OpenAM の構成

OpenAM　10.1.0 以降のバージョンを SAML の　ArcGIS Enterprise ログインの ID プロバイダー (IDP) として構成できます。 構成プロセスでは、主に次の 2 つの手順を実行します。まず、SAML IDP を ArcGIS Enterprise に登録し、次に、ArcGIS Enterprise を　SAML IDP に登録します。

注意:

SAML ログインをセキュアに構成するには、「SAML セキュリティのベスト プラクティス」をご参照ください。

必要な情報

ArcGIS Enterprise は、ユーザーが SAML ログインを使用してサイン インするときに、特定の属性情報を IDP から受信する必要があります。 NameID は、フェデレーションが機能するように、IDP が SAML レスポンスで送信しなければならない必須の属性です。 ArcGIS Enterprise は NameID の値を使用して指定ユーザーを一意に識別するため、ユーザーを一意に識別する定数値を使用することをお勧めします。 IDP からユーザーがサイン インすると、ArcGIS Enterprise 組織サイトによってユーザー名が NameID の新しいユーザーがユーザー ストアに作成されます。 NameID によって送信される値に使用できる文字は、英数字、_ (アンダースコア)、. (ドット) および @ (アット マーク) です。 その他の文字はエスケープされ、ArcGIS Enterprise によってアンダースコアが付加されたユーザー名が作成されます。

ArcGIS Enterprise は、ユーザーの電子メール アドレス、グループ メンバー、名と姓を、SAML ID プロバイダーから取得して入力することをサポートしています。

OpenAM を SAML IDP として ArcGIS Enterprise に登録する

1. 組織サイトの管理者としてサイン インしていることを確認します。
2. サイトの上部にある [組織] をクリックして、[設定] タブをクリックします。
3. ページの左側にある [セキュリティ] をクリックします。
4. [ログイン] セクションの [新しい SAML ログイン] ボタンをクリックし、[1 つの ID プロバイダー] オプションを選択します。 [プロパティの指定] ページで、組織名 (たとえば「City of Redlands」) を入力します。 ユーザーがポータル Web サイトにアクセスすると、このテキストが SAML サイン イン オプションの一部に表示されます (たとえば、「City of Redlands アカウントを使用」)。

   注意:

   ポータル用に登録できる SAML IDP または IDP のフェデレーションは 1 つだけです。

5. [自動] または [管理者から招待されたとき] のいずれかを選択して、ユーザーが組織に加入できる方法を指定します。 1 番目のオプションを選択すると、ユーザーは、管理者から招待されなくても、自分の SAML ログインを使用して組織サイトにサイン インできます。 ユーザーのアカウントは、最初にサイン インしたときに自動的に組織サイトに登録されます。 2 番目のオプションを選択すると、管理者は、コマンド ライン ユーティリティを使用して必要なアカウントを組織サイトに登録する必要があります。 ユーザーは、アカウントが登録された時点で、組織サイトにサイン インできるようになります。

   ヒント:

   少なくとも 1 つの　SAML アカウントをポータルの管理者として指定し、最初の管理者アカウントを降格するか削除することをお勧めします。 また、ポータル Web サイトの [アカウントの作成] ボタンを無効化することで、ユーザーが自分のアカウントを作成できないようにしておくこともお勧めします。 詳細な手順については、「ポータルでの SAML 準拠の ID プロバイダーの構成」をご参照ください。

6. 次の 3 つのオプションのいずれかを使用して、IDP のメタデータ情報を入力します。
   • [URL] - OpenAM から ArcGIS Enterprise フェデレーション メタデータの URL にアクセスできる場合は、このオプションを選択します。 この URL は、通常 https://<host>:<port>/openam/saml2/jsp/exportmetadata.jsp です。

     注意:

     SAML IDP に自己署名証明書が含まれている場合、メタデータの HTTPS URL を指定しようとしたときに、エラーが発生することがあります。 このエラーは、ArcGIS Enterprise が IDP の自己署名証明書を確認できないために発生します。 代わりに、URL 内で HTTP を使用するか、下記の他のオプションのいずれかを使用するか、信頼できる証明書を使用して IDP を構成してください。

   • [ファイル] - ArcGIS Enterprise から URL にアクセスできない場合は、このオプションを選択します。 上記の URL からメタデータを取得し、XML ファイルとして保存した後、そのファイルをアップロードします。
   • [設定パラメーター] - URL にもフェデレーション メタデータ ファイルにもアクセスできない場合は、このオプションを選択します。 値を手動で入力して、要求されたパラメーター (BASE 64 形式でエンコードされたログイン URL および証明書) を指定します。 これらの情報については、OpenAM 管理者にお問い合わせください。
7. 必要に応じて高度な設定を構成します。
   • [暗号化アサーション] - OpenAM アサーションの応答を暗号化するように SAML を構成する場合は、このオプションを有効化します。
   • [署名付きリクエストの有効化] - OpenAM に送信される SAML の認証リクエストに ArcGIS Enterprise が署名する場合は、このオプションを有効化します。
   • [エンティティ ID] - 新しいエンティティ ID を使用してポータルを OpenAM に対して一意に識別する場合は、この値を更新します。
   • [サイン イン時にプロフィールを更新] - ユーザーの givenName および email address 属性が前回のサイン イン以降に変更された場合に ArcGIS Enterprise によって更新するには、このオプションを有効化します。
   • [SAML ベースのグループのメンバーシップを有効化] - このオプションを有効化すると、組織メンバーが、グループ作成処理中に、指定された SAML ベースのグループを、ArcGIS Enterprise グループにリンクできるようになります。

