Active Directory フェデレーションサービスの構成

このトピックの内容

必要な情報
AD FS をエンタープライズ ID プロバイダーとして Portal for ArcGIS で登録する
Portal for ArcGIS を信頼できるサービスプロバイダーとして AD FS に登録する
IDP が開始するログイン

Microsoft Windows Server オペレーティングシステムで、Active Directory フェデレーションサービス (AD FS) 2.0以降のバージョンを Portal for ArcGIS でのエンタープライズログイン用 ID プロバイダーとして構成することができます。構成プロセスでは、主に次の 2 つの手順を実行します。まず、エンタープライズ ID プロバイダーを Portal for ArcGIS に登録し、次に、Portal for ArcGIS をエンタープライズ ID プロバイダーに登録します。

または、Windows Active Directory でエンタープライズグループに関するポータルにメタデータを提供することもできます。これにより、ポータルに、アイデンティティストア内の既存のエンタープライズグループを利用するグループを作成することができます。メンバーがポータルにログインすると、コンテンツ、アイテムおよびデータへのアクセスは、エンタープライズグループで定義されているメンバーシップルールで管理されます。必要なエンタープライズグループメタデータを指定しなくても、グループは作成できます。しかし、メンバーシップルールは Windows Active Directory ではなく、Portal for ArcGIS で管理されます。

必要な情報

Portal for ArcGIS は、ユーザーがエンタープライズログインを使用してログインするときに、特定の属性情報を ID プロバイダーから受信する必要があります。NameID は、Portal for ArcGIS とのフェデレーションが機能するように、ID プロバイダーが SAML レスポンスで送信する必要のある必須の属性です。IDP からユーザーがログインすると、Portal for ArcGIS によってユーザー名が NameID の新しいユーザーがユーザーストアに作成されます。NameID 属性によって送信される値に使用できる文字は、英数字、_ (アンダースコア)、 . (ドット) および @ (アットマーク) です。その他の文字はエスケープされ、Portal for ArcGIS によってアンダースコアが付加されたユーザー名が作成されます。

Portal for ArcGIS は、エンタープライズログインアカウントの givenName 属性と email address 属性を、エンタープライズ ID プロバイダーから取得して入力することをサポートしています。ユーザーがエンタープライズログインアカウントを使用してサインインし、Portal for ArcGIS が givenname と email または mail という名前の属性を取得した場合、Portal for ArcGIS はユーザーアカウントのフルネームと電子メールアドレスに ID プロバイダーから取得した値を入力します。ユーザーが通知を受信できるようにするために、エンタープライズ ID プロバイダーから取得した email address を渡すことをお勧めします。

