Skip to main content
本製品の最新リリースがご利用いただけます。
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

AD FS に証明書利用者信頼を作成します

共同作成者
PDF

Active Directory フェデレーションサービス（ AD FS ）を使用して、システム内の管理ノードごとに証明書利用者信頼を作成する必要があります。PowerShell コマンドを使用するか、 StorageGRID から SAML メタデータをインポートするか、またはデータを手動で入力することによって、証明書利用者信頼を作成できます。

必要なもの

  • StorageGRID のシングルサインオンを設定し、 SSO タイプとして AD FS を選択しました。

  • * Grid Manager のシングルサインオンページでサンドボックスモード * が選択されています。を参照してください サンドボックスモードを使用する。

  • システム内の各管理ノードの完全修飾ドメイン名（または IP アドレス）と証明書利用者 ID を確認しておきます。これらの値は、 StorageGRID のシングルサインオンページの管理ノード詳細テーブルにあります。

    メモ 証明書利用者信頼は StorageGRID システム内の管理ノードごとに作成する必要があります。管理ノードごとに証明書利用者信頼を作成することで、ユーザは管理ノードに対して安全にサインイン / サインアウトすることができます。

  • AD FS での証明書利用者信頼の作成経験があるか、または Microsoft AD FS のドキュメントを参照できる必要があります。

  • AD FS 管理スナップインを使用していて、 Administrators グループに属している必要があります。

  • 証明書利用者信頼を手動で作成する場合は、 StorageGRID 管理インターフェイス用にカスタム証明書をアップロードするか、コマンドシェルから管理ノードにログインする方法を確認しておきます。

このタスクについて

以下の手順は、 Windows Server 2016 AD FS に該当します。別のバージョンの AD FS を使用している場合は、手順 にわずかな違いがあります。不明な点がある場合は、 Microsoft AD FS のドキュメントを参照してください。

Windows PowerShell を使用して証明書利用者信頼を作成します

Windows PowerShell を使用して証明書利用者信頼を簡単に作成できます。

手順

  1. Windows のスタートメニューから PowerShell アイコンを右クリックし、 * 管理者として実行 * を選択します。

  2. PowerShell コマンドプロンプトで、次のコマンドを入力します。

    「 Add-AdfsRelifyPartyTrust - 名前」 Admin_Node_Identifier 」 -MetadataURL "https://Admin_Node_FQDN/api/saml-metadata"`

    • 「 Admin_Node_Identifier 」には、管理ノードの証明書利用者識別子を入力します。これは、 Single Sign-On ページに表示されるとおりです。たとえば 'SG-DC1-ADM1' と入力します

    • 「 Admin_Node_FQDN` 」には、同じ管理ノードの完全修飾ドメイン名を入力します。（必要に応じて、ノードの IP アドレスを代わりに使用できます。ただし、 IP アドレスを入力した場合、その IP アドレスが変わったときには証明書利用者信頼を更新または再作成する必要があります）。

  3. Windows Server Manager で、 * Tools * > * AD FS Management * を選択します。

    AD FS 管理ツールが表示されます。

  4. 「 * AD FS * > * 証明書利用者信頼」を選択します。

    証明書利用者信頼のリストが表示されます。

  5. 新しく作成した証明書利用者信頼にアクセス制御ポリシーを追加します。

    1. 作成した証明書利用者信頼を検索します。

    2. 信頼を右クリックし、 * アクセス制御ポリシーの編集 * を選択します。

    3. アクセス制御ポリシーを選択します。

    4. [ * 適用（ Apply ） ] を選択し、 [ * OK] を選択します

  6. 新しく作成した証明書利用者信頼に要求発行ポリシーを追加します。

    1. 作成した証明書利用者信頼を検索します。

    2. 信頼を右クリックし、 ［ * クレーム発行ポリシーの編集 * ］ を選択します。

    3. [ * ルールの追加 * ] を選択します。

    4. ［ ルールテンプレートの選択 ］ ページで、リストから ［ * LDAP 属性をクレームとして送信 * ］ を選択し、 ［ * 次へ * ］ を選択します。

