NetBackup™ Self Service 構成ガイド
フェデレーションシングルサインオンを使用するための Self Service の設定
Self Service では、WS-Federation パッシブプロトコルによるフェデレーションシングルサインオンをサポートします。Microsoft WIF (Windows Identity Foundation) とともに実装し、クレームの転送時に SAML (Security Assertion Markup Language) トークンを使用します。ただし、SAML2 プロトコル (SAML-P) はサポート外です。
Self Service をインストールするときに、最初のログオンで admin アカウントを使用する必要があるフォーム認証で設定します。
ID プロバイダを使用して認証するには:
- Self Service のデータベースで、ID プロバイダのユーザーに対応するユーザーを作成します。
- Self Service の
web.configファイルを編集してフェデレーションシングルサインオンを有効にします。
Self Service でユーザーを識別するには［ユーザー ID (User ID)］ を使用します。ID プロバイダでユーザーを識別するには［クレーム (Claims)］を使用します。正常に認証するには、Self Service のユーザーが ID プロバイダのいずれかのクレーム値に一致するユーザー ID を所有している必要があります。
Self Service ユーザーを見つけるときに、Self Service は［名前 (Name)］、［電子メール (Email)］、［Windows アカウント名 (Windows Account Name)］、［UPN］を調べます。通常、［名前 (Name)］と［Windows アカウント名 (Windows Account Name)］では domain\username の形式を使用し、［電子メール (Email)］と［UPN］では username@domain の形式を使用します。
ポータルでユーザーを入力することも、Active Directory から直接まとめてインポートしたり .CSV ファイルを使用してインポートすることもできます。
web.config ファイルを変更してフェデレーションシングルサインオンを有効にするには:
install_path\WebSiteにアクセスします。- 管理者としてメモ帳で
web.configを開きます。 - <modules> セクションを検索して 2 つの IdentityModel モジュールをコメント解除します。
- <authentication> セクションを検索してモードを None に変更します。
- <wsFederation> 要素の issuer 属性に WS-Federation Web サイトの URL を入力します。
- <trustedIssuers> セクションを検索して WS-Federation サーバーのトークン署名証明書の拇印を入力します。
メモ:
ファイルに隠し文字を挿入すると拇印の照合に影響を与える可能性があるので、拇印のカットアンドペーストは使用しないでください。
- 自己署名 SSL 証明書を使用するテストシステムでこれらの変更を加える場合は、<certificateValidation> 要素をコメント解除します。
web.configファイルを保存します。
［フォーム認証 (Forms Authentication)］に切り替える必要がある場合は、web.config ファイルを編集して認証モードをフォーム <authentication mode="Forms"> に設定できます。［フォーム認証 (Forms Authentication)］に切り替えると問題が解決することがあります。
フェデレーションログオン用にシステムを完全に構成していることを確認するには:
- Internet Explorer を閉じて再び開きます。
- Self Service の URL を入力します。
- 使用している環境でテスト証明書を使う場合は証明書エラーを 2 回容認します。
- 以前作成したユーザーの資格情報を入力します。ログオンに成功するはずです。