AD FS をエンタープライズ ID プロバイダーとして Portal for ArcGIS で登録する

組織サイトの管理者としてポータル Web サイトにサインインし、[組織] > [サイト設定] > [セキュリティ] の順にクリックします。
[エンタープライズログイン] セクションで、[ID プロバイダーの設定] ボタンをクリックし、表示されたウィンドウに組織名 (たとえば、「City of Redlands」) を入力します。ユーザーがポータル Web サイトにアクセスすると、このテキストが SAML サインインオプションの一部に表示されます (たとえば、「City of Redlands アカウントを使用」)。
ユーザーが [自動] または [アカウントをポータルに追加した後] のどちらで組織に加入できるかを選択します。1 番目のオプションを選択すると、ユーザーは、管理者から招待されなくても、自分のエンタープライズログインを使用して組織サイトにサインインできます。ユーザーのアカウントは、最初にサインインしたときに自動的に組織サイトに登録されます。2 番目のオプションを選択すると、管理者は、コマンドラインユーティリティまたはサンプル Python スクリプトを使用して必要なアカウントを組織サイトに登録する必要があります。ユーザーは、アカウントが登録された時点で、組織サイトにサインインできるようになります。
ヒント:
少なくとも 1 つのエンタープライズアカウントをポータルの管理者として指定し、最初の管理者アカウントを降格するか削除することをお勧めします。また、[アカウントの作成] ボタンと、ポータル Web サイトのサインアップページ (signup.html) を無効化することで、ユーザーが自分のアカウントを作成できないようにしておくこともお勧めします。詳細な手順については、「ポータルでの SAML 準拠のアイデンティティプロバイダーの構成」をご参照ください。
以下の 3 つのオプションのいずれかを使用して、ID プロバイダーのメタデータ情報を入力します。
- URL - AD FS フェデレーションメタデータの URL にアクセスできる場合は、このオプションを選択して URL (たとえば、https://<adfs-server>/federationmetadata/2007-06/federationmetadata.xml) を入力します。
  注意:
  エンタープライズ ID プロバイダーに自己署名証明書が含まれている場合、メタデータの HTTPS URL を指定しようとしたときに、エラーが発生することがあります。このエラーは、Portal for ArcGIS が ID プロバイダーの自己署名証明書を確認できないために発生します。代わりに、URL内で HTTP を使用するか、下記の他のオプションのいずれかを使用するか、信頼できる証明書を使用して ID プロバイダーを構成してください。
- [ファイル] - URL にアクセスできない場合は、このオプションを選択します。AD FS からフェデレーションメタデータファイルのコピーをダウンロードまたは取得し、[ファイル] オプションを使用して、そのファイルを Portal for ArcGIS にアップロードします。
- [パラメーター] - URL にもフェデレーションメタデータファイルにもアクセスできない場合は、このオプションを選択します。値を手動で入力して、要求されたパラメーター (ログイン URL および証明書) を指定します。これらの情報については、AD FS 管理者にお問い合わせください。
必要に応じて、Windows Active Directory でエンタープライズグループに関するメタデータをポータルに提供します。
1. 組織の管理者として ArcGIS Portal Directory にサインインします。URL の形式は https://webadaptor.domain.com/arcgis/portaladmin です。
2. [Security] > [Config] > [Update Identity Store] の順にクリックします。
3. [Group store configuration (in JSON format)] テキストボックスに IWA グループ構成の JSON を入力します。
  次のテキストボックスをコピーして、サイト固有の情報を含むよう変更します。
```
{
  "type": "WINDOWS",
  "properties": {
    "isPasswordEncrypted": "false",
    "userPassword": "secret",
    "user": "mydomain\\winaccount"
  }
}
```
  ほとんどの場合、ユーザーとユーザーパスワードのパラメーターの値を変更するだけです。パスワードをプレーンテキストで入力しても、ポータルの構成ディレクトリに保存または表示される際には暗号化されます。ユーザーパラメーターに使用するアカウントには、ネットワーク上で Windows グループの名前を検索するための権限のみが必要です。可能な限り、パスワードに有効期限のないアカウントを使用します。
4. ユーザーストア構成に JSON を入力したら、[Update Configuration] をクリックして変更を保存し、ポータルを再起動します。

