Skip to main content
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

AD FSでの証明書利用者信頼の作成

共同作成者
PDF

Active Directory フェデレーションサービス（ AD FS ）を使用して、システム内の管理ノードごとに証明書利用者信頼を作成する必要があります。PowerShell コマンドを使用するか、 StorageGRID から SAML メタデータをインポートするか、またはデータを手動で入力することによって、証明書利用者信頼を作成できます。

Windows PowerShellを使用した証明書利用者信頼の作成

Windows PowerShell を使用して証明書利用者信頼を簡単に作成できます。

必要なもの

  • StorageGRID でSSOを設定し、システム内の各管理ノードの完全修飾ドメイン名（またはIPアドレス）と証明書利用者IDを確認しておきます。

    メモ 証明書利用者信頼は StorageGRID システム内の管理ノードごとに作成する必要があります。管理ノードごとに証明書利用者信頼を作成することで、ユーザは管理ノードに対して安全にサインイン / サインアウトすることができます。

  • AD FS での証明書利用者信頼の作成経験があるか、または Microsoft AD FS のドキュメントを参照できる必要があります。

  • AD FS 管理スナップインを使用していて、 Administrators グループに属している必要があります。

このタスクについて

以下の手順は、Windows Server 2016に付属のAD FS 4.0での手順です。Windows Server 2012 R2に含まれているAD FS 3.0を使用している場合は、手順 にわずかな違いがあります。不明な点がある場合は、 Microsoft AD FS のドキュメントを参照してください。

手順

  1. WindowsのスタートメニューからPowerShellアイコンを右クリックし、*管理者として実行*を選択します。

  2. PowerShell コマンドプロンプトで、次のコマンドを入力します。

    Add-AdfsRelyingPartyTrust -Name "Admin_Node_Identifer" -MetadataURL "https://Admin_Node_FQDN/api/saml-metadata"

    • の場合 Admin_Node_Identifier`では、管理ノードの証明書利用者IDをSingle Sign-Onページに表示されるとおりに入力します。例： `SG-DC1-ADM1。

    • の場合 `Admin_Node_FQDN`をクリックし、同じ管理ノードの完全修飾ドメイン名を入力します。（必要に応じて、ノードの IP アドレスを代わりに使用できます。ただし、 IP アドレスを入力した場合、その IP アドレスが変わったときには証明書利用者信頼を更新または再作成する必要があります）。

  3. Windows Server Manager で、 * Tools * > * AD FS Management * を選択します。

    AD FS 管理ツールが表示されます。

  4. 「 * AD FS * > * 証明書利用者信頼」を選択します。

    証明書利用者信頼のリストが表示されます。

  5. 新しく作成した証明書利用者信頼にアクセス制御ポリシーを追加します。

    1. 作成した証明書利用者信頼を検索します。

    2. 信頼を右クリックし、 * アクセス制御ポリシーの編集 * を選択します。

    3. アクセス制御ポリシーを選択します。

    4. [*適用（Apply）]をクリックし、[OK]をクリックします

  6. 新しく作成した証明書利用者信頼に要求発行ポリシーを追加します。

    1. 作成した証明書利用者信頼を検索します。

    2. 信頼を右クリックし、 ［ * クレーム発行ポリシーの編集 * ］ を選択します。

    3. [ルールの追加]をクリックします。

    4. ［ルールテンプレートの選択］ページで、リストから［* LDAP属性をクレームとして送信*］を選択し、［次へ］をクリックします。

    5. ［ ルールの設定 ］ ページで、このルールの表示名を入力します。

      たとえば、 ObjectGUID to Name ID と入力します。

    6. 属性ストアで、 * Active Directory * を選択します。

    7. マッピングテーブルの LDAP 属性列に、 * objectGUID * と入力します。

    8. マッピングテーブルの発信クレームタイプ列で、ドロップダウンリストから * 名前 ID * を選択します。

    9. [完了]をクリックし、[OK]をクリックします。

  7. メタデータが正常にインポートされたことを確認します。

    1. 証明書利用者信頼を右クリックしてプロパティを開きます。

    2. [Endpoints] 、 [*Identifiers] 、および [Signature] タブのフィールドに値が入力されていることを確認します。

      メタデータがない場合は、フェデレーションメタデータアドレスが正しいことを確認するか、値を手動で入力します。

  8. 上記の手順を繰り返して、 StorageGRID システム内のすべての管理ノードに対して証明書利用者信頼を設定します。

  9. 完了したら、StorageGRID およびに戻ります "すべての証明書利用者信頼をテストします" 正しく設定されていることを確認します。

フェデレーションメタデータをインポートして証明書利用者信頼を作成する

各証明書利用者信頼の値をインポートするには、各管理ノードの SAML メタデータにアクセスします。

必要なもの

  • StorageGRID でSSOを設定し、システム内の各管理ノードの完全修飾ドメイン名（またはIPアドレス）と証明書利用者IDを確認しておきます。

    メモ 証明書利用者信頼は StorageGRID システム内の管理ノードごとに作成する必要があります。管理ノードごとに証明書利用者信頼を作成することで、ユーザは管理ノードに対して安全にサインイン / サインアウトすることができます。

