リクエストされたアーティクルはご利用いただけません。このバージョンの製品で扱われていないか、関連する情報がこのバージョンのドキュメントで別に扱われています。検索 / 参照しなおすか、別のバージョンに戻る場合は、こちらをクリックしてください.

日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

StorageGRID API を使用する場合、 Single Sign-On が有効になっている（Active Directory）

07/23/2026

PDF

"設定および有効化されたシングルサインオン（SSO）"を使用しており、Active Directory を SSO プロバイダーとして使用している場合は、Grid Management API または Tenant Management API で有効な認証トークンを取得するために、一連の API リクエストを発行する必要があります。

これらの手順は、SSOのIDプロバイダーとしてActive Directoryを使用している場合に適用されます。

開始する前に

StorageGRID ユーザーグループに属するフェデレーションユーザーの SSO ユーザー名とパスワードを把握しています。
テナント管理APIにアクセスするには、テナントアカウントIDを知っている必要があります。

タスク概要

認証トークンを取得するには、以下のいずれかの例を使用できます。

storagegrid-ssoauth.py Python スクリプトは、StorageGRID インストールファイルディレクトリ（(./rpms RHEL の場合、 ./debs Ubuntu または Debian の場合、 ./vsphere VMware の場合）にあります。
curlリクエストのワークフロー例。

curlワークフローは、実行速度が遅すぎるとタイムアウトする可能性があります。次のようなエラーが表示される場合があります： A valid SubjectConfirmation was not found on this Response。

この例のcurlワークフローでは、パスワードが他のユーザーに見られるのを防ぐことはできません。

URLエンコードに問題がある場合、次のようなエラーが表示されることがあります： Unsupported SAML version。

手順

認証トークンを取得するには、以下のいずれかの方法を選択してください。
- `storagegrid-ssoauth.py`Python スクリプトを使用します。ステップ 2 に進みます。
- curl リクエストを使用します。ステップ 3 に進みます。
`storagegrid-ssoauth.py`スクリプトを使用する場合は、Pythonインタープリタにスクリプトを渡して実行してください。

指示が表示されたら、以下の引数に値を入力してください。
- SSO方式。ADFS または adfs と入力してください。
- SSOユーザ名
- StorageGRID がインストールされているドメイン
- StorageGRID のアドレス
- テナント管理APIにアクセスする場合は、テナントアカウントIDが必要です。
StorageGRID 認証トークンが出力に含まれています。これで、SSO を使用していない場合と同様に、トークンを他のリクエストに使用できます。

curlリクエストを使用する場合は、以下の手順に従ってください。

ログインに必要な変数を宣言します。

export SAMLUSER='my-sso-username'
export SAMLPASSWORD='my-password'
export SAMLDOMAIN='my-domain'
export TENANTACCOUNTID='12345'
export STORAGEGRID_ADDRESS='storagegrid.example.com'
export AD_FS_ADDRESS='adfs.example.com'

グリッド管理APIにアクセスするには、0を `TENANTACCOUNTID`として使用します。

署名付き認証URLを受け取るには、 `/api/v3/authorize-saml`にPOSTリクエストを発行し、レスポンスから余分なJSONエンコーディングを削除します。

この例は、 `TENANTACCOUNTID`の署名付き認証 URL に対する POST リクエストを示しています。結果は `python -m json.tool`に渡され、JSON エンコーディングが削除されます。
```
curl -X POST "https://$STORAGEGRID_ADDRESS/api/v3/authorize-saml" \
  -H "accept: application/json" -H  "Content-Type: application/json" \
  --data "{\"accountId\": \"$TENANTACCOUNTID\"}" | python -m json.tool
```
この例に対する応答には、URLエンコードされた署名付きURLが含まれていますが、追加のJSONエンコード層は含まれていません。
```
{
    "apiVersion": "3.0",
    "data": "https://adfs.example.com/adfs/ls/?SAMLRequest=fZHLbsIwEEV%2FJTuv7...sSl%2BfQ33cvfwA%3D&RelayState=12345",
    "responseTime": "2018-11-06T16:30:23.355Z",
    "status": "success"
}
```
応答から取得した `SAMLRequest`を、後続のコマンドで使用するために保存します。
```
export SAMLREQUEST='fZHLbsIwEEV%2FJTuv7...sSl%2BfQ33cvfwA%3D'
```