Portal for ArcGIS を信頼できるサービスプロバイダーとして AD FS に登録する

AD FS 管理コンソールを開きます。
[Relying Party Trusts] > [Add Relying Party Trust] の順に選択します。
[Add Relying Party Trust Wizard] で、[Start] ボタンをクリックします。
[Select Data Source] で、証明書利用者に関するデータを取得するためのオプション (URL からインポート、ファイルからインポート、手動入力) を選択します。URL およびファイルからインポートする場合は、組織のメタデータを取得する必要があります。メタデータ URL またはファイルにアクセスできない場合、手動で情報を入力できます。場合によっては、手動で入力する方法が最も簡単です。
- オンラインまたはローカルネットワークで公開されている証明書利用者に関するデータのインポート
  このオプションは、Portal for ArcGIS の組織サイトの URL メタデータを使用します。この URL は、https://webadaptor.domain.com/arcgis/sharing/rest/portals/self/sp/metadata?token=<token> (例: https://samltest.domain.com/arcgis/sharing/rest/portals/self/sp/metadata?token=G6943LMReKj_kqdAVrAiPbpRloAfE1fqp0eVAJ-IChQcV-kv3gW-gBAzWztBEdFY) です。https://webadaptor.domain.com/arcgis/sharing/rest/generateToken を使用して、トークンを生成できます。[Generate Token] ページに URL を入力する際には、[Webapp URL] フィールドで AD FS サーバーの完全修飾ドメイン名を指定します。[IP Address] や [IP Address of this request's origin] などのその他のオプションの選択はサポートされておらず、それらを選択すると無効なトークンが生成される場合があります。
  注意:
  上のサンプル URL の arcgis の部分は、Web アダプターアプリのデフォルト名です。Web アダプターの名前が arcgis 以外の場合は、URL のこの部分を使用している Web アダプターの名前に置き換えてください。
- 証明書利用者についてのデータをファイルからインポートする
  このオプションは、Portal for ArcGIS の組織サイトにある metadata.xml ファイルを使用します。メタデータの XML ファイルを取得するには、次の 2 つの方法があります。
  - 組織サイトの [サイト設定] ページの [セキュリティ] セクションで、[サービスプロバイダーの取得] ボタンをクリックします。組織のメタデータが表示されるので、XML ファイルとしてコンピューターに保存できます。
  - Portal for ArcGIS の組織サイトにあるメタデータの URL を開き、XML ファイルとしてコンピューターに保存します。この URL は、https://webadaptor.domain.com/arcgis/sharing/rest/portals/self/sp/metadata?token=<token> (例: https://samltest.domain.com/arcgis/sharing/rest/portals/self/sp/metadata?token=G6943LMReKj_kqdAVrAiPbpRloAfE1fqp0eVAJ-IChQcV-kv3gW-gBAzWztBEdFY) です。https://webadaptor.domain.com/arcgis/sharing/rest/generateToken を使用して、トークンを生成できます。[Generate Token] ページに URL を入力する際には、[Webapp URL] フィールドで AD FS サーバーの完全修飾ドメイン名を指定します。[IP Address] や [IP Address of this request's origin] などのその他のオプションの選択はサポートされておらず、それらを選択すると無効なトークンが生成される場合があります。
    注意:
    上のサンプル URL の arcgis の部分は、Web アダプターアプリのデフォルト名です。Web アダプターの名前が arcgis 以外の場合は、URL のこの部分を使用している Web アダプターの名前に置き換えてください。
- 証明書利用者についてのデータを手動で入力する
  このオプションを使用すると、[Add Relying Party Trust Wizard] によって、データを手動で入力するためのウィンドウが表示されます。これについては、以下のステップ 6 〜 8 で説明します。
[Specify Display Name] に、表示名を入力します。
表示名は、AD FS 内で証明書利用者を識別するために使用されます。ADFS の外部では、識別されません。これには、ArcGIS または ArcGIS 内の組織名 (ArcGIS—SamlTest など) のいずれかを設定する必要があります。
ヒント:
上の画像は、URL またはファイルからデータソースをインポートする手順における [Specify Display Name] ウィンドウを示しています。データソース情報を手動で入力する場合、ウィザードの左側に追加手順が表示されます。これは、以下のステップ 6 〜 8 で説明します。URL またはファイルを選択した場合、ステップ 9 までスキップできます。
(手動によるデータソースのみ) [Choose Profile] で、[AD FS 2.0 profile] (または、使用している環境に適用できる場合、これ以降のバーションの AD FS) を選択します。
(手動によるデータソースのみ) [Configure URL] で、[Enable support for the SAML 2.0 WebSSO protocol] の横にあるチェックボックスをオンにして、証明書利用者の SAML 2.0 SSO サービスの URL を入力します。
