eduroamの基盤でOpenRoaming ANPを動かす：NIIが計画するゲストWi-Fi自動化の実証実験

おはようございます。というわけで早速このタイトルでお話をさせていただきたいと思います。OpenRoaming、OpenRoamingと言っていますけど、基本的に最近こういう話をする時にはいつも触れているんですけれども、このeduroamとOpenRoamingが仲良くしましょうという話なわけで、OpenRoamingがeduroamに取って代わるという話ではなくて、これまでのeduroamに加えてOpenRoamingとうまく共存させて、Win-Winな環境を作りましょうという話になります。

基本的に今回の話は、まずOpenRoamingを導入して何が嬉しいのかという話を説明させてもらった後で、今年度計画しておりますOpenRoamingのANP、これはアクセスネットワークプロバイダーなんですけれども、ANPの実験について説明させていただき、時間があればeduroam JPのトピックにも触れたいという風に思っております。

というわけで早速なんですけれども、まずOpenRoamingのメリットを考える前に、ちょっとイントロ的なところで考え方を整理しておきたいと思います。基本的に大学、研究機関の方々が無線ローミング基盤を整備するという時に何を考えるかと言うと、大きく2つの観点があるというのはよく理解できると思います。

まず1つ目の観点としては、自分のところの構成員が、自分の組織の敷地内ではなくて組織外にいた時に、セキュアにWi-Fi環境を利用できるようにしたいという観点があります。これは言い方を変えると、大学あるいは研究機関が、いわゆるeduroamのアイデンティティプロバイダーとして振る舞うということに対応します。

2つ目に関しては、今度は自組織外の方々に、自分のところの組織のWi-Fi環境をセキュアに提供するということを考えるという観点があります。基本的にはこのIdPとSPという2つの観点で、無線LANローミングの基盤を考えるということになります。IdPはともかく、SPというのはもちろんサービスプロバイダーということで、eduroamなどで使われている用語ですが、これが先ほど言いましたようにOpenRoamingではアクセスネットワークプロバイダーという用語に変わりますが、本質的には同じ内容になります。

こういう観点で、一方エンドユーザーにとってみれば、話はもっと簡単で、いつでもどこでも安全に、さらに簡潔に、簡単に無線LAN環境、Wi-Fi環境を利用したいというのが、普通にある基本的な要望になります。こういった利用者の気持ちというか要望と、その基盤を構成する大学・研究機関がより効率よく構築するということを考える時に、これまでのeduroamだけではなくて、OpenRoamingを加えることによって、セキュアかつ利便、利便かつ高効率な環境の実現ということを考えていきたいと。

こういった組み合わせでどこに適用するかという場合、ポイントは、このSPあるいはANPの観点のところで、自組織外の方々が自分のところの施設を訪れた時にどういう感じでWi-Fiを提供するかで、今のeduroamの枠組みなら、普通にアカデミアで考えますと、ビジターの方がすでにeduroamのアカウントを持っていれば、ある意味それで、いわゆるビジターの方に自分のところのWi-Fi環境を提供するということはできています。

ただ、アカデミアに限らず、ここでちょっと視点を広げて、その自組織外というのがアカデミアに限らず、より一般市民の方々に広げた時に、あるいは広げることに意味があるかどうかというところが1つのポイントになります。アカデミア以外と言った場合には、研究という観点で考えますと、例えば産学連携ということで、企業の研究者の方が大学を訪れた時に、その時の無線LAN環境というかWi-Fi環境をどうするかという話はまだ分かりやすいと思いますけど、それに加えて、昨今、大学の方でより一般市民の方々に対して、開かれたキャンパスという考え方に基づいて、いろんな取り組みがあります。

そのいろんな取り組みの中で、開かれたキャンパスで大学の施設をある意味開放しなさいというのは、物理的な開放を意味するだけではなくて、その時にじゃあネットワーク環境はどうするのという話を同時に考えないといけなくて、そこでWi-Fi環境をどう提供するのがいいかというところが、まずポイントになろうかという風に思います。

