Skip to main content
本製品の最新リリースがご利用いただけます。
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

PingFederateでStorageGRID用のサービスプロバイダー接続を作成する

PDF

PingFederate を使用して、システム内の各管理ノードのサービスプロバイダー（SP）接続を作成します。処理を高速化するために、StorageGRID から SAML メタデータをインポートします。

開始する前に

  • StorageGRID のシングル サインオンを設定し、SSO タイプとして「Ping Federate」を選択しました。

  • Grid Manager に "サンドボックスモードに入りました" があります。

  • システム内の各管理ノードの SP connection ID を確認しておきます。これらの値は、「SSO の設定」ページの管理ノード詳細テーブルで確認できます。

  • システム内の各管理ノードのSAMLメタデータをダウンロードしました。

  • PingFederate Server で SP 接続を作成した経験があります。

  • PingFederate Server のhttps://docs.pingidentity.com/pingfederate/latest/administrators_reference_guide/pf_administrators_reference_guide.html["管理者向けリファレンスガイド"^]があります。PingFederate のドキュメントには、詳細な手順と説明が記載されています。

  • PingFederate Server の"管理者権限"があります。

タスク概要

これらの手順は、StorageGRID のSSOプロバイダーとしてPingFederate サーバーバージョン10.3を設定する方法をまとめたものです。別のバージョンのPingFederateを使用している場合は、これらの手順を適宜調整する必要があります。ご使用のリリースに関する詳細な手順については、PingFederate サーバーのドキュメントを参照してください。

PingFederate の前提条件を完了する

StorageGRID に使用する SP 接続を作成する前に、PingFederate で前提条件となるタスクを完了する必要があります。これらの前提条件からの情報は、SP 接続を設定する際に使用します。

データストアを作成します

まだ作成していない場合は、PingFederate を AD FS LDAPサーバに接続するためのデータストアを作成してください。StorageGRID で"IDフェデレーションの設定"際に使用した値を使用してください。

  • タイプ：ディレクトリ （LDAP）

  • LDAPタイプ：Active Directory

  • バイナリ属性名：LDAPバイナリ属性タブに、表示されているとおりに*objectGUID*を入力してください。

パスワード認証情報バリデーターを作成します

まだ作成していない場合は、パスワード認証情報検証ツールを作成してください。

  • タイプ： LDAP ユーザー名パスワード認証情報検証ツール

  • データストア：作成したデータストアを選択してください。

  • 検索ベース：LDAPから情報を入力します（例：DC=saml、DC=sgws）。

  • 検索フィルター: sAMAccountName=${username}

  • スコープ：サブツリー

IdPアダプターインスタンスを作成します

まだ作成していない場合は、IdPアダプタインスタンスを作成してください。

手順

  1. Authentication > Integration > IdP Adapters に移動します。

  2. 「新規インスタンスの作成」を選択します。

  3. 「タイプ」タブで、「HTML Form IdP Adapter」を選択します。

  4. 「IdP Adapter」タブで、*「Credential Validators」に新しい行を追加する*を選択します。

  5. 作成したパスワード認証情報検証ツールを選択します。

  6. アダプター属性タブで、Pseudonym の username 属性を選択します。

  7. * 保存 * を選択します。

署名証明書を作成またはインポートします

まだ作成していない場合は、署名証明書を作成またはインポートしてください。

手順

  1. [セキュリティ] ＞ [署名と復号化の鍵と証明書] に移動します。

  2. 署名証明書を作成またはインポートします。

PingFederate で SP 接続を作成する

PingFederate で SP 接続を作成する際、StorageGRID から管理ノード用にダウンロードした SAML メタデータをインポートします。メタデータファイルには、必要な多くの具体的な値が含まれています。

ヒント StorageGRID システムの管理ノードごとに SP 接続を作成する必要があります。これにより、ユーザーはどのノードにも安全にサインインおよびサインアウトできます。これらの手順を使用して、最初の SP 接続を作成します。次に、追加のSP接続を作成するに移動して、必要な追加の接続を作成します。

SP接続タイプの選択

手順

  1. アプリケーション > 統合 > SP Connections に移動します。

  2. 「接続の作成」を選択します。

  3. 「この接続にはテンプレートを使用しない」を選択します。

  4. プロトコルとして Browser SSO Profiles と SAML 2.0 を選択します。

SPメタデータのインポート

手順

  1. 「メタデータのインポート」タブで、「ファイル」を選択します。

  2. 管理ノードの「SSO設定」ページからダウンロードしたSAMLメタデータファイルを選択してください。

  3. メタデータ概要と「一般情報」タブに記載されている情報を確認してください。

    パートナーのエンティティ ID と接続名は、StorageGRID SP 接続 ID に設定されます。（例：10.96.105.200-DC1-ADM1-105-200）。ベース URL は StorageGRID 管理ノードの IP です。

