学認と連携した ICT サービスの 構築と活用に向けて 中村素典 / 国立情報学研究所第 23 回 TOPIC 総会 (2013/4/23)
SINET 接続がなくても参加できます!( 加入は必要 ) 私立大学でも参加できます! 電子ジャーナルのアクセス費は 既存の契約ベースです でもアクセスコスト圧縮の可能性を秘めています 2 IP アドレスによらない利用者範囲の絞り込み 複数機関共同契約
学認 で拡大する研究者の利便と大学間の連携 シングル サイン オンで 利便性が高まるコンテンツサービス SINETクラウド接続サービスと学認でリソース活用の新時代が始まる SINETクラウド接続サービスと学認でリソース活用の新時代が始まる トラストフレームワーク によるID 連携が拓く可能性 http://www.nii.ac.jp/about/publication/today/ 英語版もあります 3
100 90 80 70 60 50 40 30 20 10 0 Jul-09 Dec-09 May-10 Oct-10 Mar-11 機関数 60 IdP 達成 Aug-11 Jan-12 Jun-12 Nov-12 Apr-13 Sep-13 ( 万人 ) 120 100 80 60 40 20 0 Jul-09 Dec-09 ユーザ数 Total Students Staffs May-10 総 ID 数 75 万 Oct-10 Mar-11 Aug-11 Jan-12 Jun-12 Nov-12 Apr-13 Sep-13 病院も参加しました (NTT 東日本関東病院 ) 特定非営利活動法人サイバー キャンパス コンソーシアムTIES 初の 複数機関にまたがるIdP 構築事例に H25 年より全国の高等専門学校が順次参加予定 4
140 120 メタデータ登録数 ( 公開準備中を含む ) 100 SP 突破 100 80 60 40 20 HighWire Press Stanford University (1 サイトで複数サービス提供 ) 107 0 Jul-09 Sep-09 Nov-09 Jan-10 Mar-10 May-10 Jul-10 Sep-10 Nov-10 Jan-11 Mar-11 May-11 Jul-11 Sep-11 Nov-11 Jan-12 Mar-12 May-12 Jul-12 Sep-12 Nov-12 Jan-13 Mar-13 May-13 Jul-13 H25 年度よりeduGAINにも参加し 別途 edugainのサービスも利用可能に SITF (Student Identity Trust Framework) での学割サービスの実現を検討中 5
一ヶ月単位のアクセス数の推移 DSを経由したアクセス数であるため 実際にはもっと多い参考 :30000アクセス/ 月 =1000アクセス / 日 35000 30000 31007 25000 26590 20000 18762 21158 19680 19457 21236 15000 15668 14384 10000 9634 10465 11432 10345 8256 9160 11262 5000 0 6 3727 138 Sep-11 Oct-11 Nov-11 Dec-11 Jan-12 Feb-12 Mar-12 Apr-12 May-12 Jun-12 Jul-12 Aug-12 Sep-12 Oct-12 Nov-12 Dec-12 Jan-13 Feb-13
学内 SSO の仕組みをグローバルに 学内 elearning ユーザディレクトリ (LDAP) 機関認証システム Identity Provider ejournal Service Provider 給与明細 SSO 履修登録 SSO Web メイル 大学 A 大学 B 学内サービスのアウトソース化にも最適 集約 共用によるコスト削減メリット 7
Elsevier Science Direct Elsevier SCOPUS SpringerLink Thomson Reuters Web of Knowledge Ovid SP ProQuest RefWorks ProQuest RefWorks ProQuest ebrary Cambridge Journals Online Atlases Pathology Images 研究社 : KOD NII: CiNii EBSCO: EBSCO host IEEE Xplore Serials Solutions: 360 Search, 360 Link, Electronic Journal Portal IOP science Royal Society of Chemistry RSC Publishing S.Karger AG BioOne American Society of Clinical Oncology Americal Society of Nephrology BMJ Journals Biologists.com Journals Disaster Medicine and Public Health Preparedness Journal Watch: Medical Journals and Research Articles Journal of Bone and Joint Duke University Press Journals Lyell Collection: Geological Society Publications Online Journals of the Royal College of Psychiatrists Oxford Medicine Oxford Journals OxfordServices Royal Society Publishing RSM Press Rockefeller University Press journals SAGE Journals Annual Reviews Cengage Learning Emerald サンメディア PierOnline (UniBio Press) NII-REO 8