証明書利用者の URL は、ユーザーを認証した後に AD FS が SAML レスポンスを送信する URL である必要があります。これは、HTTPS URL: https://webadaptor.domain.com/arcgis/sharing/rest/oauth2/saml/signin です。
注意:
上のサンプル URL の arcgis の部分は、Web アダプターアプリのデフォルト名です。Web アダプターの名前が arcgis 以外の場合は、URL のこの部分を使用している Web アダプターの名前に置き換えてください。
(手動によるデータソースのみ) [Configure Identifiers] で、証明書利用者の信頼の識別子の URL を入力します。
これは、portal.domain.com.arcgis です。
[Choose Issuance Authorization Rules] で、[Permit all users to access this relying party] を選択します。
ヒント:
上の画像は、URL またはファイルからデータソースをインポートする手順における [Choose Issuance Authorization Rules] ウィンドウを示しています。データソース情報を手動で入力する場合、ウィザードの左側に追加手順が表示されます。
[Ready to Add Trust] で、証明書利用者のすべての設定を確認します。メタデータの URL は、URL からデータソースをインポートする場合のみ指定されます。下の画像は、データソース情報を手動で入力する場合の [Ready to Add Trust] ウィンドウを示しています。
[次へ] をクリックします。
ヒント:
[Monitor relying party] オプションを有効にすると、AD FS は、定期的にフェデレーションメタデータ URL をチェックし、それを証明書利用者の信頼の現在の状態と比較します。ただし、フェデレーションメタデータ URL 内のトークンの有効期限が切れると、この監視は失敗します。この失敗は、AD FS のイベントログに記録されます。失敗に関するメッセージを抑制するには、監視を無効にするか、トークンを更新することをお勧めします。
[Finish] のチェックボックスをオンにした場合、[Close] ボタンをクリックすると、[Edit Claim Rules] ダイアログボックスが自動的に開きます。
ヒント:
上の画像は、URL またはファイルからデータソースをインポートする手順における [Finish] ウィンドウを示しています。データソース情報を手動で入力する場合、ウィザードの左側に追加手順が表示されます。
要求規則を設定するには、[Edit Claim Rules] ウィザードを開いて、[Add Rule] をクリックします。
[Select Rule Template] から、作成する要求規則の [Send LDAP Attributes as Claims] テンプレートを選択して、[Next] をクリックします。
[Configure Claim Rule] で、規則の名前 (たとえば、「DefaultClaims」) を指定します。
1. [Attribute store] で、[Active Directory] を選択します。
2. [Mapping of LDAP attributes to outgoing claim types] で、[LDAP Attribute] にユーザー名を含む LDAP 属性 ([SAM-Account-Name] など)、[Outgoing Claim Type] に [NameID] を選択します。
  注意:
  [NameID] は、ArcGIS とのフェデレーションが機能するように、AD FS が SAML レスポンスで送信する必要のある属性です。IDP からユーザーがログインすると、Portal for ArcGIS によってユーザー名が NameID の新しいユーザーがユーザーストアに作成されます。 NameID 属性によって送信される値に使用できる文字は、英数字、_ (アンダースコア)、 . (ドット) および @ (アットマーク) です。その他の文字はエスケープされ、Portal for ArcGIS によってアンダースコアが付加されたユーザー名が作成されます。
Portal for ArcGIS は、エンタープライズログインアカウントの givenName 属性と email address 属性を、エンタープライズ ID プロバイダーから取得して入力することをサポートしています。ユーザーがエンタープライズログインアカウントを使用してサインインし、Portal for ArcGIS が givenname と email または mail という名前の属性を取得した場合、Portal for ArcGIS はユーザーアカウントのフルネームと電子メールアドレスに ID プロバイダーから取得した値を入力します。
要求規則を編集するには、次の手順を実行します。
- [LDAP Attribute] 列の下で、[DisplayName](または 2 行目のリストの別の属性) を選択し、それを [Outgoing Claim Type] 列の下の [Given Name] にマッピングします。
- [LDAP Attribute] 列の下から、[E·Mail-Addresses] を選択し、それを [Outgoing Claim Type] 列の下の [E·Mail Address] にマッピングします。
この規則の場合、AD FS は、ユーザーを認証した後、givenname および email という名前の属性を Portal for ArcGIS に送信します。次に Portal for ArcGIS は、givenname 属性および email 属性で受信した値を使用して、ユーザーアカウントのフルネームおよび電子メールアドレスを入力します。
エンタープライズ ID プロバイダーから Portal for ArcGIS に電子メールアドレスを渡すことをお勧めします。これは、ユーザーが後で管理者になる場合に便利です。アカウントに電子メールアドレスが登録されていると、管理アクティビティに関する通知を受信したり、他のユーザーが組織に加入できるように招待を送信したりできます。
[Finish] をクリックすると、証明書利用者として Portal for ArcGIS を含めるように AD FS の ID プロバイダーを構成する手順が完了します。

