LASSIC Media らしくメディア
Shibbolethとは？学認の仕組みと構築の進め方を解説
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- Shibbolethは、SAMLで組織をまたいだログインを実現するオープンソースのソフトウェアで、学認の土台です。
- 学認では大学がIdP、サービス提供者がSPを運用し、IdPは必要な属性だけをSPへ送ります。
- IdPは学内構築・アプライアンス・クラウド型から選び、テスト環境で確かめてから本番に参加します。
※ 本記事は2026年11月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
学認に参加したいが、IdPを学内で構築できる担当者がいない。電子ジャーナルを学外からも学内のIDで使えるようにしたい——。大学や研究機関の情報システムの部署では、こうした相談が持ち上がりがちです。Shibboleth（シボレス）は、SAML（組織をまたいでログインの結果を受け渡す標準の方式）を使い、一度のログインで複数のWebサービスを使えるようにするオープンソースのソフトウェアです。
日本の大学・研究機関が参加する学術認証フェデレーション「学認（GakuNin）」の土台にも使われています。ただし万能ではなく、もとになる学内のID管理が教職員と学生で分かれていると、つなぎ方に工夫が要ります。本記事では、大学・研究機関の情報システム担当者と学認向けのサービスを提供する企業の担当者に向けて、Shibbolethの構成、学認でのログインの仕組み、IdPの用意の仕方と参加までの進め方、そして外部に頼むときに確認したい点を整理します。
目次
Shibbolethとは
Shibbolethは、2000年に米国Internet2のミドルウェアの取り組みとして始まったプロジェクトです。*1 その後、世界の大学やフェデレーション（認証を連携する組織の集まり）、企業に広く使われてきました。ソフトウェアはすべてオープンソースで、会員制のShibboleth Consortiumが開発と保守を支えています。製品は役割ごとに4つに分かれています。
- Identity Provider（IdP）：利用者を認証し、ログインの結果をサービスへ渡す側
- Service Provider（SP）：Webサーバーと組み合わせて、ログインした人にだけWebアプリを開く側
- Embedded Discovery Service：SPと一緒に置き、利用者が自分の所属するIdPを一覧から選べるようにするもの
- Metadata Aggregator：複数のIdPを運用する組織向けに、メタデータ（接続相手の情報）を集めて処理する道具*2
NIIの資料では、ShibbolethはSAMLによる認証連携の方法として「学術界ではデファクトスタンダード」と紹介されています。*5 SAMLそのものの仕組みはSAMLとは｜シングルサインオンの仕組みで扱っているので、ここからは学認での使われ方に絞って説明します。
学認でのログインの仕組み
学認は、全国の大学等と国立情報学研究所（NII）が連携して構築・運用する学術認証フェデレーションで、平成22年度から本格運用されています。*4 技術的にはShibbolethを使って実現されており、NIIの2024年の資料では、2024年5月末時点でIdPを置いて参加する機関が323、SPが217あります。*6
- 大学・研究機関：学内の認証基盤（LDAPやActive Directory）とIdPを運用する
- サービス提供者：電子ジャーナルやe-Learningなどのサービスを、SPとして運用する
- 学認（NII）：IdPの一覧を表示するDS（ディスカバリーサービス）を運用し、参加組織の情報をまとめたフェデレーションメタデータを配る
IdPはそれ自体では利用者の情報を持たず、LDAPなどの認証基盤を参照して、必要な情報だけを外部へ送るフィルターのような役割をします。送る情報は「属性」と呼ばれ、学認では21種類が決められています。*5 全部を設定する必要はなく、使いたいサービスが求める属性を過不足なく送れることが大切です。
IdPを用意する3つの方法
大学・研究機関が学認に参加するとき、最初に決めるのはIdPをどう用意するかです。NIIの資料は、次の3つの方法を挙げています。*5 どれを選んでも、学内の認証基盤とどうつなぐかは別に決める必要があります。
| 方法 | 中身 | 決めておくこと |
|---|---|---|
