Skip to main content
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

SAMLを使用してStorageGRIDでSSOを設定する

共同作成者 netapp-pcarriga
PDF

SAML の SSO 設定ウィザードに従い、サンドボックスモードに入って、すべての StorageGRID ユーザーに対して有効にする前にシングル サインオン（SSO）の設定とテストを行います。SSO を有効にした後、必要に応じてサンドボックスモードに戻り、設定を変更したり再テストしたりできます。

開始する前に

  • Grid Managerにサインインしておきます"サポートされている Web ブラウザ"。

  • あなたはを持っています"rootアクセス権限"。

  • StorageGRID システムにアイデンティティフェデレーションを設定しておきます。

  • アイデンティティ フェデレーション LDAP サービス タイプ では、使用する予定の SSO アイデンティティ プロバイダーに基づいて、Active Directory または Entra ID のいずれかを選択しました。

    LDAP サービスタイプが設定されました SSO アイデンティティプロバイダのオプション

    Active Directory フェデレーションサービス（ AD FS ）

    • Active Directory

    • エントラID

    • PingFederate

    エントラID

    エントラID
タスクの内容

SSO が有効な場合、ユーザが管理ノードにサインインしようとすると、 StorageGRID から SSO アイデンティティプロバイダに認証要求が送信されます。次に、 SSO アイデンティティプロバイダは、認証要求が成功したかどうかを示す認証応答を StorageGRID に返します。成功した要求の場合：

  • Active Directory または PingFederate からの応答には、ユーザの Universally Unique Identifier （ UUID ）が含まれています。

  • Entra ID からの応答には、ユーザー プリンシパル名 (UPN) が含まれます。

StorageGRID （サービスプロバイダー）と SSO ID プロバイダーがユーザ認証リクエストについて安全に通信できるようにするには、次のタスクを実行します。

  1. StorageGRIDで設定を構成します。

  2. SSO IDプロバイダーのソフトウェアを使用して、各管理ノードの証明書利用者信頼 （AD FS）、エンタープライズアプリケーション （Entra ID）、またはサービスプロバイダー （PingFederate） を作成します。

  3. StorageGRIDに戻り、SSO を有効にします。

サンドボックス モードを使用すると、この双方向の構成を簡単に実行でき、SSO を有効にする前にすべての設定をテストできます。サンドボックス モードを使用している場合、ユーザーは SSO を使用してサインインできません。

ステップ1：IDプロバイダーの詳細を入力する

ウィザードにアクセスし、「IDプロバイダーの詳細を入力する」ページの各項目を入力します。

手順

  1. ウィザードにアクセスする：

    1. 構成 > アクセス制御 > シングル サインオン を選択します。シングル サインオン ページが表示されます。

      メモ [SSO 設定の構成] ボタンが無効になっている場合は、ID プロバイダーをフェデレーション ID ソースとして構成していることを確認します。。 "シングルサインオンの要件と考慮事項" 。

    2. *SSO設定の構成*を選択します。 「ID プロバイダーの詳細を提供する」ページが表示されます。

  2. 「プロトコル」で「SAML」を選択します。

  3. ドロップダウンリストから * SSO タイプ * を選択します。

  4. SSO タイプとして Active Directory を選択した場合は、Active Directory フェデレーション サービス (AD FS) に表示されるとおりに、ID プロバイダーの フェデレーション サービス名 を入力します。

    メモ フェデレーションサービス名を確認するには、 Windows Server Manager に移動します。[ ツール *>*AD FS 管理 *] を選択します。[ アクション ] メニューから、 [ * フェデレーションサービスのプロパティの編集 * ] を選択します。フェデレーションサービス名が 2 番目のフィールドに表示されます。

  5. StorageGRID 要求への応答としてアイデンティティプロバイダが SSO 設定情報を送信するときに、接続の保護に使用する TLS 証明書を指定します。

    • * オペレーティング・システムの CA 証明書を使用 * ：オペレーティング・システムにインストールされているデフォルトの CA 証明書を使用して、接続を保護します。

    • * カスタム CA 証明書を使用 * ：カスタム CA 証明書を使用して接続を保護します。

      この設定を選択した場合は、カスタム証明書のテキストをコピーし、 * CA 証明書 * テキストボックスに貼り付けます。

    • TLS を使用しない：接続を保護するために TLS 証明書を使用しません。

      注意 CA証明書を変更した場合は、すぐに"管理ノードでmgmt-apiサービスを再起動します。"Grid ManagerでSSOが成功するかどうかをテストします。

  6. *続行*を選択します。 「証明書利用者識別子の提供」ページが表示されます。

ステップ 2：依拠パーティの信頼、エンタープライズ アプリケーション、または SP 接続の提供

選択したSSOタイプに基づいて、ウィザードのステップ2の各項目を入力してください。

Active Directory

「依拠当事者識別子の提供」の手順で、該当する項目をすべて入力してください。

手順

  1. StorageGRIDの Relying party identifier を指定します。この値は、AD FS 内の各証明書利用者信頼に使用する名前を制御します。

    • たとえば、グリッドに管理ノードが1つしかなく、今後管理ノードを追加する予定がない場合は、または `StorageGRID`と入力し `SG`ます。

    • グリッドに複数の管理ノードが含まれている場合は、文字列 [HOSTNAME]`識別子内。例： `SG-[HOSTNAME] 。この文字列を含めると、ノードのホスト名に基づいて、グリッド内の各管理ノードの依存パーティ ID を示すテーブルが作成されます。