   [暗号化アサーション] と [署名付きリクエストの有効化] 設定では、ポータル キーストアの samlcert 証明書を使用します。 新しい証明書を使用するには、samlcert 証明書を削除してから、「ポータルへの証明書のインポート」に記載された手順に従って新しい証明書を同じエイリアス (samlcert) で作成し、ポータルを再起動します。

   注意:

   現在、[ID プロバイダーへのログアウトの反映] と [ログアウト URL] はサポートされていません。

8. [保存] をクリックします。

ArcGIS Enterprise を信頼できるサービス プロバイダーとして OpenAM　に登録する

1. OpenAM でホストされる IDP を構成します。
   1. OpenAM 管理コンソールにサイン インします。 これは、通常 https://servername:port/<deploy_uri>/console で利用できます。
   2. [Common Tasks] タブで、[Create Hosted Identity Provider] をクリックします。
   3. ホストされる IDP を作成し、それを [Circle of Trust] に追加します。 [Circle of Trust] がすでに存在する場合、それに追加できますが、存在しない場合は新規作成します。
   4. デフォルトでは、ホストされる IDP は、OpenDJ (OpenAM に付属する埋め込みユーザー ストア) を操作します。 OpenAM を Active Directory などの他のユーザー ストアに接続する場合は、メイン画面の OpenAM 管理コンソールの [Access Control] タブで新しいデータ ソースを作成する必要があります。
2. ArcGIS Enterprise を信頼できるサービス プロバイダーとして OpenAM に構成します。
   1. ポータルのメタデータ ファイルを取得し、それを XML ファイルとして保存します。

      メタデータ ファイルを取得するには、組織サイトの管理者としてサイン インして、組織のページを開きます。 [設定] タブをクリックして、ページの左側にある [セキュリティ] をクリックします。 [ログイン] セクションの [SAML ログイン] の下で、[サービス プロバイダーのメタデータのダウンロード] ボタンをクリックします。

   2. OpenAM 管理コンソールの [Common Tasks] の下で、[Register Remote Service Provider] をクリックします。
   3. メタデータに対して [File] オプションを選択し、前のステップで保存したメタデータの XML ファイルをアップロードします。
   4. このサービス プロバイダーを、IDP を追加したのと同じ [Circle of Trust] に追加します。
3. ユーザー認証後に　OpenAM が ArcGIS Enterprise に送信する必要のある　NameID の形式と属性を構成します。
   1. OpenAM 管理コンソールで、[Federation] タブをクリックします。 このタブには、前に追加した [Circle of Trust]、サービス プロバイダー、および IDP が含まれています。
   2. [Entity Providers] の下で、IDP をクリックします。
   3. [Assertion Content] タブの [Name ID Format] の下で、urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified が先頭に表示されていることを確認します。 これは、ArcGIS Enterprise が OpenAM　への SAML リクエストで要求する NameID の形式です。
   4. [Name ID Value Map] の下で、mail や upn などのユーザー プロフィールの属性をマップします。これらの属性は、ユーザー認証後、NameID として ArcGIS Enterprise に返されます。

      例: urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified =upn

   5. IDP の [Assertion Processing] タブをクリックします。 [Attribute Mapper] の下で、ArcGIS Enterprise に送信するユーザー プロフィールの属性を構成します。

      [Save] をクリックして NameID の形式と属性の変更内容を保存します。

   6. OpenAM 管理コンソールの [Federation] タブの [Entity Providers] の下で、ArcGIS Enterprise サービス プロバイダーを参照します。
   7. OpenAM を SAML IDP として ArcGIS Enterprise に登録するときに高度な設定で [暗号化アサーション] を選択した場合は、[Assertion Content] タブの [Encryption] の下で、[Assertion] オプションを選択します。
   8. [Name ID Format] の下で、urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified が先頭に表示されていることを確認します。 これは、ArcGIS Enterprise が OpenAM への SAML リクエストで要求する NameID の形式です。
   9. IDP の [Assertion Processing] タブをクリックします。 [Attribute Mapper] の下で、ArcGIS Enterprise に送信するユーザー プロフィールの属性を構成します。
   10. [Save] をクリックして [Name ID Format] と属性の変更内容を保存します。
4. OpenAM が配置されている Web サーバーを再起動します。