Microsoft: DreamSpark UQ コミュニケーションズモバイル WiMAX キャンパスネットワーク接続サービス NII FaMCUs (MCU for Video Conferencing) NII: FShare (File Sharing Service) NII WebELS (Web-based e-learning System) NII 学認申請システム (GakuNin Registration System) NII meatwiki 金沢大学 File Transfer Service 金沢大学 ARCADE( 学術組織間デジタル資料分散共有システム ) 山形大学大学間連携グループ情報共有サービス 佐賀大学 Opengate アットウェア : しぼすけ 科学技術振興機構 :ReaD&Researchmap NII Eduroam-Shib (Temporary eduroam account issuing) NII 研究クラウド (Gunnii,tinii,colonii) NII edubase Cloud NII GakuNin map NII meatmail 金沢大学 Opens non-bibliographic Contents Service 山形大学科学技術の学術情報共有のための双方向コミュニケーションサービス 広島大学 HINET wlan guest service UNINETT, Foodle 9
提供される MCU Cisco Tandberg Codian MCU 4510 ( 最大 20 地点 ) Cisco Tandberg Codian MCU 4205 ( 最大 12 地点 京大提供 ) Polycom RMX 2000 1000 ( 最大 20 ポート ) 学認への対応 予約と制御に認証を要求 ( 教職員に限定 学生に権限委譲可 ) テレビ会議への参加には認証不要 ( アクセスコード等利用 ) 認証 IdP 認証情報 Shibboleth 予約 制御 SP 制御 NII 接続 接続 Vidyo GW (NAT 越え可 ) ConferenceMe 移動先 A 大学 10 代表者 接続 予約情報の通知 Copyright (c) 2013, National Institute of Informatics B 大学 2013/2/4
情報セキュリティー講習への需要 大学ごとに同様のコンテンツやシステムを整備するのは非効率 共用 E ラーニング SP 学認連携 Moodle 講習サイト ヒカリ& つばさ と 倫倫姫 ( 群馬大学 ) を提供予定 https://security-learning.nii.ac.jp/ 教職員 学生が受講 セキュリティラーニングシステム 受講状況を機関にフィードバック 類似サービスを各機関で個別に導入する必要なし 11
大学 NII 利用申請 IdP 変換 StoredID 推奨 認証 利用者 アクセス ( 講習 ) SP 管理者 修了状況の大学へのフィードバックをサポート! 大学からの 利用申請 がなくても自習可能 12
SINETのL2VPNサービスを利用して 大学とUQネットワークを接続 WiMAX 端末には 大学が用意したIPアドレスが割り当てられるあたかもキャンパス内にいるかのように学内専用サービスやインターネットにアクセス可能 http://www.uqwimax.jp/service/corporate/campusconnect.html SINETとUQネットワークの間の回線はUQ 負担 (SINETクラウド接続サービス利用) http://www.sinet.ad.jp/service/other/cloud_services/ 大学 学内ネットワーク 大学管理の IP アドレスが割り当てられる WiMAX UQ ネットワーク 学認 IdP VLAN L2VPN ( 学内扱いの通信 ) 学内専用サ - ビス ファイアーウォール 大学手配のアクセス回線 ( 既存 ) インターネット 13 学認 SP クラウド接続サービス 大学の IP アドレスから利用できる学外コンテンツやサービスにもアクセス可能
10000 1000 2011 年 9 月から 2013 年 2 月までのデータ ( 縦軸 log 総アクセス数順 ) 左より 佐賀大ネットワーク認証 CINII eduroam アカウント発行 WebOfKnowledge 学認申請システム 大容量ファイル転送 map 対応 Wiki テレビ会議 MCU 予約 Researchmap 動作確認用 SP UQ WiMAX NII 研究クラウド map 管理 広島大ネットワーク認証 Karger 研究社 釧路高専 Reo 情報セキュリティ e ラーニング しぼすけ ( スケジュール調整 ) 金沢大学データ共有 WebELS と続く 100 10 1 guestog.sso.cc.saga-u.ac.jp register-ci.nii.ac.jp eduroamshib.nii.ac.jp www.webofknowledge.com office.gakunin.nii.ac.jp fshare.sinet.ad.jp meatwiki.nii.ac.jp mcus.nii.ac.jp researchmap.jp attrviewer20.gakunin.nii.ac.jp jvr.uqwimax.jp gunnii.ecloud.nii.ac.jp map.gakunin.nii.ac.jp hinet-sp.hiroshima-u.ac.jp service.ecloud.nii.ac.jp content.karger.com kod.kenkyusha.co.jp admin-router.webofknowledge.com sp.msls.kushiro-ct.ac.jp