38.3 サービス・プロバイダとしてのIdentity Federationの管理

統合Identity FederationがSPとして構成されている場合、各リモートIdPについての詳細を含むプロファイルを作成およぴ管理することにより、信頼できるパートナとしてリモートIdPパートナを定義する必要があります。

SPである統合Identity Federationサーバーの管理を開始するには、Oracle Access Managementコンソールの起動パッドからIdentity Federationの「サービス・プロバイダ管理」リンクをクリックします。この項の内容は次のとおりです。

38.3.1 リモート・アイデンティティ・プロバイダ・パートナの作成

「新規アイデンティティ・プロバイダ」ページを使用して、Access Managerのアイデンティティ・プロバイダ(IdP)パートナのレコードを定義します。サービスの詳細は、手動で指定することもメタデータ・ファイルからロードすることも可能です。

図38-1には、XMLメタデータ・ファイルがロードされてサービス詳細が構成されている「アイデンティティ・プロバイダ・パートナの作成」ページが示されています。

図38-1 サービスの詳細をメタデータからロードした場合の「新規アイデンティティ・プロバイダ」ページ

「図38-1 サービスの詳細をメタデータからロードした場合の「新規アイデンティティ・プロバイダ」ページ」の説明

図38-2には、値が手動で入力されてサービス詳細が構成されている「アイデンティティ・プロバイダ・パートナの作成」ページが示されています。

図38-2 サービスの詳細を手動で入力した場合の「新規アイデンティティ・プロバイダ」ページ

「図38-2 サービスの詳細を手動で入力した場合の「新規アイデンティティ・プロバイダ」ページ」の説明

表38-2は、「新規アイデンティティ・プロバイダ」ページの各要素について説明しています。

表38-2 アイデンティティ・プロバイダ・パートナの設定

要素	説明
名前	プロバイダ名です。
説明	プロバイダの簡単な説明です。(オプション)。
プロトコル	プロバイダ・プロトコルです(SAML 1.1、SAML 2.0など)。
サービスの詳細	このドロップダウンを使用して、サービスの詳細を手動で入力するか、メタデータからロードするかを選択します。
メタデータ・ファイル	このフィールドは、ファイルからメタデータをロードする場合に表示されます。「参照」をクリックして、使用するファイルを選択します。SAML 2.0にのみ適用されます。
発行者ID	プロバイダの発行者IDです。SAML 2.0とSAML 1.1にのみ適用されます。
簡潔ID	プロバイダの簡潔IDです。この要素は、アーティファクト・プロファイルを使用する場合は必須です。SAML 2.0とSAML 1.1にのみ適用されます。
SSOサービスURL	SSOリクエストが送信されるURLアドレスです。
SOAPサービスURL	SOAPサービス・リクエストが送信されるURLアドレスです。この要素は、アーティファクト・プロファイルを使用する場合は必須です。
ログアウト・リクエスト・サービスURL	プロバイダからログアウト・リクエストが送信されるURLアドレスです。この要素はログアウト機能を使用する場合は必須です。SAML 2.0にのみ適用されます。
ログアウト・レスポンス・サービスURL	ログアウト・レスポンスが送信されるURLアドレスです。この要素はログアウト機能を使用する場合は必須です。SAML 2.0にのみ適用されます。
署名証明書	プロバイダが使用する署名証明書です。`pem`および`der`フォーマットで指定できます。SAML 2.0とSAML 1.1にのみ適用されます。
ユーザー・アイデンティティ・ストア	IdPのユーザーが配置およびマップされるアイデンティティ・ストアです。Identity Federationは、パートナ単位で定義された複数のアイデンティティ・ストアをサポートします。また、ユーザー・アイデンティティ・ストアが選択されていない場合は、デフォルトのAccess Managerストアが使用されます。