IDP が開始するログイン

AD FS を組織サイトの ID プロバイダーとして構成したら、ID プロバイダー (IDP) が開始するエンタープライズログインを利用できます。AD FS および Portal for ArcGIS で IDP ログインを開始できるように、IDP ログインを有効にしておく必要があります。 IDP ログインを AD FS でまだ有効化していない場合は、以下の手順に従って有効化してください。Portal for ArcGIS は、デフォルトで IDP ログインをサポートしているため、Portal for ArcGIS で別途必要となる構成手順はなく、AD FS を構成するだけで済みます。

AD FS 2.0 で Windows Server 2008 を使用している場合、AD FS 2.0 用の Update Rollup 2 パッチを Windows Server 2008 コンピューター上にインストールし、AD FS インスタンスを再起動していることを確認してください。Windows Server 2012 コンピューターには、デフォルトで Update Rollup 2 が含まれています。
AD FS が RelayState ファイル内の web.config パラメーターを送信すできるようにします。このパラメーターは、ユーザーがサインイン後にアクセスする特定のリソースを識別するために使用されます。
1. web.config ファイルを開きます。デフォルトでは、このファイルは C:\inetpub\adfs\ls\ にあります。
2. 以下のエントリを microsoft.identityServer.web ファイルの web.config セクションに追加します。
  <microsoft.identityServer.web> ... <useRelayStateForIdpInitiatedSignOn enabled="true" /> </microsoft.identityServer.web>
RelayState パラメーターを生成します。AD FS が RelayState を生成するには、以下の 2 つの情報が必要です。
1. 証明書利用者 ID (RPID)。これは、AD FS で構成されている Portal for ArcGIS 組織サイトの証明書利用者 ID を示します。これを取得するには、Portal for ArcGIS の証明書利用者のプロパティを AD FS 管理コンソール (たとえば、webadaptor.domain.com) から開きます。
2. RelayState。これは、ユーザーが AD FS サイトに正常にログインした後でリダイレクトされるポータルの URL です (たとえば、https://webadaptor.domain.com/arcgis/)。
RPID と RelayState の値を定義して RelayState パラメーターを生成します。
RPID と RelayState の値をエンコードします。以下に例を示します。
- RPID: webadaptor.domain.com.arcgis
- RelayState: https%3A%2F%2Fwebadaptor.domain.com%2Farcgis%2F
前のステップでエンコードした値を 1 つの文字列にマージします (たとえば、RPID=webadaptor.domain.com.arcgis&RelayState=https%3A%2F%2Fwebadaptor.domain.com%2Farcgis%2F)。
マージした文字列をエンコードします (たとえば、RPID%3Dwebadaptor.domain.com.arcgis%26RelayState%3D%20https%253A%252F%252Fwebadaptor.domain.com%252Farcgis%252F)。
RelayState パラメーターを文字列に追加し、その文字列を IDP が開始する AD FS の SSO URL に追加します (たとえば、https://idphost.test.com/adfs/ls/idpinitiatedsignon.aspx?RelayState=RPID%3Dwebadaptor.domain.com.arcgis%26RelayState%3D%20https%253A%252F%252Fwebadaptor.domain.com%252Farcgis%252F)。これは、AD FS サイトでのログインの開始に使用される URL です。

ユーザーがログインして正常に認証されると、AD FS は SAML レスポンスを生成し、組織サイトの URL を含む RelayState を Portal for ArcGIS に渡します。Portal for ArcGIS は、SAML レスポンスの整合チェックを実施した上で、ユーザーを組織サイトとそのリソースにリダイレクトします。

このトピックへのフィードバック

Active Directory フェデレーション サービスの構成

このトピックの内容

必要な情報

AD FS をエンタープライズ ID プロバイダーとして Portal for ArcGIS で登録する

ヒント:

注意:

Portal for ArcGIS を信頼できるサービス プロバイダーとして AD FS に登録する

注意:

注意:

ヒント:

注意:

ヒント:

ヒント:

ヒント:

注意:

IDP が開始するログイン

Active Directory フェデレーションサービスの構成

Portal for ArcGIS を信頼できるサービスプロバイダーとして AD FS に登録する