カード認証のみ LoA 2 認証要求 LoA1 要求の場合パスワード認証も可 (IC カード認証しても OK) パスワード認証 LoA 2 IdP 複数レベル認証対応 LoA 1 IdP LoA 2 SP LoA 2 認証要求 LoA 1 SP LoA 1 認証要求 LoA 1 認証要求 29

例えば IC カード認証とパスワード認証の両方をサポートすることで ユーザの利用スタイルに柔軟に対応可能 LoA 1 サービスを利用する場合 どちらの認証方式を選択しても OK どんな端末からでも使いやすく パスワード認証後に LoA 2 サービスにアクセスすると IC カード認証が要求される ( 昇格 ) IC カード以外にも いろんな条件と組合せ可能 学内アクセスのみに限定など IC カードを抜くと LoA 2 サービスからログアウト ( 降格 ) LoA 1 サービスは引き続き利用可能 SSO の利便性を保つ 30

NET+ SITF 31

Current Services Portfolio 29 Services Infrastructure-as-a-Service Software-as-a-Service Communications-as-a-Service Other Services + 32

学生証を提示して割引等を受けるという行為をネットの世界でも可能に 信頼性の高い属性情報を大学から提供 属性情報の利用に関するルールを定め プライバシーを保護 学術 (SAML) と民間 (OpenID) との連携によるサービスの拡充 さらに 民間企業と学術機関 大学とのコラボレーションによって 多様なサービスやイノベーションが生まれることを期待 33

産学の ID をつなぐ世界初のトラストフレームワークの研究に着手 ~ 利用者情報の安全な流通を目指し 学生向けサービスの提供を支援 ~ 大学共同利用機関法人情報 システム研究機構国立情報学研究所 一般社団法人 OpenID ファウンデーション ジャパン 国立情報学研究所 ( 所長 : 坂内正夫 以下 NII) は 一般社団法人 OpenID ファウンデーション ジャパン ( 代表理事 : 八木晃二 以下 OIDF-J) と共同して 学術認証フェデレーション 1 ( 以下 学認 ) と民間企業が提供するサービスをつなぐ トラストフレームワーク 2 に関する研究を開始します 本研究は オンライン ID に信頼を付与し さまざまなサービスで活用可能なエコシステムの実現を目指しています 産学分野の ID を相互に結ぶオープンなトラストフレームワークの策定は 世界初の試みとなります このトラストフレームワークの実現によって これまでそれぞれ異なるルールや技術を用いて構築してきたサービスがシームレスにつながり 組織や業界 国境を超えた柔軟な認証が可能になるとともにさまざまな利用者情報を安全にやり取りすることが可能になります ID 提供側とサービス提供側との信頼関係の構築が容易になることで 従来は不可能だった より利便性の高いオンライン サービスの創 出が期待されます (http://www.nii.ac.jp/news/2011/0305/) 34 Copyright (c) 2013, National Institute of Informatics 2013/2/4

魅力あるサービスの創出 クラウド型サービス 学割サービス? システム開発 改善 より所属機関を探しやすいディスカバリーサービス学認申請システムとの連携による IdP 運用コストの削減個人情報送信同意機能の提供 (uapprove.jp) IdP 冗長運用技法の情報提供属性プロバイダmAP (Vertual Organization 情報提供 ) 関連サービス多要素認証 クライアント証明書の導入による認証セキュリティ向上など 35