{% hint style="danger" %}
ログアウトエラーを防ぐには、証明書利用者信頼のSAMLログアウトエンドポイントを[https://**<ご利用のADFSサーバーのドメイン名 (YourADFSserverDomain) >**/adfs/ls/?wa=wsignout1.0](https://myadfsserver.domain.net/adfs/ls/?wa=wsignout1.0)に変更します。
{% endhint %}
要求発行ポリシーを設定
証明書利用者信頼
#### 要求発行ポリシー規則を作成
AD FSとKeeperの間で属性をマッピングするには、**LDAP属性を要求として送信 (Send LDAP Attributes as Claims)** を使用して、要求発行ポリシーを作成し、LDAPの属性をKeeperコネクトの属性にマッピングする必要があります。
#### SAML署名の設定
a. AD FSサーバーで管理者としてPowershellを開きます。\
\
b. 以下のコマンドを実行して取得できるSSOコネクト証明書利用者信頼の「識別子 (Identifier）」の文字列を特定します。
```
Get-ADFSRelyingPartyTrust
```
このコマンドを実行すると、長い出力リストが生成されます。SSOコネクトセクションと「識別子 (Identifier）」の文字列を探します。 この文字列は以下のようになります。\
c. 以下のコマンドを実行し、<識別子 (Identifier) >を手順(b)で見つけた文字列に置き換えます。
```
Set-ADFSRelyingPartyTrust -TargetIdentifier <識別子（Identifier）> -samlResponseSignature MessageAndAssertion
```
Get-ADFSRelyingPartyTrustを再度実行すると、SamlResponseSignatureセクションが「MessageAndAssertion」に設定されていることが確認できます。
#### AD FSサービスを再起動
サービスマネージャから、AD FSサービスを再起動します。
AD FSを再起動
{% hint style="info" %}
SAMLアサーションの署名は、AD FS環境で適切に設定する必要があります。 署名が設定されていない場合は、署名を設定し、再設定後にAD FSとKeeper SSOコネクト間でメタデータを再度交換する必要があります。
{% endhint %}
#### トラブルシューティング
Keeper SSOコネクトの設定後に、**SSOが設定されていません (未定義) (SSO is not configured (undefined))** と表示される場合の根本原因としては、CRLの設定がないか、または間違っていると考えられます。\
\
簡単な修正/回避策は、証明書失効チェックをすべて無効にすることです。
考えられる根本原因\
\
タイムスキュー\
\
KeeperコネクトとIdPのシステム時刻が同じ (1秒以内) であることを確認してください。\
\
ntp同期を設定\
\
PS C:\Windows\system32>w32tm /config /syncfromflags:manual /manualpeerlist:0.pool.ntp.org,1.pool.ntp.org,2.pool.ntp.org,3.pool.ntp.org,0x8 /reliable:yes /update\
\
証明書有効性確認の失敗
* 設定を確認します。管理者としてPowerShellを実行し、ADFSRelyingPartyTrustを確認します。
* 上記の「**SAML署名の設定**」の手順に従います。
テスト目的または内部PKI証明書のために、IdPでの証明書の有効性確認を無効にする必要がある場合は、以下のPowershellコマンドをご使用ください。 <識別子 (Identifier) >を上記の 「SAML署名の設定」 の手順で見つけた文字列に置き換えます。
```
Set-ADFSRelyingPartyTrust -TargetIdentifier
<識別子（Identifier）> -EncryptionCertificateRevocationCheck None
```
```
Set-ADFSRelyingPartyTrust -TargetIdentifier
<識別子（Identifier）> -SigningCertificateRevocationCheck None
```
署名設定に何らかの変更を加えると、IdPとSSOコネクトの間でXMLメタデータの交換が必要になる場合があります。
---
# Agent Instructions: Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter:
```
GET https://docs.keeper.io/jp/sso-connect-on-prem/identity-provider-setup/ad-fs-configuration.md?ask=
```
The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