実際にその開かれたキャンパスという観点で言うと、具体的な事例は調べれば色々出てくるとは思うんですけれども、実際に自治体と大学がタッグを組んで、大学を中心とする敷地内で、ある意味アカデミアな空間を構築しよう、それが学園都市であったりとか、何かに相当するとは思うんですけど、そこである意味一般市民の方も大学の施設を活用し、かつ例えば大学の学生さんが課外活動という形でキャンパス外に出て色々アクティブに活動するというようなことで、その時のWi-Fi環境というのがeduroamだけで何とかなるという話ではなくて、OpenRoamingとタッグを組んでうまくいくのではないかという可能性があります。

そのOpenRoamingなんですけれども、今回は簡単な説明だけにさせていただきますが、要するにどういうことかと言いますと、いわゆるWi-Fi CERTIFIED Passpointに基づく国際的な公衆Wi-Fiローミングのフレームワークとして、WBA、ワイヤレスブロードバンドアライアンスが2020年の3月にスタートしたものであります。Passpointって何ですかということなんですけど、簡単に言えば、今Wi-Fi環境に繋ぐという場合には、SSIDをユーザーが確認して、これに繋いでもいいのかという感じでSSIDを選択するということになるんですけれども、このPasspointというのは、ある意味SSIDを透過的に扱う、つまりユーザーがどのSSIDに繋げばいいかということを意識せずに自動接続を実現する技術だという風に考えていただければと思います。

このOpenRoamingなんですけれども、いわゆるeduroam、eduroam JPだけに限らず、世界的にeduroamの総本家のところですけれども、eduroamにおいてはGÉANTというのが今eduroamの総本山的な中心の組織体として色々オーガナイズしているわけですけれども、そのGÉANTがOpenRoamingのコミュニティに対してコントリビューターメンバーとして参加しています。一方、日本においては、一般社団法人無線認証連携協会様が2020年の11月に、このOpenRoamingに対してインプリメンターとして参加されており、国内初のOpenRoamingのサービスも既に開始されています。株式会社ローカル24におかれましては、この無線認証連携協会、通称Cityroamと呼んでいるその協会のメンバーとして、国内27箇所の公衆Wi-FiアクセスポイントにおいてOpenRoamingを提供されているというところです。スライドにはありませんが、実際にOpenRoamingの仕組みを使った取り組みとしては、東京都さんのスマートポール事業であったり、最近では大阪の万博でのWi-Fi環境に、このOpenRoamingの技術が使われているということがあります。

はい。これからOpenRoamingをまず導入するメリットについて1つずつ説明していきたいと思うんですけど、まずSPの観点で、運用負荷の軽減が期待できます。どう運用負荷を軽減するのかと言うと、ゲストWi-Fi対応の完全自動化という観点で運用負荷の軽減が期待できます。ゲストあるいはビジターに対してWi-Fi環境を提供するというところで、現状の場合、例えば大学の施設に学会を誘致するであったりとか、あるいはオープンキャンパスであったりとか、共同研究企業の研究者であったり、あるいは工事業者であったり、市民講座を開いた時の受講者であったりした場合の、来客単位でのゲストIDの発行管理というのがあります。あるいはそれを発行した後で、繋がらないというトラブルに対しては窓口対応というのが当然あって、そういったIDに関わる運用管理において、ヒューマンリソースが割かれているという状況が現状の課題としても挙げられると思うんですけど、OpenRoamingを導入することによって、来訪者はまず各自が持つGoogle IDであったり、Apple IDであったり、あるいはキャリアID等で、そのままセキュアに自動接続が可能となります。

このGoogle ID、Apple IDあるいはキャリアIDというのが、このOpenRoamingにどう紐づくかというところなんですけれども、現状OpenRoamingに対応するアプリをモバイルデバイスにインストールすると、そのアプリが、Google IDと言えばAndroid、Apple IDとしてはiPhoneであったりiPadであったりとかで、これらのIDの紐付けを可能にしています。そういった意味で、OpenRoaming自体がIDを発行するというよりは、こういうアプローチで、より流通しているIDを紐付けることが可能になっているということです。

