Shibboleth の構成—Portal for ArcGIS (10.4.1)

Shibboleth 2.x を Portal for ArcGIS のエンタープライズログインアカウントの ID プロバイダーとして構成できます。構成プロセスでは、主に次の 2 つの手順を実行します。まず、エンタープライズ ID プロバイダーを Portal for ArcGIS に登録し、次に、Portal for ArcGIS をエンタープライズ ID プロバイダーに登録します。

必要に応じて、アイデンティティストア内のエンタープライズグループに関するメタデータをポータルに提供することもできます。これにより、ポータルに、アイデンティティストア内の既存のエンタープライズグループを利用するグループを作成することができます。メンバーがポータルにログインすると、コンテンツ、アイテムおよびデータへのアクセスは、エンタープライズグループで定義されているメンバーシップルールで管理されます。必要なエンタープライズグループメタデータを指定しなくても、グループは作成できます。しかし、メンバーシップルールはアイデンティティストアではなく、Portal for ArcGIS で管理されます。

必要な情報

Portal for ArcGIS は、ユーザーがエンタープライズログインを使用してログインするときに、特定の属性情報を ID プロバイダーから受信する必要があります。NameID は、Portal for ArcGIS とのフェデレーションが機能するように、ID プロバイダーが SAML レスポンスで送信しなければならない必須の属性です。IDP からユーザーがログインすると、Portal for ArcGIS によってユーザー名が NameID の新しいユーザーがユーザーストアに作成されます。NameID 属性によって送信される値に使用できる文字は、英数字、_ (アンダースコア)、 . (ドット) および @ (アットマーク) です。その他の文字はエスケープされ、Portal for ArcGIS によってアンダースコアが付加されたユーザー名が作成されます。

Portal for ArcGIS は、エンタープライズログインの givenName 属性と email address 属性を、エンタープライズ ID プロバイダーから取得して入力することをサポートしています。ユーザーがエンタープライズログインアカウントを使用してサインインし、Portal for ArcGIS が givenname と email または mail という名前の属性を取得した場合、Portal for ArcGIS はユーザーアカウントのフルネームと電子メールアドレスに ID プロバイダーから取得した値を入力します。ユーザーが通知を受信できるようにするために、エンタープライズ ID プロバイダーから取得した email address を渡すことをお勧めします。