  4. Next を選択します。

IdPブラウザSSOの設定

手順

  1. ブラウザSSOタブから、*ブラウザSSOの設定*を選択します。

  2. SAMLプロファイルタブで、SP-initiated SSO、SP-initial SLO、IdP-initiated SSO、*IdP-initiated SLO*のオプションを選択します。

  3. Next を選択します。

  4. 「アサーションの有効期間」タブでは、何も変更しないでください。

  5. 「アサーション作成」タブで、「アサーション作成の設定」を選択します。

    1. 「IDマッピング」タブで、*標準*を選択します。

    2. 属性契約タブで、属性契約として SAML_SUBJECT を使用し、インポートされた未指定の名前形式を使用します。

  6. 契約を延長する場合は、*削除*を選択して、使用されていない `urn:oid`を削除します。

マップアダプタインスタンス

手順

  1. 「Authentication Source Mapping」タブで、「Map New Adapter Instance」を選択します。

  2. アダプターインスタンスタブで、作成したアダプターインスタンスを選択します。

  3. 「マッピング方法」タブで、「データストアから追加属性を取得する」を選択します。

  4. 「Attribute Source & User Lookup」タブで、「Add Attribute Source」を選択します。

  5. データ ストア タブで、説明を入力し、追加した データストア を選択します。

  6. LDAP ディレクトリ検索タブで：

    • *ベースDN*を入力してください。この値は、LDAPサーバのStorageGRIDに入力した値と完全に一致する必要があります。

    • 検索範囲として、*サブツリー*を選択します。

    • ルートオブジェクトクラスの場合、次の属性のいずれかを検索して追加します：objectGUID または userPrincipalName。

  7. 「LDAP Binary Attribute Encoding Types」タブで、objectGUID 属性に対して Base64 を選択します。

  8. LDAPフィルタータブで、sAMAccountName=${username} と入力します。

  9. 属性契約履行タブで、ソースドロップダウンから LDAP （属性） を選択し、値ドロップダウンから objectGUID または userPrincipalName を選択します。

  10. 属性ソースを確認してから保存してください。

  11. 「Failsave Attribute Source」タブで、「SSO トランザクションを中止する」を選択します。

  12. 概要を確認し、*完了*を選択します。

  13. 「完了」を選択します。

プロトコル設定を構成する

手順

  1. SP接続 > ブラウザー SSO > プロトコル設定 タブで、プロトコル設定の構成 を選択します。

  2. 「アサーション コンシューマー サービス URL」タブで、StorageGRID SAMLメタデータからインポートされたデフォルト値（バインディングの場合は POST、エンドポイント URL の場合は /api/saml-response）をそのまま使用します。

  3. SLO サービス URL タブで、StorageGRID SAML メタデータからインポートされたデフォルト値（バインディングの場合は REDIRECT、エンドポイント URL の場合は /api/saml-logout）をそのまま使用します。

  4. 「許可されたSAMLバインディング」タブで、ARTIFACT と SOAP のチェックを外します。POST と REDIRECT のみが必須です。

  5. 「署名ポリシー」タブで、「認証要求に署名を要求する」と「常にアサーションに署名する」のチェックボックスをオンにしたままにします。

  6. 「暗号化ポリシー」タブで、*なし*を選択します。

  7. 概要を確認し、*完了*を選択してプロトコル設定を保存します。

  8. 概要を確認し、*完了*を選択してブラウザの SSO 設定を保存します。

クレデンシャルを設定

手順

  1. 「SP接続」タブで、Credentials を選択します。

  2. 「認証情報」タブから「認証情報の構成」を選択します。

  3. 作成またはインポートした署名証明書を選択します。

  4. 次へ を選択して 署名検証設定の管理 に進みます。

    1. 「信頼モデル」タブで、「アンカーなし」を選択します。

    2. 署名検証証明書タブで、StorageGRID SAMLメタデータからインポートされた署名証明書情報を確認します。

  5. 概要画面を確認し、*保存*を選択してSP接続を保存します。

追加のSP接続を作成する

最初の SP 接続をコピーして、グリッド内の各管理ノードに必要な SP 接続を作成できます。各コピーに新しいメタデータをアップロードします。

メモ 異なる管理ノードの SP 接続では、パートナーのエンティティ ID、ベース URL、接続 ID、接続名、署名検証、および SLO 応答 URL を除き、同一の設定が使用されます。
手順

  1. 追加の管理ノードごとに最初の SP 接続のコピーを作成するには、アクション > コピー を選択します。

  2. コピー先の接続IDと接続名を入力し、*保存*を選択します。

  3. 管理ノードに対応するメタデータファイルを選択します。

    1. アクション > *メタデータで更新*を選択します。

    2. 「ファイルを選択」を選択し、メタデータをアップロードしてください。

    3. Next を選択します。

    4. * 保存 * を選択します。

  4. 未使用の属性が原因で発生するエラーを解決します。

    1. 新しい接続を選択します。

    2. 「Configure Browser SSO」>「Configure Assertion Creation」>「Attribute Contract」を選択します。

    3. urn:oid のエントリを削除します。

    4. * 保存 * を選択します。