  • AD FS での証明書利用者信頼の作成経験があるか、または Microsoft AD FS のドキュメントを参照できる必要があります。

  • AD FS 管理スナップインを使用していて、 Administrators グループに属している必要があります。

このタスクについて

以下の手順は、Windows Server 2016に付属のAD FS 4.0での手順です。Windows Server 2012 R2に含まれているAD FS 3.0を使用している場合は、手順 にわずかな違いがあります。不明な点がある場合は、 Microsoft AD FS のドキュメントを参照してください。

手順

  1. Windows Server Managerで、* Tools をクリックし、 AD FS Management *を選択します。

  2. Actions（アクション）で、* Add（証明書利用者信頼の追加）*をクリックします。

  3. [ようこそ]ページで、[クレーム対応]を選択し、[開始]をクリックします。

  4. [ * オンラインまたはローカルネットワーク上で公開されている証明書利用者に関するデータをインポートする * ] を選択します。

  5. * フェデレーションメタデータアドレス（ホスト名または URL ） * に、この管理ノードの SAML メタデータの場所を入力します。

    https://Admin_Node_FQDN/api/saml-metadata

    の場合 `Admin_Node_FQDN`をクリックし、同じ管理ノードの完全修飾ドメイン名を入力します。（必要に応じて、ノードの IP アドレスを代わりに使用できます。ただし、 IP アドレスを入力した場合、その IP アドレスが変わったときには証明書利用者信頼を更新または再作成する必要があります）。

  6. 証明書利用者信頼の追加ウィザードを実行し、証明書利用者信頼を保存して、ウィザードを閉じます。

    メモ 表示名を入力するときは、管理ノードの証明書利用者 ID を使用します。これは、 Grid Manager のシングルサインオンページに表示される情報とまったく同じです。例： SG-DC1-ADM1。

  7. クレームルールを追加します。

    1. 信頼を右クリックし、 ［ * クレーム発行ポリシーの編集 * ］ を選択します。

    2. [ルールの追加：]をクリックします。

    3. ［ルールテンプレートの選択］ページで、リストから［* LDAP属性をクレームとして送信*］を選択し、［次へ］をクリックします。

    4. ［ ルールの設定 ］ ページで、このルールの表示名を入力します。

      たとえば、 ObjectGUID to Name ID と入力します。

    5. 属性ストアで、 * Active Directory * を選択します。

    6. マッピングテーブルの LDAP 属性列に、 * objectGUID * と入力します。

    7. マッピングテーブルの発信クレームタイプ列で、ドロップダウンリストから * 名前 ID * を選択します。

    8. [完了]をクリックし、[OK]をクリックします。

  8. メタデータが正常にインポートされたことを確認します。

    1. 証明書利用者信頼を右クリックしてプロパティを開きます。

    2. [Endpoints] 、 [*Identifiers] 、および [Signature] タブのフィールドに値が入力されていることを確認します。

      メタデータがない場合は、フェデレーションメタデータアドレスが正しいことを確認するか、値を手動で入力します。

  9. 上記の手順を繰り返して、 StorageGRID システム内のすべての管理ノードに対して証明書利用者信頼を設定します。

  10. 完了したら、StorageGRID およびに戻ります "すべての証明書利用者信頼をテストします" 正しく設定されていることを確認します。

証明書利用者信頼の手動作成

証明書利用者信頼のデータをインポートしないことを選択した場合は、値を手動で入力できます。

必要なもの

  • StorageGRID でSSOを設定し、システム内の各管理ノードの完全修飾ドメイン名（またはIPアドレス）と証明書利用者IDを確認しておきます。

    メモ 証明書利用者信頼は StorageGRID システム内の管理ノードごとに作成する必要があります。管理ノードごとに証明書利用者信頼を作成することで、ユーザは管理ノードに対して安全にサインイン / サインアウトすることができます。

  • StorageGRID 管理インターフェイス用にカスタム証明書をアップロードしておきます。または、コマンドシェルから管理ノードにログインする方法を確認しておきます。

  • AD FS での証明書利用者信頼の作成経験があるか、または Microsoft AD FS のドキュメントを参照できる必要があります。

  • AD FS 管理スナップインを使用していて、 Administrators グループに属している必要があります。

このタスクについて

以下の手順は、Windows Server 2016に付属のAD FS 4.0での手順です。Windows Server 2012 R2に含まれているAD FS 3.0を使用している場合は、手順 にわずかな違いがあります。不明な点がある場合は、 Microsoft AD FS のドキュメントを参照してください。