reo.nii.ac.jp security-learning.nii.ac.jp shibosuke.net booklooper-h1.greenoffice.jp arcade.cis.kanazawa-u.ac.jp webels.ex.nii.ac.jp attrviewer13.gakunin.nii.ac.jp www.emeraldinsight.com sp.ebrary.com sp1.db.kanazawa-u.ac.jp arcade-storage01.cis.kanazawa-u.ac.jp colonii.ecloud.nii.ac.jp kyodo-lms.nara-edu.ac.jp arcade-storage01.nii.ac.jp www.cc.saga-u.ac.jp idp.repo.nii.ac.jp sp2.db.kanazawa-u.ac.jp c.yz.yamagata-u.ac.jp tinii.ecloud.nii.ac.jp openid.nii.ac.jp ninsho-dav.nii.ac.jp gmembers.sinet.ad.jp meatmail.nii.ac.jp atlases.muni.cz www.karger.com www.isiknowledge.com idp.ixsq.nii.ac.jp webofknowledge.com isiknowledge.com muse.jhu.edu webofknowledge.com www.webofknowledgev4.com www21.mle.cmc.osaka-u.ac.jp 14
統合認証システム AXIOLE, NetSpring HP IceWall SSO, 日本 HP jw-sign ontm, エヌ ティ ティ データ カスタマサービス株式会社 LiveSignOn, NTTデータ九州 Secioss Access Manager, 株式会社セシオス Shibboleth-IdPアクセス制御プラグイン, 株式会社セシオス WebSAM SECUREMASTER, 日本電気株式会社 WisePoint, ファルコンシステムコンサルティング株式会社 メールサービス DEEPMail/MailSuite, ディープソフト株式会社 施設予約システム ガルーン, サイボウズ i-ware, NTTデータ九州 給与システム 給与支給明細オンライン照会システム, 株式会社サジェコ源泉徴収関係届出オンラインシステム, 株式会社サジェコ elearning システム Mediasite System, メディアサイト株式会社 WebClass, 日本データパシフィック株式会社 履修登録システム LiveCampus, NTTデータ九州 DreamCampus, SCSK 株式会社 教務事務システム LiveCampus, NTT データ九州 図書館情報システム E-CatsLibrary, 株式会社シー エム エス 日本電気株式会社 NALIS, NTTデータ九州 https://meatwiki.nii.ac.jp/confluence/x/zgkf にて情報公開中 追加情報をお待ちしております! 15
学術関係者 事前の許諾は不要です その他の使用者 事前に許諾をお願いします 学認として審査 認定しているわけではありません 16
学認申請システム 学認への参加申請, メタデータ ( サーバ証明書等 ) 登録 更新等は Web を通してオンラインで可能 ( 学認申請システム ) テストフェデレーション ( 技術検証環境 ) 0. OpenIdP でのアカウント作成 1. 申請情報登録 2. 事務局での参加承認 3. フェデレーションメタデータへの登録 通常一日で参加完了利用開始可能 運用フェデレーション ( 実アカウントを用いた本格利用 ) オフラインによる確認 ( 申請書の郵送 ) が 1 ステップ増えるだけ こちらは早くて一週間程度 17
UPKI オープンドメイン証明書自動発行検証プロジェクト サーバ証明書発行の無償提供サービスを実施中です 現在の活動状況 参加機関数 317 発行枚数 8254 枚 (2 月 18 日現在 ) のべ発行枚数の推移 更なるご参加をお待ちしております! 18 2048bit 未満の証明書の利用停止 (2013 年 12 月以降 )
ポリシーに準拠し参加機関間の認証連携を実現 学術認証フェデレーション実施要領 ( 平成 24 年 3 月 22 日改正 ) 学術認証フェデレーションシステム運用基準 (Ver.1.2) ( 平成 23 年 8 月 24 日改正 ) 機関認証システム Identity Provider 登録 配布 ( ダウンロード ) メタデータ 登録 配布 ( ダウンロード ) 学術サービス 相互信頼参加機関 ポリシーに準拠することにより学認に参加可能事務局 参加が承認されたIdPとSPの情報はメタデータに登録 IdP,SPサーバ メタデータに登録されたIdPとSPだけが互いに接続することができる The Circle of Trust 19
組織の構成員であることの保証 卒業 退職などによる異動の適切な反映 名誉教授 OB 図書館の地域内利用者 その他ゲスト等の扱い識別子再利用についての考慮 同一識別子を利用する場合は 一定期間あけるユーザの同一性の保証 パスワード配布時の本人確認 適切に管理された役職アカウント個人情報保護への対応 国公立大学ではオプトインが原則ログの保存 インシデント対応のための edupersontargetdidやtransient-idの記録 機関として責任を持った ID および属性の保証 定期アンケート ( 毎年 ) によるチェックとフィードバックで維持 IdP of The Year 2012 を大阪大学が受賞 20
