ADFS 2.0および3.0 IdPとOAM SPの統合

この記事では、ADFS 2.0/3.0をIdPとして、OAMをSPとして統合する方法について説明します。記事に進む前に、必ず前提条件を読んでください。SAML 2.0統合は、次の内容に基づいています。

ADFS 2.0はWindows 2008 R2で使用でき、ADFS 3.0はWindows 2012 R2で使用できます。この記事では、ADFS 3.0のスクリーンショットを紹介しますが、文書化されたステップは両方のバージョンに適用されます。

ADFS設定

ADFS IdPにOAMをSPとして追加するには、次のステップを実行します。

  1. ADFS 2.0がデプロイされているマシンに移動します。

    1. ADFS 2.0を使用する場合

      1. 「スタート」メニュー、「プログラム」、「管理」の順にクリックします。

      2. 「ツール」、「AD FS 2.0管理」

      3. 「ADFS 2.0」、「信頼関係」を展開します。

    2. ADFS 3.0を使用する場合

      1. Server Managerで、「ツール」、「AD FS管理」の順にクリックします。

      2. 「AD FS」、「Trust Relationships」を展開します。

      3. 証明書利用者信頼を右クリックし、「証明書利用者信頼の追加」を選択します。

      「リライイング・パーティ信頼の追加」ウィンドウが表示されます。

      図Add_Relying_Party_Trust.jpgの説明

  2. 「開始」をクリックします。

  3. 「リライイング・パーティに関するデータをファイルからインポートする」を選択します。

  4. 「参照」をクリックし、ローカル・マシンからOAM SP SAML 2.0 Metadataファイルを選択します(OAMエンドポイントをSSLで終了する必要があります。それ以外の場合、ADFSはメタデータをインポートしません)。SSLに関する前提条件記事を参照してください)。

    5. 図Import_File_Option.jpgの説明

  5. 「次へ」をクリックします。

  6. 新しいOAM SAML 2.0サービス・プロバイダの名前を入力します。

    7. 図Specify_Display_Name.jpgの説明

  7. ADFS 3.0を使用する場合は、次のステップを実行します。

  8. 「次へ」をクリックします。

    9. 次の画面は、オプションのマルチファクタ認証設定セクションを示しています

  9. 要件に応じてオプションを選択します。

  10. 「次へ」をクリックします。

  11. 「すべてのユーザーによるこのリライイング・パーティへのアクセスの許可」を選択します。

    図Permit_all_users.jpgの説明

  12. 「次へ」をクリックします。

    13. サマリーウィンドウが表示されます。

    図summary_window.jpgの説明

  13. 「次へ」をクリックします。

  14. 「要求の編集」ボックスは選択したままにします。

    15. 図Edit_Claims_Rules.jpgの説明

  15. 「Close」をクリックします。

    16. 「ルールの編集」ウィンドウが表示されます。

    図Edit_Rule_Window.jpgの説明

  16. 「ルールの追加」をクリックします。ユーザーの電子メール・アドレスをLDAPから取得してEmailAddress SAML属性として含めるようにADFSを構成します。

  17. 「Send LDAP Attributes as Claims」を選択します。

    18. 図Select_Rule_Template.jpgの説明

  18. 「次へ」をクリックします。

  19. クレーム・ルールの名前を入力します。

  20. 属性ストアとして「Active Directory」を選択します。

  21. Eメール・アドレスをNameIDとして使用しているため、最初の行でLDAP属性として「Eメール・アドレス」を選択し、送信要求タイプとして「Eメール・アドレス」を選択します。

    22. 図Configure_Rule.jpgの説明

  22. 「終了」をクリックします。ルールのリストが表示されます。

    23. 図list_of_rules.jpgの説明

    [Description of the illustration list_of_rules.jpg](files/list_of_rules.txt)

