Azure Active Directory の構成

Microsoft Azure Active Directory (AD) は、SAML (Security Assertion Markup Language) 準拠の ID プロバイダー (IDP) です。これを、オンプレミスおよびクラウドで、Portal for ArcGIS のエンタープライズ ログインの IDP として構成できます。構成プロセスでは、主に次の 2 つの手順を実行します。まず、Azure AD を ArcGIS Enterprise ポータルに登録し、次に Portal for ArcGIS を Azure AD ポータルに登録します。

Azure AD を ArcGIS Enterprise に登録するには、プレミアム Azure AD サブスクリプションが必要です。

必要な情報

Portal for ArcGIS は、ユーザーがエンタープライズ ログインを使用してサイン インするときに、特定の属性情報を IDP から受信する必要があります。NameID は、Portal for ArcGIS とのフェデレーションが機能するように、IDP が SAML レスポンスで送信しなければならない必須の属性です。Portal for ArcGIS は NameID の値を使用して指定ユーザーを一意に識別するため、ユーザーを一意に識別する定数値を使用することをお勧めします。IDP からユーザーがサイン インすると、Portal for ArcGIS によってユーザー名が NameID の新しいユーザーがユーザー ストアに作成されます。NameID によって送信される値に使用できる文字は、英数字、_ (アンダースコア)、 . (ドット) および @ (アット マーク) です。その他の文字は、Portal for ArcGIS によって作成されるユーザー名の中で、アンダースコアに変更されます。

Portal for ArcGIS は、エンタープライズ ログインの givenName 属性と email address 属性を、エンタープライズ IDP から取得して入力することをサポートしています。ユーザーがエンタープライズ ログイン アカウントを使用してサイン インし、Portal for ArcGIS が givenname と email または mail という名前の属性を取得した場合、Portal for ArcGIS はユーザー アカウントのフル ネームと電子メール アドレスに IDP から取得した値を入力します。ユーザーが通知を受信できるようにするために、エンタープライズ IDP から取得した email address を渡すことをお勧めします。

Azure AD をポータルのエンタープライズ IDP として登録する

1. 組織サイトのデフォルト管理者ロールのメンバーとしてポータル Web サイトにサイン インし、[組織] > [サイト設定] > [セキュリティ] の順にクリックします。
2. [SAML を使用したエンタープライズ ログイン] セクションで、[1 つの ID プロバイダー] オプションを選択して [エンタープライズ ログインの設定] ボタンをクリックし、表示されたウィンドウに組織名 (たとえば、「City of Redlands」) を入力します。ユーザーがポータル Web サイトにアクセスすると、このテキストが SAML サイン イン オプションの一部に表示されます (たとえば、City of Redlands アカウントを使用)。
3. ユーザーが自動またはアカウントをポータルに追加した後のどちらで組織に加入できるかを選択します。[自動] オプションを選択すると、ユーザーは、管理者が介入しなくても、自分のエンタープライズ ログインを使用して組織サイトにサイン インできます。ユーザーのアカウントは、最初にサイン インしたときに自動的に組織サイトに登録されます。[アカウントをポータルに追加した後] オプションを選択すると、管理者は、コマンド ライン ユーティリティまたはサンプル Python スクリプトを使用して必要なアカウントを組織サイトに登録する必要があります。ユーザーは、アカウントが登録された時点で、組織サイトにサイン インできるようになります。

   ヒント:

   少なくとも 1 つのエンタープライズ アカウントをポータルの管理者として指定し、最初の管理者アカウントを降格するか削除することをお勧めします。また、[アカウントの作成] ボタンと、ポータルのサインアップ ページ (signup.html) を無効化することで、ユーザーが自分のアカウントを作成できないようにしておくこともお勧めします。詳細な手順については、「ポータルでの SAML 準拠のアイデンティティ プロバイダーの構成」をご参照ください。

4. 以下のオプションのいずれかを使用して、IDP のメタデータ情報を入力します。
   • [ファイル] - Azure AD メタデータ ファイルをダウンロードし、[ファイル] オプションを使用して、そのファイルを Portal for ArcGIS にアップロードします。

     注意:

     初めてサービス プロバイダーを Azure AD に登録する場合は、Portal for ArcGIS を Azure AD に登録した後にメタデータ ファイルを取得する必要があります。
   • [パラメーター] - URL にもフェデレーション メタデータ ファイルにもアクセスできない場合は、このオプションを選択します。値を手動で入力して、要求されたパラメーター (BASE 64 形式でエンコードされたログイン URL および証明書) を指定します。これらの情報については、Azure AD 管理者にお問い合わせください。
5. 必要に応じて、以下の高度な設定を構成します。
   • [暗号化アサーション] - Azure AD の SAML アサーションのレスポンスを暗号化する場合は、このオプションを選択します。
   • [署名付きリクエストの有効化] - Azure AD に送信される SAML の認証リクエストに Portal for ArcGIS が署名する場合は、このオプションを選択します。
   • [ID プロバイダーへのログアウトの反映] - ユーザーが Azure AD からサイン アウトするログアウト URL を Portal for ArcGIS で使用する場合は、このオプションを選択します。使用する URL を [ログアウト URL] 設定に入力します。IDP がログアウト URL を署名する必要がある場合、[署名付きリクエストの有効化] をオンにします。
   • [サイン イン時にプロフィールを更新] - ユーザーの Portal for ArcGIS および email address 属性が前回のサイン イン以降に変更された場合に Portal for ArcGIS によって更新するには、このオプションを選択します。
   • [ログアウト URL] - 現在サイン インしているユーザーがサイン アウトするのに使用する IDP の URL。
   • [エンティティ ID] - 新しいエンティティ ID を使用してポータルを Azure AD に対して一意に識別する場合は、この値を更新します。

   [暗号化アサーション] 設定と [署名付きリクエストの有効化] 設定では、ポータルのキーストアにある samlcert 証明書が使用されます。新しい証明書を使用するには、samlcert 証明書を削除してから、「ポータルへの証明書のインポート」に記載の手順に従って、同じエイリアス (samlcert) を使用して新しい証明書を作成し、ポータルを再起動します。

6. 完了したら、[ID プロバイダーの更新] をクリックします。
7. [サービス プロバイダーの取得] をクリックして、ポータルのメタデータ ファイルをダウンロードします。このファイル内の情報は、信頼できるサービス プロバイダーとしてポータルを Azure AD に登録するために使用されます。

Portal for ArcGIS を信頼できるサービス プロバイダーとして Azure AD に登録する

1. 管理者権限を持つメンバーとして Azure ポータルにサイン インします。
2. Azure のドキュメントにある手順に従い、Portal for ArcGIS をギャラリー以外のアプリケーションとして Azure AD に追加して、シングル サインオンを構成します。Portal for ArcGIS からダウンロードした Metadata.xml ファイルを指定する必要があります。

   Azure AD のエンタープライズ アプリケーション リストに Portal for ArcGIS が表示されます。

3. 必要に応じて、ユーザーをアプリケーションに追加および割り当てます。
4. 必要に応じて、ArcGIS Enterprise に渡されるSAML 要求を構成およびカスタマイズします。SAML レスポンスの対象属性は、givenName および emailaddress です。