Shibboleth をエンタープライズ ID プロバイダーとして Portal for ArcGIS に登録する

組織サイトの管理者としてポータル Web サイトにサインインし、[組織] > [サイト設定] > [セキュリティ] の順にクリックします。
[エンタープライズログイン] セクションで、[ID プロバイダーの設定] ボタンをクリックし、表示されたウィンドウに組織名 (たとえば、「City of Redlands」) を入力します。ユーザーがポータル Web サイトにアクセスすると、このテキストが SAML サインインオプションの一部に表示されます (たとえば、City of Redlands アカウントを使用)。
ユーザーが [自動] または [アカウントをポータルに追加した後] のどちらで組織に加入できるかを選択します。1 番目のオプションを選択すると、ユーザーは、管理者から招待されなくても、自分のエンタープライズログインを使用して組織サイトにサインインできます。ユーザーのアカウントは、最初にサインインしたときに自動的に組織サイトに登録されます。2 番目のオプションを選択すると、管理者は、コマンドラインユーティリティまたはサンプル Python スクリプトを使用して必要なアカウントを組織サイトに登録する必要があります。ユーザーは、アカウントが登録された時点で、組織サイトにサインインできるようになります。
ヒント:
少なくとも 1 つのエンタープライズアカウントをポータルの管理者として指定し、最初の管理者アカウントを降格するか削除することをお勧めします。また、[アカウントの作成] ボタンと、ポータル Web サイトのサインアップページ (signup.html) を無効化することで、ユーザーが自分のアカウントを作成できないようにしておくこともお勧めします。詳細な手順については、「ポータルでの SAML 準拠のアイデンティティプロバイダーの構成」をご参照ください。
必要に応じて高度な設定を構成します。
- [暗号化アサーション] - SAML アサーションの応答を暗号化するように Shibboleth を構成する場合は、このオプションを選択します。
- [署名付きリクエストの有効化] - Shibboleth に送信される SAML の認証リクエストに Portal for ArcGIS が署名する場合は、このオプションを選択します。
- [ログアウト URL] - カスタムのログアウト URL を使用するように Shibboleth を構成している場合は、この値を更新します。
- [エンティティ ID] - 新しいエンティティ ID を使用してポータルを Shibboleth に対して一意に識別する場合は、この値を更新します。
[暗号化アサーション] と [署名付きリクエストの有効化] 設定では、ポータルキーストアの samlcert 証明書を使用します。新しい証明書を使用するには、「ポータルへの証明書のインポート」の手順に従って samlcert 証明書を削除し、同じエイリアス (samlcert) の新しい証明書を作成し、ポータルを再起動します。
以下の 2 つのオプションのいずれかを使用して、ID プロバイダーのメタデータ情報を入力します。
- [ファイル] - デフォルトでは、Shibboleth の IdP メタデータファイルは、SHIBBOLETH_HOME/metadata にあります。メタデータファイルにアクセスできる場合は、エンタープライズ ID プロバイダーのメタデータの [ファイル] オプションを選択し、ファイル SHIBBOLETH_HOME/metadata/idp-metadata.xml を選択します。
- [パラメーター] - ファイルにアクセスできない場合は、このオプションを選択します。値を手動で入力して、要求されたパラメーター (ログイン URL および証明書) を指定します。これらの情報については、Shibboleth 管理者にお問い合わせください。
必要に応じて、アイデンティティストア内のエンタープライズグループに関するメタデータをポータルに提供します。
1. 組織の管理者として ArcGIS Portal Directory にサインインします。URL の形式は https://webadaptor.domain.com/arcgis/portaladmin です。
2. [Security] > [Config] > [Update Identity Store] の順にクリックします。
3. [Group store configuration (in JSON format)] テキストボックスにグループ構成の JSON を入力します。
  - アイデンティティストアが Windows Active Directory の場合、次のテキストをコピーして、サイト固有の情報を含むよう変更します。
    { "type": "WINDOWS", "properties": { "isPasswordEncrypted": "false", "userPassword": "secret", "user": "mydomain\\winaccount" } }
    ほとんどの場合、ユーザーとユーザーパスワードのパラメーターの値を変更するだけです。パスワードをプレーンテキストで入力しても、ポータルの構成ディレクトリに保存または表示される際には暗号化されます。ユーザーパラメーターに使用するアカウントには、ネットワーク上で Windows グループの名前を検索するための権限のみが必要です。可能な限り、パスワードに有効期限のないアカウントを使用します。
  - アイデンティティストアが LDAP の場合、次のテキストをコピーして、サイト固有の情報を含むよう変更します。
    { "type": "LDAP", "properties": { "userPassword": "secret", "isPasswordEncrypted": "false", "user": "uid=admin\,ou=system", "ldapURLForUsers": "ldap://bar2:10389/ou=users\,ou=ags\,dc=example\,dc=com", "ldapURLForRoles": "ldap://bar2:10389/dc=example,dc=com", "usernameAttribute": "cn", "caseSensitive": "false", "userSearchAttribute": "cn", "memberAttributeInRoles": "member", "rolenameAttribute":"cn" } }
    ほとんどの場合、user、userPassword、ldapURLForUsers、ldapURLForUsers の各パラメーターの値を変更するだけです。LDAP の URL は、LDAP 管理者が提供する必要があります。user パラメーターに使用するアカウントは、組織サイト内のグループ名を検索する権限を持つ必要があります。パスワードをプレーンテキストで入力しても、ポータルの構成ディレクトリに保存または表示される際には暗号化されます。
    LDAP が大文字と小文字を区別するように構成されている場合は、caseSensitive パラメーターを false に設定します。
4. ユーザーストア構成に JSON を入力したら、[Update Configuration] をクリックして変更を保存し、ポータルを再起動します。

