OpenAM 10.1.0 以降のバージョンを、Portal for ArcGIS でエンタープライズ ログインを設定するための ID プロバイダー (IDP) として構成できます。構成プロセスでは、主に次の 2 つの手順を実行します。まず、エンタープライズ ID プロバイダーを Portal for ArcGIS に登録し、次に、Portal for ArcGIS をエンタープライズ ID プロバイダーに登録します。
必要に応じて、アイデンティティ ストア内のエンタープライズ グループに関するメタデータをポータルに提供することもできます。これにより、アイデンティティ ストア内の既存のエンタープライズ グループを利用する、ポータル内のグループを作成することができます。メンバーがポータルにログインすると、コンテンツ、アイテム、およびデータへのアクセスは、エンタープライズ グループで定義されているメンバーシップ ルールで管理されます。必要なエンタープライズ グループ メタデータを指定しなくても、グループは作成できます。しかし、メンバーシップ ルールはアイデンティティ ストアではなく、Portal for ArcGIS で管理されます。
必要な情報
Portal for ArcGIS は、ユーザーがエンタープライズ ログインを使用してログインするときに、特定の属性情報を ID プロバイダーから受信する必要があります。NameID は、Portal for ArcGIS とのフェデレーションが機能するように、ID プロバイダーが SAML レスポンスで送信しなければならない必須の属性です。IDP からユーザーがログインすると、NameID というユーザー名の新しいユーザーが、Portal for ArcGIS によってユーザー ストアに作成されます。NameID 属性によって送信される値に使用できる文字は、英数字、_ (アンダースコア)、 . (ドット) および @ (アット マーク) です。その他の文字はエスケープされ、Portal for ArcGIS によってアンダースコアが付加されたユーザー名が作成されます。
Portal for ArcGIS は、エンタープライズ ログインの givenName 属性と email address 属性を、エンタープライズ ID プロバイダーから取得して入力することをサポートしています。ユーザーがエンタープライズ ログイン アカウントを使用してサイン インし、Portal for ArcGIS が givenname と email または mail という名前の属性を取得した場合、Portal for ArcGIS はユーザー アカウントのフル ネームと電子メール アドレスに ID プロバイダーから取得した値を入力します。ユーザーが通知を受信できるようにするために、エンタープライズ ID プロバイダーから取得した email address を渡すことをお勧めします。
OpenAM をエンタープライズ ID プロバイダーとして Portal for ArcGIS に登録する
- 組織サイトの管理者としてポータル Web サイトにサイン インし、[組織] > [サイト設定] > [セキュリティ] の順にクリックします。
- [エンタープライズ ログイン] セクションで、[ID プロバイダーの設定] ボタンをクリックし、表示されたウィンドウに組織名 (たとえば、「City of Redlands」) を入力します。ユーザーがポータル Web サイトにアクセスすると、このテキストが SAML サイン イン オプションの一部に表示されます (たとえば、City of Redlands アカウントを使用)。
注意:
ポータル用に登録できるエンタープライズ ID プロバイダーは 1 つだけです。
- ユーザーが [自動] または [アカウントをポータルに追加した後] のどちらで組織に加入できるかを選択します。1 番目のオプションを選択すると、ユーザーは、管理者から招待されなくても、自分のエンタープライズ ログインを使用して組織サイトにサイン インできます。ユーザーのアカウントは、最初にサイン インしたときに自動的に組織サイトに登録されます。2 番目のオプションを選択すると、管理者は、コマンド ライン ユーティリティまたはサンプル Python スクリプトを使用して必要なアカウントを組織サイトに登録する必要があります。ユーザーは、アカウントが登録された時点で、組織サイトにサイン インできるようになります。
ヒント:
少なくとも 1 つのエンタープライズ アカウントをポータルの管理者として指定し、最初の管理者アカウントを降格するか削除することをお勧めします。また、[アカウントの作成] ボタンと、ポータル Web サイトのサインアップ ページ (signup.html) を無効化することで、ユーザーが自分のアカウントを作成できないようにしておくこともお勧めします。詳細な手順については、「ポータルでの SAML 準拠のアイデンティティ プロバイダーの構成」をご参照ください。
- 以下の 3 つのオプションのいずれかを使用して、ID プロバイダーのメタデータ情報を入力します。
- [URL] - Portal for ArcGIS から OpenAM フェデレーション メタデータの URL にアクセスできる場合は、このオプションを選択します。この URL は、通常 http(s)://<host>:<port>/openam/saml2/jsp/exportmetadata.jsp です。
注意:
エンタープライズ ID プロバイダーに自己署名証明書が含まれている場合、メタデータの HTTPS URL を指定しようとしたときに、エラーが発生することがあります。このエラーは、Portal for ArcGIS が ID プロバイダーの自己署名証明書を確認できないために発生します。代わりに、URL 内で HTTP を使用するか、下記の他のオプションのいずれかを使用するか、信頼できる証明書を使用して ID プロバイダーを構成してください。
- [ファイル] - Portal for ArcGIS から URL にアクセスできない場合は、上記の URL から取得したメタデータを XML ファイルとして保存し、そのファイルをアップロードします。
