学認IdPのIAL2/AAL2対応を「普及」段階へ：NIIの中規模実証実験の設計と参加メニュー

中規模実証実験、IAL2、AAL2における実証実験というテーマで、国立情報学研究所の鈴木から発表させていただきます。

本日のアジェンダですけども、まず背景について、なぜ今IAL2、AAL2が必要なのか、研究基盤や国際連携の現状ということを簡単に説明させていただきます。次に、実証実験の目的としまして、IAL2の規定の位置付けと実現と普及に向けて、普及というところにちょっとアクセントを置かせていただきましたけども、IALとAAL2の規定に関して、これまで、昨年度までの実証実験で様々な機関に参加していただきまして、その上で技術的な検証であるとかポイントであるとかいうのを出させていただきました。それに基づきまして、今年度はIAL・AAL2を普及させていくということを目的とした実証実験を実施していきたいと考えております。参加メニューとしまして4ケースほど考えております。後で詳しく説明させていただきます。マイルストーンを簡単に作成させていただきましたので、それも合わせて説明させていただきまして、最後に、中規模実証実験、まだ募集開始しておりませんけども、先に募集を開始させていただきまして、皆さんの参加を募りたいと思います。さらに、IAL・AALの規定案についても現在公開しておりまして、そのパブリックコメントを現在求めているという状況でございますので、皆様からの忌憚のないコメントをいただければと思います。

ということで、まず初めに背景と課題で、認証から保証へという観点で話をさせていただきます。研究基盤と国際連携では、ログインできるというだけでは不十分な時代になってまいりました。例えば研究データ基盤であるとかHPCにおいては、GPUクラスター、スパコンの利用申請に、誰が使っているかの説明責任が求められるという時代になってきております。さらに国際連携においては相手機関から、あなたの大学の本人確認は信頼できるかということが問われるような状況になってきております。さらに、午前中の講演にもございましたけども、デジタル証明書が普及してくるという時代になってきております。このようにVCであるとか学生証などデジタル証明書の発行には、アカウントの確かさが前提条件という形になってまいります。そこで、学認としましては、現在大学が入学時に行っている対面確認というものを、国際標準、IAL2、AAL2で証明する仕組みを作っていくということが重要な課題となっていると考えております。

ということで、本実験の目的としましては、学認対応のIdP・SPにおけるIAL・AAL2対応を検証し、運用規定や技術ドキュメントなどのアウトプットを公開し、普及させていくということが目的となります。既に策定済みのものとしましては、規定と解説は策定済みでございます。運用規定について、案に関するものを公開しております。さらに、それを普及させるための解説書を公開しております。さらに、午前中のセッションにおきまして、その解説書をさらにかいつまんだ資料を作成させていただきまして、そちらも後に公開する予定となっております。本フォーラムのトラックの案内でも公開いたしますし、ホームページでも公開いたします。

2026年度のうちに、IAL2、AAL2の認定方法やプロセスを策定させていただく予定でおります。IdP・SP向けの評価指標であるとか、さらに学認フェデレーションとしての取り組みを決定して普及させていくということを、この実証実験で行っていく予定であります。さらに、実験とドキュメントの整備ということで、IAL2、AAL2に対応するための技術ガイド及びチェックリスト、さらにユースケースベースのサンプルを、可能であれば収集した上で公開していきたいと考えております。さらに、IAL・AAL2に対応しただけでは効果が分かりにくいと思いますので、デジタル証明書を発行する実験も組み込ませていただきまして、それを使って、IAL・AAL2で認証したユーザーに対してデジタル証明書を発行するというのはどういうことなのかというのを、この実証実験で考えて、検証していただければと思います。

ということで、規定と実証実験の対応関係について簡単にまとめさせていただきました。これ全文読むと非常に長いのでかいつまませていただきますけども、例えば、IAL2の規定においては、4から5条においてはトラステッドデータベースはどういうものか、どういう風に規定されるものか、例えば14条から18条は、証拠収集、妥当性確認、検証っていうのはどういうものなのか、要は本人をどのように確認したかとか、そういったことが求められるとかですね。あと、AAL2では、第3条において認証器の要件であるとか、第4条においては認証器の評価に関して規定させていただいてる、この辺りに対応できるような実証実験をしていこうと考えております。宣伝になりますけども、学認では認証器レジストリーを公開しておりますので、そちらも合わせてご確認ください。この案内に関しては、後ほどURLを記載させていただきます。

実際に実証実験に参加する際のメニューとしましては4ケース考えておりまして、それぞれAからDまでとなっております。Aは、IdPのIAL2、AAL2対応。Bとしましては、オルトロスと学認RDMの対応で、さらに、これは機関向けではなくてサービス向けにお願いしたいことですけども、オルトロスを用いたサービスを提供していただく。さらにDとしまして、VC発行、デジタル学生証に関する検証を行っていただく、こういったようなメニューを用意しております。

