Active Directory Federation Services の構成

Active Directory Federation Services (AD FS) は、Security Assertion Markup Language (SAML) 準拠の ID プロバイダー (IDP) です。 Microsoft Windows Server オペレーティング システムで、ArcGIS Online の SAML ログインの IDP として構成できます。 構成プロセスでは、主に次の 2 つの手順を実行します。まず、SAML IDP を ArcGIS Online に登録し、次に、ArcGIS Online を SAML IDP に登録します。

メモ:

SAML ログインをセキュアに構成するには、「SAML セキュリティのベスト プラクティス」をご参照ください。

必要な情報

ArcGIS Online は、ユーザーが SAML ログインを使用してサイン インするときに、特定の属性情報を IDP から受信する必要があります。 NameID は、ArcGIS Online とのフェデレーションが機能するように、IDP が SAML レスポンスで送信しなければならない必須の属性です。 ArcGIS OnlineNameID の値を使用して指定ユーザーを一意に識別するため、ユーザーを一意に識別する定数値を使用することをお勧めします。 IDP からユーザーがサイン インすると、ArcGIS Online によってユーザー名が NameID_<url_key_for_org> の新しいユーザーがユーザー ストアに作成されます。 NameID によって送信される値に使用できる文字は、英数字、_ (アンダースコア)、. (ドット) および @ (アット マーク) です。 その他の文字はエスケープされ、ArcGIS Online によってアンダースコアが付加されたユーザー名が作成されます。

ArcGIS Online は、ユーザーの電子メール アドレス、グループ メンバー、名と姓を、SAML ID プロバイダーから取得して入力することをサポートしています。 ユーザーが通知を受信できるようにするために、SAML IDP から取得した電子メール アドレスを渡すことをお勧めします。 そうすると、ユーザーが後で管理者になる場合に役立ちます。 アカウントに電子メール アドレスが登録されていると、管理アクティビティに関する通知を受信したり、他のユーザーが組織に加入できるように招待を送信したりできます。

AD FSSAML IDP として ArcGIS Online に登録する

  1. 組織サイトの管理者としてサイン インしていることを確認します。
  2. サイトの上部にある [組織] をクリックして、[設定] タブをクリックします。
  3. ページの左側にある [セキュリティ] をクリックします。
  4. [ログイン] セクションの [SAML ログイン] の下で [SAML ログインの設定] ボタンをクリックし、[1 つの ID プロバイダー] オプションを選択します。 [プロパティの指定] ページで、組織名を入力します (たとえば、「City of Redlands」)。 ユーザーが組織の Web サイトにアクセスすると、このテキストが SAML サイン イン オプションの一部に表示されます (たとえば、「City of Redlands アカウントを使用」)。
    メモ:

    [1 つの ID プロバイダー] オプションを選択することで、SAML 組織用に 1 つの ArcGIS Online IDP を登録できます。 複数の IDP からの SAML ログインでユーザーを認証するには、1 つの IDP ではなく SAML ベースのフェデレーションを登録します。

  5. [自動] または [管理者から招待されたとき] のいずれかを選択して、ユーザーが組織に加入できる方法を指定します。 1 番目のオプションを選択すると、ユーザーは、管理者が介入しなくても、自分の SAML ログインを使用して組織サイトにサイン インできます。ユーザーのアカウントは、最初にサイン インしたときに自動的に組織サイトに登録されます。 2 番目のオプションを選択すると、管理者は必要なユーザーを組織に招待する必要があります。 ユーザーは、招待を受け取った時点で、組織サイトにサイン インできるようになります。
  6. 以下のオプションのいずれかを使用して、IDP のメタデータ情報を入力します。
    • [URL] - AD FS フェデレーション メタデータの URL にアクセスできる場合は、このオプションを選択して URL (たとえば、https://<adfs-server>/federationmetadata/2007-06/federationmetadata.xml) を入力します。
    • [ファイル] - URL にアクセスできない場合は、このオプションを選択します。 AD FS からフェデレーション メタデータ ファイルのコピーをダウンロードまたは取得し、[ファイル] オプションを使用して、そのファイルを ArcGIS Online にアップロードします。
    • [設定パラメーター] - URL にもフェデレーション メタデータ ファイルにもアクセスできない場合は、このオプションを選択します。 値を手動で入力して、要求されたパラメーター (BASE 64 形式でエンコードされたログイン URL および証明書) を指定します。 これらの情報については、AD FS 管理者にお問い合わせください。
  7. 必要に応じて高度な設定を構成します。
    • [暗号化アサーション] - AD FS の SAML アサーションのレスポンスを暗号化する場合は、このオプションを有効化します。
    • [署名付きリクエストの有効化] - AD FS に送信される SAML の認証リクエストに ArcGIS Online が署名する場合は、このオプションを有効化します。
    • [ID プロバイダーへのログアウトの反映] - ユーザーが AD FS からサイン アウトするログアウト URL を ArcGIS Online で使用する場合は、このオプションを有効化します。 使用する URL を [ログアウト URL] 設定に入力します。 IDP がログアウト URL を署名する必要がある場合、[署名付きリクエストの有効化] をオンにする必要があります。
      メモ:

      デフォルトでは、AD FS は、SHA-256 を使用してログアウト リクエストを署名する必要があるため、[署名付きリクエストの有効化] 切り替えボタンおよび [SHA256 を使用した署名] を有効にする必要があります。

    • [サイン イン時にプロフィールを更新] - このオプションを有効化すると、ArcGIS Online ユーザー プロフィールに保存されているアカウント情報 (フル ネームと電子メール アドレス) が、IDP から受け取った最新のアカウント情報と自動的に同期されます。 このオプションを有効化すると、ユーザーが SAML ログイン アカウントを使用していつサイン インしたか、またはアカウントの作成時以降に IDP 情報が変更されているかどうかを組織サイトで確認できます。また、IDP 情報が変更されている場合、それに合わせてユーザーの ArcGIS Online アカウントのプロフィールを更新できます。
    • [SAML ベースのグループのメンバーシップを有効化] - このオプションを有効化すると、組織メンバーが、グループ作成処理中に、指定された SAML ベースのエンタープライズ グループを、ArcGIS Online グループにリンクできるようになります。
    • [ログアウト URL] - 現在サイン インしているユーザーがサイン アウトするのに使用する IDP の URL。
    • [エンティティ ID] - 新しいエンティティ ID を使用して ArcGIS Online の組織サイトを AD FS に対して一意に識別する場合は、この値を更新します。
  8. [保存] をクリックします。

ArcGIS Online を信頼できるサービス プロバイダーとして AD FS に登録する

  1. AD FS 管理コンソールを開きます。
  2. [証明書利用者信頼] > [証明書利用者信頼の追加] の順に選択します。
  3. [証明書利用者信頼の追加] で、[開始] ボタンをクリックします。
  4. [データソースの選択] で、証明書利用者に関するデータを取得するためのオプション (URL からインポート、ファイルからインポート、手動入力) を選択します。 URL およびファイル オプションからインポートする場合は、組織のメタデータを取得する必要があります。 メタデータ URL またはファイルにアクセスできない場合、手動で情報を入力できます。 場合によっては、手動で入力する方法が最も簡単です。
    • オンラインまたはローカル ネットワークで公開されている証明書利用者に関するデータのインポート

      このオプションは、ArcGIS Online の組織サイトの URL メタデータを使用します。 この URL は、https://<url_key_for_org>.maps.arcgis.com/sharing/rest/portals/self/sp/metadata?token=<token> (例: https://samltest.maps.arcgis.com/sharing/rest/portals/self/sp/metadata?token=G6943LMReKj_kqdAVrAiPbpRloAfE1fqp0eVAJ-IChQcV-kv3gW-gBAzWztBEdFY) です。

      https://www.arcgis.com/sharing/rest/generateToken を使用してトークンを生成します。 HTTP POST をプログラミングして、JSON 形式で出力するトークンを生成する必要があります。 詳細については、「ArcGIS REST API」をご参照ください。

    • 証明書利用者についてのデータをファイルからインポートする

      このオプションは、ArcGIS Online の組織サイトにある metadata.xml ファイルを使用します。 メタデータの XML ファイルを取得するには、次の 2 つの方法があります。

      • 組織ページの [設定] タブをクリックして、ページの左側にある [セキュリティ] をクリックします。 [ログイン] セクションの [SAML ログイン] の下で [サービス プロバイダーのメタデータのダウンロード] ボタンをクリックして、組織のメタデータ ファイルをダウンロードします。
      • メタデータ ファイルの URL を開き、XML ファイルとしてコンピューターに保存します。 [SAML ログインの編集] ウィンドウの [サービス プロバイダーのメタデータをダウンロードするリンク] の下で、URL を表示してコピーすることができます。
    • 証明書利用者についてのデータを手動で入力する