AD FSからクライアントリクエストIDを含む完全なURLを取得します。

一つの方法として、前回のレスポンスのURLを使用してログインフォームをリクエストする方法があります。

curl "https://$AD_FS_ADDRESS/adfs/ls/?SAMLRequest=$SAMLREQUEST&RelayState=$TENANTACCOUNTID" | grep 'form method="post" id="loginForm"'

レスポンスにはクライアントリクエスト ID が含まれます：

<form method="post" id="loginForm" autocomplete="off" novalidate="novalidate" onKeyPress="if (event && event.keyCode == 13) Login.submitLoginRequest();" action="/adfs/ls/?
SAMLRequest=fZHRToMwFIZfhb...UJikvo77sXPw%3D%3D&RelayState=12345&client-request-id=00000000-0000-0000-ee02-0080000000de" >

レスポンスからクライアントリクエストIDを保存します。
```
export SAMLREQUESTID='00000000-0000-0000-ee02-0080000000de'
```

前回のレスポンスで指定したフォームアクションに認証情報を送信してください。

curl -X POST "https://$AD_FS_ADDRESS/adfs/ls/?SAMLRequest=$SAMLREQUEST&RelayState=$TENANTACCOUNTID&client-request-id=$SAMLREQUESTID" \
--data "UserName=$SAMLUSER@$SAMLDOMAIN&Password=$SAMLPASSWORD&AuthMethod=FormsAuthentication" --include

AD FSは、ヘッダーに追加情報を含めた302リダイレクトを返します。

SSOシステムで多要素認証（MFA）が有効になっている場合、フォーム送信には2つ目のパスワードまたはその他の認証情報も含まれます。

HTTP/1.1 302 Found
Content-Length: 0
Content-Type: text/html; charset=utf-8
Location: https://adfs.example.com/adfs/ls/?SAMLRequest=fZHRToMwFIZfhb...UJikvo77sXPw%3D%3D&RelayState=12345&client-request-id=00000000-0000-0000-ee02-0080000000de
Set-Cookie: MSISAuth=AAEAADAvsHpXk6ApV...pmP0aEiNtJvWY=; path=/adfs; HttpOnly; Secure
Date: Tue, 06 Nov 2018 16:55:05 GMT

レスポンスから `MSISAuth`クッキーを保存します。
```
export MSISAuth='AAEAADAvsHpXk6ApV...pmP0aEiNtJvWY='
```

認証POSTリクエストから取得したCookieを使用して、指定された場所にGETリクエストを送信します。

curl "https://$AD_FS_ADDRESS/adfs/ls/?SAMLRequest=$SAMLREQUEST&RelayState=$TENANTACCOUNTID&client-request-id=$SAMLREQUESTID" \
--cookie "MSISAuth=$MSISAuth" --include

応答ヘッダーには、後のログアウト時に使用するための AD FS セッション情報が含まれ、応答本文には非表示のフォームフィールドに SAMLResponse が含まれます。

HTTP/1.1 200 OK
Cache-Control: no-cache,no-store
Pragma: no-cache
Content-Length: 5665
Content-Type: text/html; charset=utf-8
Expires: -1
Server: Microsoft-HTTPAPI/2.0
P3P: ADFS doesn't have P3P policy, please contact your site's admin for more details
Set-Cookie: SamlSession=a3dpbnRlcnMtUHJpbWFyeS1BZG1pbi0xNzgmRmFsc2Umcng4NnJDZmFKVXFxVWx3bkl1MnFuUSUzZCUzZCYmJiYmXzE3MjAyZTA5LThmMDgtNDRkZC04Yzg5LTQ3NDUxYzA3ZjkzYw==; path=/adfs; HttpOnly; Secure
Set-Cookie: MSISAuthenticated=MTEvNy8yMDE4IDQ6MzI6NTkgUE0=; path=/adfs; HttpOnly; Secure
Set-Cookie: MSISLoopDetectionCookie=MjAxOC0xMS0wNzoxNjozMjo1OVpcMQ==; path=/adfs; HttpOnly; Secure
Date: Wed, 07 Nov 2018 16:32:59 GMT

<form method="POST" name="hiddenform" action="https://storagegrid.example.com:443/api/saml-response">
  <input type="hidden" name="SAMLResponse" value="PHNhbWxwOlJlc3BvbnN...1scDpSZXNwb25zZT4=" /><input type="hidden" name="RelayState" value="12345" />