  23. 「ルールの追加」をクリックします: SAML属性EmailAddressを変換して、フォーマットが電子メール・アドレスに設定されたNameIDにします。

  24. 「入力クレームの変換」を選択します。

    25. 図Transform_Incoming_Claim.jpgの説明

  25. 「次へ」をクリックします。

  26. ルールの名前を入力します。

  27. 「受信クレーム・タイプ」として「電子メール・アドレス」を選択します。

  28. 「送信クレーム・タイプ」としてNameIDを選択します。

  29. 「Outgoing name ID」形式として「Email」を選択します。

  30. 「すべての要求値をパス・スルー」を選択します。

    31. 図Add_Transform_Claim.jpgの説明

  31. 「終了」をクリックします。要求ルールのリストが表示されます。

  32. 「OK」をクリックします。

    33. 図list_of_claim_rules.jpgの説明

前提条件の記事で説明したように、SHA-1署名を使用または受け入れるようにADFSを構成する場合は、次のステップを実行します。

ノート: SHA-1署名を使用または受け入れるようにADFSを構成しない場合は、署名にSHA-256を使用するようにOAMを構成する必要があります。

  1. ADFSがデプロイされているマシンに移動します。

  2. ADFS 2.0を使用する場合:

    1. 「スタート・メニュー」、「プログラム」、「管理ツール」、「AD FS 2.0管理」の順にクリックします。

    2. 「ADFS 2.0」、「信頼関係」を展開します。

  3. ADFS 3.0を使用する場合

    1. Server Managerで、「ツール」、「AD FS管理」の順にクリックします。

    2. 「AD FS」、「Trust Relationships」を展開します。

  4. 新しく作成したリライイング・パーティを右クリックし、「プロパティ」を選択します。

  5. 「詳細」タブを選択します。

  6. SHA-1を選択します。

  7. 「OK」をクリックします。

図Secure_Hash_Algorithm.jpgの説明

前提条件の記事で説明したように、ADFS IdPで復号化を無効にすることにした場合は、次のステップを実行します。

  1. ADFSがデプロイされているマシンに移動します。

  2. ADFS 2.0を使用する場合。

    1. 「スタート」メニュー、「プログラム」、「管理ツール」、「Windows PowerShellモジュール」の順にクリックします

  3. ADFS 3.0を使用する場合

    1. 「スタート・メニュー」、「管理ツール」、「Windows用Active Directoryモジュール」PowerShellの順にクリックします

  4. 次のコマンドを実行します(RP_NAMEを、ADFSでのパートナの作成に使用されるSP名に置き換えます): set- ADFSRelyingPartyTrust - TargetName "RP_NAME" - EncryptClaims $False

例: set- ADFSRelyingPartyTrust - TargetName "ACME SP" - EncryptClaims $False

OAM設定

OAMでIdPパートナとしてADFSを追加するには、次のステップを実行します。

  1. OAM管理コンソールのhttp(s): //OAM-admin-host:OAM-adminport/oamconsoleに移動します。

  2. 「アイデンティティ・フェデレーション」→「サービス・プロバイダ管理」に移動します。

  3. 「アイデンティティ・プロバイダ・パートナの作成」ボタンをクリックします。

  4. 「Create」画面で:

    1. パートナの名前を入力します。

    2. IdPパートナが指定されていない場合、フェデレーションSSO操作の開始時にこのパートナをデフォルトでIdPとして使用するかどうかを確認します(この例では、これをデフォルトのIdPとして設定します)。

    3. プロトコルとしてSAML 2.0を選択します。

  5. 「Metadataのロード」をクリックし、IdPアサーション・マッピング・セクションのSAML 2.0 Metadataファイルをアップロードします。

    1. オプションで、使用するOAMアイデンティティ・ストアを設定します(ノート: この例では、デフォルトのOAMアイデンティティ・ストアを使用するためにフィールドを空白のままにします)。

    2. オプションで、ユーザー検索ベースDNを設定します(ノート: この例では、アイデンティティ・ストアで構成されたユーザー検索ベースDNを使用するには、フィールドを空白のままにします)。

    3. マッピングの実行方法を選択します(ノート: この例では、NameIDを介してアサーションをLDAPメール属性にマップしています)。

  6. 受信SAMLアサーション内の属性の名前をローカル名にマップするために使用する属性プロファイルを選択します。詳細は、IdP属性プロファイルの記事を参照してください。この例では、デフォルトのIdP属性プロファイルを使用します。

  7. 「保存」をクリックします。

図OIF_Setup.jpgの説明

前提条件の記事で説明したように、署名にSHA-256を使用するようにOAMを構成する場合は、次のステップを実行します(注意: 署名にSHA-256を使用するようにOAMを構成しない場合は、SHA-1署名を使用または受け入れるようにADFSを構成する必要があります)。

  1. $IAM_ORACLE_HOME/common/bin/WLST.shを実行して、WLST環境を入力します。

  2. WLS管理サーバー(connect())に接続します。

  3. 「ドメイン・ランタイム」ブランチdomainRuntime()に移動します。

  4. configureFedDigitalSignature()コマンドconfigureFedDigitalSignature(partner="PARTNER_NAME", partnerType="idp/sp", algorithm="SHA-256/SHA-1")を実行します。

    1. PARTNER_NAMEを追加したパートナの名前に置き換えます。

    2. partnerTypeをidpまたはspに設定します。

    3. アルゴリズムをSHA-256またはSHA-1に設定します。例は次のとおりです: configureFedDigitalSignature(partner="ADFSIdP", partnerType="idp", algorithm="SHA-256")。

  5. WLST環境exit()を終了します。

前提条件の記事で説明したように、ADFS IdPで強力な暗号化を無効にしないことにした場合は、JCE Unlimited Strength JurisdictionポリシーがOAM環境にインストールされていることを確認してください。

テスト

統合をテストするには:

その他の学習リソース

docs.oracle.com/learnで他のラボを探すか、Oracle Learning YouTubeチャネルで無料のラーニング・コンテンツにアクセスしてください。また、education.oracle.com/learning-explorerにアクセスしてOracle Learning Explorerになります。

製品ドキュメントについては、Oracle Help Centerを参照してください。