Skip to main content
本製品の最新リリースがご利用いただけます。
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

AD FS で StorageGRID の証明書利用者信頼を作成します

PDF

システム内の各管理ノードに対して、Active Directory フェデレーション サービス (AD FS) を使用して証明書利用者信頼を作成する必要があります。証明書利用者信頼を作成するには、PowerShell コマンドを使用する方法、StorageGRID から SAML メタデータをインポートする方法、またはデータを手動で入力する方法があります。

開始する前に

  • StorageGRID のシングル サインオンを設定し、SSO タイプとして「AD FS」を選択しました。

  • Grid Manager に "サンドボックスモードに入りました" があります。

  • システム内の各管理ノードについて、完全修飾ドメイン名（またはIPアドレス）と証明書利用者識別子を把握している必要があります。これらの値は、StorageGRID の「SSO の設定」ページにある管理ノードの詳細テーブルで確認できます。

    メモ StorageGRID システムの管理ノードごとに、証明書利用者信頼を作成する必要があります。各管理ノードに証明書利用者信頼を設定することで、ユーザーはどの管理ノードにも安全にサインインおよびサインアウトできるようになります。

  • AD FS で証明書利用者信頼を作成した経験があるか、または Microsoft AD FS のドキュメントを参照できる環境にあること。

  • AD FS Management スナップインを使用しており、Administrators グループに属しています。

  • 証明書利用者信頼を手動で作成する場合は、StorageGRID 管理インターフェイス用にアップロードされたカスタム証明書を持っているか、またはコマンドシェルから管理ノードにログインする方法を知っている必要があります。

タスク概要

これらの手順は、Windows Server 2016 AD FS に適用されます。AD FS の異なるバージョンを使用している場合は、手順に若干の違いがあります。ご不明な点がある場合は、Microsoft AD FS のドキュメントを参照してください。

Windows PowerShell を使用して証明書利用者信頼を作成する

Windows PowerShell を使用して、1つまたは複数の証明書利用者信頼をすばやく作成できます。

手順

  1. Windows のスタートメニューから、PowerShell アイコンを右クリックし、「管理者として実行」を選択します。

  2. PowerShell コマンドプロンプトで、次のコマンドを入力します：

    Add-AdfsRelyingPartyTrust -Name "Admin_Node_Identifer" -MetadataURL "https://Admin_Node_FQDN/api/saml-metadata"

    • Admin_Node_Identifier`には、シングル サインオンページに表示されているとおりに、管理ノードの証明書利用者識別子を入力してください。例： `SG-DC1-ADM1。

    • `Admin_Node_FQDN`には、同じ管理ノードの完全修飾ドメイン名を入力してください。（必要に応じて、ノードの IP アドレスを使用することもできます。ただし、ここに IP アドレスを入力した場合、その IP アドレスが変更されたときは、この証明書利用者信頼を更新または再作成する必要があることに注意してください。）

