33.2 OAM認可および保護されているWebアプリケーションに対するフェデレーション属性の使用
この章では、SAML/OpenID SSOメッセージで受信した属性をOracle Access Manager (OAM)認証プロセスで使用する方法、および保護されているWebアプリケーションに渡す方法について説明します。
- 承認ルールの条件として
- 保護されているWebアプリケーションにSAML/OpenID属性を渡すためのレスポンスとして
$session.attr.fed.partnerで参照されるIdPパートナ名。$session.attr.fed.nameidvalueで参照されるSSOレスポンスのNameID値。$session.attr.fed.nameidformatで参照されるSAMLプロトコルのSSOレスポンスのNameID形式。- SAMLアサーションの属性文またはOpenID SSOレスポンスに含まれる属性は、
$session.attr.fed.attr.ATTR_NAMEを使用して参照され、ATTR_NAMEはローカル・セッション属性名(IdP属性プロファイル・マッピングが適用されている場合)、またはSSOレスポンスの属性名(IdP属性プロファイル・マッピングがこの属性に適用されていない場合)のいずれかになります。
33.2.1 保護リソースへのユーザー・アクセス認証の概要
- LDAPディレクトリ
- OAM管理サーバー(OAM管理コンソールを使用)
- OAMランタイム・サーバー
- Webアプリケーション
- HTTPサーバー(OHS、IISなど)上のWebアプリケーションを保護するWebGateエージェント
- コールが解釈され、次のことが確認されます:
- ユーザーが認証されていること
- ユーザーにリソースへのアクセス権があること(そのリソースの認可ポリシーを評価)
- データがCookieまたはHTTPヘッダーとしてHTTPリクエストに注入され、HTTPリクエストが保護リソースに転送されます
- アイデンティティ: ユーザーが属するユーザーのアイデンティティまたはグループに基づく条件
- IPアドレス: ユーザーのIPアドレスに基づく条件
- 一時的: 時間に基づく条件
- 属性: 属性に基づく条件(LDAP、HTTPリクエストまたはセッション属性)
- ユーザーLDAP属性
- HTTPリクエスト・データ
- 静的文字列
- OAMセッション属性
OAM認可ポリシーと同様に、管理者もOAMセッション属性($session.attr.fed.partner、$session.attr.fed.attr.ATTR_NAME...)を使用して、フェデレーション・データをHTTPリクエストに注入できます
33.2.2 フェデレーションSSOの設定の前提条件
- サービス・プロバイダとして機能するOIF
- NameIDがuserIDに設定されているSAMLアサーションを送信するIdP (AcmeIdP)
- 次の属性を設定します。
- email (ユーザーの電子メール・アドレス)
- fname (ユーザーの名)
- surname (ユーザーの姓)
- title (ユーザーの最新の役職名)
- IdP属性プロファイルを使用して、次のマッピングを行うようOIF/SPを構成します:
- fnameをfirstnameへ
- surnameをlastnameへ
- emailはそのまま
- ユーザー1: Alice
- userID: alice
- 電子メール: alice@oracle.com
- 名: Alice
- 姓: Appleton
- 役職: manager
- ユーザー2: Bob
- userID: bob
- 電子メール: bob@oracle.com
- 名: Bobby
- 姓: Smith
- 役職: engineer
<samlp:Response ..>
<saml:Issuer ...>http://acme.com/idp</saml:Issuer>
<samlp:Status>
<samlp:StatusCode
Value="urn:oasis:names:tc:SAML:2.0:status:Success"/>
</samlp:Status>
<saml:Assertion ...>
<saml:Issuer ...>http://acme.com/idp</saml:Issuer>
<dsig:Signature ...>
...
</dsig:Signature>
<saml:Subject>
<saml:NameID ...>alice</saml:NameID>
...
</saml:Subject>
<saml:Conditions ...>
...
</saml:Conditions>
<saml:AuthnStatement ...>
...