手順

  1. Windows Server Managerで、* Tools をクリックし、 AD FS Management *を選択します。

  2. Actions（アクション）で、* Add（証明書利用者信頼の追加）*をクリックします。

  3. [ようこそ]ページで、[クレーム対応]を選択し、[開始]をクリックします。

  4. [証明書利用者に関するデータを手動で入力する]を選択し、[次へ]をクリックします。

  5. 証明書利用者信頼の追加ウィザードを実行します。

    1. この管理ノードの表示名を入力します。

      整合性を確保するために、管理ノードの証明書利用者 ID を使用してください。この ID は、 Grid Manager のシングルサインオンページに表示されます。例： SG-DC1-ADM1。

    2. オプションのトークン暗号化証明書を設定する手順は省略してください。

    3. ［ URL の設定 ］ ページで、 ［ * SAML 2.0 WebSSO プロトコルのサポートを有効にする * ］ チェックボックスをオンにします。

    4. 管理ノードの SAML サービスエンドポイントの URL を入力します。

      https://Admin_Node_FQDN/api/saml-response

      の場合 `Admin_Node_FQDN`で、管理ノードの完全修飾ドメイン名を入力します。（必要に応じて、ノードの IP アドレスを代わりに使用できます。ただし、 IP アドレスを入力した場合、その IP アドレスが変わったときには証明書利用者信頼を更新または再作成する必要があります）。

    5. Configure Identifiers ページで、同じ管理ノードの証明書利用者 ID を指定します。

      Admin_Node_Identifier

      の場合 Admin_Node_Identifier`では、管理ノードの証明書利用者IDをSingle Sign-Onページに表示されるとおりに入力します。例： `SG-DC1-ADM1。

    6. 設定を確認し、証明書利用者信頼を保存して、ウィザードを閉じます。

      [ クレーム発行ポリシーの編集 ] ダイアログボックスが表示されます。

    メモ ダイアログボックスが表示されない場合は、信頼を右クリックし、 * クレーム発行ポリシーの編集 * を選択します。

  6. ［クレームルール］ウィザードを開始するには、［ルールの追加］をクリックします。

    1. ［ルールテンプレートの選択］ページで、リストから［* LDAP属性をクレームとして送信*］を選択し、［次へ］をクリックします。

    2. ［ ルールの設定 ］ ページで、このルールの表示名を入力します。

      たとえば、 ObjectGUID to Name ID と入力します。

    3. 属性ストアで、 * Active Directory * を選択します。

    4. マッピングテーブルの LDAP 属性列に、 * objectGUID * と入力します。

    5. マッピングテーブルの発信クレームタイプ列で、ドロップダウンリストから * 名前 ID * を選択します。

    6. [完了]をクリックし、[OK]をクリックします。

  7. 証明書利用者信頼を右クリックしてプロパティを開きます。

  8. [* Endpoints] タブで、シングルログアウト（ SLO ）のエンドポイントを設定します。

    1. * SAMLの追加*をクリックします。

    2. [* Endpoint Type*>*SAML Logout*] を選択します。

    3. 「 * Binding * > * Redirect * 」を選択します。

    4. [Trusted URL] フィールドに、この管理ノードからのシングルログアウト（ SLO ）に使用する URL を入力します。

      https://Admin_Node_FQDN/api/saml-logout

    の場合 `Admin_Node_FQDN`をクリックし、管理ノードの完全修飾ドメイン名を入力します。（必要に応じて、ノードの IP アドレスを代わりに使用できます。ただし、 IP アドレスを入力した場合、その IP アドレスが変わったときには証明書利用者信頼を更新または再作成する必要があります）。

    1. [OK] をクリックします。

  9. [* Signature*] タブで、この証明書利用者信頼の署名証明書を指定します。

    1. カスタム証明書を追加します。

      • StorageGRID にアップロードしたカスタム管理証明書がある場合は、その証明書を選択します。

      • カスタム証明書がない場合は、管理ノードにログインしてに進みます /var/local/mgmt-api 管理ノードのディレクトリにを追加します custom-server.crt 証明書ファイル。

        *注：*管理ノードのデフォルト証明書を使用 (server.crt）は推奨されません。管理ノードで障害が発生した場合、ノードをリカバリする際にデフォルトの証明書が再生成されるため、証明書利用者信頼を更新する必要があります。

    2. [*適用（Apply）]をクリックし、[OK]をクリックします。

      証明書利用者のプロパティが保存されて閉じられます。

  10. 上記の手順を繰り返して、 StorageGRID システム内のすべての管理ノードに対して証明書利用者信頼を設定します。

  11. 完了したら、StorageGRID およびに戻ります "すべての証明書利用者信頼をテストします" 正しく設定されていることを確認します。