Skip to main content
本製品の最新リリースがご利用いただけます。
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

StorageGRID で SSO を設定

PDF

SSO 構成ウィザードに従ってサンドボックスモードに入り、すべての StorageGRID ユーザーに対して有効にする前に、シングル サインオン（SSO）を構成してテストすることができます。SSO を有効にした後、必要に応じてサンドボックスモードに戻り、設定を変更したり再テストしたりすることができます。

開始する前に

  • "対応ウェブブラウザ" を使用して Grid Manager にサインインしています。

  • あなたは"ルートアクセス権限"があります。

  • StorageGRID システムの ID フェデレーションを設定しました。

  • IDフェデレーションの*LDAPサービスタイプ*については、使用予定の SSO ID プロバイダーに基づいて、Active Directory または Entra ID のいずれかを選択しました。

    構成済みのLDAPサービスタイプ SSO IDプロバイダーのオプション

    Active Directory フェデレーション サービス (AD FS)

    • Active Directory

    • Entra ID

    • PingFederate

    Entra ID

    Entra ID
タスク概要

SSOが有効になっていて、ユーザーが管理ノードにサインインしようとすると、StorageGRIDはSSO IDプロバイダーに認証要求を送信します。続いて、SSO IDプロバイダーはStorageGRIDに認証応答を返信し、認証要求が成功したかどうかを示します。リクエストが成功した場合：

  • Active Directory または PingFederate からの応答には、ユーザーの汎用一意識別子（UUID）が含まれます。

  • Entra ID からの応答には、ユーザープリンシパル名（UPN）が含まれています。

StorageGRID （サービスプロバイダー）と SSO ID プロバイダーがユーザ認証リクエストについて安全に通信できるようにするには、次のタスクを実行します：

  1. StorageGRID で設定を構成します。

  2. SSO ID プロバイダーのソフトウェアを使用して、各管理ノードの証明書利用者信頼 （AD FS）、エンタープライズ アプリケーション （Entra ID）、またはサービス プロバイダー （PingFederate）を作成します。

  3. StorageGRID に戻り、SSO を有効にします。

サンドボックスモードを使用すると、このような設定のやり取りを簡単に実行でき、SSOを有効にする前にすべての設定をテストできます。サンドボックスモードを使用している場合、ユーザーはSSOを使用してサインインできません。

ウィザードにアクセスする

手順

  1. Configuration > Access control > Single sign-on を選択します。シングル サインオン ページが表示されます。

    メモ 「SSO設定の構成」ボタンが無効になっている場合は、IDプロバイダーをフェデレーションIDソースとして構成したことを確認してください。"シングル サインオンの要件と考慮事項"を参照してください。

  2. 「SSO設定の構成」を選択します。「IDプロバイダーの詳細を入力」ページが表示されます。

IDプロバイダーの詳細を入力してください

手順

  1. ドロップダウンリストから SSO タイプ を選択してください。

  2. SSO の種類として Active Directory を選択した場合は、Active Directory フェデレーション サービス （AD FS） に表示されているとおりに、ID プロバイダーの フェデレーション サービス名 を入力してください。

    メモ フェデレーションサービス名を確認するには、Windows Server Manager を開きます。「ツール」 > 「AD FS 管理」を選択します。「アクション」メニューから「フェデレーションサービスのプロパティを編集」を選択します。フェデレーションサービス名は 2 番目のフィールドに表示されます。

  3. ID プロバイダーが StorageGRID リクエストに応答して SSO 構成情報を送信する際に、接続を保護するために使用される TLS 証明書を指定します。

    • オペレーティングシステムのCA証明書を使用する：オペレーティングシステムにインストールされているデフォルトのCA証明書を使用して接続を保護します。

    • カスタムCA証明書を使用する：カスタムCA証明書を使用して接続を保護します。

      この設定を選択した場合は、カスタム証明書のテキストをコピーして、CA Certificate テキストボックスに貼り付けてください。

    • TLS を使用しない：接続を保護するために TLS 証明書を使用しません。

      注意 CA証明書を変更する場合は、すぐに"管理ノードで mgmt-api サービスを再起動します。"して、Grid ManagerへのSSOが正常に確立されるかどうかをテストしてください。

  4. 「続行」を選択してください。「依拠当事者識別子を提供する」ページが表示されます。

依拠当事者識別子を指定してください

  1. 選択した SSO タイプに基づいて、「証明書利用者識別子の提供」ページの各項目を入力してください。

    Active Directory

    1. StorageGRID の 依拠当事者識別子 を指定します。この値は、AD FS における各証明書利用者信頼に使用する名前を制御します。

      • 例えば、グリッドに管理ノードが 1 つしかなく、今後管理ノードを追加する予定がない場合は、 `SG`または `StorageGRID`と入力します。

      • グリッドに複数の管理ノードが含まれている場合は、識別子に文字列 [HOSTNAME]`を含めてください。例： `SG-[HOSTNAME]。この文字列を含めると、グリッド内の各管理ノードのホスト名に基づいて、そのノードの依拠パーティ識別子を示すテーブルが作成されます。