ユーザー検索ベースDN	ユーザー・レコードの参照時に使用される基本検索DNです。(オプション。)省略した場合は、選択したユーザー・アイデンティティ・ストア用に構成されているデフォルトのユーザー検索ベースDNが使用されます。)
マッピング・オプション	この設定では、アイデンティティ・ストア内のユーザーに着信アサーションをマップする方法を指定します。次のいずれかを選択します。ユーザーIDストア属性にアサーション名IDをマップアサーションのNameIDのマップ先となるアイデンティティ・ストア属性を入力します。ユーザーIDストア属性にアサーション属性をマップアサーション属性とそのマップ先となるアイデンティティ・ストア属性を入力します。 LDAP問合せを使用してユーザー・レコードにアサーションをマップ着信データのプレースホルダを含むLDAP問合せを入力します。次を使用できます。 - SAMLアサーションの`AttributeStatement`要素の属性。属性名の先頭と末尾に`%`文字を付けて参照します。 - SAMLアサーションのサブジェクトの`NameID`。`%fed.nameidvalue%`で参照します。 - アイデンティティ・プロバイダのパートナ名。%fed.partner%で参照します。たとえば、2つのアサーション属性(lastnameとemail)に基づいて着信アサーションをマップするLDAP問合せは、(&(sn=%lastname%)(mail=%email%))のようになります。
HTTP Basic認証の有効化	HTTP基本資格証明を受け入れる場合はこのボックスを選択します。(拡張要素。プロバイダの「Edit」モードのみで使用できます。)
属性マッピング・プロファイル	パートナが関連付けられる属性プロファイルを示します。
サービスの詳細	次のオプションのうち、Identity Federation (RP)がフェデレーションSSOをIdPとともに実行する際に使用するオプションを示します。OpenID 2.0にのみ適用されます。検出サービスURLで使用可能なIdP XRDSメタデータ経由でIdP SSO URを検出する。 IDP SSOサービスURLである指定の静的なOpenIDログイン・エンドポイントを使用する。
検出URL	IdPがXRDSメタデータを発行する場所を定義します。OpenID 2.0にのみ適用されます。
エンドポイントURL	IdP SSOサービス・ロケーションを定義します。OpenID 2.0にのみ適用されます。
グローバル・ログアウトの有効化	ログアウト・フローで、ユーザーのサインオフ時にIdentity Federationがリモート・パートナに通知するかどうかを示します。SAML 2.0にのみ適用されます。
HTTP POST SSOレスポンス・バインディング	IdPからSAMLアサーションを戻すのにHTTP POSTバインディングを使用するのか、アーティファクト・バインディングを使用するのかを示します。SAML 2.0にのみ適用されます。
認証リクエスト名前IDフォーマット	Identity FederationがフェデレーションSSO操作中にIdPに要求する名前IDフォーマットを示します。選択しない場合、リクエストに名前IDフォーマットは指定されません。SAML 2.0にのみ適用されます。

38.3.1.1 フェデレーション用の新しいSAML 2.0アイデンティティ・プロバイダの定義

フェデレーション用に新しいSAML 2.0アイデンティティ・プロバイダ(IdP)を定義できます。

新しいアイデンティティ・プロバイダを作成するには、次のようにします。

Oracle Access Managementコンソールで、ウィンドウの上部にある「フェデレーション」をクリックします。
「フェデレーション」コンソールで、「フェデレーション」セクションの「作成」(+)ドロップダウン・リストから「アイデンティティ・プロバイダ・パートナの作成」を選択します。
「サービスの詳細」フィールドで、「プロバイダ・メタデータからロード」を選択します。(通常、SAML 2.0はメタデータで構成します。)
「メタデータ・ファイル」という新しいフィールドが表示されます。「参照」をクリックします。
対象のメタデータ・ファイルを選択します。
ファイルからメタデータがロードされます。
「保存」をクリックすると、アイデンティティ・プロバイダの定義が作成されます。

