慶応義塾も悩んだ「運用の属人化」問題――熟練者で30分かかる作業を「初心者でも5分」に、どう実現した？：認証システムの運用が一部の熟練者に集中

専門的な技術を持つ担当者しか認証システムを運用できず、属人化が課題となっていた慶応義塾。認証システムを見直すことで、こうした状況から脱却し、作業を効率化したという。どのように実現したのか。

[＠IT]

　小学校から大学・大学院まで擁する慶応義塾は、オープンソースの認証ソフトウェア「Shibboleth」を使ったオンプレミスの認証サーバを中心に、校内の認証システムを構築・運用してきた。「学認」を通じて校外のサービスを利用する際には、別の認証システムを利用しており、これもShibbolethベースだった。学認は、全国の大学や学術機関が国立情報学研究所（NII）と連携して構築する学術認証フェデレーションだ。

　慶応義塾は、各認証システムやユーザーIDの連携に関わる仕組みを、いずれも内製で構築・運用していた。課題となっていたのが、認証システムの運用の属人化だ。独自仕様だったことから、運用には専門的な技術が必要で、担当できる人材が限られていたという。学認を通じて利用するサービスを新たに追加する作業には、熟練者でも30分以上かかっていた。認証システムを構成するオンプレミスサーバのメンテナンスやアップデートにも工数が掛かり、その際にはサービスを停止する必要があった。

認証システムの運用、“熟練者頼み”からどう脱却した？

　証明書の有効期限が2025年に切れることもあり、慶応義塾は2022年ごろから認証システムの刷新を進めた。刷新の結果、オンプレミスサーバのバージョンアップが不要になり、学認を通じて利用する校外サービスの追加作業も、初心者が5分程度で済ませられるようになったという。何をどう変えたのか。

　慶応義塾は、システムインテグレーターのテクバンの支援を受けて、クラウドサービス形式の認証システムであるIDaaS（Identity as a Service）を段階的に導入した。具体的にはOktaの同名IDaaSと、エクスジェン・ネットワークスの国産IDaaS「Extic」を導入し、両者を連携させた。運用のしやすさや安定性を考慮して、独自開発ではなく、他組織での活用実績のあるIDaaSの利用に切り替えたという。

　Oktaは、連携可能なアプリケーションの豊富さが特徴だ。Exticは、Shibbolethのオンプレミスサーバなどの設備を別途用意する必要なく、学認のIdP（Identity Provider）として利用できることに強みがある。慶応義塾は、ユーザーIDをOktaに集約するとともに、Exticを学認のIdPとして利用する構成を採用した。

　新認証システムの導入では、ユーザーIDをOktaに集約するために、既存のデータベースからCSVファイルを生成する仕組みが必要になった。そこでセゾン情報システムズのデータ連携ツール「DataSpider Servista」を導入し、ユーザーIDの連携に使うCSVファイルの生成を自動化した。

属人化を解消し、運用とセキュリティを改善

　IDaaSの採用によって、オンプレミスサーバのバージョンアップが不要になり、管理工数を削減できた。以前は熟練者でも30分以上かかっていた学認対象サービスの追加作業は、初心者でも5分程度で済むようになった。これまで一部の担当者しか担えなかった認証システムの運用作業は、複数人で分担できるようになったという。

　「パスキー」などのパスワードレス認証が導入できるようになり、利便性とセキュリティを両立させやすくなった。IDaaSのMFA（多要素認証）や認証ログの可視化機能も利用できるようになり、セキュリティの強化につなげている。

　慶応義塾は今後、卒業生を含めた統合認証システムを実現したい考えだ。その実現に向けて、オンプレミスのディレクトリサーバ「Active Directory」の廃止や、校内アプリケーションのSSO（シングルサインオン）化などを進める。テクバンが2026年10月2日、本事例を公開した。