        メモ StorageGRID システムの管理ノードごとに、証明書利用者信頼を作成する必要があります。各管理ノードに証明書利用者信頼を設定することで、ユーザーはどの管理ノードにも安全にサインインおよびサインアウトできるようになります。

    2. 「保存してサンドボックスモードに入る」を選択します。

    Entra ID

    1. エンタープライズアプリケーションセクションで、StorageGRID の エンタープライズアプリケーション名 を指定します。この値は、Entra ID で各エンタープライズアプリケーションに使用する名前を制御します。

      • 例えば、グリッドに管理ノードが 1 つしかなく、今後管理ノードを追加する予定がない場合は、 `SG`または `StorageGRID`と入力します。

      • グリッドに複数の管理ノードが含まれている場合は、識別子に文字列 [HOSTNAME]`を含めてください。例： `SG-[HOSTNAME]。この文字列を含めると、システム内の各管理ノードのホスト名に基づいて、各ノードのエンタープライズアプリケーション名を表示する表が作成されます。

        メモ StorageGRID システムの管理ノードごとにエンタープライズアプリケーションを作成する必要があります。各管理ノードにエンタープライズアプリケーションを用意することで、ユーザーはどの管理ノードにも安全にサインインおよびサインアウトできるようになります。

    2. "Entra IDでエンタープライズアプリケーションを作成する"の手順に従って、表に記載されている各管理ノードのエンタープライズアプリケーションを作成します。

    3. Entra IDから、各エンタープライズアプリケーションのフェデレーションメタデータURLをコピーします。次に、このURLをStorageGRIDの対応する Federation メタデータ URL フィールドに貼り付けます。

    4. すべての管理ノードのフェデレーションメタデータURLをコピーして貼り付けたら、*保存してサンドボックスモードに入る*を選択します。

    PingFederate

    1. サービスプロバイダー（SP）セクションでは、StorageGRID の SP 接続 ID を指定します。この値は、PingFederate の各 SP 接続に使用する名前を制御します。

      • 例えば、グリッドに管理ノードが 1 つしかなく、今後管理ノードを追加する予定がない場合は、 `SG`または `StorageGRID`と入力します。

      • グリッドに複数の管理ノードが含まれている場合は、識別子に文字列 [HOSTNAME]`を含めてください。例： `SG-[HOSTNAME]。この文字列を含めると、ノードのホスト名に基づいて、システム内の各管理ノードの SP 接続 ID を示す表が表示されます。

        メモ StorageGRID システムの管理ノードごとに SP 接続を作成する必要があります。各管理ノードに SP 接続を設定することで、ユーザーはどの管理ノードにも安全にサインインおよびサインアウトできます。

    2. フェデレーションメタデータURL フィールドに、各管理ノードのフェデレーションメタデータURLを指定します。

      次の形式を使用してください。

      https://<Federation Service Name>:<port>/pf/federation_metadata.ping?PartnerSpId=<SP Connection ID>

    3. 「保存してサンドボックスモードに入る」を選択します。

証明書利用者信頼、エンタープライズ アプリケーション、または SP 接続の設定

設定を保存してサンドボックスモードに入ると、選択したSSOタイプの設定を完了してテストできます。

StorageGRID は、必要に応じてサンドボックスモードを維持できます。ただし、サインインできるのはフェデレーションユーザーとローカルユーザーのみです。

Active Directory
手順

  1. Active Directory フェデレーション サービス (AD FS) にアクセスしてください。

  2. StorageGRID の証明書利用者信頼を1つ以上作成します。その際、「SSO の設定」ページの表に示されている各証明書利用者識別子を使用してください。

    表に示されている各管理ノードに対して、1つの信頼関係を作成する必要があります。

    手順については、"AD FSで証明書利用者信頼を作成する"をご覧ください。

Entra ID
手順

  1. 現在サインインしている管理ノードのシングル サインオン ページから、SAML メタデータをダウンロードして保存するボタンを選択してください。

  2. 次に、グリッド内の他の管理ノードについても、以下の手順を繰り返してください。

    1. ノードにサインインします。

    2. 設定 ＞ アクセス制御 ＞ シングル サインオン を選択します。

    3. そのノードのSAMLメタデータをダウンロードして保存します。

  3. Azureポータルにアクセスしてください。

  4. "Entra IDでエンタープライズアプリケーションを作成する"の手順に従って、各管理ノードのSAMLメタデータファイルを対応するEntra IDエンタープライズアプリケーションにアップロードしてください。