ひとたびこういう観点で用いることができれば、大学側としては、アカウントの発行、配布、廃棄フローを完全に排除できて、本来の高度な業務に集中できると。この管理しないことによる安全性の実現というのは、ID情報を保持しないリスクの低減であるということで、これはWi-Fi接続する時のある意味認証を、これまでそのサービスを提供する側が担っていたんですけど、これをある意味OpenRoamingというフレームワークに移譲するという形によって、諸々の運用コストを軽減するというアプローチは、実は同じような考え方がまさに学認の次世代認証でも検討されていて、この場でも同じようなコンセプトで、運用の負担軽減が行えるという話です。

次に、今度はIdPの観点で考えますと、学生の満足度の向上に寄与することが期待できます。言い方を変えると、キャンパスを町へ拡張する、つまり、あたかもキャンパスで利用できているそのネットワーク環境が、オフキャンパス、町に出ても同じように使えるということ。これがある意味大学のブランドの強化に繋がる可能性があります。学生が街中のカフェ、駅、商業施設でWi-Fiに繋ぐ際に、大学のIDが認証基盤として機能することが技術的に可能です。自分の大学のIDがどこでも使えるという体験が、ICT教育環境の充実度として、学生への強いアピールに繋がるでしょうと。

いや、待って、それってもうすでにeduroamでできてるんじゃないのという話ももちろんあります。eduroamの方でもオフキャンパスeduroamということで、必ずしもアカデミアな施設に限らず、これまで先人の努力によって、よりパブリックなスペース、エリアでeduroamのSSIDを吹くような取り組みというのは既になされているんですけれども、それで全部カバーできるかというと、そういうわけでもないということもあって、eduroamとの棲み分けという観点で言えば、これまで通りeduroamに関して言えばアカデミアのリージョンというかドメインで、OpenRoamingに関してはより広いエリアでの利活用を期待できると。こういった1つのIDで、アカデミアに限らずよりパブリックなスペースでのWi-Fi環境を活用できるということに関して、学生にとっては、自分の学習であったり研究であったりの質を直接的に高めることが期待されると。

ただし、この話はなかなか結構まだ難しい、技術的な問題というよりは、むしろポリシーをちゃんと整理しないといけないという風に考えております。どういうことかと言うと、大学がOpenRoamingのIdPになるということはどういうことかと言うと、OpenRoamingを提供しているエリア、アクセスネットワークプロバイダーに対して、大学がその構成員の身元を保証する必要が本当にあるんですかというところをちゃんと考えないと、このIdPを展開するというところには、なかなか踏み込めないと思います。なので、こういった部分をちょっと慎重に検討しないといけないという風に考えています。

あとセキュリティの高度化ということでは、OpenRoamingを導入することによって、野良APとキャプティブポータルからの脱却ということが可能になりまして、この辺の話は改めてOpenRoamingという話ではなくて、既にeduroamでも同じようなことが実現できているということなんですけれど、特に2つ目の学内ネットワークの防衛に関しては、結局誰が繋いでいるか分からない、ある意味フリーのWi-Fiを学内に置く必要がなくなるというのが大きなメリットです。これまでのアプローチの1つとしては、壁にSSIDをバーンと貼って、そこにパスワードも同時に書いておくということで、ビジターに対してWi-Fi環境を提供するというのもあり得るんですけど、そういう形で提供した場合、一体誰が使っているのかということが全く分からなくなるということがあって、もちろんそういう運用でも許容されるケースはあるとは思うんですけれども、今後は誰が使っているかというトレーサビリティみたいなものも担保しないといけない状況はあるとは思うので、そういったことを考えると、学内ネットワークのセキュリティ向上にも寄与することができます。加えて、これもOpenRoaming固有の技術ではなくて、既にeduroamの方でも使われていますが、VLANをうまく活用することによって、基本的にアカデミアなネットワークとゲストネットワークを切り分けることが可能です。