      このオプションを使用すると、[証明書利用者信頼の追加] によって、データを手動で入力するためのウィンドウが表示されます。 これについては、以下のステップ 6 〜 8 で説明します。

  5. [表示名の指定] に、表示名を入力します。

    表示名は、AD FS 内で証明書利用者を識別するために使用されます。 AD FS の外部では、識別されません。 これには、ArcGIS または ArcGIS 内の組織名 (ArcGIS—SamlTest など) のいずれかを設定する必要があります。

    ヒント:

    URL またはファイルからデータ ソースをインポートする場合、手順 9 に進みます

  6. (手動によるデータ ソースのみ) [プロファイルの選択] で、ご使用の環境内の適用可能な AD FS プロファイルを選択します。
  7. (手動によるデータ ソースのみ) [URL の構成] で、[SAML 2.0 WebSSO プロトコルのサポートを有効にする] チェックボックスをオンにして、証明書利用者の SAML 2.0 SSO サービスの URL を入力します。

    証明書利用者の URL は、ユーザーを認証した後に AD FSSAML レスポンスを送信する URL である必要があります。 これは、HTTPS URL: https://<url_key_for_org>.maps.arcgis.com/sharing/rest/oauth2/saml/signin です。

  8. (手動によるデータ ソースのみ) [識別子の構成] で、証明書利用者の信頼の識別子の URL を入力します。

    これは、<url_key_for_org>.maps.arcgis.com です。

  9. [発行承認規則の選択] で、[すべてのユーザーに対してこの証明書利用者へのアクセスを許可する] を選択します。
  10. [信頼追加の準備完了] で、証明書利用者のすべての設定を確認します。 メタデータの URL は、URL からデータ ソースをインポートする場合のみ指定されます。

    [次へ] をクリックします。

    ヒント:

    [証明書利用者を監視する] オプションを有効にすると、AD FS は、定期的にフェデレーション メタデータ URL をチェックし、それを証明書利用者の信頼の現在の状態と比較します。 ただし、フェデレーション メタデータ URL 内のトークンの有効期限が切れると、この監視は失敗します。 この失敗は、AD FS のイベント ログに記録されます。 失敗に関するメッセージを抑制するには、監視を無効にするか、トークンを更新することをお勧めします。

  11. [完了] のチェックボックスをオンにした場合、[閉じる] ボタンをクリックすると、[要求規則の編集] ダイアログ ボックスが自動的に開きます。
  12. 要求規則を設定するには、[要求規則の編集] ウィザードを開いて、[規則の追加] をクリックします。
  13. [規則テンプレートの選択] ステップで、作成する要求規則の [LDAP 属性を要求として送信] テンプレートを選択します。 [次へ] をクリックします。
  14. [要求規則の構成] ステップで、以下の指示に従って要求規則を編集します。
    1. [要求規則名] で、規則の名前を指定します (「DefaultClaims」など)。
    2. [属性ストア] で、[Active Directory] を選択します。
    3. [LDAP 属性の出力方向の要求の種類への関連付け] で、次のテーブルを使用して、LDAP 属性が、規則から発行される出力方向の要求の種類に関連付けられる方法を指定します。

      LDAP 属性出力方向の要求の種類

      一意のユーザー名を含む LDAP 属性 ([User-Principal-Name][SAM-Account-Name] など)

      名前 ID

      Given-Name

      Surname

      E-Mail-Addresses

      電子メール アドレス

      トークン グループ - 非修飾名

      グループ

    規則の構成 - デフォルトの要求

    この規則の場合、AD FS は、ユーザーを認証した後、givennamesurnameemail、および group membership という名前の属性を ArcGIS Online に送信します。 ArcGIS Online は、次に、givennamesurname、および email 属性で受信した値を使用して、ユーザー アカウントの姓名および電子メール アドレスを入力します。 グループ属性の値を使って、ユーザーの所属グループを更新します。

    メモ:

    AD FS を SAML IDP として登録する際、[SAML ベースのグループのメンバーシップを有効化] オプションを選択すると、各ユーザーのメンバーシップを、ユーザーが正常にログインする都度、IDP から受け取った SAML アサーション レスポンスから取得するようになります。 SAML グループのリンクについては、「グループの作成」をご参照ください。

  15. [完了] をクリックすると、ArcGIS Online が証明書利用者として含まれるように AD FS の IDP を構成する手順が完了します。