    5. ［ ルールの設定 ］ ページで、このルールの表示名を入力します。

      たとえば、 ObjectGUID to Name ID と入力します。

    6. 属性ストアで、 * Active Directory * を選択します。

    7. マッピングテーブルの LDAP 属性列に、 * objectGUID * と入力します。

    8. マッピングテーブルの発信クレームタイプ列で、ドロップダウンリストから * 名前 ID * を選択します。

    9. 「完了」を選択し、「 * OK 」を選択します。

  7. メタデータが正常にインポートされたことを確認します。

    1. 証明書利用者信頼を右クリックしてプロパティを開きます。

    2. [Endpoints] 、 [*Identifiers] 、および [Signature] タブのフィールドに値が入力されていることを確認します。

      メタデータがない場合は、フェデレーションメタデータアドレスが正しいことを確認するか、値を手動で入力します。

  8. 上記の手順を繰り返して、 StorageGRID システム内のすべての管理ノードに対して証明書利用者信頼を設定します。

  9. 完了したら、 StorageGRID に戻ってすべての証明書利用者信頼をテストし、正しく設定されていることを確認します。を参照してください サンドボックスモードを使用する 手順については、を参照し

フェデレーションメタデータをインポートして、証明書利用者信頼を作成します

各証明書利用者信頼の値をインポートするには、各管理ノードの SAML メタデータにアクセスします。

手順

  1. Windows Server Manager で、 * Tools * を選択し、 * AD FS Management * を選択します。

  2. Actions （アクション）で、 * Add （証明書利用者信頼の追加） * を選択します。

  3. [ ようこそ ] ページで、 [ * クレーム対応 * ] を選択し、 [ 開始 * ] を選択します。

  4. [ * オンラインまたはローカルネットワーク上で公開されている証明書利用者に関するデータをインポートする * ] を選択します。

  5. * フェデレーションメタデータアドレス（ホスト名または URL ） * に、この管理ノードの SAML メタデータの場所を入力します。

    https://Admin_Node_FQDN/api/saml-metadata`

    「 Admin_Node_FQDN` 」には、同じ管理ノードの完全修飾ドメイン名を入力します。（必要に応じて、ノードの IP アドレスを代わりに使用できます。ただし、 IP アドレスを入力した場合、その IP アドレスが変わったときには証明書利用者信頼を更新または再作成する必要があります）。

  6. 証明書利用者信頼の追加ウィザードを実行し、証明書利用者信頼を保存して、ウィザードを閉じます。

    メモ 表示名を入力するときは、管理ノードの証明書利用者 ID を使用します。これは、 Grid Manager のシングルサインオンページに表示される情報とまったく同じです。たとえば 'SG-DC1-ADM1' と入力します

  7. クレームルールを追加します。

    1. 信頼を右クリックし、 ［ * クレーム発行ポリシーの編集 * ］ を選択します。

    2. [ * ルールを追加 * （ Add rule * ） ] を

    3. ［ ルールテンプレートの選択 ］ ページで、リストから ［ * LDAP 属性をクレームとして送信 * ］ を選択し、 ［ * 次へ * ］ を選択します。

    4. ［ ルールの設定 ］ ページで、このルールの表示名を入力します。

      たとえば、 ObjectGUID to Name ID と入力します。

    5. 属性ストアで、 * Active Directory * を選択します。

    6. マッピングテーブルの LDAP 属性列に、 * objectGUID * と入力します。

    7. マッピングテーブルの発信クレームタイプ列で、ドロップダウンリストから * 名前 ID * を選択します。

    8. 「完了」を選択し、「 * OK 」を選択します。

  8. メタデータが正常にインポートされたことを確認します。

    1. 証明書利用者信頼を右クリックしてプロパティを開きます。

    2. [Endpoints] 、 [*Identifiers] 、および [Signature] タブのフィールドに値が入力されていることを確認します。

      メタデータがない場合は、フェデレーションメタデータアドレスが正しいことを確認するか、値を手動で入力します。

  9. 上記の手順を繰り返して、 StorageGRID システム内のすべての管理ノードに対して証明書利用者信頼を設定します。

  10. 完了したら、 StorageGRID に戻ってすべての証明書利用者信頼をテストし、正しく設定されていることを確認します。を参照してください サンドボックスモードを使用する 手順については、を参照し

証明書利用者信頼を手動で作成します

証明書利用者信頼のデータをインポートしないことを選択した場合は、値を手動で入力できます。

手順

  1. Windows Server Manager で、 * Tools * を選択し、 * AD FS Management * を選択します。

  2. Actions （アクション）で、 * Add （証明書利用者信頼の追加） * を選択します。

  3. [ ようこそ ] ページで、 [ * クレーム対応 * ] を選択し、 [ 開始 * ] を選択します。

  4. [ * 証明書利用者に関するデータを手動で入力する * ] を選択し、 [ * 次へ * ] を選択します。

  5. 証明書利用者信頼の追加ウィザードを実行します。

    1. この管理ノードの表示名を入力します。

      整合性を確保するために、管理ノードの証明書利用者 ID を使用してください。この ID は、 Grid Manager のシングルサインオンページに表示されます。たとえば 'SG-DC1-ADM1' と入力します