あと技術的な整合性として、既存のeduroamの資産と全く別なものをある程度導入しないといけないかというと、そうではなくて、OpenRoamingの技術的なポイントというのは、まずデバイス側とアクセスポイントの部分はPasspointという技術が非常に重要なんですけれど、認証連携という観点から言えば、eduroamでも実績があるRADIUS over TLS、RadSecの技術を用いるということに加えて、DPD、ダイナミックピアディスカバリーというものを利用するというのが大きなところであります。DPDの件に関してだけちょっと言っておくと、今RADIUSでの認証連携というのは基本的にRADIUSツリーと呼ばれているもので構成されていて、DNSで実際にドメインのIPアドレスを引くのと同じような、DNSツリーと同じような構造で、認証要求を飛ばす認証サーバーをRADIUSツリーを辿ることによって特定するという話があるんですけれど、これはDNSのリソースレコードを参照しつつ、自分のANPから直接IdPに対して認証要求を飛ばすという仕組みになります。

色々喋ってきましたが、やはりOpenRoamingを導入するという観点でいくと、ANP、IdPそれぞれメリットというか、なかなか期待できる話があるんですけれど、これを一気にやるというのではなくて、やはり2段階に分けて考えたいと。特に最初のステップ、スモールスタートとしては、まず学内での受け入れということでANPを整備するということで、その次のステップとして、実際にOpenRoamingのIdPとして大学がどう取り組むのかというのを慎重に検討するのがいいのではないかという風に我々は考えて、まずは今年、ANPの実証実験を行いたいという風に考えているところです。

この実験の背景と目的に関しましては、繰り返しのところもあるので、ちょっとスキップしていきますし、時間もなかなか押してきているので進めていきたいんですけど、ここでの目標というのは、管理業務の削減効果と学内ネットワークの安全性を実際の運用環境で検証するということを、最終的な実験の目標、ゴールとして考えております。

そのOpenRoamingを今のeduroam JPでどう実装していくかというところなんですけど、ポイントは、先ほど言ったようにOpenRoamingの世界は基本的にRADIUS over TLSということでRadSecと、あとDPD、ダイナミックピアディスカバリーです。それを行うとすると、基本的にANP側でまずRadSecということでTLSの上での通信を行いますので、その通信の相互に、それぞれX.509の電子証明書が必要になってくると。それをeduroam JPのSPに対して、この場合クライアント証明書になるんですけれど、証明書を導入してもらうかどうかで、やはりまだ電子証明書を扱うというのはなかなか運用コストが高いので、そこら辺うまく既存のeduroamの仕組みを継承し、かつその辺りのOpenRoamingのややこしさという部分をうまく回避する方向で検討したい。

まず最初に考えたいのは、ANPを導入するというのをスモールスタートで進めるわけなので、イメージとしては、eduroamの世界のSPがOpenRoamingのANPとして振る舞うということを考えます。この場合、右側のOpenRoamingのユーザーが大学の施設にやってきた場合、このOpenRoamingのユーザーはOpenRoamingのIDを既に持っているという状況で、その左側の、あえてeduroamと言いますが、eduroamのANPが何を行わないといけないかと言うと、右側の上のOpenRoamingのIdPに対して、この人誰?と認証要求を飛ばす必要があります。ただ認証要求を飛ばすという場合には、繰り返し申し上げますが、RadSecとDPDという仕組みが必要になってくる。それを導入するかというのももちろん考え方としてはあるんですが、間にOpenRoamingの世界とeduroamをうまく繋ぐプロキシを用意して、ここを中継させることによって、OpenRoamingのIdPにOpenRoamingユーザーの認証要求を飛ばすということを考えます。こうすることによって、プロキシと左側のeduroamのANPの間というのは、実はRADIUS over TLSで通信をするわけじゃなくて、ここは通常のUDPのままで、証明書の扱いは必要ありません。右側の部分でRadSecとDPDに切り替えるという話になります。あと、もちろん右から左側という話もあるんですが、ここはもう省略します。

あとネットワーク構成なんですけれど、さっきのスライドは認証要求をどう飛ばすかという話で、この次の話は、認証が成功しました、その後ユーザーをどのネットワークに収容しますかという話で、基本的にeduroamを含むアカデミアでは学内の機関ネットワークにそのまま収容し、OpenRoamingのユーザーはゲストネットワークに収容するというアプローチになります。