ケースAの、機関にお願いしたい学認対応IdPのIAL2、AAL2の対応につきましては、実装対象としては、IAL・AALの属性送出であるとか、AAL2相当のMFAをご準備いただく、IAL相当のユーザーの真正性を担保していただく。これはトラステッドデータベース連携であるとか、認証、証跡管理とかそういったようなことをお願いしたい。さらに、規定文書の内容を確認していただきたい。規定文書に関するパブリックコメントも求めておりまして、これに関してはまた後ほど説明させていただきますけども、その対応もできればしていただきたい。簡単なフローを右の図に書かせていただきました。学務・人事システムからトラステッドデータベースだということで、それを自動的にIdP、IDaaSと書いてありますけども、プロビジョニングしていただいて、その結果を学認対応IdPにさらに転送していただき、ここで、きちんとトラステッドなデータベースであればIAL2を付与し、きちんと認証が取れているのであればAAL2の権限を付与して、確認をSPに投げていただくと、きちんと属性が送信されていることが確認できるというケースを考えております。詳しくはこちらに書かれておりますけれども、時間の都合上、これは省かせていただきます。

次に、ケースBとしまして、オルトロスと学認RDMの連携ということで、現在、学認RDMでは、学認対応IdPから認証したユーザーは学認RDMが利用できるという形になっておりますけども、学外の方をどう取り扱うかという問題が出てきてまいります。その際に、オルトロスにIDを登録いただいて学認RDMと連携していただくというような格好が取れます。これは実証実験に参加しなくてもできることではあるんですけども、実証実験に参加していただければ、より詳細な情報であるとか、そういったものを共有できるという形になると思いますので、実証実験のメニューとして記載させていただきました。さらに、オルトロスは学外の研究者等に対してのIDが発行されるということですので、そのオルトロスを用いたサービスの提供も開発していただくということもしていただきたいと考えております。これはサービスプロバイダー向けのメニューとなっております。オルトロスですけども、現在パスキーに対応しておりまして、これはAAL2相当に対応していると考えております。また、クロスID等の連携ができますので、そこも十分活用していただいた上で、先ほどのBとCに、各機関並びにサービスプロバイダーの方は、それを意識した上で参加いただけるとよろしいかと思います。

ケースDとしまして、これは機関・SPに関してなんですけども、VC、ベリファイアブルクレデンシャルを発行した、デジタル学生証を発行するというメニューを考えております。その際に、先ほどから申し上げている通り、デジタル証明書を発行するにあたってはIAL2とAAL2に対応したIdPが必須となっております。ここでは「してもらえると嬉しい」と書いてありますけども、まずは参加していただいて、その上で、IAL2、AAL2に徐々に対応していただくような格好を取っていただけると嬉しい。また、今年度は対応できないかもしれないけれども、来年度以降対応していくための情報収集の場としても使っていただきたい。ただ、先ほど申し上げた通り、IAL2、AAL2に対応しただけですと、対応したということが確認できるだけですので、それを使って実際に学生証であるとかデジタル証明書を発行するという検証ができる環境を、NIIとして用意する予定でおります。

その際に、デジタル学生証を発行するにあたっては、現在認証システムが提供している属性情報だけでは属性情報が不足するということが分かっております。そのために考えていただきたいのは、証明書に付随する情報を取り扱うためのアトリビュートプロバイダーを作っていただくか、IdPで取り扱っていただく必要が出てくるという格好になります。これは2パターン考えておりますので説明させていただきますと、IdPとアトリビュートプロバイダーを別立てで構築した場合は左側のフローで、アトリビュートプロバイダーを立てずに学認対応IdPのみで対応する場合は右側のようなフローを考えております。左のケースの場合、アトリビュートプロバイダーがIdPと連携していただいて、VC発行のSPに情報を投げていただくことによってデジタル証明書が発行されると。右側は、IdPとAPが1つのIdPで実現されているので、単独で情報が全て揃いますので、VC発行システムでデジタル証明書を発行していただけるというメニューとなっております。

ここの左側の上から3つ目のところに、AP属性プロバイダーというのが書かれているんですけども、そこに書かれている情報を見ていただきたいんですけど、皆様の大学の証明書にはおそらくこういった情報が入っているだろうということで、例を記載させていただいております。学籍番号であるとか、入学日であるとか、誕生日であるとか、あと有効期限といった情報が記載されてるということが非常に多いです。そういったような情報は、基本的にIdPでは取り扱わない情報なんですね。なので、それを属性プロバイダーという形で別立てしていただく、もしくは、IdPでも取り扱っても良いということであれば、IdPの方でそのような各属性を取り扱っていただくという形を取らせていただいて、デジタル証明書を発行したり、デジタル学生証を発行するという実証実験をさせていただければと思っております。