      メモ 証明書利用者信頼は StorageGRID システム内の管理ノードごとに作成する必要があります。管理ノードごとに証明書利用者信頼を作成することで、ユーザは管理ノードに対して安全にサインイン / サインアウトすることができます。

  2. *保存してサンドボックスモードに入る*を選択します。

エントラID

「エンタープライズアプリケーションの構成」ステップの各項目を入力してください。

手順

  1. エンタープライズ アプリケーション セクションで、 StorageGRIDの エンタープライズ アプリケーション名 を指定します。この値は、Entra ID 内の各エンタープライズ アプリケーションに使用する名前を制御します。

    • たとえば、グリッドに管理ノードが1つしかなく、今後管理ノードを追加する予定がない場合は、または `StorageGRID`と入力し `SG`ます。

    • グリッドに複数の管理ノードが含まれている場合は、文字列 [HOSTNAME]`識別子内。例： `SG-[HOSTNAME] 。この文字列を含めると、ノードのホスト名に基づいて、システム内の各管理ノードのエンタープライズ アプリケーション名を示すテーブルが作成されます。

      メモ StorageGRID システムで管理ノードごとにエンタープライズアプリケーションを作成する必要があります。管理ノードごとにエンタープライズアプリケーションを用意することで、ユーザはどの管理ノードに対しても安全にサインイン / サインアウトすることができます。

  2. 表に記載されている各管理ノードのエンタープライズアプリケーションを作成するには、"Entra IDでエンタープライズアプリケーションを作成する"の手順に従ってください。

  3. Entra ID から、各エンタープライズ アプリケーションのフェデレーション メタデータ URL をコピーします。次に、この URL をStorageGRIDの対応する Federation metadata URL フィールドに貼り付けます。

  4. すべての管理ノードのフェデレーション メタデータ URL をコピーして貼り付けた後、[保存してサンドボックス モードに入る] を選択します。

PingFederate

*SP接続IDの指定*ステップのフィールドに入力します。

手順

  1. Service Provider （ SP ；サービスプロバイダ）セクションで、 StorageGRID の * SP 接続 ID * を指定します。この値は、 PingFederate の各 SP 接続に使用する名前を制御します。

    • たとえば、グリッドに管理ノードが1つしかなく、今後管理ノードを追加する予定がない場合は、または `StorageGRID`と入力し `SG`ます。

    • グリッドに複数の管理ノードが含まれている場合は、文字列 [HOSTNAME]`識別子内。例： `SG-[HOSTNAME] 。この文字列を含めると、ノードのホスト名に基づいて、システム内の各管理ノードのSP接続 ID を示すテーブルが作成されます。

      メモ StorageGRID システムで管理ノードごとに SP 接続を作成する必要があります。管理ノードごとに SP 接続を確立することで、ユーザは管理ノードに対して安全にサインイン / サインアウトすることができます。

  2. 各管理ノードのフェデレーションメタデータの URL を * Federation metadata url * フィールドで指定します。

    次の形式を使用します。

    https://<Federation Service Name>:<port>/pf/federation_metadata.ping?PartnerSpId=<SP Connection ID>

  3. *保存してサンドボックスモードに入る*を選択します。

ステップ 3：証明書利用者の信頼、エンタープライズ アプリケーション、または SP 接続の設定

構成を保存してサンドボックス モードに入ると、選択した SSO タイプの構成を完了してテストできます。

StorageGRID は、必要な限りサンドボックス モードのままにすることができます。ただし、サインインできるのはフェデレーション ユーザーとローカル ユーザーのみです。

Active Directory
手順

  1. Active Directory フェデレーションサービス（ AD FS ）に移動します。

  2. 「SSO の構成」ページの表に示されている各証明書利用者 ID を使用して、 StorageGRIDの 1 つ以上の証明書利用者信頼を作成します。

    次の表に示す管理ノードごとに信頼を 1 つ作成する必要があります。

    手順については、"AD FS に証明書利用者信頼を作成します"を参照してください。

エントラID
手順

  1. 現在サインインしている管理ノードのシングルサインオンページから、 SAML メタデータをダウンロードして保存するボタンを選択します。

  2. グリッド内の他の管理ノードについて、上記の手順を繰り返します。

    1. ノードにサインインします。

    2. 構成 > アクセス制御 > シングル サインオン を選択します。

    3. そのノードの SAML メタデータをダウンロードして保存します。

  3. Azure ポータルに移動します。

  4. "Entra IDでエンタープライズアプリケーションを作成する"の手順に従って、各管理ノードのSAMLメタデータファイルを対応するEntra IDエンタープライズアプリケーションにアップロードしてください。

