Shibboleth
Keeper SSO Connect CloudとShibbolethでスムーズで安全なSAML 2.0認証とSCIMプロビジョニングを設定
最初に管理コンソールの設定の手順を完了してください。
手順 1: Keeperメタデータファイルをエクスポートして保存
Keeper管理コンソール内のSSO Connect Cloudプロビジョニングメソッドで[表示]を選択します。そこから、Keeperメタデータファイルをダウンロードして保存することができます。
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2F1914737032-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-Mfd2v-YT48Ljtykb8qm%252Fuploads%252FMFFz6GaAalZxntktaSkZ%252Fimage.png%3Falt%3Dmedia%26token%3Dd8261558-23c7-4ce6-b54c-91f7402eaab8&width=768&dpr=4&quality=100&sign=e0da4e44&sv=1)
手順 2: KeeperメタデータをShibbolethに追加
Shibbolethは、リライングパーティとしてのKeeperに関する基本情報を有している必要があります。その情報はSAMLメタデータで定義されていますので、Keeperメタデータファイルを IDP_HOME/metadata/
ディレクトリに追加します。
手順 3: 新規リライングパーティトラストをShibbolethに追加
IDP_HOME/conf/relying-party.xml
で新しいRelyingParty要素を定義することで、Keeper と通信する際にどのように動作するかをShibbolethに指示します。以下のコードを DefaultRelyingParty要素の直後に追加します。プロバイダ属性を法人IDに置き換えます (DefaultRelyingPartyで設定されているプロバイダを使用します)。
引き続きIDP_HOME/conf/relying-party.xml
ファイルで、手順2で追加したKeeperメタデータファイルを使用する設定を行います。既存の設定済みプロバイダの隣に以下の MetadataProvider要素を追加します (ID値が「FSMD」であるはずです)。IDP_HOMEは実際のインストールパスに置き換えてください。
手順 4: 属性リゾルバーの設定
Keeperでは、認証中に特定のユーザー属性のマッピングが送信される必要があります。以下の表に見られるように、デフォルトのKeeper SSO Connect Cloudユーザー属性は、Email (メールアドレス)、First (名)、Last (姓)となります。IDP_HOME/conf/attribute-resolver.xml
を変更することで、Shibbolethの属性リゾルバーを設定してこのデータを利用できるようにします。
IdPのユーザー属性 | Keeperのユーザー属性 |
---|---|
| |
| First |
| Last |
Shibboleth Identity Provider SAML属性を設定する際に、KeeperはNameIDFormatがemailAddressの形式で提供されることを想定しています。推奨されたNameIDFormatを使用するか、Keeperにユーザー名ログイン識別子としてユーザーのメールアドレスを与えるような環境に適した値を入力します。
手順 5: 属性フィルタの設定
最後に、principal
属性 (NameIDとしてエンコード) をGoogleに解放するようにShibboleth属性フィルタリングエンジンを設定します。以下のコードを既存のポリシー要素とともに IDP_HOME/conf/attribute-filter.xmlに追加します。
手順 6: ShibbolethからメタデータXMLファイルを取得
http://shibboleth.example.com/idp/shibboleth
または<install_folder>/shibboleth-idp/metadata
のShibbolethファイルシステムにあるShibbolethメタデータを見つけます。Shibbolethメタデータを手動で変更し、すべてのユーザーエンドポイントのコメントが解除されていることを確かにします (例: SingleLogout)。
XMLファイルを保存します。
手順 7: IdPメタデータをKeeperにアップロード
Shibbolethメタデータ ファイルの準備ができると、Keeper管理コンソールに戻り、SSO Connect クラウドプロビジョニングメソッドで[編集]を選択します。
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2F1914737032-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-Mfd2v-YT48Ljtykb8qm%252Fuploads%252FiizbO4aSlUzwUn5rRdnh%252Fimage.png%3Falt%3Dmedia%26token%3Dd29a9562-18b1-44eb-9802-841b63deb7f8&width=768&dpr=4&quality=100&sign=7c137ba8&sv=1)
[アイデンティティプロバイダ]まで下にスクロールし、[IDP タイプ]を [GENERIC] に設定し、[ファイルの参照]を選択して Shibbolethメタデータ ファイルを選択します。
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2F1914737032-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-Mfd2v-YT48Ljtykb8qm%252Fuploads%252FJFkQ4jsgy9sod1xKQwGp%252Fimage.png%3Falt%3Dmedia%26token%3De07ff40e-cb46-4876-98f0-d51e7a61f8c6&width=768&dpr=4&quality=100&sign=2d209cdf&sv=1)
Keeper 管理コンソール内で編集ビューを終了し、SSO Connect Cloudプロビジョニングメソッドで[表示]を選択します。 [アイデンティティプロバイダ]セクション内に、現在設定されている法人ID、シングルサインオンサービス、シングルログアウトサービス エンドポイントのメタデータ値が表示されます。
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2F1914737032-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-Mfd2v-YT48Ljtykb8qm%252Fuploads%252FNigf8nSCetrfiPYrZAUx%252Fimage.png%3Falt%3Dmedia%26token%3D3a38b8bd-ffe1-478a-89ab-20e5cc7ece40&width=768&dpr=4&quality=100&sign=c2faf773&sv=1)
グラフィックアセット
ShibbolethインスタンスでKeeperのアイコンやロゴファイルが必要な場合は、グラフィックアセットページをご参照ください。
Keeper SSO Connect Cloudのセットアップはこれで完了です。SSOを使用してKeeper にログインしてみてください。
SSOが機能していない場合は、Shibbolethの設定、メタデータファイル、ユーザー属性にエラーがないか確認してください。
確認が完了後に手順4を繰り返します。
サポートが必要な場合は、enterprise.support@keepersecurity.comまでメールでお問い合わせください。
既存のユーザー/初期管理者をSSO認証に移行
ルートノード (最上位) で作成されたユーザーは、SSOが設定されたサブノードに移行する必要があります。ユーザーがルートノードに残っている場合、ボルトや管理コンソールにアクセスする際にマスターパスワードの入力を求められます。
管理者は、SSOが有効になっているノードに自分自身を移動できません。この操作を行うには別の管理者が必要となります。
ユーザーがSSO対応ノードに移動した後、最初に[法人SSOログイン]のプルダウンからSSO統合で設定した法人ドメインを入力し、Keeperボルトにログインする必要があります。また、マスターパスワード入力による確認を求められる場合があります。
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2F1914737032-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-Mfd2v-YT48Ljtykb8qm%252Fuploads%252FfpSEmIXemukyLDVOIB8z%252Fimage.png%3Falt%3Dmedia%26token%3De175838b-018c-4f83-be6d-3d2cb964332d&width=768&dpr=4&quality=100&sign=be751b7a&sv=1)
SSOで認証されると、それ以降はメールアドレスだけでSSO認証を開始できます。
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2F1914737032-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-Mfd2v-YT48Ljtykb8qm%252Fuploads%252Fg0JxRlreTxyHvYycbquB%252Fimage.png%3Falt%3Dmedia%26token%3D28a1aed8-358c-47fa-babc-3e27633e4cfe&width=768&dpr=4&quality=100&sign=65e8051a&sv=1)
最終更新