すいません。こちらが先ほどの話を示したものでございます。ここでSPと書かれている、ベリファイアブルクレデンシャル、VCイシュイングサービスプロバイダーの部分に関しては、NIIが用意させていただく予定でおります。さらに、学生証アプリ、ウォレットに関しても、こちらもNIIで用意する予定でおります。さらに、IdPとAPをなかなか用意できない、でも検証には参加したいし、実際にデジタル学生証やデジタル証明書を発行するような検証にも参加してみたい、実際に発行してもらいたいという場合は、左側の機関の部分に相当する学認対応IdPとアトリビュートプロバイダーにつきましても、NIIの方でデモ用のIdPとAPを用意させていただきますので、そこに参加機関の方のデータを、ダミーで構いませんので登録していただければ、発行するテストが検証できて、デジタル学生証がどのようなものかが分かると。その際に、どうすればIAL2、AAL2を満たすことができるのかといったところも合わせて確認いただけるという環境を準備する予定でおります。

IAL2、AAL2に関するマイルストーンがこのようになっておりまして、まずIAL2、AAL2の規定や認定に関しては、現在IAL2、AALの規定のドキュメントを公開しておりまして、パブリックコメント、あ、すいません。パブリックコメントの期間が間違っております。申し訳ございません。これ後ほど訂正させていただきますが、7月31日が締め切りでございます。こちら、すいません、これはパブリックコメントではなくて、修正及び普及のための前準備がこの期間という形になっております。申し訳ございません。後ほど訂正させていただきます。訂正したものを公開させていただきます。IAL・AALに関して、IdP・SPへの展開はこの実証実験に連動する形で、実証実験が開始され次第、IdPの実証実験等を策定し、IdP・SPへ本格的に展開していくという流れを考えております。

ということで取りまとめまして、NIIが提供するテスト環境の予定としましては、確認用サービスプロバイダー、テスト用IdP、VC発行システム、学生証アプリ、テスト用AP及び認証器レジストリーとなります。このうち、認証器レジストリーにつきましてはすでに公開しておりまして、皆様の機関におかれましても、AAL2対応をお考えの方は、こちらの認証器レジストリーのホームページを参考にしていただけるとよろしいかと思います。実際、テスト用IdP、テスト用AP、学生証用アプリ、VC発行システムにつきましては、昨年度、別の実証実験で、すでにテスト用のシステムを作っておりますので、それを今年度分に改修し直したら、直ちに募集をかける予定でおります。

参加のご案内ということで、皆様の大学・機関様が、学認のIAL2、AAL2の先駆者になっていただきたいと考えておりまして、募集対象としましては、学認対応IdPのIAL2、AAL2対応を検討してる大学、研究機関様、さらにオルトロスを用いて学外者との研究データ共有を進めたい機関様、サービスプロバイダー様におかれましては、オルトロス認証を用いたサービス開発やテストを実施したい方々、機関・SPにおかれましては、VCやデジタル学生証のテストに参加したい機関・SPの方を募集しております。もちろん、手を動かしていただいてIdPをIAL2、AAL2に対応していただきたいんですけども、まずは情報収集をしたいという方々も参加していただいて構いませんので、皆さん奮ってご参加ください。お問い合わせ・募集に関しては、募集ページを近日中に公開いたしますので、その際にまたアナウンスさせていただきたいと思います。本件に関するお問い合わせに関しては、トラスト・デジタルID基盤研究開発センターのホームページのお問い合わせからお願いいたします。先ほど認証器レジストリーが公開されているというお話をさせていただきましたけども、こちらはここに記載されておりますURLからアクセスしていただければ、AAL2相当の認証器レジストリーの情報が手に入ります。

ということでまとめとしまして、IAL2、AAL2の規定文書や認定プロセスが動き始めます。IdP等の準備をよろしくお願いいたします。オルトロスと学認RDMを用いて、学外者との共同プロジェクトを推進してください。さらにデジタル証明書であるVCや学生証のテスト環境を用意しますので、皆さん使ってみてください。

ここから、パブリックコメントに関するお話を簡単にさせていただきます。現在、トラスト・デジタルID基盤研究開発センターでは、IAL2、AAL2の規定文書を公開してパブリックコメントを募集しております。募集期間は7月31日までとなっております。ホームページを開いていただければ、そこから問い合わせフォームにすぐ飛べるようになっておりますので、ご確認ください。意見としましては、堅苦しいことをあまり考えなくても大丈夫です。規定の内容についての意見として、例えば、この要件は実装が難しいとか、表現が分かりにくいとか、こういう例外を認めて欲しいとかですね。あと他にも、実装上の問題点・懸念として、トラステッドデータベースの定義が実際のシステムに当てはまらないかもしれないというような現場の声、用語の定義が甘いであるとか、この部分の説明が不足しているとか、そういったことでも構いませんので、是非とも皆様、忌憚のないご意見をお寄せください。

もう1個だけ宣伝させてください。VCの未来を語るイベントがございまして、デジタルクレデンシャル円卓会議2026という会議が開催されます。こちらコンパスの方で参加募集がかけられております。こちらで、デジタル証明書VCに関して、様々な立場の方が一堂に会して、広く意見を交換するというイベントとなっておりますので、是非皆様ご参加ください。以上となります。ありがとうございました。