Portal for ArcGIS を信頼できるサービスプロバイダーとして Shibboleth に登録する

Portal for ArcGIS を証明書利用者として Shibboleth で構成します。
1. ポータルのメタデータファイルを取得し、それを XML ファイルとして保存します。
  メタデータファイルを取得するには、組織サイトの管理者としてサインインして、組織のページを開きます。[サイト設定] ボタンと [セキュリティ] タブをクリックし、[エンタープライズログイン] セクションで [サービスプロバイダーの取得] ボタンをクリックします。
2. RelyingParty ファイルに新しい SHIBBOLETH_HOME/conf/relying-party.xml エレメントを定義して、Portal for ArcGIS を信頼できるサービスプロバイダーとして Shibboleth に追加します。
  metadata:MetadataProvider 内に次のスニペットを追加します。ステップ 1.a で保存した組織のメタデータ XML ファイルへのパスを指定します。
  注意:
  (webadaptor.domain.com.arcgis をポータルの SAML メタデータの entityid に置き換えます)。
   <MetadataProvider xsi:type="FilesystemMetadataProvider" xmlns="urn:mace:shibboleth:2.0:metadata" id="webadaptor.domain.com.arcgis" metadataFile="<PATH_TO_THE_SAVED_METADATA>/citygismetadata.xml"> </MetadataProvider>
属性リゾルバーを構成します。
Portal for ArcGIS は、SAML の名前識別子が Portal for ArcGIS にサインインしようとするユーザーの IDP から渡されることを想定しています。このデータを使用可能にするには、SHIBBOLETH_HOME/conf/attribute-resolver.xml ファイルを変更して、Shibboleth の属性リゾルバーを構成する必要があります。
次の属性定義は、Shibboleth IdP によって認証されたユーザーのプリンシパル名を名前識別子として Portal for ArcGIS に送信します。
```

    <resolver:AttributeDefinition id="principal" xsi:type="PrincipalName" xmlns="urn:mace:shibboleth:2.0:resolver:ad">
        <resolver:AttributeEncoder xsi:type="SAML2StringNameID" xmlns="urn:mace:shibboleth:2.0:attribute:encoder"
            nameFormat="urn:oasis:names:tc:SAML:2.0:nameid-format:unspecified" />
    </resolver:AttributeDefinition>
```
属性フィルターを構成します。
ユーザーの認証後に NameID として Portal for ArcGIS にエンコードされたユーザーのプリンシパル名を解放するように、Shibboleth の属性フィルターを構成します。 NameID パラメーターの値は、組織サイトでユーザー名として使用されます。
このフィルターを追加するには、SHIBBOLETH_HOME/conf/attribute-filter.xml ファイルを開き、AttributeFilterPolicyGroup XML エレメント内に次の属性フィルターポリシーを追加します。
注意:
(webadaptor.domain.com.arcgis をポータルの SAML メタデータの entityid に置き換えます)。
```

    <afp:AttributeFilterPolicy>
            <afp:PolicyRequirementRule xsi:type="basic:AttributeRequesterString" value="webadaptor.domain.com.arcgis" />
                <afp:AttributeRule attributeID="principal">
                <afp:PermitValueRule xsi:type="basic:ANY" />
            </afp:AttributeRule>
    </afp:AttributeFilterPolicy>
```
Portal for ArcGIS は、エンタープライズログインの givenName 属性と email address 属性を、エンタープライズ ID プロバイダーから取得して入力することをサポートしています。ユーザーがエンタープライズログインアカウントを使用してサインインし、Portal for ArcGIS が givenname と email または mail という名前の属性を取得した場合、Portal for ArcGIS はユーザーアカウントのフルネームと電子メールアドレスに ID プロバイダーから取得した値を入力します。
エンタープライズ ID プロバイダーから Portal for ArcGIS に電子メールアドレスを渡すことをお勧めします。そうすると、ユーザーが後で管理者になる場合に役立ちます。アカウントに電子メールアドレスが登録されていると、管理アクティビティに関する通知を受信したり、他のユーザーが組織に加入できるように招待を送信したりできます。

認証ソースを構成します。

Shibboleth IdP が使用する認証ソースを構成します。次の例は、SHIBBOLETH_HOME/conf/login.config ファイルで、Shibboleth と一緒に使用するユーザーストアとして Apache Directory Server を構成する方法を示しています。

ShibUserPassAuth {   edu.vt.middleware.ldap.jaas.LdapLoginModule required      ldapUrl="ldap://host:port"
      baseDn="ou=users,ou=system"
      ssl="true"
      serviceUser="uid=admin,ou=system"
      serviceCredential="secret"
      subtreeSearch="true"
      userField="uid"
      userFilter="uid={0}";
};

ログインハンドラーを構成します。
Shibboleth で UsernamePassword ログインハンドラーを有効化します。ログインハンドラーを使用すると、前の手順で構成した認証ソースのユーザー名とパスワードを使用してサインインできます。
ログインハンドラーを構成するには、SHIBBOLETH_HOME/conf/handler.xml ファイルを開き、ユーザー名とパスワードのログインハンドラーをコメント解除します (<SHIBBOLETH_HOME> を Shibboleth のインストールパスに置き換えます)。
```

         <ph:LoginHandler xsi:type="ph:UsernamePassword" 
                  jaasConfigurationLocation="file://<SHIBBOLETH_HOME>/conf/login.config">
        <ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</ph:AuthenticationMethod>
    </ph:LoginHandler>
```
Shibboleth IdP 内のアサーションの暗号化をオフにします。SHIBBOLETH_HOME/conf/relying-party.xml ファイルを開き、エレメント内の saml: SAML2SSOProfile セクションを探します。このセクションで、encryptAssertions の値を never に変更します。
注意:
Shibboleth をエンタープライズ ID プロバイダーとして登録するときに高度な設定で [暗号化アサーション] を選択した場合は、このステップをスキップします。
```
<rp:DefaultRelyingParty provider="https://grid3.esri.com/idp/shibboleth"
defaultSigningCredentialRef="IdPCredential">
...     <rp:ProfileConfiguration xsi:type="saml:SAML2SSOProfile" includeAttributeStatement="true"
          assertionLifetime="PT5M" assertionProxyCount="0"
          signResponses="never" signAssertions="always"
          encryptAssertions="never" encryptNameIds="never"
          includeConditionsNotBefore="true"/>
...
</rp:DefaultRelyingParty>
```
Shibboleth Web アプリをホストする Web サーバーを再起動します。

このトピックへのフィードバック

必要な情報

Shibboleth をエンタープライズ ID プロバイダーとして Portal for ArcGIS に登録する

ヒント:

Portal for ArcGIS を信頼できるサービス プロバイダーとして Shibboleth に登録する

注意:

注意:

注意:

このトピックの内容

Portal for ArcGIS を信頼できるサービスプロバイダーとして Shibboleth に登録する