慶應義塾の従来の認証基盤は、オンプレミスの認証サーバ「Shibboleth」を中心とした構成を採っていた。学術認証フェデレーションの「学認」についても別系統のShibbolethを利用したシステム構成で処理する一方、ユーザーIDは上流のデータベースから独自スクリプトを用いてLDAPサーバへと連携させている。認証やID連携に関する一連の仕組みを内製で構築・運用していたため、データの更新やシステムの維持には専門知識が不可欠だった。対処できる人材が限られることで運用が属人化して、メンテナンス時のサービス停止やアップデートに伴う管理負荷の増大が現場の重圧になっていた。

　旧システムの証明書有効期限が2025年に切れることを契機として、同校は2022年ごろから新たな認証基盤の本格的な検討を開始。特定の担当者に依存しない体制を確立し、将来にわたって安定稼働する仕組みに移行するため、ID管理・統合認証サービスとしてIDaaSの導入を視野に入れた。

　移行プロジェクトの遂行には、独自仕様が多くてドキュメントが十分ではない既存システムを正確に把握する能力が求められる。慶應義塾は、IDaaSに関する実績と知見を持ち、複雑な既存環境を理解した上で伴走する技術的パートナーとして、テクバンを導入支援ベンダーに選定した。

複数IDaaSの連携とデータ生成の自動化によるスムーズな移行

　新システムへの移行に当たって、慶應義塾は「利用者への影響を抑えた既存システムからのスムーズな移行」「学認を含む学内アプリケーション認証のIDaaS化」を重要な要件として掲げた。これに対してテクバンは、単一の製品に依存するのではなく、クラウド上でID管理や認証を統合する「Okta」と、ハイブリッドインフラの統合ID管理基盤である国産IDaaS「Extic」を段階的に導入し、両製品を連携させるアプローチを採用した。Oktaによってさまざまなシステムへのシングルサインオン（SSO）や多要素認証（MFA）を提供しつつ、Exticを用いて複数システムにまたがる複雑なID・認証管理業務を効率化する構成だ。

　移行プロセスでは、ID情報をOktaへ集約するためのデータ連携が技術的な障壁になる。データベースから情報を抽出し、連携用のCSVファイルを生成する仕組みを新たに構築する必要があった。この課題を解決するため、データ連携ツール「DataSpider」を導入し、CSV生成プロセスを仕組み化して自動連携を実現した。

　既存のユーザーIDアクティベーションの仕組みを利用者に意識させることなく踏襲するために、Oktaが提供するAPIの仕様に合わせて既存システムの改修を実施している。独自仕様を読み解き、検証を重ねることで、エンドユーザーの混乱を招かないスムーズなID連携基盤を確立した。

作業時間の大幅な短縮とパスワードレス運用への展望

　新たな認証基盤が稼働したことで、定量的な運用効果が明確に表れている。まず、オンプレミスサーバにおけるハードウェアの維持やバージョンアップ作業が不要となり、情報システム部門の管理工数を大幅に削減できた。新たな学認サービスを追加する際の作業時間も、導入前は熟練した担当者でも30分以上かかっていたものが、導入後は初心者でも5分程度で完了するようになった。一部の担当者に依存していた運用業務が、複数人で対処可能な体制に転換した。

　セキュリティと利便性の面でも成果が表れている。Oktaの標準機能を活用した多要素認証の導入に加えて、パスキーなどを利用したパスワードレス運用の実現によって、ユーザーの利便性を損なうことなく安全性を高めた。管理機能を通じて認証ログを可視化できるようになったことで、ヘルプデスク担当者がユーザーの利用状況やトラブルの原因を迅速に把握でき、サポートの精度向上につながっている。

　慶應義塾は今後、この認証基盤を大学内に留めず、小学校や中学校、高校といった一貫教育校や、卒業生にまで対象を広げた統合認証基盤として展開することを計画中だ。学内PC環境の認証切り替えやオンプレミスの「Active Directory」の廃止、各種学内アプリケーションのシングルサインオン化を推進し、組織全体を支える持続可能なインフラの完成を目指して取り組みを進める。