AD FSの設定

Microsoft AD FSとのKeeperオンプレミスSSOコネクト連携設定

AD FSとの完全なクラウドベースの統合については、KeeperクラウドSSOコネクトをご参照ください

Microsoft AD FS

フェデレーションメタデータXMLを取得

AD FS管理アプリケーション内で、フェデレーションメタデータxmlファイルを見つけます。 これは、AD FS > [サービス] > [エンドポイント] をクリックし、 [メタデータ] セクションでURLのパスを探せば確認できます。 パスは通常、以下に示すように /FederationMetadata/2007-06/FederationMetadata.xml です。

メタデータファイルをダウンロードするには、通常、サーバーのブラウザに以下のようなURLを読み込めば入手できます。 https://<ご利用のホスト名>/FederationMetadata/2007-06/FederationMetadata.xml このファイルをダウンロードして、コンピュータに保存します。

フェデレーションメタデータをインポート

FederationMetadata.xmlファイルをドラッグアンドドロップして、Keeper SSOコネクトの設定画面にインポートします。

[保存] を選択して設定を保存します。

ADFSの署名証明書の有効期限は、通常1年間のみです。 ADFSは、最新の証明書に自動的にローテーションする場合があります。 これにより、Keeper SSOコネクトとADFS間の信頼関係が崩れます。 動作を保証するために、新しいfederationMetadata.xmlファイルを生成して、Keeper SSOコネクトにアップロードする必要があります。 この手順を実行して動作を維持できるように、証明書が失効する前にリマインダーを設定することを強くお勧めします。

Keeper SSOコネクトメタデータをエクスポート

Keeper SSOコネクトの [メタデータをエクスポート] リンクを選択し、sso_connect.xmlファイルをご利用のIdPにコピーします。

AD FSの設定を完了

証明書利用者信頼を作成

Keeper SSOコネクトを証明書利用者信頼として作成します。

Keeperメタデータをインポート

以下の手順に示すように、証明書利用者信頼ウィザードを完了して、Keeper SSOコネクトから前もってエクスポートしたKeeperメタデータをインポートします。

要求に対応するアプリケーション

データをインポート - フェデレーションメタデータファイルの場所

表示名を入力

アクセス制御ポリシーを選択

SAMLログアウトエンドポイント

ログアウトエラーを防ぐには、証明書利用者信頼のSAMLログアウトエンドポイントをhttps://<ご利用のADFSサーバーのドメイン名>/adfs/ls/?wa=wsignout1.0に変更します。

要求発行ポリシーを設定

証明書利用者信頼

要求発行ポリシー規則を作成

AD FSとKeeperの間で属性をマッピングするには、 [LDAP属性を要求として送信] を使用して、要求発行ポリシーを作成し、LDAPの属性をKeeperコネクトの属性にマッピングする必要があります。

要求発行ポリシーを編集

規則を追加...

規則のタイプを選択

要求規則名 - ユーザー属性のマッピング

上記のとおり、3つの属性 ("First"、"Last"、"Email") が正確なスペルで設定されていることを確認してください。

発行変換規則

ログアウトに対応するために、さらに2つの要求発行ポリシー規則を追加する必要があります。

カスタム規則を使用して要求を送信

不透明な永続識別子を作成

要求規則に追加する構文をコピーするには、以下のテキストをコピーして、カスタム規則に貼り付けます。

c1:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname"]
 && c2:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationinstant"]
 => add(store = "_OpaqueIdStore", types = ("http://mycompany/internal/sessionid"), query = "{0};{1};{2};{3};{4}", param = "useEntropy", param = c1.Value, param = c1.OriginalIssuer, param = "", param = c2.Value);

入力方向の要求を変換

永続的な名前の識別子を作成

入力方向の要求の種類: http://mycompany/internal/sessionid

会社名に置き換えず、http://mycompany/internal/sessionid をそのまま入力します。

出力方向の要求の種類: 名前 ID 送信される名前 ID の形式: 一時識別子

出力方向の要求と名前 ID の形式を設定

最後に、 [SAMLログアウトエンドポイント] のバインディングを REDIRECT から POST に変更します。

エンドポイントを編集

SAML署名の設定

a. AD FSサーバーで管理者としてPowershellを開きます。 b. 以下のコマンドを実行して取得できるSSOコネクト証明書利用者信頼の識別子の文字列を特定します。

Get-ADFSRelyingPartyTrust

このコマンドを実行すると、長い出力リストが生成されます。SSOコネクトセクションと識別子の文字列を探します。 この文字列は以下のようになります。 https://xyx.company.com:8443/sso-connect

c. 以下のコマンドを実行し、を手順(b)で見つけた文字列に置き換えます。

Set-ADFSRelyingPartyTrust -TargetIdentifier <Identifier> -samlResponseSignature MessageAndAssertion

Get-ADFSRelyingPartyTrustを再度実行すると、SamlResponseSignatureセクションが「MessageAndAssertion」に設定されていることが確認できます。

AD FSサービスを再起動

サービスマネージャから、AD FSサービスを再起動します。

AD FSを再起動

SAMLアサーションの署名は、AD FS環境で適切に設定する必要があります。 署名が設定されていない場合は、署名を設定し、再設定後にAD FSとKeeper SSOコネクト間でメタデータを再度交換する必要があります。

トラブルシューティング

Keeper SSOコネクトの設定後に、SSOが設定されていません (未定義) と表示される場合の根本原因としては、CRLの設定がないか、または間違っていると考えられます。 簡単な修正/回避策は、証明書失効チェックをすべて無効にすることです。

考えられる根本原因 タイムスキュー KeeperコネクトとIdPのシステム時刻が同じ (1秒以内) であることを確認してください。 ntp同期を設定 PS C:\Windows\system32>w32tm /config /syncfromflags:manual /manualpeerlist:0.pool.ntp.org,1.pool.ntp.org,2.pool.ntp.org,3.pool.ntp.org,0x8 /reliable:yes /update 証明書有効性確認の失敗

• 設定を確認します。管理者としてPowerShellを実行し、ADFSRelyingPartyTrustを確認します。
• 上記の「SAML署名の設定」の手順に従います。

テスト目的または内部PKI証明書のために、IdPでの証明書の有効性確認を無効にする必要がある場合は、以下のPowershellコマンドをご使用ください。 を上記の 「SAML署名の設定」 の手順で見つけた文字列に置き換えます。

Set-ADFSRelyingPartyTrust -TargetIdentifier 
<Identifier> -EncryptionCertificateRevocationCheck None

Set-ADFSRelyingPartyTrust -TargetIdentifier 
<Identifier> -SigningCertificateRevocationCheck None

署名設定に何らかの変更を加えると、IdPとSSOコネクトの間でXMLメタデータの交換が必要になる場合があります。