38.3.1.2 フェデレーション用の新しいSAML 1.1アイデンティティ・プロバイダの定義

フェデレーション用に新しいSAML 1.1アイデンティティ・プロバイダ(IdP)を定義できます。

新しいアイデンティティ・プロバイダを作成するには、次のようにします。

Oracle Access Managementコンソールで、ウィンドウの上部にある「フェデレーション」をクリックします。
「フェデレーション」コンソールで、「フェデレーション」セクションの「作成」(+)ドロップダウン・リストから「アイデンティティ・プロバイダ・パートナの作成」を選択します。
「サービスの詳細」フィールドで、「手動で入力」を選択します。
使用環境に適した値を、「新規アイデンティティ・プロバイダ」ページに入力します。指定する情報は、プロバイダなどの要素で選択したプロトコルに応じて異なります。
表38-2を参照してください。
「保存」をクリックすると、アイデンティティ・プロバイダの定義が作成されます。
ノート:
一部のSAML 1.1構成パラメータはOracle Access Managementコンソールから設定できません。このようなパラメータの値はupdatePartnerProperty WLSTコマンドを使用して変更できます。

「updatePartnerProperty」(『WebLogic Server WLSTコマンド・リファレンス』ガイド)を参照してください。

38.3.1.3 フェデレーション用の新しいOpenID 2.0アイデンティティ・プロバイダの定義

11gリリース2 (11.1.2.3)以降では、Identity FederationはOpenIDをサポートし、OpenID RP/SPとして機能します。OpenIDプロバイダは、IdPパートナとして登録できます。

これらのOpenIDパートナを使用して作成された認証スキームは、OpenIDアイデンティティ・プロバイダが提供する認証サービスを使用してAccess Managerリソースを保護します。

フェデレーション用に新しいOpenID 2.0アイデンティティ・プロバイダ(IdP)を定義するには、次のようにします。

Oracle Access Managementコンソールで、ウィンドウの上部にある「フェデレーション」をクリックします。
「フェデレーション」コンソールで、「フェデレーション」セクションの「作成」(+)ドロップダウン・リストから「アイデンティティ・プロバイダ・パートナの作成」を選択します。
手動、またはメタデータ・ファイルのアップロードにより、現在の環境に適した値を入力します。

指定する情報は、プロバイダなどの要素で選択したプロトコルに応じて異なります。
「保存」をクリックして、アイデンティティ・プロバイダの定義を作成します。

Google IdPパートナ

GoogleをOpenID 2.0 IdPとして追加するには、次のようにします。

Oracle Access Managementコンソールで、ウィンドウの上部にある「フェデレーション」をクリックします。
「フェデレーション」コンソールで、「フェデレーション」セクションの「作成」(+)ドロップダウン・リストから「アイデンティティ・プロバイダ・パートナの作成」を選択します。
「起動パッド」から、Identity Federationの「サービス・プロバイダ管理」をクリックします。
「プロトコル」ドロップダウン・リストから「OpenID 2.0」を選択します。
「サービスの詳細」ドロップダウン・メニューから「Googleプロバイダのデフォルト設定」を選択します。
「保存」をクリックすると、アイデンティティ・プロバイダの定義が作成されます。

このパートナは、SPがアサーション属性をGoogle IdPに要求し、それらを対応するセッション属性名にマップするように構成されます。

表38-3を参照してください。

表38-3 Google OpenIDパートナの属性

アサーション属性名	セッション属性名
http://axschema.org/contact/country/home	country
http://axschema.org/contact/email	email
http://axschema.org/namePerson/first	firstname
http://axschema.org/pref/language	language
http://axschema.org/namePerson/last	lastname

Googleパートナはユーザー・マッピング属性としてmailを使用するため、着信のhttp://axschema.org/contact/email属性は、ユーザー・アイデンティティ・ストアに含まれるユーザーのmail属性と一致するようになります。

Yahoo IdPパートナ

YahooをOpenID 2.0 IdPとして追加するには、次のようにします。

Oracle Access Managementコンソールで、ウィンドウの上部にある「フェデレーション」をクリックします。
「フェデレーション」コンソールで、「フェデレーション」セクションの「作成」(+)ドロップダウン・リストから「アイデンティティ・プロバイダ・パートナの作成」を選択します。
「プロトコル」ドロップダウン・リストから「OpenID 2.0」を選択します。
「サービスの詳細」ドロップダウン・メニューから「Yahooプロバイダのデフォルト設定」を選択します。
「保存」をクリックすると、アイデンティティ・プロバイダの定義が作成されます。

