AES-GCM, IAL2/AAL2テストIdP利用マニュアル

1 AES-GCM, IAL2/AAL2テストIdPについて
2 旧版との違い
3 AES-GCMテスト方法
4 パスキー認証の利用設定
5 パスキーの登録方法
6 パスキー認証の流れ

AES-GCM, IAL2/AAL2テストIdPについて

このIdPは、テストフェデレーション参加SPに対してShibboleth IdP V4にてデフォルトとなったAES-GCM暗号アルゴリズムで暗号化したSAMLアサーションを送信するテストIdPです。

また、このIdPにはWebAuthnプラグインがインストールされており、パスキー認証が利用できます。

さらに、中規模実証実験向けにIAL2/AAL2を送出しています。

test001等のIDがありテスト目的で自由に利用できます。他の利用者により登録が上書きされている場合がありますので適宜再設定してご利用ください。
パスキーで認証した場合AAL2で認証できたとしております。
IDの番号の奇数番はIAL2が付与されており、偶数番には付与されていません。
IAL2を受信することを希望するSPについては、テストフェデレーション学認申請システムにて受信する属性情報に eduPersonAssurance を追加してください。（AAL2については学認申請システムにおける属性追加等不要ですので、認証要求のAuthnContextClassRefにて要求を行えば結果が取得できます）
その他SPにおけるAAL2の要求方法、IAL2/AAL2の受信方法など技術的詳細は次のページをご参照ください。
⇒https://nii-auth.atlassian.net/wiki/x/lISlAg

旧版との違い

2026年7月28日までは、パスキー認証の代わりにtiqr認証を提供しておりました。その時の情報はリセットされておりますので、ご面倒ですが、tiqrで認証していた方で引き続きAAL2で認証する必要がある場合は、同じIDでパスキーを登録してからご利用ください。

AES-GCMテスト方法

AES-GCMテストIdPを利用するには事前にテストフェデレーションに参加する必要があります。テストフェデレーションの参加方法はテストフェデレーション参加手続きを参照してください。

最初に管理しているSPにアクセスして、ログインを開始してください。（図はサンプルです）
図1: SPの画面サンプル
DSでIdPとして「GakuNin テスト IdP 2 (AES-GCM, IAL2/AAL2)」を選択します。
図2: DSの画面
IdPのログイン画面でユーザ名とパスワードを入力してください。
図3: IdPのログイン画面
AES-GCMテストIdPでは下記アカウントが利用できます。

ユーザ名	パスワード

ユーザ名	パスワード
test001	test001
test002	test002
test003	test003

送信属性同意画面に遷移しますので、属性送信に同意してください。
図4: IdPの送信属性同意画面
SPがAES-GCM暗号アルゴリズムをサポートしていれば、SPのログインに成功します。（図はサンプルです）
図5: ログイン後のSP画面サンプル

パスキー認証の利用設定

ご自身が管理するSPのApache HTTP Server設定に、認証を制限したいLocationに下記の設定を追加してください（設定例では/aal2_protected）。
<Location /aal2_protected> AuthType shibboleth ShibRequestSetting requireSession 1 ShibRequestSetting authnContextClassRef https://www.gakunin.jp/profile/AAL2 Require authnContextClassRef https://www.gakunin.jp/profile/AAL2 </Location>

パスキーの登録方法

AES-GCMテストIdPのトップページ https://test-idp2.gakunin.nii.ac.jp/ にアクセスし、「WebAuthn Registration」ボタンを押下してください。
図6: AES-GCMテストIdPトップページ
パスキーを登録したいユーザ名(ID)を入力して「Next」ボタンを押下してください。
図7: ユーザ名入力画面
当該ユーザの認証画面になりますのでパスワードを入力して「Login」ボタンを押下してください。
図8: ユーザ認証画面
パスキー管理画面になりますので、「Add new security key」ボタンを押下してください。
図9: パスキー管理画面①
（これ以降6.まではWindowsでの画面例です。お使いのデバイスによって表示および操作は異なります。画面上の指示に従ってください。）
パスキー作成のダイアログが表示されますので確認して「作成」ボタンを押下してください。
図10: パスキー作成ダイアログ
Credential nicknameとして今回のパスキーに覚えやすい名前をつけて「OK」ボタンを押下してください。
図11: ニックネーム入力ダイアログ
パスキーが登録されました。他に作業がなければ「Finish」ボタンを押下してください。なお、テストの性質上他人のパスキーが登録されている場合がありますが、他人のパスキーの削除はお控えください。
図12: パスキー管理画面②
「Finish」ボタンを押下後はこのような画面になります。
図13: Finish押下後

パスキー認証の流れ

ご自身が管理するSPのパスキー認証に制限したLocationにアクセスしてログインを開始してださい。（図はサンプルです）
図14: SPサンプル
DSが表示されたらIdPとして「GakuNin テスト IdP 2 (AES-GCM, IAL2/AAL2)」を選択します。
パスキー認証画面に遷移しますので、「Login with passkey or security key」ボタンを押下してください。
図15: パスキー認証画面
（以下はWindowsでの画面例です。お使いのデバイスによって表示および操作は異なります。画面上の指示に従ってください。）
さきほど登録したパスキーを選択し、パスキー認証を行ってください。
図16: パスキー選択ダイアログ
パスキー認証後の遷移画面です。「同意」ボタンを押下してください。
図17: 送信属性同意画面
SPにてログイン後の画面が表示されたら成功です。（図はサンプルです）
図18: ログイン後のSP画面サンプル

以上