機関側の要件として何をしないといけないかということなんですけど、まずポイントは、先ほど言いましたように、アクセスポイントの部分と、次に認証要求を飛ばす機能、これを機関プロキシと呼んでいますが、機関プロキシをどうするかという話と、認証が成功した後そのユーザーをどのネットワークに収容するか、この3点がポイントになります。Passpoint対応のアクセスポイントの設定を行っていただくということに関しては、これは機関側でやっていただくということなんですけれど、今回我々のANPの実証実験では、後で説明しますが、機関プロキシとアクセスネットワークに関してはアウトソースするということを用意しました。機関プロキシに関しては、アウトソースで基本的にNIIが提供することに加えて、機関側で独自に構築するということも行っていただけると。ただし機関側で独自に構築する際も、RadSecとDPD対応は必ずしも求めないアプローチを取るということになります。

あともう1つ、機関の要件としてアビューズ対応というのがありますが、これもアクセスネットワークの整備の方法に依存する話で、アクセスネットワークをNIIが提供するものを利用するとなると、基本的なところはNIIが対応することになりますが、もし機関の方でアクセスネットワークを構築されるなら、機関の対応窓口を用意していただいて、インシデント対応時のフローを確認するということが必要になってくると。あと実験を終えたら、評価報告を機関の負担にならない程度でお願いしたいという風に考えています。

実証実験でどういうことを評価するかということに関しては、このような形で3点挙げていますが、基本的に……すみません。実はちょっと早めに設定しているので、まだオーバーはしないとは思うんですが、質疑応答の時間を取りたかったんですけど、頑張って取るように進めますが、基本的には一番最初の、ゲストアカウント対応というのを、ある意味完全に自動化するということに関するコスト削減というのを実感できます。つまり機関プロキシとアクセスネットワークをアウトソースした時点で、そこの部分に関して実感できるというか、評価のポイントになります。あとは参加される機関が独自の観点で検証されるというのもあるかと思いますが、まずそのゲスト対応というのを、eduroamに加えてOpenRoamingの仕組みを使うことによって完全に自動化を行うということによって、どれだけ楽になるかということが実感できるんじゃないかという風に思います。

その実証実験なんですけど、じゃあ参加する機関が全部やるのかという話なんですけど、それはそれで大変だということで、今年度に限って、このANPの構築運用支援ということを行うというところです。ここに書いてある通りなんですけれども、今、機関数は10機関程度ということで、運用支援の期間は今年の末までなんですけれども、こういった方針で運用支援業務というのを用意していて、実際の支援内容はこのような形で用意しているというところです。

将来の展望、ここが3年後の未来にちょっとかかってくるんですけど、まず我々、今年度は実証実験、ANPの実験を行って、フェーズ2、これは来年度以降になるんですけれど、ANPの本運用に関して進めると。その次のステップというのは、ちょっとまだなかなか難しいところはありますが、将来的な議論としてIdPの検討を行っていると。OpenRoamingの推進強化ということで、我々NIIはCityroam協会さんと協力関係を結ぶということで協力関係を強化しておりまして、今NIIが学術一般会員として加入申請を行っているというところです。

最後まとめます。こういった観点で、OpenRoamingを導入するということは、現状でもゲストアカウント対応ということを考えると、十分検討に値するということが言えるのではないかというところで、ぜひ実証実験に参加することをご検討いただければと思います。はい。最後に触れたかったんですが、やはり時間がなかったので、もしこの辺りで聞きたければ、ポスターにも掲載していますが、私を捕まえていただければ説明させていただきます。以上です。ありがとうございました。