PingFederate
手順

  1. 現在サインインしている管理ノードのシングル サインオン ページから、SAML メタデータをダウンロードして保存するボタンを選択してください。

  2. 次に、グリッド内の他の管理ノードについても、以下の手順を繰り返してください。

    1. ノードにサインインします。

    2. 設定 ＞ アクセス制御 ＞ シングル サインオン を選択します。

    3. そのノードのSAMLメタデータをダウンロードして保存します。

  3. PingFederate に移動します。

  4. "StorageGRID 用に 1 つ以上のサービス プロバイダー （SP） 接続を作成します"。各管理ノードの SP 接続 ID （「SSO の設定」ページの表に表示）と、その管理ノード用にダウンロードした SAML メタデータを使用してください。

    表に示されている各管理ノードに対して、SP 接続を 1 つ作成する必要があります。

テスト構成

StorageGRID システム全体にシングル サインオンの使用を強制する前に、各管理ノードに対してシングル サインオンとシングルログアウトが正しく設定されていることを確認してください。

Active Directory
手順

  1. 「SSO の設定」ページから、ウィザードの「設定のテスト」手順にあるリンクを確認します。

    URLは、*フェデレーションサービス名*フィールドに入力した値から生成されます。

  2. リンクを選択するか、URLをコピーしてブラウザに貼り付けて、IDプロバイダーのサインオンページにアクセスしてください。

  3. SSO を使用して StorageGRID にサインインできることを確認するには、「次のサイトのいずれかにサインイン」を選択し、プライマリ管理ノードの証明書利用者識別子を選択して、「サインイン」を選択します。

  4. フェデレーションユーザー名とパスワードを入力してください。

    • SSOのサインインとログアウト操作が成功すると、成功メッセージが表示されます。

    • SSO操作が失敗した場合、エラーメッセージが表示されます。問題を修正し、ブラウザのCookieを削除してから、もう一度お試しください。

  5. グリッド内の各管理ノードについて、以下の手順を繰り返してSSO接続を確認してください。

Entra ID
手順

  1. Azure ポータルのシングル サインオン ページにアクセスしてください。

  2. 「このアプリケーションをテストする」を選択してください。

  3. フェデレーションユーザーの認証情報を入力してください。

    • SSOのサインインとログアウト操作が成功すると、成功メッセージが表示されます。

    • SSO操作が失敗した場合、エラーメッセージが表示されます。問題を修正し、ブラウザのCookieを削除してから、もう一度お試しください。

  4. グリッド内の各管理ノードについて、以下の手順を繰り返してSSO接続を確認してください。

PingFederate
手順

  1. 「SSO設定」ページから、サンドボックスモードメッセージの最初のリンクを選択します。

    一度に1つのリンクを選択してテストしてください。

  2. フェデレーションユーザーの認証情報を入力してください。

    • SSOのサインインとログアウト操作が成功すると、成功メッセージが表示されます。

    • SSO操作が失敗した場合、エラーメッセージが表示されます。問題を修正し、ブラウザのCookieを削除してから、もう一度お試しください。

  3. 次のリンクを選択して、グリッド内の各管理ノードの SSO 接続を確認してください。

    「ページ有効期限切れ」というメッセージが表示された場合は、ブラウザの「戻る」ボタンを選択し、再度認証情報を送信してください。

シングル サインオンを有効にする

各管理ノードへのサインインにSSOを使用できることを確認したら、StorageGRID システム全体でSSOを有効にできます。

ヒント SSOが有効になっている場合、すべてのユーザーは、グリッドマネージャ、テナントマネージャ、グリッド管理API、およびテナント管理APIにアクセスするためにSSOを使用する必要があります。ローカルユーザーはStorageGRIDにアクセスできなくなります。
手順

  1. SSO構成ウィザードの「テスト構成」ステップから、*SSOを有効にする*を選択します。

  2. 警告メッセージを確認し、*SSOを有効にする*を選択してください。

    シングル サインオンが有効になりました。シングル サインオンページが表示され、先ほど設定した SSO の詳細が表示されます。

  3. 設定を編集するには、*編集*を選択してください。

  4. シングル サインオンを無効にするには、*「SSOを無効にする」*を選択します。

ヒント Azure Portal を使用していて、Entra ID へのアクセスに使用するのと同じコンピューターから StorageGRID にアクセスする場合は、Azure Portal のユーザーが承認済みの StorageGRID ユーザー（StorageGRID にインポートされたフェデレーショングループに属するユーザー）であることを確認するか、StorageGRID へのサインインを試みる前に Azure Portal からログアウトしてください。