| 学内に構築して運用 | 教職員が構築するか、事業者に委託して学内やクラウド上に構築・運用する | 委託するなら、サポートしてもらう範囲 |
| アプライアンス製品の導入 | IdPを組み込んだ専用の製品を導入する | 製品の選定と、保守・管理の範囲 |
| クラウド型IdPサービス（IDaaS）の利用 | 事業者がクラウドで提供するIdPを使う | IdPのホスティングだけか、ID管理まで含めるか |
調達の仕様書づくりには、NIIが2024年4月に公開した「学認対応IdPサービス調達仕様案」が使えます。IDaaSを盛り込む機能の多さで3段階に分けた案と、オンプレミス（自前のサーバー）の案の計4つがあります。*7 学内の業務システムの認証も同じ基盤でまとめたい場合は、オープンソースで認証基盤を組む例としてKeycloakでSSO認証基盤を外注構築も比べる材料になります。
学認に参加するまでの進め方
学認への参加は、いきなり本番につなぐのではなく、接続試験用のテストフェデレーションと、実データで使う運用フェデレーションを順に通ります。次の4つの段階で進めると、手戻りを減らせます。
- ステップ1：学内の認証基盤と、IdPから送る属性を決める
- ステップ2：IdP（またはSP）を構築し、学認の技術ガイドに沿って設定する
- ステップ3：テストフェデレーションに申請し、接続を確かめる（事務局の審査は通常数日）*8
- ステップ4：運用フェデレーションに申請する（機関の長の記名・公印が必要で、最終審査に数週間から1か月余り）*9
つまずきやすいのはステップ1です。教職員はLDAP、学生はActive Directoryというように認証基盤が分かれていると、Shibbolethとつなぐのに工夫が要ります。学内の教務システムのように学認に登録しないシステムも、SPにしてIdPと1対1でつなげます。SPにできないシステムをどう扱うかも、この段階で洗い出しておきます。
外部に頼むときに確認しておきたい点
IdPの構築を事業者に委託しても、学認に参加するのは大学・研究機関で、申請も機関の長の名前で行います。そのうえで、構築と運用のどこまでを任せるかを、見積もりの前に確かめておきます。
- どこまで頼むか：IdPの構築だけか、認証基盤との連携、学内システムのSP化、申請書類の準備まで含めるか
- 冗長化：IdPを冗長化するか。するなら、学認が公開している冗長化の手順書に沿って組むことを仕様に書けます
- 証明書とメタデータの更新：サーバー証明書の期限切れに合わせて、メタデータの証明書も決まった手順で更新できるか
- 版の更新：脆弱性への対応で、Shibbolethと関連ソフトの版を誰が上げるか。現行のIdP V5はJava 17を土台にしています*10
- 運用中の手続き：利用者IDの失効、担当者交代時の変更申請、年1回の運用状況調査への回答を誰が受け持つか
特に証明書の更新は、構築から時間がたってから必要になる作業です。担当者が異動しても追えるよう、手順書を残してもらうと進めやすくなります。
まとめ：Shibbolethで確かめたい3つの点
Shibbolethで学認に参加するうえで、確かめておきたい点は3つに整理できます。第一に、学内の認証基盤とIdPから送る属性を、使いたいサービスに合わせて決めること。第二に、IdPを学内で構築するか、アプライアンスやクラウド型のサービスを使うかを、運用の手間まで含めて選ぶこと。第三に、証明書とメタデータの更新、版の更新、担当者交代の手続きを誰が受け持つかを、構築の前に決めておくことです。この3点を踏まえておけば、「IdPは動いたが、数年後の証明書の更新で学認のサービスに入れなくなった」という事態を避けやすくなります。構築や参加の準備に迷いがあれば、外部の手を借りるのも一つの選択肢です。
よくある質問
企業もSPとして学認に参加できますか
学認は、学術e-リソースを利用する大学と、学術e-リソースを提供する機関・出版社等から構成された連合体です。*4 参加機関の条件は学認実施要領で定められているので、まず条件を満たすかを確かめ、テストフェデレーションで接続を確かめてから運用フェデレーションへ申請します。
学認に参加すれば有料の電子ジャーナルもすぐ使えますか
すぐには使えません。有料のサービスは個別の契約が必要で、学認に参加しただけでは使えないとNIIの資料に書かれています。*5 契約したサービスごとに、IdPから送る属性の設定も行います。
Shibbolethの利用料はかかりますか