</saml:AuthnStatement>
<saml:AttributeStatement ...>
<saml:Attribute Name="email" ...>
<saml:AttributeValue...>alice@oracle.com</saml:AttributeValue>
</saml:Attribute>
<saml:Attribute Name="title" ...>
<saml:AttributeValue...>manager</saml:AttributeValue>
</saml:Attribute>
<saml:Attribute Name="surname" ...>
<saml:AttributeValue...>Appleton</saml:AttributeValue>
</saml:Attribute>
<saml:Attribute Name="fname" ...>
<saml:AttributeValue...>Alice</saml:AttributeValue>
</saml:Attribute>
</saml:AttributeStatement>
</saml:Assertion>
</samlp:Response>- emailが変更されていない
- titleが変更されていない
- fnameがfirstnameにマップされている
- surnameがlastnameにマップされている
33.2.3 保護されているWebアプリケーションの前提条件
- OHSがインストールされている
- OHSインスタンスにWebGateエージェントが構成されている
- WebGateにOAMアプリケーション・ドメインが作成されている(これにより、OHSサーバー上のすべてのリソースが保護されます)
- 認証ポリシー:
- 名前: 保護対象リソース・ポリシー
- 認証スキーム: FederationScheme
- 認可ポリシー:
- 名前: 保護対象リソース・ポリシー
- リソースが認証ポリシーの「保護対象リソース・ポリシー」および認可ポリシーの「保護対象リソース・ポリシー」にリンクされている
/cgi-bin/printenvリソースにより、ブラウザから送信されたHTTPリクエストを処理するときに次のデータが出力されます:
- HTTPヘッダー
- リクエスト・データ(パス、問合せ文字列)
- サーバー・データ(IPアドレス、ポート)
OAM/WebGateに保護されずにリソースにアクセスしたブラウザには、次の例のような内容が表示されます(テストでは、Webアプリケーションは、後に示すように保護されます):
33.2.4 フェデレーション属性を使用した認可ポリシーの作成
- フェデレーションSSOで認証されたユーザー(リソースはFederationScheme認証ポリシーで保護されています)。
- IdPからユーザーの役職が渡され、ローカルではtitleと認識されます(IdPからtitle以外の名前で役職が送信される場合は、IdP属性プロファイルを使用してローカルの役職名にマップする必要があります)。
- 役職がマネージャのユーザーに、リソースへのアクセスを限定する必要があります。
認可ポリシーの作成ステップは、次のとおりです:
- 「選択済の追加」をクリックします。
- 「条件詳細」ウィンドウで、「追加」をクリックし、次の値を選択します。
- ネームスペース: セッション
- 属性名: その他
- 入力する属性名: fed.title
- 演算子: 次と等しい
- 属性値: マネージャ
- 「適用」をクリックします。
テストするには、新しいブラウザを開き、保護リソースにアクセスします。IdPにリダイレクトされます。
IdPで
aliceとして認証する場合、ブラウザにはフローの最後に次の情報が表示され、リモート・ユーザーのHTTPヘッダーがaliceに設定されているのがわかります(IdPではtitle属性がmanagerに設定されているため、OAMではOAMセッション属性fed.titleがmanagerに設定されているユーザーにのみアクセスが許可されます)。
IdPでbobとして認証する場合、ブラウザにはフローの最後に次のエラーが表示されます(IdPではtitle属性がengineerに設定されているため、OAMではOAMセッション属性
fed.titleがengineerに設定されているユーザーにのみアクセスが許可されます)。
33.2.5 フェデレーション属性の注入
- フェデレーションSSOで認証されたユーザー(リソースはFederationScheme認証ポリシーで保護されています)。
- IdPからユーザーの役職が渡され、ローカルではtitleと認識されます(IdPからtitle以外の名前で役職が送信される場合は、IdP属性プロファイルを使用してローカルの役職名にマップする必要があります)。
- OAM/WebGateが、次のものをインジェクトするように構成されている:
- 電子メール・アドレスはemailaddressとして
- 名はfirstnameとして
- 姓はlastnameとして
- 構成は、認可ポリシー定義で認可レスポンス・オブジェクトを使用して行います。
フェデレーション属性をインジェクトするステップは、次のとおりです:
- 「追加」をクリックして、レスポンスを追加します。
- 「適用」をクリックして値を保存します。
テストするには、新しいブラウザを開き、保護リソースにアクセスします。認証が行われるIdPにリダイレクトされます。
OAM/WebGateでは、(IdPから受け取った)OAMセッション属性に基づいて認可レスポンス・アイテムが注入され、保護されているWebアプリケーションにそれらのアイテムが表示されます(テスト・ページには、HTTPヘッダーがHTTP_NAMEとして表示されますが、NAMEがHTTPヘッダーの名前です)。