非表示フィールドから `SAMLResponse`を保存します：
```
export SAMLResponse='PHNhbWxwOlJlc3BvbnN...1scDpSZXNwb25zZT4='
```

保存した `SAMLResponse`を使用して、StorageGRID/api/saml-responseリクエストを作成し、StorageGRID認証トークンを生成します。

`RelayState`には、テナントアカウントIDを使用するか、Grid Management APIにサインインする場合は0を使用してください。

curl -X POST "https://$STORAGEGRID_ADDRESS:443/api/saml-response" \
  -H "accept: application/json" \
  --data-urlencode "SAMLResponse=$SAMLResponse" \
  --data-urlencode "RelayState=$TENANTACCOUNTID" \
  | python -m json.tool

レスポンスには認証トークンが含まれています。

{
    "apiVersion": "3.0",
    "data": "56eb07bf-21f6-40b7-af0b-5c6cacfb25e7",
    "responseTime": "2018-11-07T21:32:53.486Z",
    "status": "success"
}

レスポンス内の認証トークンを `MYTOKEN`として保存します。
```
export MYTOKEN="56eb07bf-21f6-40b7-af0b-5c6cacfb25e7"
```
これで、SSO を使用しない場合と同様に、 `MYTOKEN`を他のリクエストに使用できます。

シングルサインオンが有効になっている場合にAPIからサインアウトする

シングルサインオン（SSO）が有効になっている場合は、Grid Management APIまたはTenant Management APIからサインアウトするために、一連のAPIリクエストを発行する必要があります。これらの手順は、SSOのIDプロバイダーとしてActive Directoryを使用している場合に適用されます。

タスク概要

必要に応じて、組織のシングルログアウトページからログアウトすることで、StorageGRID API からサインアウトできます。または、StorageGRID からシングルログアウト（SLO）をトリガーすることもできます。その場合、有効な StorageGRID ベアラートークンが必要です。

手順

署名付きログアウトリクエストを生成するには、cookie "sso=true" を SLO API に渡します。

curl -k -X DELETE "https://$STORAGEGRID_ADDRESS/api/v3/authorize" \
-H "accept: application/json" \
-H "Authorization: Bearer $MYTOKEN" \
--cookie "sso=true" \
| python -m json.tool

ログアウト用のURLが返されます：

{
    "apiVersion": "3.0",
    "data": "https://adfs.example.com/adfs/ls/?SAMLRequest=fZDNboMwEIRfhZ...HcQ%3D%3D",
    "responseTime": "2018-11-20T22:20:30.839Z",
    "status": "success"
}

ログアウトURLを保存してください。

export LOGOUT_REQUEST='https://adfs.example.com/adfs/ls/?SAMLRequest=fZDNboMwEIRfhZ...HcQ%3D%3D'

ログアウト URL にリクエストを送信して SLO をトリガーし、StorageGRID にリダイレクトします。

curl --include "$LOGOUT_REQUEST"

302レスポンスが返されます。リダイレクト先は、APIのみのログアウトには適用されません。

HTTP/1.1 302 Found
Location: https://$STORAGEGRID_ADDRESS:443/api/saml-logout?SAMLResponse=fVLLasMwEPwVo7ss%...%23rsa-sha256
Set-Cookie: MSISSignoutProtocol=U2FtbA==; expires=Tue, 20 Nov 2018 22:35:03 GMT; path=/adfs; HttpOnly; Secure

StorageGRID ベアラートークンを削除します。

StorageGRID ベアラートークンの削除は、SSO を使用しない場合と同じように機能します。`cookie "sso=true" が指定されていない場合、ユーザーは SSO の状態に影響を与えることなく StorageGRID からログアウトされます。
```
curl -X DELETE "https://$STORAGEGRID_ADDRESS/api/v3/authorize" \
-H "accept: application/json" \
-H "Authorization: Bearer $MYTOKEN" \
--include
```
A `204 No Content`応答は、ユーザーがサインアウトしたことを示します。
```
HTTP/1.1 204 No Content
```

StorageGRID API を使用する場合、 Single Sign-On が有効になっている（Active Directory）

Creating your file...

シングル サインオンが有効になっている場合にAPIにサインインする

シングル サインオンが有効になっている場合にAPIからサインアウトする

シングルサインオンが有効になっている場合にAPIにサインインする

シングルサインオンが有効になっている場合にAPIからサインアウトする