坂根先生、ありがとうございました。今日は30分枠でお願いしてまして、時間ぴったりでございました。

いや、本当は5分早く終わって質疑応答を受けたかったんですけれども、すみません。

ということで、フロアからご質問がありましたら、手を上げていただいて……あちら、よろしいですか?マイクをお持ちしたいんですが、今行きます。

ご説明ありがとうございました。立命館大学のホッタと申します。ゲストWi-Fi関連でちょっと2つお伺いがありまして、まず私たちもゲストWi-Fiは結構課題だと思っているんですが、今後AppleアカウントだったりGoogle IDがIdPとなるような形になった時に、どこまでトレースすることに、例えば何かトラブルがあった時に言わなければいけないのかなというポリシーなどがあればお伺いしたいと思っています。もう1つ、今回のこのOpenRoamingが進むと、今最後にあったeduroam認証連携IDサービスはなくなっていく方針なのかというのと、ちょっと3つ目になっちゃうんですけど、今これも私たちは導入しようと検討しているんですけれども、どうもアカウントの発行がうまくいかないようなトラブルがありまして、こちらについて、1回問い合わせフォームでお問い合わせしたんですけど、うまくいっていなくて、この辺りちょっとご協力を、後でお話しした方がいいならお話しさせていただければと思うんですが、お願いいたします。

はい。1つ目に関しては、OpenRoamingの方でもIdPの要件としてドキュメント化はされています。そこら辺どこまでというところは、ちょっと今私も詳しいところを言えないんですけれど、OpenRoamingの標準的なドキュメントに従うということになろうかと思っております。色々アシュアランスレベルの話まで、まだ議論の余地はあるんですけれども、そちらの方はOpenRoamingの方で整備が進んでいるということで。2つ目、認証連携IDサービスなんですけど、将来的になくなるという話は今我々全然考えていなくて、基本、eduroamとOpenRoamingは共存するという立場を取って進めていきます。なので、認証連携IDサービスも、ユーザー支援というところでは十分な満足に至っていないかもしれないんですけれども、引き続きメンテナンスして、サービスの向上を維持するということは基本方針として我々考えています。はい。あともう1つ何でしたっけ? あ、はい。それはすみません、また後で個別に対応させてください。

はい。スライドで今いいねが9個もついている質問がありまして、ちょっとこれだけ最後にさせていただいて、残りはパッと進めさせていただくといいかなと思うんですけど、いいですかね。「OpenRoamingを大学等がSPとして提供する場合、利用者が不適切な利用を行った際の一次調査の責任は、ISPへの通信を出す大学等に帰属するものと思います。実際の利用者を特定する等のための調査は、どこに依頼すれば良いのでしょうか?NIIでしょうか?」2つあるので、この最初の方をまずお話しいただくといいかなと思うんですけど。

ええ、マイクの前でいいですかね?先生。マイクの前でいいですかね?ああ、すみません。これでいいですか?はい。ああ、すみません。ありがとうございます。

そこの部分、まずシステムとして確立するというのは必要なところだとは思いますけれど、実際に利用者を特定する等の調査というところに関して言えば、差し当たり実験に関して言えば、NIIが引き受けるということと、あとNII側からOpenRoamingとの間で、取り決めじゃないんですけれども、やり取りで調査していくということになろうかとは思います。

「IdPとして大学等の構成員が学外で利用する場合」というところなんですけれど、ここがまさに難しいところでありまして、「SPごとに異なる個人識別IDを用いるなど、OpenRoamingではこのような配慮がされていますか」という話があるんですけど、OpenRoamingだけに限らず、これはIEEE 802.1Xの技術だったかもしれませんが、基本的にAnonymous IDというものがありまして、それを指定することによって、皆さんご存知かもしれませんが、レルムは隠せないんですけれど、誰かという部分のユーザーIDの部分は匿名化することができるので、それを利用すれば、少なくともSP側あるいはANP側に関しては、一体誰が使っているのかというのはすぐに個人を特定できないような仕組みにはなっているので、そういった意味では、ターゲティッドID、パーソンターゲテッドIDのことを想定されているんだろうとは思うんですけれども、Anonymous IDというものがほぼそれと同様の役割を果たすんじゃないかという風に回答できるんじゃないかと思います。

はい。「Cityroam協会への加入は必要でしょうか」ということなんですけれど、参加する必要はないはずなので、そこら辺も調整させていただきたいとは思っております。もちろん入会を拒むものではないので、やっていただければいいかなと思いますが、加入が必須かというと、そうではないという風にご理解いただければと思います。

ありがとうございました。