- [パラメーター] - URL またはファイルにアクセスできない場合は、このオプションを選択します。値を手動で入力して、要求されたパラメーター (ログイン URL および証明書) を指定します。これらの情報については、OpenAM 管理者にお問い合わせください。
- [URL] - Portal for ArcGIS から OpenAM フェデレーション メタデータの URL にアクセスできる場合は、このオプションを選択します。この URL は、通常 http(s)://<host>:<port>/openam/saml2/jsp/exportmetadata.jsp です。
- 必要に応じて高度な設定を構成します。
- [暗号化アサーション] - SAML アサーションの応答を暗号化するように OpenAM を構成する場合は、このオプションを選択します。
- [署名付きリクエストの有効化] - ADFS に送信される SAML の認証リクエストに Portal for ArcGIS が署名する場合は、このオプションを選択します。
- [エンティティ ID] - 新しいエンティティ ID を使用してポータルを OpenAM に対して一意に識別する場合は、この値を更新します。
[暗号化アサーション] と [署名付きリクエストの有効化] 設定では、ポータル キーストアの samlcert 証明書を使用します。新しい証明書を使用するには、「ポータルへの証明書のインポート」の手順に従って samlcert 証明書を削除し、同じエイリアス (samlcert) の新しい証明書を作成し、ポータルを再起動します。
注意:
現在、[ID プロバイダーへのログアウトの反映] と [ログアウト URL] はサポートされていません。
- 必要に応じて、アイデンティティ ストア内のエンタープライズ グループに関するメタデータをポータルに提供します。
- 組織の管理者として ArcGIS Portal Directory にサイン インします。URL の形式は https://webadaptorhost.domain.com/webadaptorname/portaladmin です。
- [Security] > [Config] > [Update Identity Store] の順にクリックします。
- [Group store configuration (in JSON format)] テキスト ボックスにグループ構成の JSON を入力します。
アイデンティティ ストアが Windows Active Directory の場合、次のテキストをコピーして、サイト固有の情報を含むよう変更します。
{ "type": "WINDOWS", "properties": { "isPasswordEncrypted": "false", "userPassword": "secret", "user": "mydomain\\winaccount" } }ほとんどの場合、user パラメーターと userPassword パラメーターの値を変更するだけで済みます。パスワードをプレーン テキストで入力しても、ポータルの構成ディレクトリに保存または表示される際には暗号化されます。user パラメーターに使用するアカウントには、ネットワーク上で Windows グループの名前を検索するための権限のみが必要です。可能な限り、パスワードに有効期限のないアカウントを使用します。
アイデンティティ ストアが LDAP の場合、次のテキストをコピーして、サイト固有の情報を含むよう変更します。
{ "type": "LDAP", "properties": { "userPassword": "secret", "isPasswordEncrypted": "false", "user": "uid=admin,ou=system", "ldapURLForUsers": "ldaps://bar2:10636/ou=users,ou=ags,dc=example,dc=com", "ldapURLForRoles": "ldaps://bar2:10636/dc=example,dc=com", "usernameAttribute": "cn", "caseSensitive": "false", "userSearchAttribute": "cn", "memberAttributeInRoles": "member", "rolenameAttribute":"cn" } }ほとんどの場合、[user]、[userPassword]、[ldapURLForUsers]、および [ldapURLForRoles] パラメーターの値を変更するだけで済みます。LDAP の URL は、LDAP 管理者が提供する必要があります。
上記の例では、LDAP URL は特定の OU (ou = ユーザー グループ) 内のユーザーを参照します。ユーザーが複数の OU に存在する場合、LDAP URL では、より上位の OU を指定するか、必要であればルート OU を指定します。その場合は、URL は以下のようになります。
"ldapURLForUsers": "ldaps://bar2:10636/dc=example,dc=com",
user パラメーターに使用するアカウントは、組織サイト内のグループ名を検索する権限を持つ必要があります。パスワードをプレーン テキストで入力しても、ポータルの構成ディレクトリに保存または表示される際には暗号化されます。
LDAP が大文字と小文字を区別しないように構成されている場合は、caseSensitive パラメーターを false に設定します。
- ユーザー ストア構成に JSON を入力したら、[Update Configuration] をクリックして変更を保存し、ポータルを再起動します。
Portal for ArcGIS を信頼できるサービス プロバイダーとして OpenAM に登録する
- OpenAM でホストされる ID プロバイダーを構成します。
- OpenAM 管理コンソールにサイン インします。これは、通常 http://servername:port/<deploy_uri>/console で利用できます。
