Skip to main content
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

StorageGRID の AD FS に OIDC 用のアプリケーショングループを作成する

共同作成者 netapp-pcarriga
PDF

システム内のOpenID Connect（OIDC）用管理ノードごとにアプリケーショングループを作成するには、Active Directory Federation Services（AD FS）を使用する必要があります。

開始する前に

  • システム内の各管理ノードについて、完全修飾ドメイン名（またはIPアドレス）と証明書利用者識別子が必要です。

    メモ StorageGRID システムの各管理ノードには、アプリケーショングループが必要です。これにより、ユーザーはどの管理ノードにも安全にサインインおよびサインアウトできます。すべての管理ノードに対して単一のアプリケーショングループを作成するか（推奨）、管理ノードごとに異なるアプリケーショングループを作成することができます。

  • AD FSでアプリケーショングループを作成した経験があるか、Microsoft AD FSのドキュメントにアクセスできる環境にあること。

  • AD FS 管理スナップインを使用していて、 Administrators グループに属している必要があります。

タスクの内容

これらの手順は、Windows Server 2022 AD FS に適用されます。AD FS の異なるバージョンを使用している場合は、手順に若干の違いがあります。ご不明な点がある場合は、Microsoft AD FS のドキュメントを参照してください。

ステップ1：アプリケーショングループを作成する

Windows PowerShell を使用して、アプリケーショングループを迅速に作成できます。

手順

  1. Windows Server Manager で、 * Tools * > * AD FS Management * を選択します。

  2. 「Application Groups」>「Add Application Group」を選択します。

  3. *名前*には、依拠当事者識別子を入力してください。

  4. テンプレートで、「クライアント/サーバーアプリケーション」>「Web APIにアクセスするサーバーアプリケーション」を選択します。

  5. 「 * 次へ * 」を選択します。

  6. クライアント識別子の値を記録してください。

  7. リダイレクトURI に、管理ノードの FQDN （または IP アドレス） callback`および `logged-out URI を入力します：

    すべての管理ノードに同じアプリケーショングループを使用している場合は、各管理ノードのURIを入力してください。各管理ノードに異なるアプリケーショングループを使用している場合は、対応する管理ノードのURIのみを入力してください。

  8. 「 * 追加」を選択します。

  9. 「共有シークレットを生成」を選択し、「シークレット」の値を記録してから、「次へ」を選択します。

  10. Identifier のクライアント識別子を入力してください。

  11. 「追加」を選択し、次に「次へ」を選択します。

  12. 「全員を許可する」を選択します。

  13. クライアントアプリケーション（呼び出し元） でサーバーアプリケーションが選択されていることを確認してください。

  14. 許可されたスコープ で、以下のオプションのみが選択されていることを確認してください：

    • allatclaims

    • email

    • openid

    • プロフィール

  15. 「次へ」>「次へ」を選択します。

  16. *閉じる*を選択します。

ステップ2：発行変換ルールを設定する

アプリケーショングループごとに発行変換ルールを設定します。

手順

  1. 「AD FS Management」ページで、アプリケーショングループを右クリックし、「Properties」を選択します。

  2. 以前に作成した Web API を選択し、編集 を選択します。

  3. 「発行変換ルール」>「ルールの追加…」を選択します。

  4. 「クレームルールテンプレート：」で、「Send LDAP Attribute as Claims」を選択します。

  5. 「 * 次へ * 」を選択します。

  6. クレームルール名を入力してください。

  7. 属性ストアとして Active Directory を選択します。

  8. 送信クレームタイプにLDAP属性マッピングを追加します：

    • E-Mail Addresses - E-Mail Address

    • Token-Groups - Unqualified Names - Group

  9. [ 完了 ] を選択します。

  10. Apply > OK > OK を選択します。

次の手順

アプリケーショングループを作成した後、"OIDCを使用してSSOを構成する"。