    2. オプションのトークン暗号化証明書を設定する手順は省略してください。

    3. ［ URL の設定 ］ ページで、 ［ * SAML 2.0 WebSSO プロトコルのサポートを有効にする * ］ チェックボックスをオンにします。

    4. 管理ノードの SAML サービスエンドポイントの URL を入力します。

      https://Admin_Node_FQDN/api/saml-response`

      「 Admin_Node_FQDN` 」には、管理ノードの完全修飾ドメイン名を入力します。（必要に応じて、ノードの IP アドレスを代わりに使用できます。ただし、 IP アドレスを入力した場合、その IP アドレスが変わったときには証明書利用者信頼を更新または再作成する必要があります）。

    5. Configure Identifiers ページで、同じ管理ノードの証明書利用者 ID を指定します。

      '_Admin_Node_Identifier

      「 Admin_Node_Identifier 」には、管理ノードの証明書利用者識別子を入力します。これは、 Single Sign-On ページに表示されるとおりです。たとえば 'SG-DC1-ADM1' と入力します

    6. 設定を確認し、証明書利用者信頼を保存して、ウィザードを閉じます。

      [ クレーム発行ポリシーの編集 ] ダイアログボックスが表示されます。

    メモ ダイアログボックスが表示されない場合は、信頼を右クリックし、 * クレーム発行ポリシーの編集 * を選択します。

  6. ［ クレームルール ］ ウィザードを開始するには、 ［ * ルールの追加 * ］ を選択します。

    1. ［ ルールテンプレートの選択 ］ ページで、リストから ［ * LDAP 属性をクレームとして送信 * ］ を選択し、 ［ * 次へ * ］ を選択します。

    2. ［ ルールの設定 ］ ページで、このルールの表示名を入力します。

      たとえば、 ObjectGUID to Name ID と入力します。

    3. 属性ストアで、 * Active Directory * を選択します。

    4. マッピングテーブルの LDAP 属性列に、 * objectGUID * と入力します。

    5. マッピングテーブルの発信クレームタイプ列で、ドロップダウンリストから * 名前 ID * を選択します。

    6. 「完了」を選択し、「 * OK 」を選択します。

  7. 証明書利用者信頼を右クリックしてプロパティを開きます。

  8. [* Endpoints] タブで、シングルログアウト（ SLO ）のエンドポイントを設定します。

    1. 「 * SAML を追加」を選択します。

    2. [* Endpoint Type*>*SAML Logout*] を選択します。

    3. 「 * Binding * > * Redirect * 」を選択します。

    4. [Trusted URL] フィールドに、この管理ノードからのシングルログアウト（ SLO ）に使用する URL を入力します。

      https://Admin_Node_FQDN/api/saml-logout`

    「 Admin_Node_FQDN` 」には、管理ノードの完全修飾ドメイン名を入力します。（必要に応じて、ノードの IP アドレスを代わりに使用できます。ただし、 IP アドレスを入力した場合、その IP アドレスが変わったときには証明書利用者信頼を更新または再作成する必要があります）。

    1. 「 * OK 」を選択します。

  9. [* Signature*] タブで、この証明書利用者信頼の署名証明書を指定します。

    1. カスタム証明書を追加します。

      • StorageGRID にアップロードしたカスタム管理証明書がある場合は、その証明書を選択します。

      • カスタム証明書がない場合は、管理ノードにログインし、管理ノードの /var/local/mgmt-api ディレクトリに移動して、「 custom-server.crt 」証明書ファイルを追加します。

        • 注意： * 管理ノードのデフォルト証明書 (server.crt') の使用はお勧めしません。管理ノードで障害が発生した場合、ノードをリカバリする際にデフォルトの証明書が再生成されるため、証明書利用者信頼を更新する必要があります。

    2. [ * 適用（ Apply ） ] を選択し、 [ * OK] を選択します。

      証明書利用者のプロパティが保存されて閉じられます。

  10. 上記の手順を繰り返して、 StorageGRID システム内のすべての管理ノードに対して証明書利用者信頼を設定します。

  11. 完了したら、 StorageGRID に戻ってすべての証明書利用者信頼をテストし、正しく設定されていることを確認します。を参照してください サンドボックスモードを使用する 手順については、を参照し