- [Common Tasks] タブで、[Create Hosted Identity Provider] をクリックします。
- ホストされる ID プロバイダーを作成し、それを [Circle of Trust] に追加します。[Circle of Trust] がすでに存在する場合、それに追加できますが、存在しない場合は新規作成します。
- デフォルトでは、ホストされる ID プロバイダーは、OpenDJ (OpenAM に付属する埋め込みユーザー ストア) を操作します。OpenAM を Active Directory などの他のユーザー ストアに接続する場合は、メイン画面の OpenAM 管理コンソールの [Access Control] タブで新しいデータ ソースを作成する必要があります。
- Portal for ArcGIS を信頼できるサービス プロバイダーとして OpenAM に構成します。
- ポータルのメタデータ ファイルを取得し、それを XML ファイルとして保存します。
メタデータ ファイルを取得するには、組織サイトの管理者としてサイン インして、組織のページを開きます。[サイト設定] ボタンをクリックして [セキュリティ] タブをクリックし、[エンタープライズ ログイン] セクションで [サービス プロバイダーの取得] ボタンをクリックします。
- OpenAM 管理コンソールの [Common Tasks] の下で、[Register Remote Service Provider] をクリックします。
- メタデータに対して [File] オプションを選択し、前のステップで保存したメタデータの XML ファイルをアップロードします。
- このサービス プロバイダーを、ID プロバイダーを追加したのと同じ [Circle of Trust] に追加します。
- ポータルのメタデータ ファイルを取得し、それを XML ファイルとして保存します。
- ユーザー認証後に OpenAM が Portal for ArcGIS に送信する必要のある NameID の形式と属性を構成します。
- OpenAM 管理コンソールで、[Federation] タブをクリックします。このタブには、前に追加した [Circle of Trust]、サービス プロバイダー、および ID プロバイダーが含まれています。
- [Entity Providers] の下で、ID プロバイダーをクリックします。
- [Assertion Content] タブの [Name ID Format] の下で、urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified が先頭に表示されていることを確認します。これは、Portal for ArcGIS が OpenAM への SAML リクエストで要求する NameID の形式です。
- [Name ID Value Map] の下で、mail や upn などのユーザー プロフィールの属性をマップします。これらの属性は、ユーザー認証後、NameID として Portal for ArcGIS に返されます。
例: urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified =upn
- ID プロバイダーの [Assertion Processing] タブをクリックします。[Attribute Mapper] の下で、Portal for ArcGIS に送信するユーザー プロフィールの属性を構成します。
Portal for ArcGIS は、エンタープライズ ログインの givenName 属性と email address 属性を、エンタープライズ ID プロバイダーから取得して入力することをサポートしています。ユーザーがエンタープライズ ログイン アカウントを使用してサイン インし、Portal for ArcGIS が givenname と email または mail という名前の属性を取得した場合、Portal for ArcGIS はユーザー アカウントのフル ネームと電子メール アドレスに ID プロバイダーから取得した値を入力します。
エンタープライズ ID プロバイダーから Portal for ArcGIS に電子メール アドレスを渡すことをお勧めします。 そうすると、ユーザーが後で管理者になる場合に役立ちます。アカウントに電子メール アドレスが登録されていると、管理アクティビティに関する通知を受信したり、他のユーザーが組織に加入できるように招待を送信したりできます。
[Save] をクリックして NameID の形式と属性の変更内容を保存します。
- OpenAM 管理コンソールの [Federation] タブの [Entity Providers] の下で、Portal for ArcGIS サービス プロバイダーを参照します。
- OpenAM をエンタープライズ ID プロバイダーとして Portal for ArcGIS に登録するときに高度な設定で [暗号化アサーション] を選択した場合は、[Assertion Content] タブの [Encryption] の下で、[Assertion] オプションを選択します。
- [Name ID Format] の下で、urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified が先頭に表示されていることを確認します。これは、Portal for ArcGIS が OpenAM への SAML リクエストで要求する NameID の形式です。.
- ID プロバイダーの [Assertion Processing] タブをクリックします。[Attribute Mapper] の下で、Portal for ArcGIS に送信するユーザー プロフィールの属性を構成します。
- [Save] をクリックして [Name ID Format] と属性の変更内容を保存します。
- OpenAM が配置されている Web サーバーを再起動します。