このパートナは、SPがアサーション属性をYahoo IdPに要求し、それらを対応するセッション属性名にマップするように構成されます。

表38-4を参照してください。

表38-4 Yahoo OpenIDパートナの属性

アサーション属性名	セッション属性名
http://axschema.org/contact/country/home	country
http://axschema.org/contact/email	email
http://axschema.org/namePerson/first	firstname
http://axschema.org/pref/language	language
http://axschema.org/namePerson/last	lastname

Yahooパートナはユーザー・マッピング属性としてmailを使用するため、着信のhttp://axschema.org/contact/email属性は、ユーザー・アイデンティティ・ストアに含まれるユーザーのmail属性と一致するようになります。

38.3.1.4 OpenID Simple Registrationの有効化

デフォルトでは、Identity FederationはAttribute Exchange Extensionを使用して、OpenID IdPからユーザー・アイデンティティ属性を取得します。

ただし、古いSimple Registration (SREG)拡張機能を使用する必要がある場合は、次のWLSTコマンドを実行することで、有効化できます。

putBooleanProperty("/spglobal/openid20axenabled", "false")
putBooleanProperty("/spglobal/openid20sregenabled", "true")

38.3.1.5 OpenID Simple Registrationの無効化

Attribute Exchange Extensionに対してSimple Registrationを無効にできます。

Simple Registration (SREG)拡張機能からAttribute Exchange Extensionに切り替えてOpenID IdPからユーザー・アイデンティティ属性を取得するには:

putBooleanProperty("/spglobal/openid20axenabled", "true")
putBooleanProperty("/spglobal/openid20sregenabled", "false")

38.3.2 リモート・アイデンティティ・プロバイダ・パートナの管理

次の各トピックでは、Identity Federationの既存のIdPを管理する方法について説明します。

38.3.2.1 既存のアイデンティティ・プロバイダの検索

「フェデレーション」コンソールから既存のアイデンティティ・プロバイダを検索できます。

検索するには、次のようにします。

Oracle Access Managementコンソールで、ウィンドウの上部にある「フェデレーション」をクリックします。
「フェデレーション」コンソールで、「フェデレーション」セクションの「アイデンティティ・プロバイダ管理」をクリックします。
ページの「検索」に、アイデンティティ・プロバイダの検索基準を入力します。"*"(アスタリスク)文字と"."(ピリオド)文字は、検索のワイルドカードとしてサポートされています。
検索パラメータの詳細は、表38-5を参照してください。
「検索」をクリックします。

検索結果は、表に表示されます。

表38-5 IdPのプロバイダ検索で使用される要素

要素	説明
パートナ名	特定のパートナ名を検索します。
プロバイダID	プロバイダIDで検索します。
ステータス	ステータスに一致するプロバイダを検索します。
説明	プロバイダの説明で検索します。
プロトコル	指定したプロバイダを使用するプロバイダを検索します。

表38-5では、プロバイダの検索に使用できるパラメータについて説明します。

図38-3 アイデンティティ・プロバイダの検索

「図38-3 アイデンティティ・プロバイダの検索」の説明

38.3.2.2 フェデレーション用のアイデンティティ・プロバイダの更新

フェデレーション用のアイデンティティ・プロバイダを検索し、プロバイダ情報を更新できます。

フェデレーション用のアイデンティティ・プロバイダを更新するには、次のようにします。

Oracle Access Managementコンソールで、ウィンドウの上部にある「フェデレーション」をクリックします。
「フェデレーション」コンソールで、「フェデレーション」セクションの「アイデンティティ・プロバイダ管理」をクリックします。
更新対象のプロバイダを検索します。
「既存のアイデンティティ・プロバイダの検索」を参照してください。
検索結果の表から対象のプロバイダを選択します。
鉛筆アイコンをクリックして、プロバイダの更新ページを表示します。このページは、「サービス情報」、「署名証明書」、「ユーザー・マッピング」および「詳細設定」のセクションに分かれています。
プロバイダの情報を更新します。
詳細は、表38-2を参照。
「保存」をクリックすると、アイデンティティ・プロバイダの定義が更新されます。