Skip to main content
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

OIDC を使用して StorageGRID で SSO を設定する

共同作成者 netapp-pcarriga
PDF

OpenID Connect (OIDC) の SSO 設定ウィザードに従い、サンドボックスモードに入って設定とテストを行います。すべての StorageGRID ユーザーに対してシングル サインオン（SSO）を有効にする前に、設定とテストを実施してください。SSO を有効にした後、必要に応じてサンドボックスモードに戻り、設定を変更したり再テストしたりできます。

開始する前に

ステップ1：IDプロバイダーの詳細を入力する

ウィザードにアクセスし、「IDプロバイダーの詳細を入力する」ページの各項目を入力します。

手順

  1. SSO設定を構成するウィザードにアクセスします。

    1. 構成 > アクセス制御 > シングル サインオン を選択します。シングル サインオン ページが表示されます。

      メモ [SSO 設定の構成] ボタンが無効になっている場合は、ID プロバイダーをフェデレーション ID ソースとして構成していることを確認します。。 "シングルサインオンの要件と考慮事項" 。

    2. *SSO設定の構成*を選択します。 「ID プロバイダーの詳細を提供する」ページが表示されます。

  2. プロトコル で OIDC を選択します。

  3. ドロップダウンリストから * SSO タイプ * を選択します。

  4. StorageGRID 要求への応答としてアイデンティティプロバイダが SSO 設定情報を送信するときに、接続の保護に使用する TLS 証明書を指定します。

    • * オペレーティング・システムの CA 証明書を使用 * ：オペレーティング・システムにインストールされているデフォルトの CA 証明書を使用して、接続を保護します。

    • * カスタム CA 証明書を使用 * ：カスタム CA 証明書を使用して接続を保護します。

      この設定を選択した場合：

      1. CA証明書の場所を参照します。

      2. CA証明書ファイルをアップロードします。

    • TLS を使用しない：接続を保護するために TLS 証明書を使用しません。

      注意 CA証明書を変更した場合は、すぐに"管理ノードでmgmt-apiサービスを再起動します。"Grid ManagerでSSOが成功するかどうかをテストします。

  5. *続行*を選択します。 「証明書利用者識別子の提供」ページが表示されます。

ステップ2：クライアント情報を入力する

ウィザードの「クライアント情報の入力」ステップで、各項目を入力してください。

手順

  1. StorageGRID の 依拠当事者識別子 を指定します。この値は、各 OIDC 構成に使用する名前を制御します。

    • たとえば、グリッドに管理ノードが1つしかなく、今後管理ノードを追加する予定がない場合は、または `StorageGRID`と入力し `SG`ます。

    • グリッドに複数の管理ノードが含まれている場合は、識別子に文字列 [HOSTNAME]`を含めてください。例： `SG-[HOSTNAME]。この文字列を含めると、グリッド内の各管理ノードのホスト名に基づいて、そのノードの OIDC 構成を示すテーブルが作成されます。

      メモ StorageGRIDシステムの管理ノードに対してOIDCを設定する必要があります。これにより、ユーザーはどの管理ノードにも安全にサインインおよびサインアウトできるようになります。すべての管理ノードで同じOIDC構成を使用することも（推奨）、各管理ノードに異なるOIDC構成を設定することもできます。

  2. 各依拠当事者識別子について、クライアントID、クライアントシークレット、および*OpenIDエンドポイントURL*を入力してください。

  3. *保存してサンドボックスモードに入る*を選択します。

ステップ3：テスト構成

サンドボックスモードに入ると、選択したSSOタイプの構成を完了してテストできます。

サンドボックスモードを使用すると、設定のやり取りを簡単に実行し、SSOを有効にする前にすべての設定をテストできます。StorageGRIDは、必要に応じてサンドボックスモードを維持できます。ただし、サインインできるのはフェデレーションユーザーとローカルユーザーのみです。

手順

  1. 「SSO の構成」ページで、ウィザードの「構成のテスト」手順のリンクを見つけます。

    URL は、 [ * フェデレーションサービス名 * （ * Federation service name * ） ] フィールドに入力した値から取得されます。

  2. リンクを選択するか、URLをコピーして新しいタブに貼り付けて、IDプロバイダーのサインオンページにアクセスしてください。

  3. フェデレーションユーザー名とパスワードを入力してください。

    • SSOのサインインとログアウトが正常に完了すると、緑色のバナーが表示されます。

    • SSO 処理が失敗すると、エラーメッセージが表示されます。問題 を修正し、ブラウザのクッキーを消去してやり直してください。

  4. ウィザードの手順に従って、グリッド内の各管理ノードのテスト構成ページにアクセスしてください。

  5. 手順 2 および 3 を繰り返して、各管理ノードの SSO 接続を確認します。

ステップ4：シングル サインオンを有効にする

各管理ノードへのサインインにSSOを使用できることを確認したら、StorageGRIDシステム全体でSSOを有効にできます。

ヒント SSOが有効になっている場合、すべてのユーザーは、グリッドマネージャ、テナントマネージャ、グリッド管理API、およびテナント管理APIにアクセスするためにSSOを使用する必要があります。ローカルユーザーはStorageGRIDにアクセスできなくなります。StorageGRIDは、サポートされているすべてのSSOプロバイダーに対応した認証スクリプトの例を提供していません。
手順

  1. SSO 構成ウィザードのテスト構成手順で、SSO を有効にする を選択します。

  2. 警告メッセージを確認し、*SSO を有効にする*を選択します。

    シングル サインオンが有効になりました。シングル サインオン ページが表示され、先ほど構成した SSO の詳細が表示されます。

  3. 設定を編集するには、[編集] を選択します。

  4. シングル サインオンを無効にするには、*無効にする*を選択してください。

ヒント Azure ポータルを使用しており、Entra ID にアクセスするために使用するのと同じコンピューターからStorageGRID にアクセスする場合は、Azure ポータル ユーザーが承認されたStorageGRIDユーザー ( StorageGRIDにインポートされたフェデレーション グループ内のユーザー) であることを確認するか、 StorageGRIDにサインインする前に Azure ポータルからログアウトしてください。