PingFederate
手順

  1. 現在サインインしている管理ノードのシングルサインオンページから、 SAML メタデータをダウンロードして保存するボタンを選択します。

  2. グリッド内の他の管理ノードについて、上記の手順を繰り返します。

    1. ノードにサインインします。

    2. 構成 > アクセス制御 > シングル サインオン を選択します。

    3. そのノードの SAML メタデータをダウンロードして保存します。

  3. 「 PingFederate 」に移動します。

  4. "StorageGRID 用に 1 つ以上の SP 接続を作成します"。各管理ノードのSP接続ID（「SSO設定」ページの表に表示）と、その管理ノード用にダウンロードしたSAMLメタデータを使用してください。

    次の表に示す管理ノードごとに 1 つの SP 接続を作成する必要があります。

ステップ4：設定のテスト

StorageGRIDシステム全体にシングル サインオンの使用を強制する前に、各管理ノードに対してシングル サインオンとシングル ログアウトが正しく設定されていることを確認してください。

Active Directory
手順

  1. 「SSO の構成」ページで、ウィザードの「構成のテスト」手順のリンクを見つけます。

    URL は、 [ * フェデレーションサービス名 * （ * Federation service name * ） ] フィールドに入力した値から取得されます。

  2. リンクを選択するか、 URL をコピーしてブラウザに貼り付け、アイデンティティプロバイダのサインオンページにアクセスします。

  3. SSO を使用して StorageGRID にサインインできることを確認するには、 * 次のいずれかのサイトにサインイン * を選択し、プライマリ管理ノードの証明書利用者 ID を選択して * サインイン * を選択します。

  4. フェデレーテッドユーザのユーザ名とパスワードを入力します。

    • SSO サインインおよびログアウト処理が成功すると、成功のメッセージが表示されます。

    • SSO 処理が失敗すると、エラーメッセージが表示されます。問題 を修正し、ブラウザのクッキーを消去してやり直してください。

  5. 同じ手順を繰り返して、グリッド内の管理ノードごとに SSO 接続を確認します。

エントラID
手順

  1. Azure ポータルのシングルサインオンページに移動します。

  2. [ このアプリケーションをテストする *] を選択します。

  3. フェデレーテッドユーザのクレデンシャルを入力します。

    • SSO サインインおよびログアウト処理が成功すると、成功のメッセージが表示されます。

    • SSO 処理が失敗すると、エラーメッセージが表示されます。問題 を修正し、ブラウザのクッキーを消去してやり直してください。

  4. 同じ手順を繰り返して、グリッド内の管理ノードごとに SSO 接続を確認します。

PingFederate
手順

  1. 「SSO の構成」ページで、サンドボックス モード メッセージの最初のリンクを選択します。

    一度に 1 つのリンクを選択してテストします。

  2. フェデレーテッドユーザのクレデンシャルを入力します。

    • SSO サインインおよびログアウト処理が成功すると、成功のメッセージが表示されます。

    • SSO 処理が失敗すると、エラーメッセージが表示されます。問題 を修正し、ブラウザのクッキーを消去してやり直してください。

  3. 次のリンクを選択して、グリッド内の各管理ノードの SSO 接続を確認します。

    「ページの有効期限が切れました」というメッセージが表示された場合は、ブラウザで「 * 戻る * 」ボタンを選択し、クレデンシャルを再送信してください。

ステップ5：シングル サインオンを有効にする

各管理ノードへのサインインにSSOを使用できることを確認したら、StorageGRIDシステム全体でSSOを有効にできます。

ヒント SSO が有効になっている場合は、すべてのユーザが SSO を使用して Grid Manager 、テナントマネージャ、グリッド管理 API 、およびテナント管理 API にアクセスする必要があります。ローカルユーザは StorageGRID にアクセスできなくなります。
手順

  1. SSO 構成ウィザードのテスト構成手順で、SSO を有効にする を選択します。

  2. 警告メッセージを確認し、*SSO を有効にする*を選択します。

    シングル サインオンが有効になりました。シングル サインオン ページが表示され、先ほど構成した SSO の詳細が表示されます。

  3. 設定を編集するには、[編集] を選択します。

  4. シングル サインオンを無効にするには、[SSO を無効にする] を選択します。

ヒント Azure ポータルを使用しており、Entra ID にアクセスするために使用するのと同じコンピューターからStorageGRID にアクセスする場合は、Azure ポータル ユーザーが承認されたStorageGRIDユーザー ( StorageGRIDにインポートされたフェデレーション グループ内のユーザー) であることを確認するか、 StorageGRIDにサインインする前に Azure ポータルからログアウトしてください。
次の手順

SAMLを使用してSSOを設定した後、管理ノードのIDプロバイダーを設定します。

IDプロバイダーが… 必要があります…

Active Directory

"各管理ノードのアプリケーショングループを作成する"

エントラID

"各管理ノードのアプリケーションを作成する"

PingFederate

"各管理ノードのサービスプロバイダー接続を作成する"