  3. Windows Server Manager から、ツール > AD FS Management を選択します。

    AD FS管理ツールが表示されます。

  4. AD FS > Relying Party Trusts を選択します。

    証明書利用者信頼の一覧が表示されます。

  5. 新しく作成した証明書利用者信頼にアクセス制御ポリシーを追加します。

    1. 先ほど作成した証明書利用者信頼を見つけます。

    2. 信頼関係を右クリックし、アクセス制御ポリシーの編集 を選択します。

    3. アクセス制御ポリシーを選択します。

    4. 「適用」を選択し、「OK」を選択します。

  6. 新しく作成した証明書利用者信頼に、クレーム発行ポリシーを追加します。

    1. 先ほど作成した証明書利用者信頼を見つけます。

    2. 信頼を右クリックし、「クレーム発行ポリシーの編集」を選択します。

    3. 「ルールを追加」を選択します。

    4. 「ルールテンプレートの選択」ページで、リストから「LDAP 属性をクレームとして送信する」を選択し、「次へ」を選択します。

    5. 「ルール設定」ページで、このルールの表示名を入力します。

      例えば、ObjectGUID to Name ID または UPN to Name ID など。

    6. 属性ストアには、Active Directory を選択してください。

    7. マッピングテーブルの「LDAP属性」列に、objectGUID と入力するか、User-Principal-Name を選択します。

    8. マッピングテーブルの「送信要求タイプ」列で、ドロップダウンリストから「Name ID」を選択します。

    9. 「完了」を選択し、「OK」を選択します。

  7. メタデータが正常にインポートされたことを確認してください。

    1. 依拠当事者トラストを右クリックして、そのプロパティを開きます。

    2. 「エンドポイント」、「識別子」、「署名」タブの各フィールドに入力されていることを確認してください。

      メタデータが欠落している場合は、フェデレーションのメタデータアドレスが正しいことを確認するか、値を手動で入力してください。

  8. 以下の手順を繰り返して、StorageGRID システム内のすべての管理ノードの証明書利用者信頼を構成します。

  9. 完了したら、StorageGRID に戻り、"すべての証明書利用者信頼をテストする"正しく設定されていることを確認してください。

フェデレーションメタデータをインポートして証明書利用者信頼を作成する

各管理ノードのSAMLメタデータにアクセスすることで、各証明書利用者信頼の値をインポートできます。

手順

  1. Windows Server Managerで、*ツール*を選択し、次に*AD FS Management*を選択します。

  2. 「アクション」で「証明書利用者信頼の追加」を選択します。

  3. ようこそページで、*クレーム対応*を選択し、*開始*を選択します。

  4. 「オンラインまたはローカルネットワークで公開されている依拠当事者に関するデータをインポートする」を選択します。

  5. *フェデレーションメタデータアドレス（ホスト名またはURL）*に、この管理ノードのSAMLメタデータの場所を入力します。

    https://Admin_Node_FQDN/api/saml-metadata

    `_Admin_Node_FQDN_`には、同じ管理ノードの完全修飾ドメイン名を入力してください。（必要に応じて、ノードの IP アドレスを使用することもできます。ただし、ここに IP アドレスを入力した場合、その IP アドレスが変更されたときは、この証明書利用者信頼を更新または再作成する必要があることに注意してください。）

  6. 証明書利用者信頼ウィザードを完了し、証明書利用者信頼を保存して、ウィザードを閉じます。

    メモ 表示名を入力する際は、Grid Manager のシングル サインオンページに表示されているとおりに、管理ノードの証明書利用者識別子を使用してください。例えば、 SG-DC1-ADM1。

  7. クレームルールを追加します：

    1. 信頼を右クリックし、「クレーム発行ポリシーの編集」を選択します。

    2. 「ルールを追加」を選択します：

    3. 「ルールテンプレートの選択」ページで、リストから「LDAP 属性をクレームとして送信する」を選択し、「次へ」を選択します。

    4. 「ルール設定」ページで、このルールの表示名を入力します。

      例えば、ObjectGUID to Name ID または UPN to Name ID など。

    5. 属性ストアには、Active Directory を選択してください。

    6. マッピングテーブルの「LDAP属性」列に、objectGUID と入力するか、User-Principal-Name を選択します。

    7. マッピングテーブルの「送信要求タイプ」列で、ドロップダウンリストから「Name ID」を選択します。

    8. 「完了」を選択し、「OK」を選択します。

  8. メタデータが正常にインポートされたことを確認してください。

    1. 依拠当事者トラストを右クリックして、そのプロパティを開きます。

    2. 「エンドポイント」、「識別子」、「署名」タブの各フィールドに入力されていることを確認してください。

      メタデータが欠落している場合は、フェデレーションのメタデータアドレスが正しいことを確認するか、値を手動で入力してください。

  9. 以下の手順を繰り返して、StorageGRID システム内のすべての管理ノードの証明書利用者信頼を構成します。

  10. 完了したら、StorageGRID に戻り、"すべての証明書利用者信頼をテストする"正しく設定されていることを確認してください。

証明書利用者信頼を手動で作成する

証明書利用者信頼のデータをインポートしない場合は、値を手動で入力できます。

手順

  1. Windows Server Managerで、*ツール*を選択し、次に*AD FS Management*を選択します。

  2. 「アクション」で「証明書利用者信頼の追加」を選択します。

  3. ようこそページで、*クレーム対応*を選択し、*開始*を選択します。

  4. 「依拠当事者に関するデータを手動で入力」を選択し、「次へ」を選択します。

  5. 証明書利用者信頼ウィザードを完了します。

    1. この管理ノードの表示名を入力してください。

      一貫性を保つため、管理者ノードの証明書利用者識別子は、グリッドマネージャーのシングル サインオンページに表示されているとおりに使用してください。例えば、 SG-DC1-ADM1。