ソフトウェアはオープンソースで、無料で使えます。*3 ただし、サーバーの費用や、構築・更新の手間はかかります。開発チームに直接技術的な相談をしたい場合は、Shibboleth Consortiumの会員になると技術サポートを受けられます。
Shibboleth・学認対応のご相談
ShibbolethによるIdP・SPの構築から、学認への参加準備、証明書や版の更新の運用まで、元請（プライムベンダー）としてご提案します。
2006年の創業以来、一次請けのシステムインテグレーターとして、企業のシステム開発と保守・運用を受託してきました。
出典
- *1 参考：Shibboleth Consortium「The Shibboleth Project」（https://www.shibboleth.net/about-us/the-shibboleth-project/）。出典：2000年にInternet2のミドルウェアの取り組みとして始まったこと、オープンソースで無料であることの記述を参照（2026年11月確認）
- *2 参考：Shibboleth Consortium「Products」（https://www.shibboleth.net/products/）。出典：Identity Provider・Service Provider・Embedded Discovery Service・Metadata Aggregatorの製品説明を参照（2026年11月確認）
- *3 参考：Shibboleth Consortium 公式サイト（トップページ）（https://www.shibboleth.net/）。出典：ソフトウェアを無料で提供し続けるためのConsortiumの役割と、会員向けの技術サポートの記述を参照（2026年11月確認）
- *4 参考：学術認証フェデレーション「学認（GakuNin）」「概要」（https://www.gakunin.jp/fed）。出典：学術認証フェデレーションの定義、平成22年度からの本格運用、Shibbolethで実現していること、テストと運用の2つのフェデレーションの記述を参照（2026年11月確認）
- *5 参考：国立情報学研究所「はじめての学認 ～学認参加への第一歩～ 2019バージョン」（NII学術情報基盤オープンフォーラム2019）（https://www.nii.ac.jp/openforum/upload/f6808cb75f34d4418220d72186971bd900ef25b3.pdf）。出典：IdP・SP・DSの役割、メタデータ、21種の属性、IdPの3つの用意の仕方、冗長化の手順書、学内連携、参加後の運用（証明書の更新・版の更新・運用状況調査）、有料サービスは個別契約が必要なことの記述を参照（2026年11月確認）
- *6 参考：国立情報学研究所「はじめての方に向けた学認の紹介」（NII学術情報基盤オープンフォーラム2024）（https://www.nii.ac.jp/openforum/upload/%E3%81%AF%E3%81%97%E3%82%99%E3%82%81%E3%81%A6_%E5%AD%A6%E8%AA%8D_20240610.pdf）。出典：IdP/SPの推移（2024年5月末現在のIdP機関数とSP数）を参照（2026年11月確認）
- *7 参考：学認「学認対応IdPサービス調達仕様案」（https://www.gakunin.jp/document/731）。出典：IDaaS編3案（梅・竹・松）とオンプレミス編1案、2024年4月5日の公開日を参照（2026年11月確認）
- *8 参考：学認「テストフェデレーション参加手続き」（https://www.gakunin.jp/join/test）。出典：通常数日で事務局の審査が完了することの記述を参照（2026年11月確認）
- *9 参考：学認「運用フェデレーション参加手続き」（https://www.gakunin.jp/join/production）。出典：学認実施要領の参加機関の条件、機関の長の記名・公印、数週間から1か月余りの審査期間の記述を参照（2026年11月確認）
- *10 参考：Shibboleth Wiki「SystemRequirements」（IdP V5）（https://shibboleth.atlassian.net/wiki/spaces/IDP5/pages/3199511079/SystemRequirements）。出典：IdP V5がJava 17の環境を土台にしていること、推奨の実行環境がJettyであることの記述を参照（2026年11月確認）