IdP ホスティングサービス ( 試験提供中 ) 運用中 :2 大学 準備中 :3 大学 あくまでも試験提供であり永続的サービスはしない InCommon では FISCHER などが提供開始 http://www.fischerinternational.com/press/press_releases/fisc_news_in common_ignite.htm たとえば セシオスが SaaS 型 IdP サービスを提供可能 https://www.secioss.co.jp/2013/04/_seciosslink_education.html 21
OIX (Open Identity exchange, http://openidentityexchange.org/) LoA 1 認定プログラム 2012/7/4 開始 2 大学について認定作業中 edugain (www.edugain.org/) 欧州 GÉANT が提供するインターフェデレーションに学認として参加 学認申請システムで OPT-IN する枠組みを提供予定 シボレスコンソーシアム (http://shibboleth.net/) 学認として参加し オープンソース Shibboleth をサポート 22
Version 2.4 リリース時期 :6,7 月 シングルログアウトの部分的提供 ( 当該 SPとIdPのみ ) Open JDK 1.7に対応 設定ファイルの自動取得機能の改良 Version 3 リリース時期 : 未定 300 近い項目の改善 Spring Webflowによる根本的なアーキテクチャーの変更 uapproveのバンドル SAMLプロトコルのハンドリング カスタマイザビリティの強化 シングルログアウトのフル機能の提供 (?) 23
24 学認はシボレスコンソのメンバー
アメリカ InCommon 欧州 edugain 25
26 InCommon serves almost 6 million end-users through federated identity management.
Which of the priorities will you find most helpful for you/your institution (choose 3-4) Mobile/non-browser apps Federated User Experience Metadata Distribution Supporting Net+ Assurance Interfederation Metadata Admin 0% 10% 20% 30% 40% 50% 60% 70% 27
Current Services Portfolio 28 Services Infrastructure-as-a-Service Software-as-a-Service Communications-as-a-Service Other Services + 28
If your credentials protect access to any sensitive data, you must care whether they are good enough for that What standard do you use? NIST Levels of Assurance 1 4 Bronze & Silver Imply Levels 1 & 2 Specifications written for US Higher Ed Approved by US government for access to federal agency services Approved by International Grid Trust Federation for access to national & international HPC From InCommon Community Feedback Do you intend to pursue Bronze and/or Silver? 27% said both in 2013 350IdP*0.27 95IdP 8% said Bronze only and 8% said Silver only 29
30 によるインターフェデレーションの図
31 学認は edugain のメンバー
LIGO (an InCommon Federation member) seeks to enable federated access to LIGO operated service providers including wikis, document catalogs, event databases, and data investigation tools for LIGO collaborators from across five continents, including collaborators from interferometric gravitational wave experiments and organizations including the European Gravitational Observatory (EGO), responsible for the computing and networking for the Virgo (French and Italian) interferometer experiment, and KAGRA (Japan). 32
33 An observatory for ground-based gamma-ray astronomy
魅力あるサービスの創出 クラウド型サービス 学割サービス? システム開発 改善 より所属機関を探しやすいディスカバリーサービス学認申請システムとの連携による IdP 運用コストの削減個人情報送信同意機能の提供 (uapprove.jp) IdP 冗長運用技法の情報提供属性プロバイダmAP (Vertual Organization 情報提供 ) 関連サービス多要素認証 クライアント証明書の導入による認証セキュリティ向上など 34