    2. オプションのトークン暗号化証明書を設定する手順はスキップしてください。

    3. 「URLの設定」ページで、「SAML 2.0 WebSSO プロトコルのサポートを有効にする」チェックボックスを選択します。

    4. 管理ノードの SAML サービスエンドポイント URL を入力してください：

      https://Admin_Node_FQDN/api/saml-response

      `_Admin_Node_FQDN_`には、管理ノードの完全修飾ドメイン名を入力してください。（必要に応じて、ノードの IP アドレスを使用することもできます。ただし、ここに IP アドレスを入力した場合、その IP アドレスが変更されたときは、この証明書利用者信頼を更新または再作成する必要があることに注意してください。）

    5. 「識別子の設定」ページで、同じ管理ノードの証明書利用者識別子を指定します。

      Admin_Node_Identifier

      `_Admin_Node_Identifier_`には、シングル サインオンページに表示されているとおりに、管理ノードの証明書利用者識別子を入力してください。例： `SG-DC1-ADM1`。

    6. 設定を確認し、依拠当事者の信頼関係を保存して、ウィザードを閉じます。

      「請求発行ポリシーの編集」ダイアログボックスが表示されます。

    メモ ダイアログボックスが表示されない場合は、トラストを右クリックして、Edit claim issuance policy を選択してください。

  6. クレームルールウィザードを開始するには、*ルールの追加*を選択します：

    1. 「ルールテンプレートの選択」ページで、リストから「LDAP 属性をクレームとして送信する」を選択し、「次へ」を選択します。

    2. 「ルール設定」ページで、このルールの表示名を入力します。

      例えば、ObjectGUID to Name ID または UPN to Name ID など。

    3. 属性ストアには、Active Directory を選択してください。

    4. マッピングテーブルの「LDAP属性」列に、objectGUID と入力するか、User-Principal-Name を選択します。

    5. マッピングテーブルの「送信要求タイプ」列で、ドロップダウンリストから「Name ID」を選択します。

    6. 「完了」を選択し、「OK」を選択します。

  7. 依拠当事者トラストを右クリックして、そのプロパティを開きます。

  8. 「エンドポイント」タブで、シングル ログアウト（SLO）用のエンドポイントを設定します：

    1. 「SAML を追加」を選択します。

    2. エンドポイントタイプ > SAML ログアウト を選択します。

    3. 「Binding」>「Redirect」を選択します。

    4. 「Trusted URL」フィールドに、この管理ノードからのシングルログアウト（SLO）に使用するURLを入力します：

      https://Admin_Node_FQDN/api/saml-logout

      `_Admin_Node_FQDN_`には、管理ノードの完全修飾ドメイン名を入力してください。（必要に応じて、ノードのIPアドレスを使用することもできます。ただし、ここにIPアドレスを入力した場合、そのIPアドレスが変更された際には、この証明書利用者信頼を更新または再作成する必要があることに注意してください。）

    5. 「OK」を選択します。

  9. 「署名」タブで、この証明書利用者信頼の署名証明書を指定します。

    1. カスタム証明書を追加します：

      • StorageGRID にアップロードしたカスタム管理証明書がある場合は、その証明書を選択してください。

      • カスタム証明書をお持ちでない場合は、管理ノードにログインし、管理ノードの `/var/local/mgmt-api`ディレクトリに移動して、 `custom-server.crt`証明書ファイルを追加してください。

        メモ 管理ノードのデフォルト証明書を使用する（(server.crt）ことは推奨されません。管理ノードに障害が発生した場合、ノードを復旧するとデフォルトの証明書が再生成されるため、証明書利用者の信頼関係を更新する必要があります。

    2. 「適用」を選択し、「OK」を選択します。

      証明書利用者のプロパティが保存され、閉じられます。

  10. 以下の手順を繰り返して、StorageGRID システム内のすべての管理ノードの証明書利用者信頼を構成します。

  11. 完了したら、StorageGRID に戻り、"すべての証明書利用者信頼をテストする"正しく設定されていることを確認してください。